Ranskan tietosuojaviranomainen CNIL on määrännyt jälleenmyyjä FNACille 7 miljoonan euron sakon sovelluksen käyttäjien seuraamisesta ilman pätevää suostumusta. Viranomainen myös määräsi yhtiön muuttamaan suostumuskulkujaan yhden kuukauden kuluessa. FNACia koskeva CNILin sakkopäätös sovellusten seurannasta on hyödyllinen muistutus siitä, että mobiilisovelluksen sisällä tapahtuva toiminta on samojen tietosuojasääntöjen alaista kuin verkkosivustolla tapahtuva toiminta, ja että "suostumuksella" täytyy olla todellista merkitystä.

Tässä artikkelissa käsitellään sitä, mitä on raportoitu, mitä määräys edellyttää ja mitä voit tehdä omalla puhelimellasi. Lisäksi tarkastellaan, mihin VPN sopii ja mihin se ei sovi.

Mitä CNIL katsoi FNACin tehneen väärin

Cybernewsin raportoinnin mukaan CNIL päätyi siihen, että FNAC seurasi sovelluksensa käyttäjiä hankkimatta pätevää suostumusta. Tämä on seuraamuksen ydin: seurantaa tapahtui ilman, että käyttäjä oli asianmukaisesti suostunut siihen.

Käytettävissämme oleva raportointi ei erittele seurannan kaikkia teknisiä yksityiskohtia, joten emme arvaile, mitä seurantatyökaluja tai tietotyyppejä oli mukana. Otsikkotason havainto kertoo kuitenkin periaatteesta, josta on kyse. Eurooppalaisten tietosuojasääntöjen mukaan seuranta, joka ei ole ehdottoman välttämätöntä, edellyttää yleensä selkeää ja tietoon perustuvaa valintaa seurattavalta henkilöltä. Jos sovellus alkaa kerätä tai jakaa tietoja ennen tämän valinnan tekemistä tai jos valinta ei ole aidosti vapaa, viranomaiset voivat pitää suostumusta pätemättömänä.

Sakon suuruus, 7 miljoonaa euroa, viestii myös siitä, että viranomaiset pitävät sovellusten seurantaa vakavana vaatimustenmukaisuuden alueena eivätkä pienenä teknisenä muotoseikkana.

Mitä FNACin on muutettava yhden kuukauden kuluessa

Taloudellisen seuraamuksen lisäksi CNIL antoi FNACille yhden kuukauden aikaa korjata suostumuskulkunsa. Käytännössä suostumuskulku on se kehotteiden ja asetusten sarja, jonka sovellus näyttää, kun avaat sen ensimmäisen kerran, sekä tapa, jolla se tallentaa ja kunnioittaa vastauksiasi.

Tässä asemassa olevalle yritykselle lainmukainen suostumuskulku tarkoittaa tyypillisesti seuraavaa:

  • Kysytään ennen kuin muu kuin välttämätön seuranta alkaa, ei sen jälkeen.
  • Valinta esitetään selkeästi, jotta käyttäjät ymmärtävät, mihin he suostuvat.
  • Kieltäytymisestä tehdään yhtä helppoa kuin hyväksymisestä.
  • Käyttäjän tekemää päätöstä kunnioitetaan, myös silloin kun hän sanoo ei.

Nämä ovat Euroopan tietosuojasääntöjen yleisiä odotuksia eivätkä lainaus CNILin tarkasta määräyksestä, joten suhtaudu niihin taustatietona. Yhden kuukauden määräaika on raportoinnin konkreettinen yksityiskohta, ja se osoittaa, että viranomaiset haluavat nopean korjauksen, eivät pitkittynyttä korjausprosessia.

Ranskalaiset viranomaiset ja tietovuodot ovat olleet uutisissa ennenkin. Artikkelimme ranskalaisesta sähköpostipalveluntarjoajan vuodosta, joka paljasti 40 miljoonaa tietuetta, näyttää saman asian toisen puolen: miten tietojenkäsittelyn epäonnistumiset, oli kyse sitten seurannasta tai heikosta turvallisuudesta, kohdistuvat tavallisiin käyttäjiin.

Sovellusten seurannan rajoittaminen iPhonessa ja Androidissa

Tällainen päätös painostaa yrityksiä, mutta sinun ei tarvitse odottaa niiden noudattavan sääntöjä. Puhelimesi sisäänrakennetut hallintatyökalut ovat suorin tapa rajoittaa sovellusten seurantaa. Valikkojen nimet vaihtelevat versioiden ja valmistajien välillä, joten etsi lähinnä vastaavaa.

iPhonessa:

  • Avaa Asetukset, sitten Tietosuoja ja turvallisuus, sitten Seuranta.
  • Poista "Salli sovellusten pyytää seurantaa" -asetus käytöstä estääksesi kehotteen kokonaan tai tarkista, mitkä sovellukset olet jo sallinut.
  • Tarkista samalla Sijaintipalvelut- ja Kuvat-käyttöoikeudet.

