Kalifornian tietosuojalailla on vaatimustenmukaisuusongelma

Kalifornian kuluttajien tietosuojalain (CCPA) piti antaa asukkaille merkityksellinen hallinta omiin henkilötietoihinsa. Mutta yli 7 000 suositun verkkosivuston kattava uusi tarkastus kertoo eri tarinan. Tutkijat havaitsivat sen, mitä he kuvasivat "teollisen mittakaavan lainrikkomiseksi" CCPA:n suhteen: monet suuret teknologiayritykset sivuuttavat järjestelmällisesti selaimiin suoraan rakennetun, laillisesti tunnustetun yksityisyyssignaalin.

Kyseinen signaali tunnetaan nimellä Global Privacy Control (GPC). Aktivoituna se lähettää automaattisen ohjeen jokaiselle vierailemallesi verkkosivustolle, jonka mukaan niiden ei tule seurata tai myydä henkilötietojasi. CCPA:n mukaan tämän signaalin noudattaminen ei ole Kaliforniassa toimiville yrityksille vapaaehtoista — se on lakisääteinen vaatimus. Tarkastus kuitenkin osoitti, että joissakin tapauksissa seuranta jatkui 86 %:ssa vierailuista, vaikka GPC-signaali oli aktiivinen.

Tuo luku ansaitsee hetken pohdinnan. Käyttäjä voisi tehdä kaiken oikein aktivoimalla laillisesti suojatun yksityisyysasetuksen — ja silti hänen käyttäytymistään seurattaisiin ja tietojaan mahdollisesti myytäisiin ylivoimaisessa enemmistössä selauskertoja.

Miksi oikeudelliset suojat yksin eivät riitä

Tietosuojalait, kuten CCPA, edustavat aitoa edistystä. Ne vahvistavat oikeuksia, luovat täytäntöönpanomekanismeja ja siirtävät todistustaakan yrityksille, joiden on perusteltava tietokäytäntönsä. Tämä tarkastus kuitenkin havainnollistaa aukon, josta tietosuoja-alan asiantuntijat ovat jo pitkään varoittaneet: laki on vain niin tehokas kuin sen täytäntöönpano.

Kun lainrikkomukset ovat näin laajoja ja järjestelmällisiä, se viittaa siihen, että yritykset ovat laskeneet sääntelysanktioiden riskin olevan pienempi kuin kerättyjen tietojen arvo. Kyse on rakenteellisesta ongelmasta, ei yksilöllisestä. Mikään määrä evästebannerin huolellista lukemista tai "hylkää kaikki" -painikkeen klikkaamista ei korjaa järjestelmää, jossa seurantainfrastruktuuri jatkaa toimintaansa taustalla valinnasta riippumatta.

Tällä on merkitystä myös Kalifornian ulkopuolella. Vaikka CCPA koskee vain Kalifornian asukkaita, sitä rikkovat verkkosivustot palvelevat käyttäjiä kaikkialla. Samat seurantateknologiat, mainosverkostot ja datanvälittäjät toimivat maailmanlaajuisesti. Jos suuret yritykset ovat valmiita sivuuttamaan osavaltion lain, jolla on todellista vaikutusvaltaa, tilanne heikomman suojan lainkäyttöalueilla on todennäköisesti vielä huonompi.

Mitä tämä tarkoittaa sinulle

Tämän tarkastuksen käytännön johtopäätös on epämukava mutta tärkeä: et voi luottaa pelkästään oikeudellisiin kehyksiin suojataksesi yksityisyyttäsi verkossa. Yritysten vaatimustenmukaisuus on parhaimmillaan epäjohdonmukaista ja tämän tutkimuksen mukaan pahimmillaan olematonta, kun kyse on ilmoitettujen mieltymystesi noudattamisesta.

