Η νορβηγική αρχή προστασίας δεδομένων επέβαλε πρόστιμο περίπου 8,5 εκατομμυρίων ευρώ στη Xandr της Microsoft για τον χειρισμό των προσωπικών δεδομένων των χρηστών του Grindr, συμπεριλαμβανομένων ευαίσθητων πληροφοριών σχετικά με τον σεξουαλικό προσανατολισμό. Το πρόστιμο της Xandr για τα δεδομένα του Grindr είναι αξιοσημείωτο επειδή στοχεύει μια εταιρεία που βρίσκεται πιο κάτω στην αλυσίδα διαφήμισης, όχι μόνο την εφαρμογή που συγκέντρωσε τα δεδομένα εξαρχής.

Η σύνοψη που έχουμε για την απόφαση είναι σύντομη, οπότε αυτό το άρθρο περιορίζεται σε ό,τι έχει επιβεβαιωθεί και εξηγεί το ευρύτερο πλαίσιο για τους αναγνώστες.

Για Ποιο Λόγο η Νορβηγική Ρυθμιστική Αρχή Επέβαλε Πρόστιμο στη Xandr

Σύμφωνα με το ρεπορτάζ, το πρόστιμο των περίπου 8,5 εκατομμυρίων ευρώ σχετίζεται με τον τρόπο που η Xandr, μια διαφημιστική επιχείρηση που ανήκει στη Microsoft, χειρίστηκε προσωπικά δεδομένα που ανήκουν σε χρήστες του Grindr. Τα δεδομένα αυτά περιλάμβαναν ευαίσθητες πληροφορίες σχετικά με τον σεξουαλικό προσανατολισμό.

Δεν είναι η πρώτη φορά που οι πρακτικές δεδομένων του Grindr προσελκύουν την προσοχή της Νορβηγίας. Η αρχή προστασίας δεδομένων της χώρας είχε προηγουμένως επιβάλει πρόστιμο στο ίδιο το Grindr ύψους 65 εκατομμυρίων νορβηγικών κορόνων (περίπου 5,5 εκατομμύρια ευρώ) για παραβίαση του Άρθρου 9 του GDPR, το οποίο περιορίζει την επεξεργασία ειδικών κατηγοριών προσωπικών δεδομένων. Το πρόστιμο αυτό επικυρώθηκε αργότερα από το Εφετείο του Borgarting. Η νέα ενέργεια κατά της Xandr επεκτείνει την εστίαση από την εφαρμογή σε μια εταιρεία που χειρίστηκε τα δεδομένα κατάντη.

Πώς τα Ευαίσθητα Δεδομένα Εφαρμογών Φτάνουν στις Διαφημιστικές Πλατφόρμες

Οι περισσότερες δωρεάν εφαρμογές βγάζουν χρήματα μέσω διαφημίσεων. Για να εμφανίσουν σχετικές διαφημίσεις, μια εφαρμογή μπορεί να μεταβιβάσει πληροφορίες για έναν χρήστη, όπως ένα αναγνωριστικό συσκευής, κατά προσέγγιση τοποθεσία ή λεπτομέρειες προφίλ, σε διαφημιστικούς συνεργάτες. Αυτοί οι συνεργάτες μπορεί να περιλαμβάνουν ανταλλακτήρια διαφημίσεων και πλατφόρμες που αντιστοιχίζουν διαφημίσεις με κοινά, συχνά μέσα σε χιλιοστά του δευτερολέπτου από το άνοιγμα μιας εφαρμογής.

Το πρόβλημα προκύπτει όταν οι πληροφορίες που εμπλέκονται είναι ευαίσθητες. Βάσει του GDPR, τα δεδομένα που αποκαλύπτουν σεξουαλικό προσανατολισμό ανήκουν σε προστατευόμενη κατηγορία. Το απλό γεγονός ότι κάποιος είναι χρήστης συγκεκριμένων εφαρμογών μπορεί από μόνο του να αποκαλύψει κάτι ευαίσθητο. Μόλις αυτό το σήμα εισέλθει σε μια αλυσίδα ad-tech, μπορεί να αντιγραφεί, να συνδυαστεί με άλλα αναγνωριστικά και να περάσει μεταξύ πολλών εταιρειών, γεγονός που καθιστά δύσκολο για τους χρήστες να γνωρίζουν πού κατέληξε ή να το ανακαλέσουν.

Γι' αυτό οι ρυθμιστικές αρχές εξετάζουν ολόκληρη την αλυσίδα. Μια εταιρεία που λαμβάνει ή επεξεργάζεται τέτοια δεδομένα αναλαμβάνει τις δικές της νομικές ευθύνες, ακόμη και αν δεν ήταν αυτή που τα συγκέντρωσε πρώτη.

Τι Σημαίνει η Επιβολή του GDPR για τους Χρήστες

Το πρόστιμο είναι ένα σήμα ότι οι ευρωπαϊκές ρυθμιστικές αρχές είναι πρόθυμες να επιδιώξουν εταιρείες σε ολόκληρο το διαφημιστικό οικοσύστημα, συμπεριλαμβανομένων εκείνων που ανήκουν σε μεγάλους τεχνολογικούς ομίλους. Για τους χρήστες, υπάρχουν μερικά πρακτικά συμπεράσματα.

