Французский регулятор в области защиты данных CNIL оштрафовал ритейлера FNAC на €7 млн за отслеживание пользователей приложения без действительного согласия. Регулятор также обязал компанию изменить свои процедуры получения согласия в течение одного месяца. Решение CNIL о штрафе FNAC за отслеживание в приложении — полезное напоминание о том, что происходящее внутри мобильного приложения подчиняется тем же правилам конфиденциальности, что и происходящее на веб-сайте, и что «согласие» должно означать что-то реальное.

В этом посте рассматривается, что было сообщено, что требует предписание и что вы можете сделать на собственном телефоне. Также рассматривается, где VPN уместен, а где нет.

Что CNIL признал неправомерным в действиях FNAC

Согласно репортажу Cybernews, CNIL пришёл к выводу, что FNAC отслеживал пользователей своего приложения, не получив действительного согласия. В этом и заключается суть штрафа: отслеживание происходило без надлежащего согласия пользователя.

Доступные нам материалы не раскрывают всех технических деталей отслеживания, поэтому мы не будем строить догадки о том, какие трекеры или типы данных были задействованы. Главный вывод говорит нам о принципе, который стоит на кону. Согласно европейским правилам конфиденциальности, отслеживание, не являющееся строго необходимым, как правило, требует чёткого, осознанного выбора со стороны отслеживаемого лица. Если приложение начинает собирать или передавать данные до того, как этот выбор сделан, или если выбор не является по-настоящему свободным, регуляторы могут признать согласие недействительным.

Размер штрафа — €7 млн — также сигнализирует о том, что регуляторы рассматривают отслеживание в приложениях как серьёзную область соблюдения требований, а не как мелкую формальность.

Что FNAC должна изменить в течение месяца

Помимо финансового штрафа, CNIL дал FNAC один месяц на исправление процедур получения согласия. На практике процедура получения согласия — это последовательность запросов и настроек, которые приложение показывает при первом открытии, а также способ записи и соблюдения ваших ответов.

Для компании в таком положении законная процедура получения согласия обычно означает:

  • Спрашивать до начала несущественного отслеживания, а не после.
  • Представлять выбор чётко, чтобы пользователи понимали, на что они соглашаются.
  • Делать отказ таким же простым, как и согласие.
  • Соблюдать решение пользователя, в том числе когда он говорит «нет».

Это общие ожидания в рамках европейских правил конфиденциальности, а не цитата из точного предписания CNIL, поэтому воспринимайте их как контекст. Месячный срок — это конкретная деталь из репортажа, и она показывает, что регуляторы хотят быстрого исправления, а не затяжного решения.

Французские регуляторы и утечки данных уже попадали в новости. Наш материал об утечке у французского провайдера электронной почты, раскрывшей 40 миллионов записей, показывает другую сторону той же проблемы: как сбои в обращении с данными — будь то через отслеживание или слабую безопасность — ложатся на обычных пользователей.

Как ограничить отслеживание в приложениях на iPhone и Android

Подобное решение оказывает давление на компании, но вам не нужно ждать, пока они выполнят требования. Встроенные средства управления вашего телефона — самый прямой способ ограничить отслеживание в приложениях. Названия меню меняются в зависимости от версии и производителя, поэтому ищите наиболее близкое совпадение.

На iPhone:

  • Откройте «Настройки», затем «Конфиденциальность и безопасность», затем «Отслеживание».
  • Отключите «Разрешать приложениям запрашивать отслеживание», чтобы полностью заблокировать запрос, или просмотрите, каким приложениям вы уже дали разрешение.
  • Заодно проверьте разрешения для «Геолокации» и «Фото».

На Android:

  • Откройте «Настройки» и найдите «Конфиденциальность», затем «Реклама» (формулировка зависит от устройства).
  • Удалите или сбросьте рекламный идентификатор и откажитесь от персонализации рекламы, где это предлагается.
  • Просмотрите менеджер разрешений для геолокации, контактов и других чувствительных данных и уберите всё, что приложению не нужно.

Также просмотрите запросы согласия внутри отдельных приложений. Многие предлагают экран настроек, где можно отказаться от несущественного отслеживания, и обычно вы можете изменить свой выбор позже.

Что VPN может и чего не может против отслеживания в приложениях

VPN часто описывают как универсальное средство от отслеживания, что неверно. VPN шифрует ваше соединение и скрывает ваш IP-адрес от сайтов и сервисов, к которым вы подключаетесь. Это может ограничить отслеживание, основанное на вашем IP-адресе или определяемом по нему местоположении, и защищает ваш трафик в недоверенных сетях, таких как публичный Wi-Fi.

Чего VPN не может — это помешать приложению собирать данные после того, как вы вошли в систему или предоставили ему разрешения. Если приложение записывает, по чему вы нажимаете, какие экраны просматриваете, или связывает активность с вашей учётной записью или идентификаторами устройства, это происходит внутри приложения. VPN этого не видит и не может заблокировать. Тип отслеживания, фигурирующий в делах о согласии, обычно именно такой — внутриприложенческий.

Таким образом, VPN — это один ограниченный уровень, а не замена настройкам разрешений и осознанным выборам. Та же логика применима к другим утечкам данных: наш отчёт о неправильно настроенном бакете в 302.ai, раскрывшем 17,6 млн файлов — это случай, когда никакой VPN на стороне пользователя не мог бы изменить исход.

Что это значит для вас

Если вы пользуетесь приложением FNAC, вы можете увидеть изменения в его запросах согласия, поскольку компания работает над соблюдением месячного срока CNIL. Читайте их, а не просто нажимайте «далее», и выбирайте варианты, соответствующие вашим предпочтениям.

В более широком смысле решение показывает, что европейские регуляторы будут штрафовать за недействительное согласие и что у вас есть права в отношении того, как приложения отслеживают вас. Этими правами легче пользоваться, когда вы знаете, где находятся средства управления вашего телефона.

Ключевые выводы

Дело о штрафе CNIL для FNAC за отслеживание в приложении — наглядный пример того, как регуляторы привлекают крупного ритейлера к ответственности за то, как его приложение обращается с согласием. Вот что вы можете сделать сейчас:

  • На этой неделе проверьте настройки отслеживания и разрешений на своём iPhone или Android-устройстве.
  • Откажитесь от несущественного отслеживания в запросах согласия приложений и пересмотрите прошлые выборы.
  • Удалите приложения, которыми больше не пользуетесь, поскольку неиспользуемые приложения всё ещё могут сохранять разрешения.
  • Относитесь к VPN как к одному ограниченному уровню защиты, полезному для сетевой конфиденциальности, но не решению проблемы отслеживания внутри приложений.

Для большего контекста о том, как французские инциденты с данными влияют на конфиденциальность пользователей, читайте наш материал об утечке у французского провайдера электронной почты и следите за тем, как развиваются изменения в согласиях FNAC.