Tämä ei tarkoita, että tietosuojalait olisivat hyödyttömiä. Sääntelypaine, sakot ja julkinen vastuullisuus kyllä vaikuttavat tilanteeseen ajan myötä. Mutta sillä välin todellista selauskäyttäytymistäsi seurataan todennäköisesti paljon laajemmin kuin mikään suostumusbanneri tai kieltäytymisasetus antaisi ymmärtää.

Luotettavampaa suojaa tarjoavat työkalut toimivat teknisellä tasolla eivätkä käytäntötasolla. Selainlaajennus, joka estää kolmannen osapuolen seurantalaitteet, ei pyydä yritystä noudattamaan mieltymyksiäsi — se yksinkertaisesti estää seurantakoodia latautumasta alun perinkään. Vastaavasti VPN salaa internet-yhteytesi ja peittää IP-osoitteesi, joka on yksi tärkeimmistä tunnisteista, joita käytetään käyttäytymisprofiilien rakentamiseen eri verkkosivustoilla. Kumpikaan lähestymistapa ei riipu yritysten hyvästä tahdosta tai sääntelytäytäntöönpanosta.

Selaintason yksityisyysominaisuudet ovat myös kehittyneet. Firefox ja yksityisyyteen keskittyvien periaatteiden pohjalta rakennetut selaimet estävät oletusarvoisesti monia seurantaskriptejä. GPC-signaali itsessään on selainasetus, joka kannattaa ottaa käyttöön — ei siksi, että yritykset noudattaisivat sitä luotettavasti (tämä tarkastus osoittaa selvästi, etteivät ne tee niin), vaan siksi, että se luo dokumentoidun kirjauksen ilmoitetuista mieltymyksistäsi, millä voi olla merkitystä täytäntöönpanotoimissa.

Käytännön toimenpiteet yksityisyytesi suojaamiseksi nyt

Sen perusteella, mitä tämä tarkastus paljastaa, tässä on konkreettisia toimia, jotka tarjoavat todellista suojaa käytäntöihin perustuvien lupausten sijaan:

  • Ota Global Privacy Control käyttöön selaimesi asetuksissa. Sitä ei ehkä aina noudateta, mutta se lisää oikeudellisen perustan kerroksen ja saa yhä enemmän tukea yksityisyyteen keskittyviltä selaimeilta.
  • Käytä seurannan estävää selainlaajennusta, kuten uBlock Originia, tai yksityisyyteen keskittyvää selainta, joka estää oletusarvoisesti kolmannen osapuolen skriptit. Nämä toimivat riippumatta siitä, noudattaako sivusto kieltäytymismieltymyksiäsi.
  • Harkitse VPN:n käyttöä yleiseen selaamiseen, erityisesti verkoissa, joita et hallitse. VPN ei estä seurantaohjelmia suoraan, mutta se estää internetpalveluntarjoajaasi ja verkkojen tason tarkkailijoita muodostamasta kuvaa toiminnastasi, ja se peittää IP-osoitteen, joka yhdistää istuntosi eri sivustoilla.
  • Tarkasta selaimesi yksityisyysasetukset säännöllisesti. Kolmannen osapuolen evästeet, sormenjälkisuojaukset ja seurannan esto ovat usein oletusarvoisesti poissa käytöstä valtavirran selaimissa.
  • Suhtaudu skeptisesti evästeiden suostumusbannerehin. Tutkimukset osoittavat johdonmukaisesti, että monet sivustot jatkavat seurantaa valitusta vaihtoehdosta riippumatta.

CCPA oli merkityksellinen askel kohti yritysten vastuullisuutta henkilötietojen käsittelyssä. Mutta tämä tarkastus vahvistaa sen, mitä monet tietosuojatutkijat ovat väittäneet vuosien ajan: oikeudelliset oikeudet ja tekniset todellisuudet ovat kaksi hyvin erilaista asiaa. Tämän kuilun ymmärtäminen — ja toimenpiteiden toteuttaminen sen kuromiseksi saatavilla olevilla työkaluilla — on tällä hetkellä luotettavin tie merkitykselliseen yksityisyyden suojaan.