Cơ quan bảo vệ dữ liệu của Pháp, CNIL, đã phạt nhà bán lẻ FNAC 7 triệu euro vì theo dõi người dùng ứng dụng mà không có sự đồng ý hợp lệ. Cơ quan quản lý cũng yêu cầu công ty thay đổi quy trình đồng ý trong vòng một tháng. Quyết định phạt FNAC của CNIL về theo dõi ứng dụng là một lời nhắc nhở hữu ích rằng những gì diễn ra bên trong một ứng dụng di động cũng chịu các quy tắc quyền riêng tư giống như những gì diễn ra trên một trang web, và rằng "sự đồng ý" phải có ý nghĩa thực sự.

Bài viết này đề cập đến những gì đã được báo cáo, những gì lệnh yêu cầu, và những gì bạn có thể làm trên điện thoại của chính mình. Bài viết cũng xem xét vai trò của VPN, và những gì nó không thể làm.

Những gì CNIL phát hiện FNAC đã làm sai

Theo báo cáo của Cybernews, CNIL kết luận rằng FNAC đã theo dõi người dùng ứng dụng của mình mà không có được sự đồng ý hợp lệ. Đó là cốt lõi của hình phạt: việc theo dõi diễn ra mà người dùng chưa đồng ý một cách đúng đắn.

Các báo cáo mà chúng tôi có không nêu chi tiết kỹ thuật đầy đủ của việc theo dõi, vì vậy chúng tôi sẽ không đoán những trình theo dõi hay loại dữ liệu nào liên quan. Điều mà phát hiện chính cho chúng ta biết là nguyên tắc đang bị đặt vấn đề. Theo các quy tắc quyền riêng tư của châu Âu, việc theo dõi không thực sự cần thiết thường đòi hỏi một lựa chọn rõ ràng, được thông báo từ người bị theo dõi. Nếu một ứng dụng bắt đầu thu thập hoặc chia sẻ dữ liệu trước khi lựa chọn đó được đưa ra, hoặc nếu lựa chọn đó không thực sự tự nguyện, các cơ quan quản lý có thể coi sự đồng ý là không hợp lệ.

Mức phạt 7 triệu euro cũng cho thấy các cơ quan quản lý xem việc theo dõi ứng dụng là một lĩnh vực tuân thủ nghiêm túc chứ không phải là một chi tiết kỹ thuật nhỏ.

Những gì FNAC phải thay đổi trong vòng một tháng

Ngoài hình phạt tài chính, CNIL đã cho FNAC một tháng để sửa quy trình đồng ý của mình. Trên thực tế, quy trình đồng ý là chuỗi các lời nhắc và cài đặt mà một ứng dụng hiển thị khi bạn mở lần đầu, và cách nó ghi lại và tôn trọng các câu trả lời của bạn.

Đối với một công ty ở vị trí này, một quy trình đồng ý hợp pháp thường có nghĩa là:

  • Hỏi trước khi việc theo dõi không thiết yếu bắt đầu, chứ không phải sau.
  • Trình bày lựa chọn một cách rõ ràng, để người dùng hiểu họ đang đồng ý điều gì.
  • Làm cho việc từ chối dễ dàng như việc chấp nhận.
  • Tôn trọng quyết định của người dùng, kể cả khi họ nói không.

Đây là những kỳ vọng chung theo các quy tắc quyền riêng tư của châu Âu chứ không phải trích dẫn chính xác lệnh của CNIL, vì vậy hãy coi chúng là bối cảnh. Thời hạn một tháng là chi tiết cụ thể từ báo cáo, và nó cho thấy các cơ quan quản lý muốn sửa chữa nhanh chóng, không phải một cuộc khắc phục kéo dài.

Các cơ quan quản lý Pháp và các vụ lộ dữ liệu đã từng xuất hiện trên tin tức trước đây. Bài đưa tin của chúng tôi về vụ rò rỉ của một nhà cung cấp email Pháp làm lộ 40 triệu bản ghi cho thấy một khía cạnh khác của cùng vấn đề: cách những thất bại trong xử lý dữ liệu, dù thông qua theo dõi hay bảo mật kém, đều ảnh hưởng đến người dùng thông thường.

Cách hạn chế theo dõi ứng dụng trên iPhone và Android

Một phán quyết như thế này gây áp lực lên các công ty, nhưng bạn không cần phải chờ họ tuân thủ. Các điều khiển tích hợp trên điện thoại của bạn là cách trực tiếp nhất để hạn chế theo dõi ứng dụng. Tên menu thay đổi giữa các phiên bản và nhà sản xuất, vì vậy hãy tìm mục gần nhất.

