Francuski organ ochrony danych, CNIL, nałożył na sprzedawcę detalicznego FNAC karę 7 milionów euro za śledzenie użytkowników aplikacji bez ważnej zgody. Regulator nakazał również firmie zmianę mechanizmów uzyskiwania zgody w ciągu jednego miesiąca. Decyzja CNIL w sprawie kary dla FNAC za śledzenie w aplikacji jest użytecznym przypomnieniem, że to, co dzieje się wewnątrz aplikacji mobilnej, podlega tym samym zasadom prywatności co to, co dzieje się na stronie internetowej, a „zgoda" musi oznaczać coś rzeczywistego.

Ten artykuł omawia, co zostało zgłoszone, czego wymaga nakaz i co możesz zrobić na własnym telefonie. Przygląda się również temu, gdzie mieści się VPN, a gdzie nie.

Co CNIL uznał za niewłaściwe działanie FNAC

Według doniesień Cybernews, CNIL doszedł do wniosku, że FNAC śledziła użytkowników swojej aplikacji bez uzyskania ważnej zgody. To jest sedno kary: śledzenie, które miało miejsce bez należytej zgody użytkownika.

Doniesienia, do których mamy dostęp, nie precyzują każdego technicznego szczegółu śledzenia, więc nie będziemy zgadywać, które trackery lub typy danych były zaangażowane. To, co mówi nam główne ustalenie, to zasada, która jest stawką. Zgodnie z europejskimi przepisami o prywatności, śledzenie, które nie jest ściśle konieczne, zazwyczaj wymaga jasnego, świadomego wyboru ze strony osoby śledzonej. Jeśli aplikacja zaczyna zbierać lub udostępniać dane przed dokonaniem tego wyboru, lub jeśli wybór nie jest naprawdę dobrowolny, regulatorzy mogą uznać zgodę za nieważną.

Wysokość kary, 7 milionów euro, sygnalizuje również, że regulatorzy postrzegają śledzenie w aplikacjach jako poważny obszar zgodności, a nie drobny szczegół techniczny.

Co FNAC musi zmienić w ciągu jednego miesiąca

Poza karą finansową, CNIL dał FNAC jeden miesiąc na naprawę mechanizmów uzyskiwania zgody. W praktyce mechanizm zgody to sekwencja monitów i ustawień, które aplikacja wyświetla przy pierwszym otwarciu, oraz sposób, w jaki rejestruje i respektuje Twoje odpowiedzi.

Dla firmy w takiej sytuacji zgodny z prawem mechanizm zgody zazwyczaj oznacza:

  • Pytanie przed rozpoczęciem nieistotnego śledzenia, a nie po nim.
  • Przedstawienie wyboru w sposób jasny, aby użytkownicy rozumieli, na co się zgadzają.
  • Uczynienie odmowy równie łatwą jak akceptacja.
  • Respektowanie decyzji podjętej przez użytkownika, w tym gdy mówi „nie".

Są to ogólne oczekiwania wynikające z europejskich przepisów o prywatności, a nie cytat z dokładnego nakazu CNIL, więc traktuj je jako kontekst. Jednomiesięczny termin to konkretny szczegół z doniesień i pokazuje, że regulatorzy chcą szybkiej korekty, a nie przewlekłej naprawy.

Francuscy regulatorzy i wycieki danych były już wcześniej w wiadomościach. Nasze omówienie wycieku francuskiego dostawcy poczty e-mail, który ujawnił 40 milionów rekordów pokazuje inną stronę tego samego problemu: jak błędy w obsłudze danych, czy to poprzez śledzenie, czy słabe bezpieczeństwo, dotykają zwykłych użytkowników.

Jak ograniczyć śledzenie w aplikacjach na iPhone i Androidzie

Orzeczenie takie jak to wywiera presję na firmy, ale nie musisz czekać, aż dostosują się do przepisów. Wbudowane mechanizmy kontroli w telefonie są najbardziej bezpośrednim sposobem na ograniczenie śledzenia w aplikacjach. Nazwy menu zmieniają się między wersjami i producentami, więc szukaj najbliższego odpowiednika.

Na iPhone:

  • Otwórz Ustawienia, następnie Prywatność i bezpieczeństwo, następnie Śledzenie.
  • Wyłącz „Zezwalaj aplikacjom na żądanie śledzenia", aby całkowicie zablokować monit, lub przejrzyj, którym aplikacjom już zezwoliłeś.
  • Sprawdź także uprawnienia Usługi lokalizacyjne i Zdjęcia, będąc w tym miejscu.

