หน่วยงานคุ้มครองข้อมูลของนอร์เวย์ได้สั่งปรับ Xandr ของ Microsoft เป็นเงินประมาณ 8.5 ล้านยูโร จากการจัดการข้อมูลส่วนบุคคลของผู้ใช้ Grindr ซึ่งรวมถึงข้อมูลอ่อนไหวเกี่ยวกับรสนิยมทางเพศ ค่าปรับ Xandr Grindr นี้มีความสำคัญเพราะมุ่งเป้าไปที่บริษัทที่อยู่ในห่วงโซ่โฆษณาที่ปลายน้ำ ไม่ใช่เพียงแอปที่เก็บข้อมูลตั้งแต่แรก

สรุปคำตัดสินที่เรามีนั้นสั้น ดังนั้นโพสต์นี้จึงจำกัดอยู่ที่สิ่งที่ได้รับการยืนยันแล้ว และอธิบายบริบทที่กว้างขึ้นสำหรับผู้อ่าน

เหตุใดหน่วยงานกำกับดูแลของนอร์เวย์จึงปรับ Xandr

ตามรายงาน ค่าปรับประมาณ 8.5 ล้านยูโรเกี่ยวข้องกับวิธีที่ Xandr ซึ่งเป็นธุรกิจโฆษณาที่ Microsoft เป็นเจ้าของ จัดการข้อมูลส่วนบุคคลของผู้ใช้ Grindr ข้อมูลนั้นรวมถึงข้อมูลอ่อนไหวเกี่ยวกับรสนิยมทางเพศ

นี่ไม่ใช่ครั้งแรกที่แนวปฏิบัติด้านข้อมูลของ Grindr ดึงความสนใจจากนอร์เวย์ หน่วยงานคุ้มครองข้อมูลของประเทศเคยปรับ Grindr เองเป็นเงิน 65 ล้านโครนนอร์เวย์ (ประมาณ 5.5 ล้านยูโร) จากการละเมิดมาตรา 9 ของ GDPR ซึ่งจำกัดการประมวลผลข้อมูลส่วนบุคคลประเภทพิเศษ ค่าปรับนั้นได้รับการ upheld ในภายหลังโดยศาลอุทธรณ์ Borgarting การดำเนินการใหม่ต่อ Xandr ขยายความสนใจจากตัวแอปไปยังบริษัทที่จัดการข้อมูลในปลายน้ำ

ข้อมูลแอปอ่อนไหวไปถึงแพลตฟอร์มโฆษณาได้อย่างไร

แอปฟรีส่วนใหญ่หาเงินผ่านการโฆษณา เพื่อแสดงโฆษณาที่เกี่ยวข้อง แอปอาจส่งข้อมูลเกี่ยวกับผู้ใช้ เช่น ตัวระบุอุปกรณ์ ตำแหน่งโดยประมาณ หรือรายละเอียดโปรไฟล์ ไปยังพันธมิตรด้านโฆษณา พันธมิตรเหล่านั้นอาจรวมถึง ad exchange และแพลตฟอร์มที่จับคู่โฆษณากับกลุ่มเป้าหมาย มักภายในไม่กี่มิลลิวินาทีหลังจากเปิดแอป

ปัญหาจะเกิดขึ้นเมื่อข้อมูลที่เกี่ยวข้องนั้นอ่อนไหว ภายใต้ GDPR ข้อมูลที่เปิดเผยรสนิยมทางเพศจัดอยู่ในประเภทที่ได้รับการคุ้มครอง การเป็นผู้ใช้แอปบางประเภทเพียงอย่างเดียวก็สามารถเปิดเผยสิ่งอ่อนไหวได้ เมื่อสัญญาณนั้นเข้าสู่ไปป์ไลน์ ad-tech มันสามารถถูกคัดลอก รวมกับตัวระบุอื่น ๆ และส่งต่อระหว่างหลายบริษัท ซึ่งทำให้ผู้ใช้ยากที่จะรู้ว่าข้อมูลไปอยู่ที่ไหนหรือจะถอนคืนได้อย่างไร

นั่นคือเหตุผลที่หน่วยงานกำกับดูแลมองทั้งห่วงโซ่ บริษัทที่รับหรือประมวลผลข้อมูลดังกล่าวต้องรับผิดชอบทางกฎหมายของตนเอง แม้ว่าจะไม่ใช่บริษัทที่เก็บข้อมูลตั้งแต่แรกก็ตาม

การบังคับใช้ GDPR มีความหมายอย่างไรสำหรับผู้ใช้

ค่าปรับนี้เป็นสัญญาณว่าหน่วยงานกำกับดูแลในยุโรปยินดีที่จะดำเนินการกับบริษัททั่วระบบนิเวศโฆษณา รวมถึงบริษัทที่กลุ่มเทคโนโลยีขนาดใหญ่เป็นเจ้าของ สำหรับผู้ใช้ มีข้อสรุปเชิงปฏิบัติบางประการ

