Norweski organ ochrony danych ukarał spółkę Xandr należącą do Microsoftu grzywną w wysokości około 8,5 mln euro za sposób przetwarzania danych osobowych użytkowników Grindr, w tym wrażliwych informacji o orientacji seksualnej. Grzywna za dane Xandr Grindr jest godna uwagi, ponieważ wymierzona jest wobec spółki znajdującej się dalej w łańcuchu reklamowym, a nie tylko wobec aplikacji, która pierwotnie zebrała te dane.

Podsumowanie decyzji, którym dysponujemy, jest zwięzłe, dlatego ten artykuł ogranicza się do tego, co zostało potwierdzone, i wyjaśnia szerszy kontekst dla czytelników.

Za co norweski regulator ukarał Xandr

Zgodnie z doniesieniami kara w wysokości około 8,5 mln euro dotyczy sposobu, w jaki Xandr, będący własnością Microsoftu biznes reklamowy, przetwarzał dane osobowe należące do użytkowników Grindr. Dane te obejmowały wrażliwe informacje o orientacji seksualnej.

Nie jest to pierwszy raz, gdy praktyki Grindr dotyczące danych wzbudziły zainteresowanie Norwegii. Norweski organ ochrony danych ukarał wcześniej sam Grindr grzywną w wysokości 65 milionów koron norweskich (około 5,5 mln euro) za naruszenie art. 9 RODO, który ogranicza przetwarzanie szczególnych kategorii danych osobowych. Grzywna ta została następnie podtrzymana przez sąd apelacyjny Borgarting. Nowe działanie wobec Xandr rozszerza uwagę z aplikacji na spółkę, która przetwarzała dane na dalszym etapie.

Jak wrażliwe dane z aplikacji trafiają do platform reklamowych

Większość darmowych aplikacji zarabia na reklamach. Aby wyświetlać trafne reklamy, aplikacja może przekazywać partnerom reklamowym informacje o użytkowniku, takie jak identyfikator urządzenia, przybliżona lokalizacja czy szczegóły profilu. Partnerzy ci mogą obejmować giełdy reklamowe i platformy dopasowujące reklamy do odbiorców, często w ciągu milisekund od otwarcia aplikacji.

Problem pojawia się, gdy informacje te są wrażliwe. Zgodnie z RODO dane ujawniające orientację seksualną należą do kategorii chronionych. Sam fakt bycia użytkownikiem niektórych aplikacji może ujawniać coś wrażliwego. Gdy taki sygnał trafi do pipeline'u ad-tech, może zostać skopiowany, połączony z innymi identyfikatorami i przekazany między kilkoma firmami, co sprawia, że użytkownikom trudno jest ustalić, gdzie trafił, lub wycofać go.

Dlatego regulatorzy patrzą na cały łańcuch. Firma, która otrzymuje lub przetwarza takie dane, przejmuje własne obowiązki prawne, nawet jeśli nie była tą, która zebrała je jako pierwsza.

Co egzekwowanie RODO oznacza dla użytkowników

Grzywna jest sygnałem, że europejscy regulatorzy są gotowi ścigać firmy w całym ekosystemie reklamowym, w tym te należące do dużych grup technologicznych. Dla użytkowników płyną z tego pewne praktyczne wnioski.

  • Dane szczególnych kategorii podlegają surowszym zasadom. Informacje o orientacji seksualnej, zdrowiu, religii i podobnych tematach zasadniczo nie mogą być przetwarzane bez ważnej podstawy prawnej na mocy RODO.
  • Egzekwowanie może być powolne. Wcześniejsza sprawa Grindr przeszła przez grzywnę, odwołanie i orzeczenie sądu. Działania regulacyjne nie cofają jednak narażenia, które już nastąpiło.
  • Grzywny to nie to samo co środki naprawcze. Kara wymierzana jest firmie, ale osoby fizyczne nadal muszą zarządzać własnym narażeniem na przyszłość.

Firmy tej wielkości przechowują również duże ilości danych w innych kontekstach, a incydenty bezpieczeństwa gdzie indziej w ekosystemie przypominają, że dane przechowywane centralnie są celem. Na przykład pisaliśmy o nastoletnim łowcy błędów, który rzekomo uzyskał dostęp na poziomie administratora do wewnętrznej usługi analitycznej Microsoftu Titan oraz o twierdzeniach, że bazy danych pracowników zostały skradzione z infrastruktury Microsoft Azure. To odrębne sprawy od decyzji dotyczącej Xandr, ale ilustrują, dlaczego ograniczanie tego, co się udostępnia, ma znaczenie od samego początku.

Co to oznacza dla Ciebie

Nie możesz zobaczyć, którzy partnerzy reklamowi otrzymują dane z aplikacji, więc najbardziej niezawodnym podejściem jest ograniczenie tego, co aplikacja może wysyłać. Oto od czego zacząć:

  • Przejrzyj uprawnienia aplikacji. Sprawdź uprawnienia do lokalizacji, kontaktów, zdjęć i śledzenia w telefonie. Odbierz wszystko, czego aplikacja wyraźnie nie potrzebuje.
  • Zresetuj lub wyłącz swój identyfikator reklamowy. Zarówno Android, jak i iOS pozwalają usunąć lub zresetować identyfikator reklamowy albo ograniczyć śledzenie reklam, co utrudnia platformom reklamowym łączenie aktywności między aplikacjami.
  • Sprawdź ustawienia prywatności w aplikacji. Wiele aplikacji zawiera przełączniki dotyczące spersonalizowanych reklam lub udostępniania danych partnerom. Wyłącz to, co możesz.
  • Wybieraj selektywnie wrażliwe dane profilu. Jeśli aplikacja prosi o informacje, których nie chciałbyś udostępniać, rozważ pozostawienie pola pustego.
  • Usuń konta, których już nie używasz. Nieaktywne konta nadal mogą przechowywać dane.

Gdzie pasuje VPN

VPN może maskować Twój adres IP i szyfrować ruch między urządzeniem a serwerem VPN, co jest przydatne w publicznych sieciach Wi-Fi i do ograniczania tego, co widzi Twój dostawca internetu. Nie powstrzymuje jednak aplikacji przed wysyłaniem danych, które jej podałeś, takich jak szczegóły profilu czy identyfikator reklamowy, do jej partnerów. Traktuj VPN jako jedną z częściowych warstw, a nie rozwiązanie problemu udostępniania danych w aplikacjach.

Najważniejsze wnioski

Grzywna za dane Xandr Grindr pokazuje, że regulatorzy patrzą poza aplikacje zbierające wrażliwe informacje, na firmy z branży ad-tech, które je przetwarzają. Dla codziennych użytkowników najskuteczniejsze kroki są w Twoich rękach: przejrzyj uprawnienia aplikacji, zresetuj lub wyłącz identyfikator reklamowy, dostosuj ustawienia prywatności w aplikacjach i używaj VPN tylko do tego, w czym jest dobry. Poświęć dziesięć minut w tym tygodniu na przejrzenie aplikacji w telefonie, zaczynając od tych, które przechowują najwięcej danych osobowych.