Jak twoje dane wyciekają: aplikacje, pliki cookie, lokalizacja i rejestry publiczne

Poprzednia lekcja opisała, co posiadają pośrednicy danych. Ta śledzi cztery konkretne ścieżki, którymi twoje informacje do nich docierają: kod firm trzecich dołączony do zwykłych aplikacji, pliki cookie i piksele na stronach internetowych, lokalizację twojego telefonu oraz rejestry publiczne, których istnieniu nie możesz w ogóle zapobiec.

Aplikacje i zestawy narzędzi programistycznych w ich wnętrzu

Większość aplikacji nie jest budowana w całości przez firmę, której nazwa na nich widnieje. Deweloperzy powszechnie dodają zestawy narzędzi programistycznych firm trzecich (SDK) do takich celów jak analityka, raportowanie awarii czy reklama. Własna dokumentacja dla deweloperów Apple, która wymaga ujawniania tego faktu, definiuje „partnerów zewnętrznych” jako „narzędzia analityczne, sieci reklamowe, zewnętrzne SDK lub innych zewnętrznych dostawców, których kod dodałeś do swojej aplikacji”, i wprost ostrzega deweloperów przed „umieszczaniem w aplikacji zewnętrznego SDK, które łączy dane użytkownika z twojej aplikacji z danymi użytkownika z aplikacji innych deweloperów w celu targetowania reklam lub mierzenia ich skuteczności, nawet jeśli sam nie używasz tego SDK w tych celach”. Innymi słowy, SDK dodane przez dewelopera z jednego powodu może samo w sobie przekazywać dane, które ostatecznie zostają połączone z danymi z zupełnie niepowiązanych aplikacji.

Pliki cookie i piksele na stronach, które czytasz

W internecie ten sam mechanizm przyjmuje postać plików cookie. Cloudflare Learning Center wyjaśnia, że plik cookie własny (first-party), ustawiony przez stronę, na którą patrzysz, różni się od pliku cookie firmy trzeciej (third-party), ustawionego przez domenę inną niż ta widoczna w pasku adresu — najczęściej firmę reklamową lub analityczną osadzoną na wielu różnych stronach. Ponieważ ta firma trzecia rozpoznaje cię za każdym razem, gdy trafiasz na kolejną stronę niosącą jej plik cookie, może zbudować zapis twojego przeglądania między stronami, o których odwiedzaniu nigdy jej nie powiedziałeś. Własny poradnik konsumencki FTC potwierdza, że dzieje się to również poza plikami cookie: strony „mogą śledzić twoją aktywność online za pomocą pliku cookie lub piksela, by cię rozpoznać nawet po opuszczeniu strony”, a w aplikacjach „reklamodawcy mogą używać unikalnego identyfikatora reklamowego, by cię śledzić”, czasem obok odcisku cyfrowego urządzenia (device fingerprinting), który rozpoznaje twoją przeglądarkę lub urządzenie po jego konkretnych ustawieniach, a nie po zapisanym pliku w ogóle.

Lokalizacja twojego telefonu, często bez żadnego specjalnego czujnika

Lokalizacja to jedna z bardziej wrażliwych kategorii, a FTC podjęła w tej sprawie bezpośrednie działania egzekucyjne. W 2022 roku agencja pozwała Kochavę, pośrednika, którego opisała jako sprzedającego „ogromne ilości precyzyjnych danych lokalizacyjnych zebranych od dziesiątek milionów użytkowników urządzeń mobilnych”. Alert FTC zauważył, że tego rodzaju dane mogą ujawniać wizyty w „placówkach opieki medycznej, miejscach kultu, klinikach zdrowia reprodukcyjnego, schroniskach dla bezdomnych i schroniskach dla ofiar przemocy domowej oraz ośrodkach leczenia uzależnień”, a jako demonstrację pracownicy FTC stwierdzili, że byli w stanie użyć danych Kochavy, by zidentyfikować urządzenie, które odwiedziło klinikę zdrowia reprodukcyjnego dla kobiet, i prześledzić je do konkretnego domu. Te dane zaczynają się od aplikacji, która poprosiła o uprawnienie do lokalizacji, a następnie, niezależnie od wszystkiego, co twój operator komórkowy może już wyliczyć na podstawie tego, z jakimi stacjami bazowymi łączy się twój telefon, przekazała lokalizację dalej, do zewnętrznych firm.

Rejestry publiczne: źródło, z którego nie da się wypisać

Badanie FTC z 2014 roku obejmujące dziewięciu większych pośredników danych ustaliło, że wszyscy oprócz trzech pozyskiwali dane bezpośrednio ze źródeł federalnych, takich jak Census Bureau i rejestry zgonów Social Security Administration, a rządy stanowe i lokalne dostarczały rejestry nieruchomości, rejestrację wyborców, akta sądowe i licencje zawodowe. Część tego przepływu ma rzeczywiście ograniczenia prawne: raport FTC zauważa, że co najmniej dwadzieścia dwa amerykańskie stany ograniczają komercyjne wykorzystanie rejestrów wyborców, a federalna ustawa Driver’s Privacy Protection Act ogranicza ujawnianie rejestrów pojazdów poza określonymi celami. Ale same leżące u podstaw rejestry — akt własności nieruchomości, akt małżeństwa, dokument sądowy — istnieją, ponieważ wymaga tego prawo, niezależnie od tego, czy wolałbyś, żeby nie istniały.