Орган із захисту даних Норвегії оштрафував Xandr, що належить Microsoft, приблизно на €8,5 млн через поводження з персональними даними користувачів Grindr, включно з чутливою інформацією про сексуальну орієнтацію. Штраф Xandr за дані Grindr є помітним, оскільки він стосується компанії, що знаходиться далі в рекламному ланцюжку, а не лише застосунку, який зібрав ці дані в першу чергу.

Наше резюме цього рішення є коротким, тому цей допис обмежується тим, що підтверджено, і пояснює ширший контекст для читачів.

За що норвезький регулятор оштрафував Xandr

Згідно з повідомленнями, штраф у розмірі приблизно €8,5 млн стосується того, як Xandr, рекламний бізнес, що належить Microsoft, поводився з персональними даними користувачів Grindr. Ці дані включали чутливу інформацію про сексуальну орієнтацію.

Це не перший випадок, коли практики Grindr щодо даних привертають увагу Норвегії. Орган із захисту даних країни раніше оштрафував сам Grindr на 65 мільйонів норвезьких крон (близько €5,5 млн) за порушення статті 9 GDPR, яка обмежує обробку особливих категорій персональних даних. Цей штраф згодом був залишений у силі Апеляційним судом Боргартінга. Нове провадження проти Xandr розширює фокус із застосунку на компанію, яка обробляла дані далі в ланцюжку.

Як чутливі дані застосунків потрапляють на рекламні платформи

Більшість безкоштовних застосунків заробляють на рекламі. Щоб показувати релевантну рекламу, застосунок може передавати інформацію про користувача, як-от ідентифікатор пристрою, приблизне місцеположення або дані профілю, рекламним партнерам. Ці партнери можуть включати рекламні біржі та платформи, які зіставляють рекламу з аудиторіями, часто протягом мілісекунд після відкриття застосунку.

Проблема виникає, коли задіяна інформація є чутливою. Згідно з GDPR, дані, що розкривають сексуальну орієнтацію, належать до захищеної категорії. Сам факт користування певними застосунками може розкривати щось чутливе. Щойно цей сигнал потрапляє в рекламно-технологічний конвеєр, його можуть копіювати, поєднувати з іншими ідентифікаторами та передавати між кількома компаніями, що ускладнює для користувачів можливість дізнатися, де він опинився, або відкликати його.

Саме тому регулятори дивляться на весь ланцюжок. Компанія, яка отримує або обробляє такі дані, бере на себе власну юридичну відповідальність, навіть якщо не вона першою їх зібрала.

Що означає правозастосування GDPR для користувачів

Штраф є сигналом, що європейські регулятори готові переслідувати компанії по всій рекламній екосистемі, включно з тими, що належать великим технологічним групам. Для користувачів є кілька практичних висновків.

  • Дані особливих категорій підпадають під суворіші правила. Інформацію про сексуальну орієнтацію, здоров'я, релігію та подібні теми зазвичай не можна обробляти без чинної правової підстави згідно з GDPR.
  • Правозастосування може бути повільним. Попередня справа Grindr пройшла через штраф, апеляцію та рішення суду. Регуляторні дії не скасовують розкриття, яке вже сталося.
  • Штрафи — це не те саме, що засоби правового захисту. Штраф карає компанію, але окремі особи все ще повинні самостійно керувати своїм розкриттям на майбутнє.

Компанії такого розміру також зберігають великі обсяги даних в інших контекстах, а інциденти безпеки в інших частинах екосистеми нагадують, що централізовано збережені дані є ціллю. Наприклад, ми повідомляли про підлітка-мисливця за вразливостями, який, за повідомленнями, отримав доступ адміністративного рівня до внутрішньої аналітичної служби Microsoft Titan, а також про твердження, що бази даних співробітників були викрадені з інфраструктури Microsoft Azure. Це окремі питання від рішення щодо Xandr, але вони ілюструють, чому обмеження того, чим ви ділитеся, має значення в першу чергу.

Що це означає для вас

Ви не можете бачити, які рекламні партнери отримують дані від застосунку, тому найнадійніший підхід — зменшити те, що застосунок може надсилати. Ось із чого почати:

  • Перегляньте дозволи застосунків. Перевірте дозволи на місцеположення, контакти, фото та відстеження на своєму телефоні. Відкличте все, що застосунок явно не потребує.
  • Скиньте або вимкніть свій рекламний ідентифікатор. І Android, і iOS дозволяють видалити або скинути ваш рекламний ідентифікатор чи обмежити відстеження реклами, що ускладнює для рекламних платформ зв'язування активності між застосунками.
  • Погляньте на налаштування приватності в застосунку. Багато застосунків мають перемикачі для персоналізованої реклами або обміну даними з партнерами. Вимкніть усе, що можете.
  • Будьте вибірковими з чутливими деталями профілю. Якщо застосунок запитує інформацію, яку ви не хотіли б розкривати, подумайте про те, щоб залишити це поле порожнім.
  • Видаляйте акаунти, якими більше не користуєтеся. Занедбані акаунти все ще можуть зберігати дані.

Де доречний VPN

VPN може маскувати вашу IP-адресу та шифрувати ваш трафік між пристроєм і VPN-сервером, що корисно в публічних Wi-Fi мережах і для обмеження того, що бачить ваш інтернет-провайдер. Але він не заважає застосунку надсилати дані, які ви йому надали, як-от деталі профілю або рекламний ідентифікатор, його партнерам. Розглядайте VPN як один частковий рівень, а не як вирішення проблеми обміну даними в застосунках.

Ключові висновки

Штраф Xandr за дані Grindr показує, що регулятори дивляться за межі застосунків, які збирають чутливу інформацію, на рекламно-технологічні компанії, які її обробляють. Для пересічних користувачів найефективніші кроки — у ваших руках: перевірте дозволи застосунків, скиньте або вимкніть свій рекламний ідентифікатор, налаштуйте приватність у застосунках і використовуйте VPN лише для того, із чим він добре справляється. Приділіть десять хвилин цього тижня, щоб переглянути застосунки на своєму телефоні, починаючи з тих, що зберігають найбільше особистої інформації.