Trên iPhone:

  • Mở Cài đặt, rồi Quyền riêng tư & Bảo mật, rồi Theo dõi.
  • Tắt "Cho phép ứng dụng yêu cầu theo dõi" để chặn hoàn toàn lời nhắc, hoặc xem lại những ứng dụng bạn đã cho phép.
  • Kiểm tra quyền Dịch vụ định vị và Ảnh khi bạn đang ở đó.

Trên Android:

  • Mở Cài đặt và tìm Quyền riêng tư, rồi Quảng cáo (cách diễn đạt khác nhau tùy thiết bị).
  • Xóa hoặc đặt lại ID quảng cáo của bạn, và từ chối cá nhân hóa quảng cáo nếu có tùy chọn.
  • Xem lại trình quản lý quyền đối với vị trí, danh bạ và các quyền truy cập nhạy cảm khác, và gỡ bỏ bất cứ thứ gì một ứng dụng không cần.

Cũng nên xem lại các lời nhắc đồng ý bên trong từng ứng dụng. Nhiều ứng dụng cung cấp màn hình tùy chọn nơi bạn có thể từ chối theo dõi không thiết yếu, và bạn thường có thể thay đổi lựa chọn của mình sau này.

VPN có thể và không thể làm gì chống lại việc theo dõi ứng dụng

VPN thường được mô tả như một phương thuốc vạn năng cho việc theo dõi, điều này không chính xác. VPN mã hóa kết nối của bạn và ẩn địa chỉ IP của bạn khỏi các trang và dịch vụ mà bạn kết nối. Điều đó có thể hạn chế việc theo dõi dựa trên địa chỉ IP của bạn hoặc vị trí suy ra từ đó, và nó bảo vệ lưu lượng của bạn trên các mạng không đáng tin cậy như Wi-Fi công cộng.

Điều mà VPN không thể làm là ngăn một ứng dụng thu thập dữ liệu sau khi bạn đã đăng nhập hoặc đã cấp quyền cho nó. Nếu một ứng dụng ghi lại những gì bạn nhấn, những màn hình bạn xem, hoặc liên kết hoạt động với tài khoản hoặc định danh thiết bị của bạn, điều đó diễn ra bên trong ứng dụng. VPN không thấy được và không thể chặn nó. Loại theo dõi đang bị đặt vấn đề trong các vụ đồng ý thường thuộc loại trong ứng dụng này.

Vì vậy VPN là một lớp hạn chế, không phải sự thay thế cho các cài đặt quyền và lựa chọn có hiểu biết. Logic tương tự áp dụng cho các vụ lộ dữ liệu khác: báo cáo của chúng tôi về một bucket cấu hình sai tại 302.ai làm lộ 17,6 triệu tệp là một trường hợp mà không VPN nào ở phía người dùng có thể thay đổi kết quả.

Điều này có nghĩa gì với bạn

Nếu bạn dùng ứng dụng của FNAC, bạn có thể thấy những thay đổi đối với lời nhắc đồng ý của nó khi công ty nỗ lực đáp ứng thời hạn một tháng của CNIL. Hãy đọc chúng thay vì nhấn bừa, và chọn các tùy chọn phù hợp với sở thích của bạn.

Rộng hơn, phán quyết cho thấy các cơ quan quản lý châu Âu sẽ xử phạt sự đồng ý không hợp lệ, và rằng bạn có các quyền đối với cách các ứng dụng theo dõi bạn. Những quyền đó dễ sử dụng hơn khi bạn biết các điều khiển trên điện thoại của mình ở đâu.

Những điểm chính

Vụ phạt FNAC của CNIL về theo dõi ứng dụng là một ví dụ rõ ràng về việc các cơ quan quản lý buộc một nhà bán lẻ lớn phải chịu trách nhiệm về cách ứng dụng của họ xử lý sự đồng ý. Đây là những gì bạn có thể làm ngay:

  • Xem lại cài đặt theo dõi và quyền trên iPhone hoặc thiết bị Android của bạn trong tuần này.
  • Từ chối theo dõi không thiết yếu trong các lời nhắc đồng ý của ứng dụng, và xem lại các lựa chọn trước đây.
  • Xóa các ứng dụng bạn không còn dùng, vì các ứng dụng không dùng vẫn có thể giữ quyền.
  • Coi VPN là một lớp bảo vệ hạn chế, hữu ích cho quyền riêng tư mạng nhưng không phải là giải pháp cho việc theo dõi trong ứng dụng.

Để biết thêm bối cảnh về cách các sự cố dữ liệu của Pháp ảnh hưởng đến quyền riêng tư của người dùng, hãy đọc bài đưa tin của chúng tôi về vụ rò rỉ của nhà cung cấp email Pháp và theo dõi diễn biến các thay đổi đồng ý của FNAC.