Como os seus dados saem: apps, cookies, localização e registos públicos

A lição anterior descreveu o que os corretores de dados detêm. Esta segue quatro caminhos concretos pelos quais a sua informação viaja até chegar até eles: o código de terceiros incluído em apps comuns, cookies e pixels em sites, a localização do seu telemóvel, e registos públicos cuja existência não pode impedir.

As apps e os kits de desenvolvimento de software dentro delas

A maioria das apps não é construída inteiramente pela empresa cujo nome aparece nelas. Os programadores acrescentam habitualmente kits de desenvolvimento de software (SDKs) de terceiros para coisas como análise, relatórios de falhas ou publicidade. A própria documentação de programadores da Apple, que exige que as apps divulguem isto, define "parceiros terceiros" como "ferramentas de análise, redes publicitárias, SDKs de terceiros, ou outros fornecedores externos cujo código foi acrescentado à sua app", e avisa diretamente os programadores contra "colocar na sua app um SDK de terceiros que combina dados de utilizador da sua app com dados de utilizador de apps de outros programadores para direcionar publicidade ou medir a eficácia da publicidade, mesmo que não use o SDK para esses fins." Por outras palavras, um SDK que um programador acrescentou por um motivo pode, por si só, reencaminhar dados que acabam combinados com dados de apps totalmente sem relação.

Cookies e pixels nos sites que lê

Na web, a mesma ideia surge como cookies. O Centro de Aprendizagem da Cloudflare explica que um cookie de primeira parte, definido pelo site que está a ver, é diferente de um cookie de terceiros, definido por um domínio que não é o mostrado na sua barra de endereços — na maioria das vezes uma empresa de publicidade ou análise incorporada em muitos sites diferentes. Como esse terceiro o volta a ver sempre que chega a outro site com o seu cookie, consegue construir um registo da sua navegação em sites que nunca lhe disse que estava a visitar. A própria orientação da FTC para consumidores confirma que isto acontece também para além dos cookies: os sites "podem seguir a sua atividade online usando um cookie ou pixel para o identificar mesmo depois de sair do site", e nas apps, "os anunciantes podem usar um identificador publicitário único para o seguir", por vezes a par da impressão digital do dispositivo (fingerprinting), que reconhece o seu navegador ou dispositivo pelas suas definições particulares, sem sequer haver um ficheiro guardado.

A localização do seu telemóvel, muitas vezes sem qualquer sensor especial

A localização é uma das categorias mais sensíveis, e a FTC já tomou medidas diretas de fiscalização sobre ela. Em 2022, a agência processou a Kochava, um corretor que descreveu como vendendo "quantidades massivas de dados de localização precisos, recolhidos de dezenas de milhões de utilizadores móveis." O alerta da FTC notou que este tipo de dados pode revelar visitas a "cuidados médicos, locais de culto, saúde reprodutiva, abrigos para sem-abrigo e abrigos para vítimas de violência doméstica, e recuperação de dependências", e como demonstração, técnicos da FTC afirmaram ter conseguido usar os dados da Kochava para identificar um dispositivo que visitou uma clínica de saúde reprodutiva feminina e associá-lo a uma casa específica. Esses dados começam com uma app que pediu permissão de localização, e depois, separadamente do que a sua operadora móvel já consegue calcular a partir das antenas a que o telemóvel se liga, passou a localização adiante para empresas externas.

Registos públicos: a fonte que não pode recusar

O estudo de 2014 da FTC sobre nove grandes corretores de dados concluiu que todos menos três obtinham dados diretamente de fontes federais, como o Departamento do Censo e os registos de óbitos da Administração da Segurança Social, e que os governos estaduais e locais forneciam registos de propriedade, registo de eleitores, registos de tribunais e licenças profissionais. Parte desse fluxo tem de facto limites legais: o relatório da FTC nota que pelo menos vinte e dois estados dos EUA restringem o uso comercial dos registos de eleitores, e a lei federal Driver’s Privacy Protection Act restringe a divulgação de registos de veículos motorizados fora de fins específicos. Mas os próprios registos subjacentes — uma escritura de propriedade, um registo de casamento, um processo judicial — existem porque a lei exige que existam, quer prefira que não existissem ou não.