L'autorità norvegese per la protezione dei dati ha multato Xandr di Microsoft per circa 8,5 milioni di euro per la gestione dei dati personali degli utenti di Grindr, incluse informazioni sensibili sull'orientamento sessuale. La multa Xandr Grindr sui dati è degna di nota perché colpisce un'azienda più avanti nella catena pubblicitaria, non solo l'app che ha raccolto i dati in primo luogo.

Il riepilogo che abbiamo della decisione è breve, quindi questo articolo si attiene a ciò che è confermato e spiega il contesto più ampio per i lettori.

Per cosa l'autorità norvegese ha multato Xandr

Secondo quanto riportato, la sanzione di circa 8,5 milioni di euro riguarda il modo in cui Xandr, un'azienda pubblicitaria di proprietà di Microsoft, ha gestito i dati personali appartenenti agli utenti di Grindr. Tali dati includevano informazioni sensibili sull'orientamento sessuale.

Non è la prima volta che le pratiche relative ai dati di Grindr attirano l'attenzione della Norvegia. L'autorità per la protezione dei dati del Paese ha precedentemente multato Grindr stessa per 65 milioni di corone norvegesi (circa 5,5 milioni di euro) per aver violato l'articolo 9 del GDPR, che limita il trattamento di categorie particolari di dati personali. Tale multa è stata successivamente confermata dalla Corte d'Appello di Borgarting. La nuova azione contro Xandr estende l'attenzione dall'app a un'azienda che ha gestito i dati a valle.

Come i dati sensibili delle app raggiungono le piattaforme pubblicitarie

La maggior parte delle app gratuite guadagna attraverso la pubblicità. Per mostrare annunci pertinenti, un'app può trasmettere informazioni su un utente, come un identificatore del dispositivo, la posizione approssimativa o dettagli del profilo, ai partner pubblicitari. Tali partner possono includere ad exchange e piattaforme che abbinano gli annunci al pubblico, spesso entro millisecondi dall'apertura di un'app.

Il problema sorge quando le informazioni coinvolte sono sensibili. Ai sensi del GDPR, i dati che rivelano l'orientamento sessuale appartengono a una categoria protetta. Il semplice fatto di essere utente di determinate app può di per sé rivelare qualcosa di sensibile. Una volta che questo segnale entra in una pipeline di ad-tech, può essere copiato, combinato con altri identificatori e passato tra diverse aziende, il che rende difficile per gli utenti sapere dove è finito o ritirarlo.

Ecco perché le autorità di regolamentazione guardano all'intera catena. Un'azienda che riceve o tratta tali dati si assume le proprie responsabilità legali, anche se non è stata quella che li ha raccolti per prima.

Cosa significa l'applicazione del GDPR per gli utenti

La multa è un segnale che le autorità di regolamentazione europee sono disposte a perseguire le aziende in tutto l'ecosistema pubblicitario, comprese quelle di proprietà di grandi gruppi tecnologici. Per gli utenti, ci sono alcuni spunti pratici.

  • I dati di categorie particolari comportano regole più strict. Le informazioni sull'orientamento sessuale, la salute, la religione e argomenti simili generalmente non possono essere trattate senza una valida base giuridica ai sensi del GDPR.
  • L'applicazione può essere lenta. Il precedente caso Grindr è passato attraverso una multa, un appello e una sentenza del tribunale. L'azione regolatoria non annulla l'esposizione già avvenuta.
  • Le multe non sono la stessa cosa dei rimedi. Una sanzione punisce un'azienda, ma gli individui devono comunque gestire la propria esposizione in futuro.

Aziende di queste dimensioni detengono anche grandi volumi di dati in altri contesti, e gli incidenti di sicurezza altrove nell'ecosistema sono un promemoria del fatto che i dati conservati centralmente sono un bersaglio. Ad esempio, abbiamo riportato di un teen bug hunter che avrebbe ottenuto l'accesso a livello di amministratore al servizio di analytics interno Titan di Microsoft, e di affermazioni secondo cui database dei dipendenti sono stati rubati dall'infrastruttura Microsoft Azure. Queste sono questioni separate dalla decisione su Xandr, ma illustrano perché limitare ciò che si condivide in primo luogo è importante.

Cosa significa questo per te

Non puoi vedere quali partner pubblicitari ricevono dati da un'app, quindi l'approccio più affidabile è ridurre ciò che l'app può inviare. Ecco da dove iniziare:

  • Esamina i permessi delle app. Controlla i permessi di posizione, contatti, foto e tracciamento sul tuo telefono. Revoca tutto ciò di cui un'app non ha chiaramente bisogno.
  • Reimposta o disabilita il tuo ID pubblicitario. Sia Android che iOS ti consentono di eliminare o reimpostare il tuo identificatore pubblicitario, o limitare il tracciamento degli annunci, il che rende più difficile per le piattaforme pubblicitarie collegare l'attività tra le app.
  • Controlla le impostazioni sulla privacy in-app. Molte app includono interruttori per annunci personalizzati o condivisione dei dati con i partner. Disattiva ciò che puoi.
  • Sii selettivo con i dettagli sensibili del profilo. Se un'app chiede informazioni che non vorresti condividere, considera di lasciarle vuote.
  • Elimina gli account che non usi più. Gli account dormienti possono ancora contenere dati.

Dove si inserisce una VPN

Una VPN può mascherare il tuo indirizzo IP e crittografare il tuo traffico tra il tuo dispositivo e il server VPN, il che è utile su Wi-Fi pubblici e per limitare ciò che il tuo provider internet vede. Ma non impedisce a un'app di inviare ai suoi partner i dati che le hai fornito, come i dettagli del profilo o un ID pubblicitario. Considera una VPN come uno strato parziale, non come una soluzione per la condivisione dei dati in-app.

Punti chiave

La multa Xandr Grindr sui dati mostra che le autorità di regolamentazione guardano oltre le app che raccolgono informazioni sensibili, arrivando alle aziende di ad-tech che le trattano. Per gli utenti quotidiani, i passi più efficaci sono sotto il tuo controllo: controlla i permessi delle app, reimposta o disabilita il tuo ID pubblicitario, regola le impostazioni sulla privacy in-app e usa una VPN solo per ciò che fa bene. Prenditi dieci minuti questa settimana per esaminare le app sul tuo telefono, iniziando da quelle che contengono il maggior numero di informazioni personali.