Norvégia adatvédelmi hatósága körülbelül 8,5 millió eurós bírságot szabott ki a Microsoft Xandr nevű cégére a Grindr-felhasználók személyes adatainak – köztük a szexuális irányultságra vonatkozó érzékeny információk – kezelése miatt. Az Xandr Grindr adatbírság azért figyelemre méltó, mert egy olyan vállalatot céloz, amely a reklámlánc mentén jóval később helyezkedik el, nem csupán azt az alkalmazást, amely az adatokat eredetileg összegyűjtötte.

A döntésről rendelkezésünkre álló összefoglaló rövid, ezért ez a bejegyzés ahhoz tartja magát, ami megerősítést nyert, és elmagyarázza az olvasóknak a tágabb összefüggéseket.

Miért bírságolta meg a norvég szabályozó a Xandrt

A beszámolók szerint a mintegy 8,5 millió eurós büntetés ahhoz kapcsolódik, ahogyan a Xandr, a Microsoft tulajdonában lévő reklámipari vállalkozás kezelte a Grindr-felhasználók személyes adatait. Ezek az adatok a szexuális irányultságra vonatkozó érzékeny információkat is magukban foglaltak.

Nem ez az első eset, hogy a Grindr adatkezelési gyakorlata magára vonta a norvég hatóság figyelmét. Az ország adatvédelmi hatósága korábban magát a Grindrt bírságolta meg 65 millió norvég koronával (körülbelül 5,5 millió euróval) a GDPR 9. cikkének megsértése miatt, amely a személyes adatok különleges kategóriáinak kezelését korlátozza. Ezt a bírságot később a Borgarting Fellebbviteli Bíróság helybenhagyta. A Xandr elleni új eljárás kiterjeszti a figyelmet az alkalmazástól egy olyan vállalatra, amely az adatokat a folyamat későbbi szakaszában kezelte.

Hogyan jutnak el az érzékeny alkalmazásadatok a reklámplatformokhoz

A legtöbb ingyenes alkalmazás reklámokból termel bevételt. A releváns hirdetések megjelenítéséhez az alkalmazás információkat – például eszközazonosítót, hozzávetőleges helyzetadatokat vagy profiladatokat – továbbíthat a reklámpartnerei felé. Ezek a partnerek közé tartozhatnak hirdetési piacterek és olyan platformok, amelyek hirdetéseket párosítanak közönségekhez, gyakran az alkalmazás megnyitását követő néhány ezredmásodpercen belül.

A probléma akkor merül fel, amikor az érintett információk érzékenyek. A GDPR értelmében a szexuális irányultságra utaló adatok védett kategóriába tartoznak. Önmagában az, hogy valaki bizonyos alkalmazásokat használ, már felfedhet valami érzékenyet. Amint ez a jelzés bekerül egy adattechnológiai folyamatba, másolható, más azonosítókkal kombinálható, és több vállalat között továbbadható, ami megnehezíti a felhasználók számára, hogy tudják, hova került, vagy hogy visszavonják azt.

Ezért vizsgálják a szabályozók a teljes láncot. Az a vállalat, amely ilyen adatokat fogad vagy kezel, saját jogi felelősséget vállal, még akkor is, ha nem ő gyűjtötte össze azokat elsőként.

Mit jelent a GDPR végrehajtása a felhasználók számára

A bírság azt jelzi, hogy az európai szabályozók hajlandóak fellépni a reklámökoszisztéma szereplőivel szemben, beleértve a nagy technológiai csoportok tulajdonában lévő cégeket is. A felhasználók számára néhány gyakorlati tanulság adódik.

  • A különleges kategóriájú adatokra szigorúbb szabályok vonatkoznak. A szexuális irányultságra, egészségre, vallásra és hasonló témákra vonatkozó információkat a GDPR értelmében általában nem lehet érvényes jogalap nélkül kezelni.
  • A végrehajtás lassú lehet. A korábbi Grindr-ügy egy bírságon, egy fellebbezésen és egy bírósági döntésen ment keresztül. A szabályozói fellépés nem fordítja vissza a már megtörtént kitettséget.
  • A bírság nem azonos a jogorvoslattal. A büntetés megbüntet egy vállalatot, de az egyéneknek továbbra is maguknak kell kezelniük a saját kitettségüket a jövőben.

