Como seus dados saem: aplicativos, cookies, localização e registros públicos

A aula anterior descreveu o que os corretores de dados possuem. Esta acompanha quatro caminhos concretos pelos quais suas informações viajam até chegar a eles: o código de terceiros embutido em aplicativos comuns, cookies e pixels em sites, a localização do seu celular, e registros públicos cuja existência você não pode impedir.

Aplicativos e os kits de desenvolvimento de software dentro deles

A maioria dos aplicativos não é construída inteiramente pela empresa cujo nome aparece neles. Desenvolvedores costumam adicionar kits de desenvolvimento de software (SDKs) de terceiros para coisas como análise de uso, relatório de falhas ou publicidade. A própria documentação para desenvolvedores da Apple, que exige que os aplicativos divulguem isso, define “parceiros terceirizados” como “ferramentas de análise, redes de publicidade, SDKs de terceiros, ou outros fornecedores externos cujo código você adicionou ao seu aplicativo”, e alerta diretamente os desenvolvedores contra “colocar em seu aplicativo um SDK de terceiro que combina dados de usuário do seu aplicativo com dados de usuário de aplicativos de outros desenvolvedores para direcionar publicidade ou medir a eficiência de anúncios, mesmo que você não use o SDK para esses fins”. Em outras palavras, um SDK que um desenvolvedor adicionou por um motivo pode, por conta própria, encaminhar dados que acabam combinados com dados de aplicativos completamente não relacionados.

Cookies e pixels nos sites que você lê

Na web, a mesma ideia aparece na forma de cookies. O Learning Center da Cloudflare explica que um cookie primário, definido pelo site que você está vendo, é diferente de um cookie de terceiros, definido por um domínio que não é o mostrado na sua barra de endereços — na maioria das vezes uma empresa de publicidade ou análise embutida em muitos sites diferentes. Como esse terceiro te reconhece de novo toda vez que você chega a outro site que carrega seu cookie, ele consegue construir um registro da sua navegação em sites que você nunca disse a ele que estava visitando. A própria orientação ao consumidor da FTC confirma que isso acontece além dos cookies também: os sites “podem rastrear sua atividade online usando um cookie ou pixel para identificá-lo mesmo depois que você sai do site”, e em aplicativos, “anunciantes podem usar um identificador de publicidade exclusivo para rastreá-lo”, às vezes junto com a impressão digital do dispositivo (fingerprinting), que reconhece seu navegador ou dispositivo por suas configurações particulares, sem sequer usar um arquivo armazenado.

A localização do seu celular, muitas vezes sem nenhum sensor especial

A localização é uma das categorias mais sensíveis, e a FTC já tomou uma ação de fiscalização direta sobre ela. Em 2022, a agência processou a Kochava, um corretor que descreveu como vendedor de “quantidades massivas de dados de localização precisos coletados de dezenas de milhões de usuários móveis”. O alerta da FTC observou que esse tipo de dado pode revelar visitas a “clínicas médicas, locais de culto, saúde reprodutiva, abrigos para pessoas em situação de rua e abrigos para vítimas de violência doméstica, e recuperação de vícios”, e, como demonstração, funcionários da FTC disseram ter conseguido usar os dados da Kochava para identificar um dispositivo que visitou uma clínica de saúde reprodutiva feminina e rastreá-lo até uma casa específica. Esses dados começam com um aplicativo que pediu permissão de localização, e então, separadamente do que sua operadora móvel já consegue calcular a partir das torres de celular às quais seu telefone se conecta, repassaram a localização a empresas externas.

Registros públicos: a fonte da qual você não pode se descadastrar

O estudo de 2014 da FTC sobre nove grandes corretores de dados constatou que todos, exceto três, obtinham dados diretamente de fontes federais, como o Census Bureau e os registros de óbito da Administração da Previdência Social, e que governos estaduais e locais forneciam registros de imóveis, cadastro eleitoral, registros judiciais e licenças profissionais. Parte desse fluxo tem, sim, limites legais: o relatório da FTC observa que pelo menos vinte e dois estados dos EUA restringem o uso comercial de registros de cadastro eleitoral, e a lei federal de Proteção à Privacidade do Motorista restringe a divulgação de registros de veículos fora de finalidades específicas. Mas os próprios registros subjacentes — uma escritura de imóvel, um registro de casamento, um processo judicial — existem porque a lei os exige, quer você prefira que não existissem ou não.