Norveško tijelo za zaštitu podataka kaznilo je Microsoftov Xandr s otprilike 8,5 milijuna eura zbog postupanja s osobnim podacima korisnika Grindr-a, uključujući osjetljive informacije o seksualnoj orijentaciji. Novčana kazna Xandr Grindr za podatke značajna je jer cilja tvrtku koja se nalazi dalje u oglasnom lancu, a ne samo aplikaciju koja je prvotno prikupila podatke.

Sažetak odluke koji imamo je kratak, pa se ovaj članak drži onoga što je potvrđeno i objašnjava širi kontekst za čitatelje.

Zbog čega je norveški regulator kaznio Xandr

Prema izvješćima, kazna od otprilike 8,5 milijuna eura odnosi se na način na koji je Xandr, oglašivački posao u vlasništvu Microsofta, postupao s osobnim podacima korisnika Grindr-a. Ti podaci uključivali su osjetljive informacije o seksualnoj orijentaciji.

Ovo nije prvi put da su Grindr-ove prakse s podacima privukle pozornost Norveške. Norveško tijelo za zaštitu podataka prethodno je kaznilo sam Grindr s 65 milijuna norveških kruna (oko 5,5 milijuna eura) zbog kršenja članka 9. GDPR-a, koji ograničava obradu posebnih kategorija osobnih podataka. Tu je kaznu kasnije potvrdio Žalbeni sud u Borgartingu. Nova akcija protiv Xandr-a proširuje fokus s aplikacije na tvrtku koja je obrađivala podatke nizvodno.

Kako osjetljivi podaci iz aplikacija dospijevaju na oglasne platforme

Većina besplatnih aplikacija zarađuje putem oglašavanja. Kako bi prikazala relevantne oglase, aplikacija može proslijediti informacije o korisniku, poput identifikatora uređaja, približne lokacije ili pojedinosti profila, svojim oglasnim partnerima. Ti partneri mogu uključivati oglasne burze i platforme koje uparuju oglase s publikom, često unutar milisekundi od otvaranja aplikacije.

Problem nastaje kada su informacije o kojima je riječ osjetljive. Prema GDPR-u, podaci koji otkrivaju seksualnu orijentaciju pripadaju zaštićenoj kategoriji. Sama činjenica da je netko korisnik određenih aplikacija može otkriti nešto osjetljivo. Kada taj signal uđe u ad-tech pipeline, može se kopirati, kombinirati s drugim identifikatorima i prosljeđivati između nekoliko tvrtki, zbog čega korisnicima postaje teško znati gdje je završio ili ga povući.

Zato regulatori promatraju cijeli lanac. Tvrtka koja prima ili obrađuje takve podatke preuzima vlastitu pravnu odgovornost, čak i ako nije bila ta koja ih je prva prikupila.

Što provedba GDPR-a znači za korisnike

Kazna je signal da su europski regulatori spremni progoniti tvrtke diljem oglasnog ekosustava, uključujući one u vlasništvu velikih tehnoloških grupa. Za korisnike postoji nekoliko praktičnih zaključaka.

  • Podaci posebne kategorije podliježu strožim pravilima. Informacije o seksualnoj orijentaciji, zdravlju, religiji i sličnim temama općenito se ne mogu obrađivati bez valjane pravne osnove prema GDPR-u.
  • Provedba može biti spora. Prethodni slučaj Grindr prošao je kroz kaznu, žalbu i sudsku odluku. Regulatorno djelovanje ne poništava izloženost koja se već dogodila.
  • Kazne nisu isto što i pravni lijekovi. Kazna kažnjava tvrtku, ali pojedinci i dalje moraju upravljati vlastitom izloženošću u budućnosti.

Tvrtke ove veličine također drže velike količine podataka u drugim kontekstima, a sigurnosni incidenti drugdje u ekosustavu podsjetnik su da su centralno pohranjeni podaci meta. Na primjer, izvijestili smo o tinejdžeru lovcu na bugove koji je navodno stekao pristup na razini administratora Microsoftovoj internoj analitičkoj usluzi Titan i o tvrdnjama da su baze podataka zaposlenika ukradene iz Microsoftove infrastrukture Azure. To su odvojeni slučajevi od odluke o Xandr-u, ali ilustriraju zašto je ograničavanje onoga što uopće dijelite važno.

Što to znači za vas

Ne možete vidjeti koji oglasni partneri primaju podatke iz aplikacije, pa je najpouzdaniji pristup smanjiti ono što aplikacija može poslati. Evo odakle početi:

  • Pregledajte dopuštenja aplikacija. Provjerite dopuštenja za lokaciju, kontakte, fotografije i praćenje na svom telefonu. Ukinite sve što aplikaciji očito nije potrebno.
  • Ponovno postavite ili onemogućite svoj oglasni ID. I Android i iOS omogućuju vam brisanje ili ponovno postavljanje oglasnog identifikatora ili ograničavanje praćenja oglasa, što oglasnim platformama otežava povezivanje aktivnosti između aplikacija.
  • Pogledajte postavke privatnosti unutar aplikacije. Mnoge aplikacije uključuju prekidače za personalizirane oglase ili dijeljenje podataka s partnerima. Isključite što možete.
  • Budite selektivni s osjetljivim pojedinostima profila. Ako aplikacija traži informacije koje ne biste željeli podijeliti, razmislite o tome da ih ostavite praznima.
  • Izbrišite račune koje više ne koristite. Neaktivni računi još uvijek mogu čuvati podatke.

Gdje se uklapa VPN

VPN može maskirati vašu IP adresu i šifrirati vaš promet između vašeg uređaja i VPN poslužitelja, što je korisno na javnom Wi-Fi-ju i za ograničavanje onoga što vaš pružatelj internetskih usluga vidi. Ali ne sprječava aplikaciju da šalje podatke koje ste joj dali, poput pojedinosti profila ili oglasnog ID-a, svojim partnerima. Tretirajte VPN kao jedan djelomičan sloj, a ne kao rješenje za dijeljenje podataka unutar aplikacije.

Ključni zaključci

Novčana kazna Xandr Grindr za podatke pokazuje da regulatori gledaju dalje od aplikacija koje prikupljaju osjetljive informacije, prema ad-tech tvrtkama koje ih obrađuju. Za svakodnevne korisnike, najučinkovitiji koraci su u vašoj kontroli: pregledajte dopuštenja aplikacija, ponovno postavite ili onemogućite svoj oglasni ID, prilagodite postavke privatnosti unutar aplikacija i koristite VPN samo za ono u čemu je dobar. Odvojite deset minuta ovaj tjedan za pregled aplikacija na svom telefonu, počevši od onih koje čuvaju najviše osobnih podataka.