Az ilyen méretű vállalatok más összefüggésekben is nagy mennyiségű adatot tárolnak, és az ökoszisztéma más pontjain bekövetkező biztonsági incidensek emlékeztetnek arra, hogy a központilag tárolt adatok célpontot jelentenek. Például beszámoltunk egy tinédzser hibavadászról, aki állítólag rendszergazdai szintű hozzáférést szerzett a Microsoft belső Titan elemzőszolgáltatásához, valamint arról a állításról, hogy alkalmazotti adatbázisokat loptak el a Microsoft Azure infrastruktúrájából. Ezek a Xandr-döntéstől független ügyek, de jól szemléltetik, miért számít, hogy eleve korlátozzuk, mit osztunk meg.

Mit jelent ez az Ön számára

Nem láthatja, hogy mely reklámpartnerek kapnak adatokat egy alkalmazástól, ezért a legmegbízhatóbb megközelítés az, hogy csökkentse azt, amit az alkalmazás küldhet. Íme, hol érdemes kezdeni:

  • Vizsgálja felül az alkalmazásengedélyeket. Ellenőrizze a helyzetre, névjegyekre, fényképekre és nyomon követésre vonatkozó engedélyeket a telefonján. Vonja vissza mindazt, amire egy alkalmazásnak egyértelműen nincs szüksége.
  • Állítsa vissza vagy tiltsa le a reklámazonosítóját. Az Android és az iOS egyaránt lehetővé teszi a reklámazonosító törlését vagy visszaállítását, illetve a hirdetéskövetés korlátozását, ami megnehezíti a reklámplatformok számára, hogy az aktivitást alkalmazások között összekapcsolják.
  • Nézze meg az alkalmazáson belüli adatvédelmi beállításokat. Sok alkalmazás tartalmaz kapcsolókat a személyre szabott hirdetésekhez vagy a partnerekkel való adatmegosztáshoz. Kapcsolja ki, amit csak tud.
  • Legyen válogatós az érzékeny profiladatokkal. Ha egy alkalmazás olyan információkat kér, amelyeket nem szeretne megosztani, fontolja meg, hogy üresen hagyja.
  • Törölje a már nem használt fiókokat. A tétlen fiókok továbbra is tárolhatnak adatokat.

Hová illik a VPN

A VPN maszkolhatja az IP-címét, és titkosíthatja a forgalmát az eszköze és a VPN-kiszolgáló között, ami hasznos nyilvános Wi-Fi-n, és segít korlátozni, hogy az internetszolgáltatója mit lát. De nem akadályozza meg az alkalmazást abban, hogy a partnereinek elküldje azokat az adatokat, amelyeket Ön megadott neki, például a profiladatokat vagy a reklámazonosítót. Tekintse a VPN-t egy részleges rétegnek, nem pedig az alkalmazáson belüli adatmegosztás megoldásának.

Kulcsfontosságú tanulságok

Az Xandr Grindr adatbírság azt mutatja, hogy a szabályozók túltekintenek azokon az alkalmazásokon, amelyek érzékeny információkat gyűjtenek, és az azokat feldolgozó adattechnológiai vállalatokat is vizsgálják. A mindennapi felhasználók számára a leghatékonyabb lépések az Ön ellenőrzése alatt állnak: vizsgálja felül az alkalmazásengedélyeket, állítsa vissza vagy tiltsa le a reklámazonosítóját, igazítsa ki az alkalmazáson belüli adatvédelmi beállításokat, és csak arra használjon VPN-t, amire való. Szánjon tíz percet ezen a héten arra, hogy átnézze a telefonján lévő alkalmazásokat, kezdve azokkal, amelyek a legtöbb személyes információt tárolják.