Hvordan dataene dine kommer ut: apper, informasjonskapsler, posisjon og offentlige registre

Forrige leksjon beskrev hva datameglere sitter på. Denne følger fire konkrete veier informasjonen din reiser for å nå dem: tredjeparts-kode pakket inn i vanlige apper, informasjonskapsler og piksler på nettsteder, telefonens posisjon, og offentlige registre du ikke kan hindre i å eksistere i utgangspunktet.

Apper og programvareverktøyene inni dem

De fleste apper er ikke bygget utelukkende av selskapet hvis navn står på dem. Utviklere legger vanligvis til tredjeparts programvareutviklingssett (SDK-er) for ting som analyse, feilrapportering eller annonsering. Apples egen utviklerdokumentasjon, som krever at apper opplyser om dette, definerer «tredjepartspartnere» som «analyseverktøy, annonsenettverk, tredjeparts-SDK-er, eller andre eksterne leverandører hvis kode du har lagt til i appen din», og advarer utviklere direkte mot «å plassere en tredjeparts-SDK i appen din som kombinerer brukerdata fra appen din med brukerdata fra andre utvikleres apper for å målrette annonser eller måle annonseeffektivitet, selv om du ikke bruker SDK-en til disse formålene.» Med andre ord kan en SDK en utvikler la til av én grunn, alene videresende data som ender opp kombinert med data fra helt urelaterte apper.

Informasjonskapsler og piksler på nettstedene du leser

På nettet dukker den samme ideen opp som informasjonskapsler. Cloudflares læringssenter forklarer at en førsteparts-informasjonskapsel, satt av nettstedet du ser på, er forskjellig fra en tredjeparts-informasjonskapsel, satt av et domene som ikke er det som vises i adressefeltet ditt — oftest et annonse- eller analyseselskap innebygd på mange forskjellige nettsteder. Fordi den tredjeparten ser deg igjen hver gang du havner på et annet nettsted som bærer dens informasjonskapsel, kan den bygge en oversikt over nettleseraktiviteten din på tvers av nettsteder du aldri fortalte den at du besøkte. FTCs egen forbrukerveiledning bekrefter at dette skjer utover informasjonskapsler også: nettsteder «kan spore nettaktiviteten din ved å bruke en informasjonskapsel eller piksel for å identifisere deg selv etter at du forlater nettstedet», og i apper «kan annonsører bruke en unik annonse-ID for å spore deg», noen ganger sammen med enhetsfingeravtrykk, som gjenkjenner nettleseren eller enheten din ut fra dens spesifikke innstillinger i stedet for fra en lagret fil i det hele tatt.

Telefonens posisjon, ofte helt uten en egen sensor

Posisjon er en av de mer sensitive kategoriene, og FTC har tatt direkte håndhevingstiltak over det. I 2022 saksøkte etaten Kochava, en megler den beskrev som å selge «enorme mengder presise posisjonsdata samlet fra titalls millioner mobilbrukere.» FTCs varsel bemerket at denne typen data kan avsløre besøk til «medisinsk behandling, gudshus, reproduktiv helse, hjemløseherberger og krisesentre for vold i nære relasjoner, og rusbehandling», og som en demonstrasjon sa FTC-ansatte at de klarte å bruke Kochavas data til å identifisere en enhet som besøkte en klinikk for reproduktiv helse for kvinner, og spore den tilbake til et bestemt hjem. Disse dataene starter med en app som ba om posisjonstillatelse, og videreformidlet den, adskilt fra alt mobiloperatøren allerede kan regne ut fra hvilke mobilmaster telefonen din kobler til, til eksterne selskaper.

Offentlige registre: kilden du ikke kan reservere deg mot

FTCs studie fra 2014 av ni store datameglere fant at alle unntatt tre fikk data direkte fra føderale kilder som folketellingsbyrået og trygdeetatens dødsfallsregistre, og at delstatlige og lokale myndigheter leverte eiendomsregistre, velgerregistrering, rettsdokumenter og yrkeslisenser. Noe av denne strømmen har faktisk juridiske begrensninger: FTC-rapporten bemerker at minst tjueto amerikanske delstater begrenser kommersiell bruk av velgerregistreringsjournaler, og den føderale personvernloven for førerkort begrenser utlevering av kjøretøyregistre utenfor spesifikke formål. Men selve de underliggende registrene — et eiendomsskjøte, en vigselsattest, en rettsjournal — eksisterer fordi loven krever det, uansett om du helst skulle ønske de ikke gjorde det.