Frankrikes personvernmyndighet, CNIL, har ilagt forhandleren FNAC en bot på 7 millioner euro for å ha sporet appbrukere uten gyldig samtykke. Myndigheten påla også selskapet å endre samtykkeflytene innen en måned. Vedtaket om FNAC-boten fra CNIL for appsporing er en nyttig påminnelse om at det som skjer inne i en mobilapp, er underlagt de samme personvernreglene som det som skjer på et nettsted, og at «samtykke» må bety noe reelt.

Dette innlegget dekker det som er rapportert, hva pålegget krever, og hva du kan gjøre på din egen telefon. Det ser også på hvor en VPN passer inn, og hvor den ikke gjør det.

Hva CNIL fant at FNAC gjorde galt

Ifølge Cybernews' rapportering konkluderte CNIL med at FNAC sporet brukere av appen sin uten å innhente gyldig samtykke. Det er kjernen i sanksjonen: sporing som skjedde uten at brukeren hadde samtykket på riktig måte.

Rapporteringen tilgjengelig for oss gir ikke alle tekniske detaljer om sporingen, så vi vil ikke gjette på hvilke sporere eller datatyper som var involvert. Det hovedfunnet forteller oss, er prinsippet som står på spill. Under europeiske personvernregler krever sporing som ikke er strengt nødvendig, generelt et klart og informert valg fra personen som spores. Hvis en app begynner å samle inn eller dele data før dette valget er tatt, eller hvis valget ikke er genuint fritt, kan tilsynsmyndighetene behandle samtykket som ugyldig.

Størrelsen på boten, 7 millioner euro, signaliserer også at tilsynsmyndighetene ser på appsporing som et alvorlig etterlevelsesområde og ikke som en mindre formalitet.

Hva FNAC må endre innen en måned

I tillegg til den økonomiske sanksjonen ga CNIL FNAC én måned til å rette opp samtykkeflytene sine. I praksis er en samtykkeflyt sekvensen av forespørsler og innstillinger en app viser når du først åpner den, og måten den registrerer og respekterer svarene dine på.

For et selskap i denne situasjonen betyr en lovlig samtykkeflyt vanligvis:

  • Å spørre før ikke-essensiell sporing begynner, ikke etter.
  • Å presentere valget tydelig, slik at brukerne forstår hva de samtykker til.
  • Å gjøre det like enkelt å avslå som å godta.
  • Å respektere beslutningen en bruker tar, også når de sier nei.

Dette er generelle forventninger under europeiske personvernregler snarere enn et sitat fra CNILs nøyaktige pålegg, så behandl dem som kontekst. Fristen på én måned er den konkrete detaljen fra rapporteringen, og den viser at tilsynsmyndighetene ønsker rask retting, ikke en langtrukken utbedring.

Franske tilsynsmyndigheter og datalekkasjer har vært i nyhetene før. Vår dekning av en lekkasje hos en fransk e-postleverandør som eksponerte 40 millioner poster viser en annen side av samme sak: hvordan svikt i datahåndtering, enten gjennom sporing eller dårlig sikkerhet, rammer vanlige brukere.

Slik begrenser du appsporing på iPhone og Android

En avgjørelse som dette legger press på selskapene, men du trenger ikke vente på at de etterlever. Telefonens innebygde kontroller er den mest direkte måten å begrense appsporing på. Menynavn endres mellom versjoner og produsenter, så se etter det nærmeste alternativet.

På iPhone:

  • Åpne Innstillinger, deretter Personvern og sikkerhet, deretter Sporing.
  • Slå av «Tillat apper å be om sporing» for å blokkere forespørselen helt, eller gå gjennom hvilke apper du allerede har tillatt.
  • Sjekk tillatelser for Stedstjenester og Bilder mens du er der.

På Android:

  • Åpne Innstillinger og se etter Personvern, deretter Annonser (ordlyden varierer etter enhet).
  • Slett eller tilbakestill annonse-ID-en din, og velg bort annonsepersonalisering der det tilbys.
  • Gå gjennom tillatelsesbehandleren for sted, kontakter og annen sensitiv tilgang, og fjern alt en app ikke trenger.

Gå også gjennom samtykkeforespørslene inne i enkeltapper. Mange tilbyr en innstillingsskjerm der du kan avslå ikke-essensiell sporing, og du kan vanligvis endre valget ditt senere.

Hva en VPN kan og ikke kan gjøre mot appsporing

VPN-er beskrives ofte som en kur mot all sporing, noe som ikke er riktig. En VPN krypterer tilkoblingen din og skjuler IP-adressen din for nettstedene og tjenestene du kobler til. Det kan begrense sporing som er avhengig av IP-adressen din eller posisjonen som utledes fra den, og det beskytter trafikken din på uklarerte nettverk som offentlig Wi-Fi.

Det en VPN ikke kan gjøre, er å hindre en app i å samle inn data når du først er innlogget eller har gitt den tillatelser. Hvis en app registrerer hva du trykker på, hvilke skjermer du ser, eller kobler aktivitet til kontoen din eller enhetsidentifikatorer, skjer det inne i appen. VPN-en ser det ikke og kan ikke blokkere det. Den typen sporing som er aktuell i samtykkesaker, er vanligvis av denne typen i appen.

Så en VPN er ett begrenset lag, ikke en erstatning for tillatelsesinnstillinger og informerte valg. Den samme logikken gjelder for andre dataeksponeringer: vår rapport om en feilkonfigurert bøtte hos 302.ai som eksponerte 17,6 millioner filer er et tilfelle der ingen VPN på brukerens side kunne ha endret utfallet.

Hva dette betyr for deg

Hvis du bruker FNAC-appen, kan det hende du ser endringer i samtykkeforespørslene mens selskapet jobber for å møte CNILs frist på én måned. Les dem i stedet for å trykke deg gjennom, og velg alternativene som passer dine preferanser.

Mer generelt viser avgjørelsen at europeiske tilsynsmyndigheter vil sanksjonere samtykke som ikke er gyldig, og at du har rettigheter når det gjelder hvordan apper sporer deg. Disse rettighetene er lettere å bruke når du vet hvor telefonens kontroller er.

Hovedpunkter

Saken med FNAC-boten fra CNIL for appsporing er et tydelig eksempel på at tilsynsmyndighetene holder en stor forhandler ansvarlig for hvordan appen håndterer samtykke. Her er hva du kan gjøre nå:

  • Gå gjennom sporing- og tillatelsesinnstillingene på iPhone- eller Android-enheten din denne uken.
  • Avslå ikke-essensiell sporing i appers samtykkeforespørsler, og gå tilbake til tidligere valg.
  • Slett apper du ikke lenger bruker, siden ubrukte apper fortsatt kan ha tillatelser.
  • Behandle en VPN som ett begrenset beskyttelseslag, nyttig for nettverkspersonvern, men ikke en løsning på sporing i apper.

For mer kontekst om hvordan franske dataincidenter påvirker brukerpersonvernet, les vår dekning av lekkasjen hos den franske e-postleverandøren og følg med på hvordan FNACs samtykkeendringer utvikler seg.