Hvor stor en bøde fik FNAC af CNIL, og hvorfor?

FNAC blev idømt en bøde på 7 millioner euro for at spore appbrugere uden at indhente gyldigt samtykke. CNIL pålagde også virksomheden at ændre sine samtykkeflows inden for en måned.

Hvad kræver CNIL, at FNAC ændrer inden for en måned?

CNIL gav FNAC en måned til at rette op på sine samtykkeflows, hvilket typisk betyder at spørge, før ikke-essentiel sporing begynder, præsentere valg klart, gøre afvisning lige så nem som accept og respektere brugernes beslutninger.

Specificerer artiklen, hvilke trackere eller datatyper FNAC brugte?

Nej, den tilgængelige rapportering angiver ikke alle tekniske detaljer om sporingen, så artiklen gætter ikke på, hvilke trackere eller datatyper der var involveret.

Hvordan kan jeg begrænse appsporing på min egen telefon?

Artiklen siger, at telefonens indbyggede kontroller er den mest direkte måde at begrænse appsporing på, men da menunavne ændrer sig mellem versioner og producenter, bør du kigge efter det tætteste match.

CNIL idømmes FNAC bøde på 7 mio. euro for appsporing uden samtykke

Q: Gælder de samme privatlivsregler for mobilapps som for websites?

Ja, artiklen bemærker, at det, der sker inde i en mobilapp, er underlagt de samme privatlivsregler som det, der sker på et website, og at samtykke skal betyde noget reelt.

Frankrigs databeskyttelsesmyndighed, CNIL, har idømt detailkæden FNAC en bøde på 7 millioner euro for at spore appbrugere uden gyldigt samtykke. Myndigheden pålagde også virksomheden at ændre sine samtykkeflows inden for en måned. Afgørelsen om CNIL's bøde til FNAC for appsporing er en nyttig påmindelse om, at det, der sker inde i en mobilapp, er underlagt de samme privatlivsregler som det, der sker på et website, og at "samtykke" skal betyde noget reelt.

Dette indlæg dækker, hvad der er blevet rapporteret, hvad påbuddet kræver, og hvad du kan gøre på din egen telefon. Det ser også på, hvor en VPN passer ind, og hvor den ikke gør.

Hvad CNIL fandt, at FNAC gjorde forkert

Ifølge Cybernews' rapportering konkluderede CNIL, at FNAC sporede brugerne af sin app uden at indhente gyldigt samtykke. Det er kernen i sanktionen: sporing, der fandt sted, uden at brugeren havde givet ordentligt samtykke til det.

Den rapportering, vi har adgang til, angiver ikke alle tekniske detaljer om sporingen, så vi vil ikke gætte på, hvilke trackere eller datatyper der var involveret. Det, overskriftens konklusion fortæller os, er det princip, der er på spil. Under europæiske privatlivsregler kræver sporing, der ikke er strengt nødvendig, generelt et klart og informeret valg fra den person, der spores. Hvis en app begynder at indsamle eller dele data, før det valg er truffet, eller hvis valget ikke er reelt frit, kan tilsynsmyndighederne behandle samtykket som ugyldigt.

Størrelsen af bøden, 7 millioner euro, signalerer også, at tilsynsmyndighederne ser appsporing som et alvorligt compliance-område og ikke som en mindre teknikalitet.

Hvad FNAC skal ændre inden for en måned

Ud over den økonomiske sanktion gav CNIL FNAC en måned til at rette op på sine samtykkeflows. I praksis er et samtykkeflow den rækkefølge af prompter og indstillinger, en app viser, når du første gang åbner den, og den måde, hvorpå den registrerer og respekterer dine svar.

For en virksomhed i denne situation betyder et lovligt samtykkeflow typisk:

At spørge, før ikke-essentiel sporing begynder, ikke efter.
At præsentere valget klart, så brugerne forstår, hvad de accepterer.
At gøre det lige så nemt at afslå som at acceptere.
At respektere den beslutning, en bruger træffer, også når de siger nej.

Dette er generelle forventninger under europæiske privatlivsregler snarere end et citat af CNIL's præcise påbud, så betragt dem som kontekst. Fristen på en måned er den konkrete detalje fra rapporteringen, og den viser, at tilsynsmyndighederne ønsker hurtig korrektion, ikke en langtrukken løsning.