  • Τα δεδομένα ειδικής κατηγορίας συνεπάγονται αυστηρότερους κανόνες. Πληροφορίες σχετικά με τον σεξουαλικό προσανατολισμό, την υγεία, τη θρησκεία και παρόμοια θέματα γενικά δεν μπορούν να υποβληθούν σε επεξεργασία χωρίς έγκυρη νομική βάση βάσει του GDPR.
  • Η επιβολή μπορεί να είναι αργή. Η προηγούμενη υπόθεση του Grindr πέρασε από πρόστιμο, έφεση και δικαστική απόφαση. Η ρυθμιστική δράση δεν ανατρέπει την έκθεση που έχει ήδη συμβεί.
  • Τα πρόστιμα δεν είναι το ίδιο με τα ένδικα μέσα. Μια ποινή τιμωρεί μια εταιρεία, αλλά τα άτομα εξακολουθούν να χρειάζεται να διαχειρίζονται τη δική τους έκθεση στο μέλλον.

Εταιρείες αυτού του μεγέθους κατέχουν επίσης μεγάλους όγκους δεδομένων σε άλλα πλαίσια, και περιστατικά ασφαλείας αλλού στο οικοσύστημα υπενθυμίζουν ότι τα δεδομένα που τηρούνται κεντρικά αποτελούν στόχο. Για παράδειγμα, αναφέραμε έναν έφηβο κυνηγό bug που φέρεται να απέκτησε πρόσβαση επιπέδου διαχειριστή στην εσωτερική υπηρεσία ανάλυσης Titan της Microsoft, και ισχυρισμούς ότι βάσεις δεδομένων υπαλλήλων κλάπηκαν από την υποδομή Microsoft Azure. Αυτά είναι ξεχωριστά ζητήματα από την απόφαση κατά της Xandr, αλλά καταδεικνύουν γιατί ο περιορισμός του τι μοιράζεστε εξαρχής έχει σημασία.

Τι Σημαίνει Αυτό για Εσάς

Δεν μπορείτε να δείτε ποιοι διαφημιστικοί συνεργάτες λαμβάνουν δεδομένα από μια εφαρμογή, οπότε η πιο αξιόπιστη προσέγγιση είναι να μειώσετε αυτά που μπορεί να στείλει η εφαρμογή. Από εδώ να ξεκινήσετε:

  • Ελέγξτε τα δικαιώματα των εφαρμογών. Ελέγξτε τα δικαιώματα τοποθεσίας, επαφών, φωτογραφιών και παρακολούθησης στο τηλέφωνό σας. Ανακαλέστε ό,τι μια εφαρμογή δεν χρειάζεται σαφώς.
  • Επαναφέρετε ή απενεργοποιήστε το διαφημιστικό σας ID. Τόσο το Android όσο και το iOS σας επιτρέπουν να διαγράψετε ή να επαναφέρετε το διαφημιστικό σας αναγνωριστικό, ή να περιορίσετε την παρακολούθηση διαφημίσεων, γεγονός που καθιστά δυσκολότερο για τις διαφημιστικές πλατφόρμες να συνδέσουν δραστηριότητα μεταξύ εφαρμογών.
  • Κοιτάξτε τις ρυθμίσεις απορρήτου εντός της εφαρμογής. Πολλές εφαρμογές περιλαμβάνουν διακόπτες για εξατομικευμένες διαφημίσεις ή κοινή χρήση δεδομένων με συνεργάτες. Απενεργοποιήστε ό,τι μπορείτε.
  • Να είστε επιλεκτικοί με ευαίσθητες λεπτομέρειες προφίλ. Αν μια εφαρμογή ζητά πληροφορίες που δεν θα θέλατε να κοινοποιηθούν, σκεφτείτε να τις αφήσετε κενές.
  • Διαγράψτε λογαριασμούς που δεν χρησιμοποιείτε πλέον. Οι ανενεργοί λογαριασμοί μπορούν ακόμα να διατηρούν δεδομένα.

Πού Ταιριάζει ένα VPN

Ένα VPN μπορεί να αποκρύψει τη διεύθυνση IP σας και να κρυπτογραφήσει την κίνησή σας μεταξύ της συσκευής σας και του διακομιστή VPN, κάτι που είναι χρήσιμο σε δημόσιο Wi-Fi και για τον περιορισμό του τι βλέπει ο πάροχος internet σας. Αλλά δεν σταματά μια εφαρμογή από το να στέλνει τα δεδομένα που της έχετε δώσει, όπως λεπτομέρειες προφίλ ή ένα διαφημιστικό ID, στους συνεργάτες της. Αντιμετωπίστε ένα VPN ως ένα μερικό επίπεδο, όχι ως λύση για την κοινή χρήση δεδομένων εντός της εφαρμογής.

Βασικά Συμπεράσματα

Το πρόστιμο της Xandr για τα δεδομένα του Grindr δείχνει ότι οι ρυθμιστικές αρχές κοιτάζουν πέρα από τις εφαρμογές που συλλέγουν ευαίσθητες πληροφορίες, προς τις εταιρείες ad-tech που τις επεξεργάζονται. Για τους καθημερινούς χρήστες, τα πιο αποτελεσματικά βήματα είναι υπό τον έλεγχό σας: ελέγξτε τα δικαιώματα των εφαρμογών, επαναφέρετε ή απενεργοποιήστε το διαφημιστικό σας ID, προσαρμόστε τις ρυθμίσεις απορρήτου εντός των εφαρμογών και χρησιμοποιήστε ένα VPN μόνο για ό,τι κάνει καλά. Αφιερώστε δέκα λεπτά αυτή την εβδομάδα για να εξετάσετε τις εφαρμογές στο τηλέφωνό σας, ξεκινώντας από εκείνες που κατέχουν τις περισσότερες προσωπικές πληροφορίες.