A autoridade francesa de proteção de dados, a CNIL, multou a varejista FNAC em €7 milhões por rastrear usuários de aplicativo sem consentimento válido. O regulador também ordenou que a empresa alterasse seus fluxos de consentimento no prazo de um mês. A decisão da CNIL sobre a multa à FNAC por rastreamento em aplicativo é um lembrete útil de que o que acontece dentro de um aplicativo móvel está sujeito às mesmas regras de privacidade que o que acontece em um site, e que "consentimento" precisa significar algo real.

Este post aborda o que foi noticiado, o que a ordem exige e o que você pode fazer no seu próprio celular. Também analisa onde uma VPN se encaixa, e onde não se encaixa.

O que a CNIL concluiu que a FNAC fez de errado

De acordo com a reportagem da Cybernews, a CNIL concluiu que a FNAC rastreou usuários de seu aplicativo sem obter consentimento válido. Esse é o cerne da penalidade: rastreamento que ocorreu sem que o usuário tivesse concordado devidamente com isso.

A reportagem disponível para nós não detalha cada aspecto técnico do rastreamento, portanto não vamos adivinhar quais rastreadores ou tipos de dados estavam envolvidos. O que a conclusão principal nos diz é o princípio em jogo. Sob as regras europeias de privacidade, o rastreamento que não é estritamente necessário geralmente exige uma escolha clara e informada da pessoa rastreada. Se um aplicativo começa a coletar ou compartilhar dados antes que essa escolha seja feita, ou se a escolha não é genuinamente livre, os reguladores podem tratar o consentimento como inválido.

O tamanho da multa, €7 milhões, também sinaliza que os reguladores veem o rastreamento em aplicativos como uma área séria de conformidade e não como uma tecnicalidade menor.

O que a FNAC deve mudar no prazo de um mês

Além da penalidade financeira, a CNIL deu à FNAC um mês para corrigir seus fluxos de consentimento. Na prática, um fluxo de consentimento é a sequência de avisos e configurações que um aplicativo exibe quando você o abre pela primeira vez, e a forma como ele registra e respeita suas respostas.

Para uma empresa nessa situação, um fluxo de consentimento lícito normalmente significa:

  • Perguntar antes que o rastreamento não essencial comece, não depois.
  • Apresentar a escolha de forma clara, para que os usuários entendam com o que estão concordando.
  • Tornar a recusa tão fácil quanto o aceite.
  • Respeitar a decisão que o usuário toma, inclusive quando ele diz não.

Estas são expectativas gerais sob as regras europeias de privacidade, e não uma citação da ordem exata da CNIL, portanto trate-as como contexto. O prazo de um mês é o detalhe concreto da reportagem, e mostra que os reguladores querem correção rápida, não uma solução arrastada.

Reguladores franceses e exposições de dados já estiveram nas notícias antes. Nossa cobertura de um vazamento de provedor de e-mail francês que expôs 40 milhões de registros mostra um lado diferente da mesma questão: como falhas no tratamento de dados, seja por rastreamento ou por segurança deficiente, recaem sobre usuários comuns.

Como limitar o rastreamento em aplicativos no iPhone e no Android

Uma decisão como essa pressiona as empresas, mas você não precisa esperar que elas cumpram. Os controles integrados do seu celular são a forma mais direta de limitar o rastreamento em aplicativos. Os nomes dos menus mudam entre versões e fabricantes, então procure a correspondência mais próxima.

No iPhone:

  • Abra Ajustes, depois Privacidade e Segurança, depois Rastreamento.
  • Desative "Permitir que os Apps Solicitem Rastreamento" para bloquear o aviso completamente, ou revise quais aplicativos você já permitiu.
  • Verifique as permissões de Serviços de Localização e Fotos enquanto estiver lá.

No Android:

  • Abra Configurações e procure por Privacidade, depois Anúncios (o texto varia conforme o dispositivo).
  • Exclua ou redefina seu ID de publicidade e opte por não participar da personalização de anúncios quando oferecido.
  • Revise o gerenciador de permissões para localização, contatos e outros acessos sensíveis, e remova qualquer coisa que um aplicativo não precise.

Revise também os avisos de consentimento dentro de aplicativos individuais. Muitos oferecem uma tela de preferências onde você pode recusar o rastreamento não essencial, e geralmente é possível alterar sua escolha depois.

O que uma VPN pode e não pode fazer contra o rastreamento em aplicativos

As VPNs são frequentemente descritas como panaceia para o rastreamento, o que não é preciso. Uma VPN criptografa sua conexão e oculta seu endereço IP dos sites e serviços aos quais você se conecta. Isso pode limitar o rastreamento que depende do seu endereço IP ou da localização inferida a partir dele, e protege seu tráfego em redes não confiáveis, como Wi-Fi público.

O que uma VPN não pode fazer é impedir que um aplicativo colete dados depois que você fez login ou concedeu permissões a ele. Se um aplicativo registra o que você toca, quais telas você visualiza, ou vincula atividade à sua conta ou a identificadores do dispositivo, isso acontece dentro do aplicativo. A VPN não vê e não pode bloquear. O tipo de rastreamento em questão nos casos de consentimento é tipicamente desse tipo dentro do aplicativo.

Portanto, uma VPN é uma camada limitada, não um substituto para configurações de permissão e escolhas informadas. A mesma lógica se aplica a outras exposições de dados: nosso relatório sobre um bucket mal configurado na 302.ai que expôs 17,6 milhões de arquivos é um caso em que nenhuma VPN do lado do usuário poderia ter mudado o resultado.

O que isso significa para você

Se você usa o aplicativo da FNAC, pode ver mudanças em seus avisos de consentimento enquanto a empresa trabalha para cumprir o prazo de um mês da CNIL. Leia-os em vez de tocar para avançar, e escolha as opções que correspondem às suas preferências.

De forma mais ampla, a decisão mostra que os reguladores europeus penalizarão consentimentos que não sejam válidos, e que você tem direitos sobre como os aplicativos rastreiam você. Esses direitos são mais fáceis de exercer quando você sabe onde estão os controles do seu celular.

Principais conclusões

O caso da multa da CNIL à FNAC por rastreamento em aplicativo é um exemplo claro de reguladores responsabilizando uma grande varejista por como seu aplicativo trata o consentimento. Aqui está o que você pode fazer agora:

  • Revise as configurações de rastreamento e permissões no seu iPhone ou dispositivo Android esta semana.
  • Recuse o rastreamento não essencial nos avisos de consentimento dos aplicativos e revise escolhas passadas.
  • Exclua aplicativos que você não usa mais, já que aplicativos não utilizados ainda podem manter permissões.
  • Trate uma VPN como uma camada limitada de proteção, útil para privacidade de rede, mas não uma solução para rastreamento dentro de aplicativos.

Para mais contexto sobre como incidentes de dados franceses afetam a privacidade dos usuários, leia nossa cobertura do vazamento de provedor de e-mail francês e acompanhe como as mudanças de consentimento da FNAC se desenvolvem.