Franske tilsynsmyndigheder og datalækager har været i nyhederne før. Vores dækning af en lækage hos en fransk e-mailudbyder, der blotlagde 40 millioner poster viser en anden side af samme sag: hvordan fejl i datahåndtering, hvad enten gennem sporing eller dårlig sikkerhed, rammer almindelige brugere.

Sådan begrænser du appsporing på iPhone og Android

En afgørelse som denne lægger pres på virksomhederne, men du behøver ikke vente på, at de efterlever reglerne. Telefonens indbyggede kontroller er den mest direkte måde at begrænse appsporing på. Menunavne ændrer sig mellem versioner og producenter, så kig efter det tætteste match.

På iPhone:

Åbn Indstillinger, derefter Anonymitet og sikkerhed, derefter Sporing.
Slå "Tillad apps at anmode om sporing" fra for helt at blokere prompten, eller gennemgå, hvilke apps du allerede har tilladt.
Tjek tilladelser for Lokationstjenester og Billeder, mens du er der.

På Android:

Åbn Indstillinger, og kig efter Anonymitet, derefter Annoncer (formuleringen varierer efter enhed).
Slet eller nulstil dit reklame-ID, og fravælg annoncepersonalisering, hvor det tilbydes.
Gennemgå tilladelsesstyringen for lokation, kontakter og andre følsomme adgange, og fjern alt, som en app ikke har brug for.

Gennemgå også samtykkeprompterne inde i de enkelte apps. Mange tilbyder en præferenceskærm, hvor du kan afvise ikke-essentiel sporing, og du kan normalt ændre dit valg senere.

Hvad en VPN kan og ikke kan gøre mod appsporing

VPN'er beskrives ofte som en universal kur mod sporing, hvilket ikke er korrekt. En VPN krypterer din forbindelse og skjuler din IP-adresse for de sites og tjenester, du opretter forbindelse til. Det kan begrænse sporing, der bygger på din IP-adresse eller lokation udledt af den, og det beskytter din trafik på utroværdige netværk som offentlig Wi-Fi.

Det, en VPN ikke kan gøre, er at forhindre en app i at indsamle data, når du først er logget ind, eller har givet den tilladelser. Hvis en app registrerer, hvad du trykker på, hvilke skærme du ser, eller knytter aktivitet til din konto eller enhedsidentifikatorer, sker det inde i appen. VPN'en ser det ikke og kan ikke blokere det. Den type sporing, der er på spil i samtykkesager, er typisk af denne in-app-karakter.

Så en VPN er et begrænset lag, ikke en erstatning for tilladelsesindstillinger og informerede valg. Den samme logik gælder for andre datalækager: vores rapport om en fejlkonfigureret bucket hos 302.ai, der blotlagde 17,6 mio. filer er et tilfælde, hvor ingen VPN på brugersiden kunne have ændret udfaldet.

Hvad det betyder for dig

Hvis du bruger FNAC's app, kan du opleve ændringer i dens samtykkeprompter, efterhånden som virksomheden arbejder på at overholde CNIL's frist på en måned. Læs dem i stedet for at trykke igennem, og vælg de muligheder, der passer til dine præferencer.

Mere bredt viser afgørelsen, at europæiske tilsynsmyndigheder vil sanktionere samtykke, der ikke er gyldigt, og at du har rettigheder over, hvordan apps sporer dig. De rettigheder er lettere at bruge, når du ved, hvor telefonens kontroller er.

Vigtige pointer

Sagen om CNIL's bøde til FNAC for appsporing er et tydeligt eksempel på, at tilsynsmyndighederne holder en stor detailkæde ansvarlig for, hvordan dens app håndterer samtykke. Her er, hvad du kan gøre nu:

Gennemgå sporings- og tilladelsesindstillingerne på din iPhone eller Android-enhed i denne uge.
Afvis ikke-essentiel sporing i apps' samtykkeprompter, og genbesøg tidligere valg.
Slet apps, du ikke længere bruger, da ubrugte apps stadig kan have tilladelser.
Betragt en VPN som et begrænset beskyttelseslag, nyttigt for netværksprivatliv, men ikke en løsning på in-app-sporing.

For mere kontekst om, hvordan franske datahændelser påvirker brugeres privatliv, læs vores dækning af lækagen hos den franske e-mailudbyder, og hold øje med, hvordan FNAC's samtykkeændringer udvikler sig.