Hur dina uppgifter kommer ut: appar, kakor, plats och offentliga register

Föregående lektion beskrev vad datamäklare håller. Den här följer fyra konkreta vägar din information tar för att nå dem: tredjepartskod inbyggd i vanliga appar, kakor och pixlar på webbplatser, din telefons plats, och offentliga register du inte kan förhindra existerar över huvud taget.

Appar och utvecklingskiten inuti dem

De flesta appar är inte helt byggda av företaget vars namn står på dem. Utvecklare lägger ofta till tredjeparts-SDK:er (utvecklingskit) för saker som analys, kraschrapportering eller annonsering. Apples egen utvecklardokumentation, som kräver att appar redovisar detta, definierar "tredjepartspartners" som "analysverktyg, annonsnätverk, tredjeparts-SDK:er, eller andra externa leverantörer vars kod du har lagt till i din app", och varnar utvecklare direkt för "att placera en tredjeparts-SDK i din app som kombinerar användardata från din app med användardata från andra utvecklares appar för att rikta annonsering eller mäta annonseffektivitet, även om du inte använder SDK:n för dessa syften". Med andra ord kan en SDK en utvecklare lagt till av ett skäl, på egen hand vidarebefordra data som hamnar kombinerad med data från helt orelaterade appar.

Kakor och pixlar på webbplatserna du läser

På webben visar sig samma idé som kakor. Cloudflares Learning Center förklarar att en förstapartskaka, satt av sidan du tittar på, skiljer sig från en tredjepartskaka, satt av en domän som inte är den som visas i din adressrad — oftast ett annons- eller analysföretag inbäddat på många olika sidor. Eftersom den tredje parten ser dig igen varje gång du landar på en annan sida som bär dess kaka, kan den bygga ett register över din surfning över sidor du aldrig sagt att du besökte. FTC:s egen konsumentvägledning bekräftar att detta sker bortom kakor också: sidor "kan spåra din aktivitet online genom att använda en kaka eller pixel för att identifiera dig även efter att du lämnat sidan", och i appar "kan annonsörer använda en unik annonseringsidentifierare för att spåra dig", ibland tillsammans med fingeravtrycksteknik, som känner igen din webbläsare eller enhet utifrån dess specifika inställningar snarare än från en lagrad fil alls.

Din telefons plats, ofta helt utan någon särskild sensor

Plats är en av de känsligare kategorierna, och FTC har vidtagit direkta åtgärder kring den. År 2022 stämde myndigheten Kochava, en mäklare den beskrev som att sälja "enorma mängder exakt platsdata insamlad från tiotals miljoner mobilanvändare". FTC:s varning noterade att den här sortens data kan avslöja besök vid "sjukvård, gudstjänstlokaler, reproduktiv hälsa, härbärgen för hemlösa och skyddade boenden för våld i nära relationer, samt missbruksbehandling", och som en demonstration sa FTC-personal att de kunde använda Kochavas data för att identifiera en enhet som besökt en klinik för reproduktiv hälsa och spåra den tillbaka till ett specifikt hem. Den datan börjar med en app som bad om platsbehörighet, och som, separat från vad din mobiloperatör redan kan räkna ut utifrån vilka mobilmaster din telefon ansluter till, förde platsen vidare till externa företag.

Offentliga register: källan du inte kan välja bort

FTC:s studie från 2014 av nio stora datamäklare fann att alla utom tre fick data direkt från federala källor som folkräkningsmyndigheten och socialförsäkringsmyndighetens dödsregister, och att delstatliga och lokala myndigheter tillhandahöll fastighetsregister, röstregistrering, domstolsregister och yrkeslicenser. En del av det flödet har faktiskt juridiska begränsningar: FTC-rapporten noterar att minst tjugotvå amerikanska delstater begränsar kommersiell användning av röstregistreringsregister, och den federala lagen om förares integritetsskydd begränsar utlämnande av fordonsregister utanför specifika syften. Men de underliggande registren själva — ett fastighetsbrev, ett äktenskapsregister, en domstolshandling — existerar för att lagen kräver att de gör det, oavsett om du skulle föredra att de inte gjorde det.