De Franse gegevensbeschermingsautoriteit CNIL heeft retailer FNAC een boete van €7 miljoen opgelegd voor het tracken van app-gebruikers zonder geldige toestemming. De toezichthouder heeft het bedrijf ook bevolen om zijn toestemmingsstromen binnen één maand te wijzigen. De FNAC CNIL-boete app-tracking-beslissing is een nuttige herinnering dat wat er binnen een mobiele app gebeurt, onderworpen is aan dezelfde privacyregels als wat er op een website gebeurt, en dat "toestemming" iets echts moet betekenen.

Dit bericht behandelt wat er is gemeld, wat de order vereist en wat je op je eigen telefoon kunt doen. Het kijkt ook waar een VPN past, en waar niet.

Wat de CNIL vaststelde dat FNAC verkeerd deed

Volgens berichtgeving van Cybernews concludeerde de CNIL dat FNAC gebruikers van zijn app trackte zonder geldige toestemming te verkrijgen. Dat is de kern van de sanctie: tracking die plaatsvond zonder dat de gebruiker er behoorlijk mee had ingestemd.

De berichtgeving die ons ter beschikking staat, vermeldt niet elk technisch detail van de tracking, dus we zullen niet gokken welke trackers of gegevenstypes erbij betrokken waren. Wat de hoofdbbevinding ons vertelt, is het principe dat op het spel staat. Onder Europese privacyregels vereist tracking die niet strikt noodzakelijk is over het algemeen een duidelijke, geïnformeerde keuze van de persoon die wordt getrackt. Als een app begint met het verzamelen of delen van gegevens voordat die keuze is gemaakt, of als de keuze niet echt vrij is, kunnen toezichthouders de toestemming als ongeldig beschouwen.

De hoogte van de boete, €7 miljoen, signaleert ook dat toezichthouders app-tracking zien als een serieus nalevingsgebied en niet als een kleinigheidje.

Wat FNAC binnen één maand moet veranderen

Naast de financiële sanctie gaf de CNIL FNAC één maand om zijn toestemmingsstromen te herstellen. In de praktijk is een toestemmingsstroom de reeks prompts en instellingen die een app toont wanneer je deze voor het eerst opent, en de manier waarop deze je antwoorden vastlegt en respecteert.

Voor een bedrijf in deze positie betekent een rechtmatige toestemmingsstroom doorgaans:

  • Vragen voordat niet-essentiële tracking begint, niet erna.
  • De keuze duidelijk presenteren, zodat gebruikers begrijpen waarmee ze instemmen.
  • Het even gemakkelijk maken om te weigeren als om te accepteren.
  • De beslissing van een gebruiker respecteren, ook wanneer die nee zegt.

Dit zijn algemene verwachtingen onder Europese privacyregels en geen citaat van de exacte order van de CNIL, dus beschouw ze als context. De deadline van één maand is het concrete detail uit de berichtgeving, en het toont dat toezichthouders snelle correctie willen, geen langdurige oplossing.

Franse toezichthouders en datalekken zijn eerder in het nieuws geweest. Onze berichtgeving over een lek bij een Franse e-mailprovider dat 40 miljoen records blootlegde toont een andere kant van hetzelfde probleem: hoe fouten in gegevensverwerking, of het nu door tracking of slechte beveiliging is, bij gewone gebruikers terechtkomen.

Hoe je app-tracking op iPhone en Android kunt beperken

Een uitspraak als deze zet druk op bedrijven, maar je hoeft niet te wachten tot ze voldoen. De ingebouwde bedieningselementen van je telefoon zijn de meest directe manier om app-tracking te beperken. Menunamen veranderen tussen versies en fabrikanten, dus zoek naar de beste overeenkomst.

Op iPhone:

  • Open Instellingen, dan Privacy en beveiliging, dan Tracking.
  • Schakel "Apps toestaan om tracking te verzoeken" uit om de prompt volledig te blokkeren, of bekijk welke apps je al hebt toegestaan.
  • Controleer ook de machtigingen voor Locatievoorzieningen en Foto's terwijl je daar bent.

Op Android:

  • Open Instellingen en zoek naar Privacy, dan Advertenties (de formulering verschilt per apparaat).
  • Verwijder of reset je advertentie-ID en schakel je af voor advertentiepersonalisatie waar dat wordt aangeboden.
  • Bekijk de machtigingsbeheerder voor locatie, contacten en andere gevoelige toegang, en verwijder alles wat een app niet nodig heeft.

Bekijk ook de toestemmingsprompts in afzonderlijke apps. Veel bieden een voorkeursscherm waar je niet-essentiële tracking kunt weigeren, en meestal kun je je keuze later wijzigen.

Wat een VPN wel en niet kan doen tegen app-tracking

VPN's worden vaak beschreven als een wondermiddel tegen tracking, wat niet juist is. Een VPN versleutelt je verbinding en verbergt je IP-adres voor de sites en diensten waarmee je verbinding maakt. Dat kan tracking beperken die afhankelijk is van je IP-adres of de daaruit afgeleide locatie, en het beschermt je verkeer op onbetrouwbare netwerken zoals openbare Wi-Fi.

Wat een VPN niet kan, is een app ervan weerhouden gegevens te verzamelen zodra je bent ingelogd of machtigingen hebt verleend. Als een app vastlegt waar je op tikt, welke schermen je bekijkt, of activiteit koppelt aan je account of apparaat-ID's, gebeurt dat binnen de app. De VPN ziet dat niet en kan het niet blokkeren. Het type tracking dat in toestemmingszaken aan de orde is, is doorgaans van dit in-app-type.

Een VPN is dus één beperkte laag, geen vervanging voor machtigingsinstellingen en geïnformeerde keuzes. Dezelfde logica geldt voor andere datalekken: ons rapport over een verkeerd geconfigureerde bucket bij 302.ai die 17,6 miljoen bestanden blootlegde is een geval waarbij geen enkele VPN aan de kant van de gebruiker de uitkomst had kunnen veranderen.

Wat dit voor jou betekent

Als je de app van FNAC gebruikt, kun je wijzigingen zien in de toestemmingsprompts terwijl het bedrijf werkt aan het halen van de deadline van één maand van de CNIL. Lees ze in plaats van erdoorheen te tikken, en kies de opties die bij je voorkeuren passen.

Meer in het algemeen toont de uitspraak dat Europese toezichthouders toestemming die niet geldig is zullen beboeten, en dat je rechten hebt over hoe apps je tracken. Die rechten zijn gemakkelijker te gebruiken wanneer je weet waar de bedieningselementen van je telefoon zich bevinden.

Kernpunten

De FNAC CNIL-boete app-tracking-zaak is een duidelijk voorbeeld van toezichthouders die een grote retailer ter verantwoording roepen voor hoe zijn app met toestemming omgaat. Dit kun je nu doen:

  • Bekijk deze week de tracking- en machtigingsinstellingen op je iPhone of Android-apparaat.
  • Weiger niet-essentiële tracking in toestemmingsprompts van apps, en herzie eerdere keuzes.
  • Verwijder apps die je niet meer gebruikt, aangezien ongebruikte apps nog steeds machtigingen kunnen behouden.
  • Beschouw een VPN als één beperkte beschermingslaag, nuttig voor netwerkprivacy maar geen oplossing voor in-app-tracking.

Voor meer context over hoe Franse dataincidenten de privacy van gebruikers beïnvloeden, lees onze berichtgeving over het lek bij de Franse e-mailprovider en houd de ontwikkelingen rond de toestemmingswijzigingen van FNAC in de gaten.