A autoridade de proteção de dados da Noruega multou a Xandr, da Microsoft, em aproximadamente €8,5 milhões por sua gestão dos dados pessoais de usuários do Grindr, incluindo informações sensíveis sobre orientação sexual. A multa de dados da Xandr e Grindr é notável porque mira uma empresa mais adiante na cadeia de publicidade, não apenas o aplicativo que coletou os dados originalmente.
O resumo que temos da decisão é breve, então este post se atém ao que está confirmado e explica o contexto mais amplo para os leitores.
Pelo que a autoridade reguladora norueguesa multou a Xandr
De acordo com as reportagens, a penalidade de aproximadamente €8,5 milhões está relacionada à forma como a Xandr, um negócio de publicidade de propriedade da Microsoft, tratou dados pessoais pertencentes a usuários do Grindr. Esses dados incluíam informações sensíveis sobre orientação sexual.
Não é a primeira vez que as práticas de dados do Grindr atraem o escrutínio da Noruega. A autoridade de proteção de dados do país já havia multado o próprio Grindr em 65 milhões de coroas norueguesas (cerca de €5,5 milhões) por violar o Artigo 9 do GDPR, que restringe o processamento de categorias especiais de dados pessoais. Essa multa foi posteriormente mantida pelo Tribunal de Apelação de Borgarting. A nova ação contra a Xandr estende o foco do aplicativo para uma empresa que tratou os dados posteriormente.
Como dados sensíveis de aplicativos chegam às plataformas de anúncios
A maioria dos aplicativos gratuitos ganha dinheiro por meio de publicidade. Para exibir anúncios relevantes, um aplicativo pode passar informações sobre um usuário, como um identificador de dispositivo, localização aproximada ou detalhes de perfil, para parceiros de publicidade. Esses parceiros podem incluir exchanges de anúncios e plataformas que combinam anúncios com públicos, muitas vezes em milissegundos após a abertura de um aplicativo.
O problema surge quando as informações envolvidas são sensíveis. Sob o GDPR, dados que revelam orientação sexual pertencem a uma categoria protegida. Simplesmente ser usuário de certos aplicativos já pode revelar algo sensível. Uma vez que esse sinal entra em um pipeline de ad-tech, ele pode ser copiado, combinado com outros identificadores e repassado entre várias empresas, o que dificulta que os usuários saibam onde ele acabou ou possam retirá-lo.
É por isso que os reguladores analisam toda a cadeia. Uma empresa que recebe ou processa tais dados assume suas próprias responsabilidades legais, mesmo que não tenha sido a que os coletou primeiro.
O que a aplicação do GDPR significa para os usuários
A multa é um sinal de que os reguladores europeus estão dispostos a perseguir empresas em todo o ecossistema publicitário, incluindo aquelas de propriedade de grandes grupos de tecnologia. Para os usuários, há algumas conclusões práticas.
- Dados de categoria especial têm regras mais rígidas. Informações sobre orientação sexual, saúde, religião e tópicos semelhantes geralmente não podem ser processadas sem uma base legal válida sob o GDPR.
- A aplicação pode ser lenta. O caso anterior do Grindr passou por uma multa, um recurso e uma decisão judicial. A ação regulatória não desfaz a exposição que já ocorreu.
- Multas não são o mesmo que remédios. Uma penalidade pune uma empresa, mas os indivíduos ainda precisam gerenciar sua própria exposição daqui para frente.
Empresas desse porte também detêm grandes volumes de dados em outros contextos, e incidentes de segurança em outras partes do ecossistema são um lembrete de que dados mantidos centralmente são um alvo. Por exemplo, reportamos sobre um jovem caçador de bugs que supostamente obteve acesso de nível administrativo ao serviço interno de análise Titan da Microsoft, e sobre alegações de que bancos de dados de funcionários foram roubados da infraestrutura do Microsoft Azure. Esses são assuntos separados da decisão da Xandr, mas ilustram por que limitar o que você compartilha desde o início importa.
O que isso significa para você
Você não consegue ver quais parceiros de publicidade recebem dados de um aplicativo, então a abordagem mais confiável é reduzir o que o aplicativo pode enviar. Aqui está por onde começar:
- Revise as permissões dos aplicativos. Verifique permissões de localização, contatos, fotos e rastreamento no seu telefone. Revogue tudo que um aplicativo não precise claramente.
- Redefina ou desative seu ID de publicidade. Tanto o Android quanto o iOS permitem que você exclua ou redefina seu identificador de publicidade, ou limite o rastreamento de anúncios, o que dificulta que as plataformas de anúncios vinculem atividades entre aplicativos.
- Analise as configurações de privacidade dentro dos aplicativos. Muitos aplicativos incluem opções para anúncios personalizados ou compartilhamento de dados com parceiros. Desative o que puder.
- Seja seletivo com detalhes sensíveis do perfil. Se um aplicativo pedir informações que você não gostaria de compartilhar, considere deixá-las em branco.
- Exclua contas que você não usa mais. Contas inativas ainda podem conter dados.
Onde uma VPN se encaixa
Uma VPN pode mascarar seu endereço IP e criptografar seu tráfego entre seu dispositivo e o servidor VPN, o que é útil em Wi-Fi público e para limitar o que seu provedor de internet vê. Mas ela não impede que um aplicativo envie os dados que você forneceu, como detalhes de perfil ou um ID de publicidade, aos seus parceiros. Trate uma VPN como uma camada parcial, não como uma solução para o compartilhamento de dados dentro dos aplicativos.
Principais conclusões
A multa de dados da Xandr e Grindr mostra que os reguladores estão olhando além dos aplicativos que coletam informações sensíveis para as empresas de ad-tech que as processam. Para os usuários do dia a dia, os passos mais eficazes estão dentro do seu controle: audite as permissões dos aplicativos, redefina ou desative seu ID de publicidade, ajuste as configurações de privacidade dentro dos aplicativos e use uma VPN apenas para o que ela faz bem. Reserve dez minutos esta semana para revisar os aplicativos no seu telefone, começando pelos que contêm as informações mais pessoais.
