Управление по защите данных Норвегии оштрафовало принадлежащую Microsoft компанию Xandr примерно на €8,5 млн за обращение с персональными данными пользователей Grindr, включая чувствительную информацию о сексуальной ориентации. Штраф Xandr за данные Grindr примечателен тем, что он нацелен на компанию, находящуюся дальше по рекламной цепочке, а не только на приложение, которое изначально собрало эти данные.

Краткое изложение решения, которым мы располагаем, невелико, поэтому этот материал ограничивается подтверждёнными фактами и объясняет читателям более широкий контекст.

За что норвежский регулятор оштрафовал Xandr

Согласно сообщениям, штраф в размере примерно €8,5 млн связан с тем, как Xandr — принадлежащий Microsoft рекламный бизнес — обращался с персональными данными пользователей Grindr. Эти данные включали чувствительную информацию о сексуальной ориентации.

Это не первый случай, когда практики Grindr в области данных привлекают внимание Норвегии. Управление по защите данных страны ранее оштрафовало сам Grindr на 65 миллионов норвежских крон (около €5,5 млн) за нарушение статьи 9 GDPR, которая ограничивает обработку особых категорий персональных данных. Этот штраф был позднее оставлен в силе Апелляционным судом Боргартинга. Новые меры против Xandr расширяют фокус с приложения на компанию, которая обрабатывала данные далее по цепочке.

Как чувствительные данные приложений попадают на рекламные платформы

Большинство бесплатных приложений зарабатывают на рекламе. Чтобы показывать релевантную рекламу, приложение может передавать информацию о пользователе — например, идентификатор устройства, приблизительное местоположение или данные профиля — рекламным партнёрам. Эти партнёры могут включать рекламные биржи и платформы, которые подбирают рекламу для аудиторий, зачастую в течение миллисекунд после открытия приложения.

Проблема возникает, когда involved информация является чувствительной. Согласно GDPR, данные, раскрывающие сексуальную ориентацию, относятся к защищённой категории. Сам факт использования определённых приложений может раскрывать нечто чувствительное. Как только этот сигнал попадает в цепочку ad-tech, он может быть скопирован, объединён с другими идентификаторами и передан между несколькими компаниями, из-за чего пользователям трудно узнать, где он оказался, или отозвать его.

Именно поэтому регуляторы рассматривают всю цепочку. Компания, которая получает или обрабатывает такие данные, берёт на себя собственную юридическую ответственность, даже если не она первой их собрала.

Что правоприменение GDPR означает для пользователей

Штраф — это сигнал о том, что европейские регуляторы готовы преследовать компании по всей рекламной экосистеме, включая те, которыми владеют крупные технологические группы. Для пользователей есть несколько практических выводов.

  • Данные особых категорий подчиняются более строгим правилам. Информация о сексуальной ориентации, здоровье, религии и подобных темах, как правило, не может обрабатываться без действительного правового основания в соответствии с GDPR.
  • Правоприменение может быть медленным. Более раннее дело Grindr прошло через штраф, апелляцию и решение суда. Регуляторные меры не отменяют уже произошедшее раскрытие данных.
  • Штрафы — это не то же самое, что средства защиты. Наказание карает компанию, но людям всё равно нужно самостоятельно управлять своей дальнейшей подверженностью риску.

Компании такого размера также хранят большие объёмы данных в других контекстах, а инциденты безопасности в других частях экосистемы напоминают, что централизованно хранимые данные являются целью. Например, мы писали о подростке-багхантере, который, как сообщается, получил доступ уровня администратора к внутреннему аналитическому сервису Microsoft Titan, а также об утверждениях, что базы данных сотрудников были украдены из инфраструктуры Microsoft Azure. Это отдельные вопросы от решения по Xandr, но они иллюстрируют, почему ограничение того, чем вы делитесь изначально, имеет значение.

Что это значит для вас

Вы не можете видеть, какие рекламные партнёры получают данные из приложения, поэтому самый надёжный подход — сократить то, что приложение может отправить. Вот с чего начать:

  • Проверьте разрешения приложений. Проверьте разрешения на местоположение, контакты, фото и отслеживание на вашем телефоне. Отзовите всё, что приложению явно не нужно.
  • Сбросьте или отключите свой рекламный идентификатор. И Android, и iOS позволяют удалить или сбросить рекламный идентификатор либо ограничить отслеживание рекламы, что затрудняет для рекламных платформ связывание активности между приложениями.
  • Изучите настройки приватности внутри приложений. Во многих приложениях есть переключатели для персонализированной рекламы или обмена данными с партнёрами. Отключите всё, что сможете.
  • Будьте избирательны с чувствительными данными профиля. Если приложение запрашивает информацию, которой вы не хотели бы делиться, подумайте о том, чтобы оставить поле пустым.
  • Удаляйте аккаунты, которыми больше не пользуетесь. Неактивные аккаунты всё ещё могут хранить данные.

Где место VPN

VPN может маскировать ваш IP-адрес и шифровать трафик между вашим устройством и VPN-сервером, что полезно в публичных Wi-Fi-сетях и для ограничения того, что видит ваш интернет-провайдер. Но он не мешает приложению отправлять данные, которые вы ему дали, — например, данные профиля или рекламный идентификатор, — его партнёрам. Рассматривайте VPN как один частичный уровень защиты, а не как решение проблемы обмена данными внутри приложений.

Ключевые выводы

Штраф Xandr за данные Grindr показывает, что регуляторы смотрят не только на приложения, которые собирают чувствительную информацию, но и на ad-tech компании, которые её обрабатывают. Для обычных пользователей самые эффективные шаги находятся в ваших руках: проверьте разрешения приложений, сбросьте или отключите рекламный идентификатор, скорректируйте настройки приватности внутри приложений и используйте VPN только для того, что он действительно умеет. Уделите десять минут на этой неделе, чтобы пройтись по приложениям на вашем телефоне, начиная с тех, которые хранят больше всего личной информации.