Hur mycket bötfälldes FNAC av CNIL och varför?

FNAC bötfälldes med 7 miljoner euro för att ha spårat appanvändare utan att ha fått giltigt samtycke. CNIL ålade också företaget att ändra sina samtyckesflöden inom en månad.

Vad kräver CNIL att FNAC ändrar inom en månad?

CNIL gav FNAC en månad att åtgärda sina samtyckesflöden, vilket vanligtvis innebär att fråga innan icke-nödvändig spårning börjar, presentera val tydligt, göra det lika enkelt att avböja som att acceptera och respektera användarnas beslut.

Anger artikeln vilka spårare eller datatyper FNAC använde?

Nej, den tillgängliga rapporteringen redogör inte för varje teknisk detalj i spårningen, så artikeln gissar inte vilka spårare eller datatyper som var inblandade.

Hur kan jag begränsa appspårning på min egen telefon?

Artikeln säger att telefonens inbyggda kontroller är det mest direkta sättet att begränsa appspårning, men menynamnen ändras mellan versioner och tillverkare så du bör leta efter den närmaste motsvarigheten.

CNIL bötfäller FNAC 7 miljoner euro för appspårning utan samtycke

Q: Gäller samma integritetsregler för mobilappar som för webbplatser?

Ja, artikeln noterar att det som sker inuti en mobilapp omfattas av samma integritetsregler som det som sker på en webbplats, och att samtycke måste betyda något verkligt.

Frankrikes dataskyddsmyndighet CNIL har bötfällt detaljhandelsföretaget FNAC med 7 miljoner euro för att ha spårat appanvändare utan giltigt samtycke. Myndigheten har också ålagt företaget att ändra sina samtyckesflöden inom en månad. CNIL:s beslut om böter för FNAC:s appspårning är en påminnelse om att det som sker inuti en mobilapp omfattas av samma integritetsregler som det som sker på en webbplats, och att "samtycke" måste betyda något verkligt.

Det här inlägget går igenom vad som har rapporterats, vad föreläggandet kräver och vad du kan göra på din egen telefon. Det tittar också på var en VPN passar in, och var den inte gör det.

Vad CNIL fann att FNAC gjorde fel

Enligt Cybernews rapportering drog CNIL slutsatsen att FNAC spårade användare av sin app utan att ha fått giltigt samtycke. Det är kärnan i sanktionen: spårning som skedde utan att användaren hade samtyckt på rätt sätt.

Den rapportering vi har tillgång till redogör inte för varje teknisk detalj i spårningen, så vi kommer inte att gissa vilka spårare eller datatyper som var inblandade. Vad rubriken säger oss är principen som står på spel. Enligt europeiska integritetsregler kräver spårning som inte är strikt nödvändig i allmänhet ett tydligt och informerat val från den som spåras. Om en app börjar samla in eller dela data innan det valet görs, eller om valet inte är genuint fritt, kan tillsynsmyndigheter betrakta samtycket som ogiltigt.

Böternas storlek, 7 miljoner euro, signalerar också att tillsynsmyndigheterna ser appspårning som ett allvarligt efterlevnadsområde och inte som en mindre teknikalitet.

Vad FNAC måste ändra inom en månad

Utöver den ekonomiska sanktionen gav CNIL FNAC en månad att åtgärda sina samtyckesflöden. I praktiken är ett samtyckesflöde den sekvens av uppmaningar och inställningar som en app visar när du först öppnar den, och hur den registrerar och respekterar dina svar.

För ett företag i den här situationen innebär ett lagenligt samtyckesflöde vanligtvis:

Att fråga innan icke-nödvändig spårning börjar, inte efter.
Att presentera valet tydligt, så att användarna förstår vad de samtycker till.
Att göra det lika enkelt att avböja som att acceptera.
Att respektera det beslut en användare fattar, även när de säger nej.

Detta är allmänna förväntningar enligt europeiska integritetsregler snarare än ett citat av CNIL:s exakta föreläggande, så behandla dem som kontext. Månadsfristen är den konkreta detaljen från rapporteringen, och den visar att tillsynsmyndigheterna vill ha snabb rättelse, inte en utdragen åtgärd.