  • ข้อมูลประเภทพิเศษมีกฎที่เข้มงวดกว่า ข้อมูลเกี่ยวกับรสนิยมทางเพศ สุขภาพ ศาสนา และหัวข้อที่คล้ายคลึงกัน โดยทั่วไปไม่สามารถประมวลผลได้หากไม่มีฐานทางกฎหมายที่ชอบด้วยกฎหมายภายใต้ GDPR
  • การบังคับใช้อาจล่าช้า กรณี Grindr ก่อนหน้านี้ผ่านการปรับ การอุทธรณ์ และคำพิพากษาของศาล การดำเนินการของหน่วยงานกำกับดูแลไม่ได้ลบล้างการเปิดเผยที่เกิดขึ้นแล้ว
  • ค่าปรับไม่เหมือนกับการเยียวยา บทลงโทษลงโทษบริษัท แต่บุคคลยังต้องจัดการการเปิดเผยของตนเองต่อไป

บริษัทขนาดนี้ยังถือข้อมูลปริมาณมากในบริบทอื่น และเหตุการณ์ด้านความปลอดภัยที่อื่นในระบบนิเวศเป็นเครื่องเตือนใจว่าข้อมูลที่เก็บไว้จากส่วนกลางเป็นเป้าหมาย ตัวอย่างเช่น เราได้รายงานเกี่ยวกับteen bug hunter ที่กล่าวว่าสามารถเข้าถึงบริการวิเคราะห์ Titan ภายในของ Microsoft ระดับผู้ดูแลระบบ และข้อกล่าวอ้างว่าฐานข้อมูลพนักงานถูกขโมยจากโครงสร้างพื้นฐาน Microsoft Azure สิ่งเหล่านี้เป็นเรื่องแยกจากคำตัดสิน Xandr แต่แสดงให้เห็นว่าทำไมการจำกัดสิ่งที่คุณแชร์ตั้งแต่แรกจึงสำคัญ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

คุณไม่สามารถเห็นได้ว่าพันธมิตรโฆษณารายใดได้รับข้อมูลจากแอป ดังนั้นวิธีที่น่าเชื่อถือที่สุดคือลดสิ่งที่แอปสามารถส่งได้ นี่คือจุดเริ่มต้น:

  • ตรวจสอบสิทธิ์การเข้าถึงของแอป ตรวจสอบสิทธิ์ตำแหน่ง รายชื่อ รูปภาพ และการติดตามบนโทรศัพท์ของคุณ เพิกถอนสิ่งที่แอปไม่จำเป็นต้องใช้อย่างชัดเจน
  • รีเซ็ตหรือปิดใช้งาน advertising ID ของคุณ ทั้ง Android และ iOS ให้คุณลบหรือรีเซ็ตตัวระบุโฆษณา หรือจำกัดการติดตามโฆษณา ซึ่งทำให้แพลตฟอร์มโฆษณาเชื่อมโยงกิจกรรมข้ามแอปได้ยากขึ้น
  • ดูการตั้งค่าความเป็นส่วนตัวในแอป แอปหลายตัวมีสวิตช์สำหรับโฆษณาเฉพาะบุคคลหรือการแชร์ข้อมูลกับพันธมิตร ปิดสิ่งที่คุณทำได้
  • เลือกอย่างระมัดระวังกับรายละเอียดโปรไฟล์ที่อ่อนไหว หากแอปขอข้อมูลที่คุณไม่อยากให้แชร์ ให้พิจารณาเว้นว่างไว้
  • ลบบัญชีที่คุณไม่ได้ใช้อีกแล้ว บัญชีที่ไม่ได้ใช้งานยังคงเก็บข้อมูลได้

VPN เข้ามาเกี่ยวข้องตรงไหน

VPN สามารถปกปิดที่อยู่ IP ของคุณและเข้ารหัสทราฟฟิกระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN ซึ่งมีประโยชน์บน Wi-Fi สาธารณะและสำหรับจำกัดสิ่งที่ผู้ให้บริการอินเทอร์เน็ตของคุณเห็น แต่ไม่ได้หยุดแอปจากการส่งข้อมูลที่คุณให้ไว้ เช่น รายละเอียดโปรไฟล์หรือ advertising ID ไปยังพันธมิตร มอง VPN เป็นชั้นบางส่วน ไม่ใช่ทางแก้สำหรับการแชร์ข้อมูลในแอป

ประเด็นสำคัญ

ค่าปรับข้อมูล Xandr Grindr แสดงว่าหน่วยงานกำกับดูแลกำลังมองเกินกว่าแอปที่เก็บข้อมูลอ่อนไหวไปยังบริษัท ad-tech ที่ประมวลผลข้อมูลนั้น สำหรับผู้ใช้ทั่วไป ขั้นตอนที่มีประสิทธิผลที่สุดอยู่ในการควบคุมของคุณ: ตรวจสอบสิทธิ์การเข้าถึงของแอป รีเซ็ตหรือปิดใช้งาน advertising ID ปรับการตั้งค่าความเป็นส่วนตัวในแอป และใช้ VPN เฉพาะสิ่งที่มันทำได้ดี ใช้เวลาสิบนาทีในสัปดาห์นี้ตรวจดูแอปบนโทรศัพท์ของคุณ เริ่มจากแอปที่ถือข้อมูลส่วนตัวมากที่สุด