Na Androidzie:

  • Otwórz Ustawienia i poszukaj Prywatność, następnie Reklamy (nazewnictwo różni się w zależności od urządzenia).
  • Usuń lub zresetuj swój identyfikator reklamowy i zrezygnuj z personalizacji reklam, gdzie jest to oferowane.
  • Przejrzyj menedżer uprawnień dla lokalizacji, kontaktów i innych wrażliwych dostępów, i usuń wszystko, czego aplikacja nie potrzebuje.

Przejrzyj również monity o zgodę wewnątrz poszczególnych aplikacji. Wiele z nich oferuje ekran preferencji, na którym możesz odrzucić nieistotne śledzenie, a zazwyczaj możesz później zmienić swój wybór.

Co VPN może, a czego nie może zrobić przeciwko śledzeniu w aplikacjach

VPN-y są często opisywane jako uniwersalne lekarstwo na śledzenie, co nie jest dokładne. VPN szyfruje Twoje połączenie i ukrywa Twój adres IP przed stronami i usługami, z którymi się łączysz. Może to ograniczyć śledzenie opierające się na Twoim adresie IP lub lokalizacji z niego wywnioskowanej, i chroni Twój ruch w niezaufanych sieciach, takich jak publiczne Wi-Fi.

To, czego VPN nie może zrobić, to powstrzymać aplikacji przed zbieraniem danych, gdy jesteś zalogowany lub gdy przyznałeś jej uprawnienia. Jeśli aplikacja rejestruje, co klikasz, które ekrany przeglądasz, lub łączy aktywność z Twoim kontem lub identyfikatorami urządzenia, dzieje się to wewnątrz aplikacji. VPN tego nie widzi i nie może tego zablokować. Typ śledzenia będący przedmiotem spraw dotyczących zgody jest zazwyczaj tego wewnątrzaplikacyjnego rodzaju.

Tak więc VPN to jedna ograniczona warstwa, a nie substytut ustawień uprawnień i świadomych wyborów. Ta sama logika dotyczy innych ekspozycji danych: nasz raport o błędnie skonfigurowanym buckecie w 302.ai, który ujawnił 17,6 mln plików to przypadek, w którym żaden VPN po stronie użytkownika nie mógłby zmienić wyniku.

Co to oznacza dla Ciebie

Jeśli używasz aplikacji FNAC, możesz zobaczyć zmiany w jej monitach o zgodę, gdy firma pracuje nad spełnieniem jednomiesięcznego terminu CNIL. Czytaj je zamiast klikać na ślepo i wybieraj opcje zgodne z Twoimi preferencjami.

Mówiąc szerzej, orzeczenie pokazuje, że europejscy regulatorzy będą karać zgodę, która nie jest ważna, i że masz prawa dotyczące tego, jak aplikacje Cię śledzą. Te prawa są łatwiejsze do wykorzystania, gdy wiesz, gdzie znajdują się mechanizmy kontroli w Twoim telefonie.

Najważniejsze wnioski

Sprawa kary CNIL dla FNAC za śledzenie w aplikacji jest wyraźnym przykładem pociągania przez regulatorów dużego sprzedawcy detalicznego do odpowiedzialności za sposób, w jaki jego aplikacja obsługuje zgodę. Oto, co możesz zrobić teraz:

  • Przejrzyj ustawienia śledzenia i uprawnień na swoim urządzeniu iPhone lub Android w tym tygodniu.
  • Odrzuć nieistotne śledzenie w monitach o zgodę w aplikacjach i wróć do wcześniejszych wyborów.
  • Usuń aplikacje, których już nie używasz, ponieważ nieużywane aplikacje mogą nadal posiadać uprawnienia.
  • Traktuj VPN jako jedną ograniczoną warstwę ochrony, przydatną dla prywatności sieciowej, ale nie jako rozwiązanie problemu śledzenia w aplikacjach.

Aby uzyskać więcej kontekstu na temat tego, jak francuskie incydenty z danymi wpływają na prywatność użytkowników, przeczytaj nasze omówienie wycieku francuskiego dostawcy poczty e-mail i śledź, jak rozwijają się zmiany w zgodach FNAC.