Androidissa:

  • Avaa Asetukset ja etsi Tietosuoja, sitten Mainokset (sanamuoto vaihtelee laitteittain).
  • Poista tai nollaa mainos-ID ja kieltäydy mainosten personoinnista, jos se on tarjolla.
  • Tarkista käyttöoikeuksien hallinta sijainnin, yhteystietojen ja muiden arkaluontoisten käyttöoikeuksien osalta ja poista kaikki, mitä sovellus ei tarvitse.

Tarkista myös yksittäisten sovellusten sisäiset suostumuskehotteet. Monissa on asetukset-näyttö, jossa voit kieltäytyä muusta kuin välttämättömästä seurannasta, ja voit yleensä muuttaa valintaasi myöhemmin.

Mitä VPN voi ja ei voi tehdä sovellusten seurantaa vastaan

VPN-palveluita kuvataan usein yleislääkkeeksi seurantaa vastaan, mikä ei ole tarkkaa. VPN salaa yhteytesi ja piilottaa IP-osoitteesi sivustoilta ja palveluilta, joihin yhdistät. Se voi rajoittaa seurantaa, joka perustuu IP-osoitteeseesi tai siitä johdettuun sijaintiin, ja se suojaa liikennettäsi epäluotettavissa verkoissa, kuten julkisessa Wi-Fi-verkossa.

Sitä VPN ei voi tehdä, että se estäisi sovellusta keräämästä tietoja, kun olet kirjautunut sisään tai myöntänyt sille käyttöoikeudet. Jos sovellus tallentaa, mitä napautat, mitä näyttöjä katsot tai yhdistää toiminnan tiliisi tai laitetunnisteisiisi, se tapahtuu sovelluksen sisällä. VPN ei näe sitä eikä voi estää sitä. Suostumustapauksissa kyseessä oleva seuranta on tyypillisesti juuri tällaista sovelluksen sisäistä seurantaa.

VPN on siis yksi rajallinen kerros, ei korvaaja käyttöoikeusasetuksille ja tietoon perustuville valinnoille. Sama logiikka pätee muihin tietovuotoihin: raporttimme väärin konfiguroidusta bucketista 302.ai:ssa, joka paljasti 17,6 miljoonaa tiedostoa, on tapaus, jossa mikään käyttäjän puolen VPN ei olisi voinut muuttaa lopputulosta.

Mitä tämä tarkoittaa sinulle

Jos käytät FNACin sovellusta, saatat nähdä muutoksia sen suostumuskehotuksissa, kun yhtiö pyrkii täyttämään CNILin yhden kuukauden määräajan. Lue ne sen sijaan, että napauttaisit läpi, ja valitse vaihtoehdot, jotka vastaavat toiveitasi.

Laajemmin päätös osoittaa, että eurooppalaiset viranomaiset rankaisevat suostumuksesta, joka ei ole pätevä, ja että sinulla on oikeuksia siihen, miten sovellukset seuraavat sinua. Näitä oikeuksia on helpompi käyttää, kun tiedät, missä puhelimesi hallintatyökalut ovat.

Keskeiset huomiot

FNACia koskeva CNILin sakkopäätös sovellusten seurannasta on selkeä esimerkki siitä, että viranomaiset pitävät suurta jälleenmyyjää vastuullisena siitä, miten sen sovellus käsittelee suostumusta. Tässä mitä voit tehdä nyt:

  • Tarkista iPhonesi tai Android-laitteesi seuranta- ja käyttöoikeusasetukset tällä viikolla.
  • Kieltäydy muusta kuin välttämättömästä seurannasta sovellusten suostumuskehotuksissa ja käy aiemmat valintasi uudelleen läpi.
  • Poista sovellukset, joita et enää käytä, sillä käyttämättömillä sovelluksilla voi edelleen olla käyttöoikeuksia.
  • Kohtele VPN:ää yhtenä rajallisena suojakerroksena, hyödyllisenä verkon yksityisyydelle mutta ei korjauksena sovelluksen sisäiseen seurantaan.

Lisätietoja siitä, miten ranskalaiset tietoturvaloukkaukset vaikuttavat käyttäjien yksityisyyteen, löydät artikkelistamme ranskalaisesta sähköpostipalveluntarjoajan vuodosta, ja seuraa, miten FNACin suostumusmuutokset kehittyvät.