Franska tillsynsmyndigheter och dataexponeringar har varit i nyheterna tidigare. Vår bevakning av en läcka hos en fransk e-postleverantör som exponerade 40 miljoner poster visar en annan sida av samma fråga: hur brister i datahanteringen, vare sig det gäller spårning eller dålig säkerhet, drabbar vanliga användare.

Så begränsar du appspårning på iPhone och Android

Ett avgörande som detta sätter press på företagen, men du behöver inte vänta på att de ska följa reglerna. Telefonens inbyggda kontroller är det mest direkta sättet att begränsa appspårning. Menynamn ändras mellan versioner och tillverkare, så leta efter den närmaste motsvarigheten.

På iPhone:

Öppna Inställningar, sedan Integritet och säkerhet, sedan Spårning.
Stäng av "Tillåt appar att begära spårning" för att blockera uppmaningen helt, eller granska vilka appar du redan har tillåtit.
Kontrollera behörigheter för Platstjänster och Bilder medan du är där.

På Android:

Öppna Inställningar och leta efter Integritet, sedan Annonser (formuleringen varierar beroende på enhet).
Radera eller återställ ditt annons-ID och välj bort annonsanpassning där det erbjuds.
Granska behörighetshanteraren för plats, kontakter och annan känslig åtkomst, och ta bort allt som en app inte behöver.

Granska också samtyckesuppmaningarna inne i enskilda appar. Många erbjuder en inställningsskärm där du kan avböja icke-nödvändig spårning, och du kan vanligtvis ändra ditt val senare.

Vad en VPN kan och inte kan göra mot appspårning

VPN:er beskrivs ofta som ett universalmedel mot spårning, vilket inte är korrekt. En VPN krypterar din anslutning och döljer din IP-adress för de webbplatser och tjänster du ansluter till. Det kan begränsa spårning som bygger på din IP-adress eller plats härledd från den, och det skyddar din trafik på osäkra nätverk som offentligt Wi-Fi.

Vad en VPN inte kan göra är att hindra en app från att samla in data när du väl är inloggad eller har gett den behörigheter. Om en app registrerar vad du trycker på, vilka skärmar du visar eller kopplar aktivitet till ditt konto eller enhetsidentifierare, sker det inuti appen. VPN:en ser det inte och kan inte blockera det. Den typ av spårning som är aktuell i samtyckesärenden är vanligtvis av detta slag, inuti appen.

Så en VPN är ett begränsat lager, inte en ersättning för behörighetsinställningar och informerade val. Samma logik gäller för andra dataexponeringar: vår rapport om en felkonfigurerad bucket hos 302.ai som exponerade 17,6 miljoner filer är ett fall där ingen VPN på användarens sida kunde ha ändrat utfallet.

Vad detta innebär för dig

Om du använder FNAC:s app kan du se ändringar i dess samtyckesuppmaningar när företaget arbetar för att möta CNIL:s månadsfrist. Läs dem i stället för att trycka igenom, och välj de alternativ som matchar dina preferenser.

Mer generellt visar avgörandet att europeiska tillsynsmyndigheter kommer att sanktionera samtycke som inte är giltigt, och att du har rättigheter över hur appar spårar dig. Dessa rättigheter är lättare att använda när du vet var telefonens kontroller finns.

Slutsatser

Ärendet med CNIL:s böter för FNAC:s appspårning är ett tydligt exempel på att tillsynsmyndigheter ställer en stor detaljhandlare till svars för hur dess app hanterar samtycke. Här är vad du kan göra nu:

Granska spårnings- och behörighetsinställningarna på din iPhone eller Android-enhet den här veckan.
Avböj icke-nödvändig spårning i appars samtyckesuppmaningar och se över tidigare val.
Radera appar du inte längre använder, eftersom oanvända appar fortfarande kan ha behörigheter.
Behandla en VPN som ett begränsat skyddslager, användbart för nätverksintegritet men ingen lösning på appspårning.

För mer kontext om hur franska dataincidenter påverkar användarnas integritet, läs vår bevakning av läckan hos den franska e-postleverantören och håll ett öga på hur FNAC:s samtyckesändringar utvecklas.