Como aplicativos móveis compartilham ilegalmente dados pessoais

• A Fnac, maior varejista de eletrônicos da França, o aplicativo imobiliário SeLoger e o MyFitnessPal, subsidiária da Under Armour, são acusados de acessar e compartilhar ilegalmente informações pessoais de usuários.
• As reclamações foram apresentadas pela noyb, organização europeia sem fins lucrativos focada em privacidade.
• Foi relatado que os aplicativos acusados começam a coletar e compartilhar dados assim que são abertos, sem o consentimento do usuário.
• Os dados coletados incluem o identificador exclusivo de publicidade do Google (AdID), o modelo e a marca do dispositivo, além do endereço IP local, e são compartilhados com terceiros.
• Essa coleta ampla de dados permite o perfilamento dos usuários, exibindo anúncios personalizados e campanhas de marketing, o que aumenta a receita das empresas.
• Segundo a diretiva ePrivacy, acessar ou armazenar dados no dispositivo do usuário só é permitido quando o usuário dá consentimento livre, claro, específico e inequívoco. No entanto, dois dos três aplicativos não exibiram banner de consentimento ao iniciar.
• O terceiro aplicativo apresentou um banner de consentimento, mas a transmissão de dados pessoais começou sem qualquer interação do usuário.
• O AdID é único e vinculado ao dispositivo de uma pessoa específica, o que permite que anunciantes e outros terceiros o utilizem para selecionar usuários-alvo.
• Alguns fornecedores de aplicativos chegam até a rastrear o comportamento do usuário fora do aplicativo, acrescentando ainda mais informações sobre a vida da pessoa aos dados coletados.
• Esse problema reflete uma questão mais ampla no ecossistema de aplicativos móveis, em que muitos apps não cumprem a legislação de privacidade da UE.
• Segundo a pesquisa, apenas 3,5% de todos os aplicativos ofereceram aos usuários uma opção real de recusar o consentimento.
• A noyb pediu à CNIL (autoridade francesa de proteção de dados) que obrigue os aplicativos acusados a excluir todos os dados processados ilegalmente e aplique multas.
• A captura e a análise do tráfego de rede foram realizadas com o PiRogue Tool Suite, desenvolvido pela Defensive Lab Agency.
• A noyb planeja apresentar mais reclamações contra empresas de aplicativos móveis no futuro e continuará trabalhando para impedir o compartilhamento ilegal de dados dos usuários.

[GN⁺]

Comentários do Hacker News

• O problema do compartilhamento ilegal de dados pessoais por aplicativos móveis; alguns apps nem sequer oferecem um banner de consentimento ao usuário
• Um usuário destacou a experiência com um widget que ele escolheu para funcionar sem anúncios, mas que transformou o celular do usuário em parte de uma rede de proxies e transmitiu dados de localização sem consentimento
• Discussão sobre por que os apps conseguem acessar dados sem o consentimento do usuário, com o argumento de que o problema não é a tecnologia, mas sim os usuários
• Foi apontado que não há, na prática, nada que impeça apps instalados de coletar todos os dados, e que Progressive Web Apps são uma solução preferível do ponto de vista da privacidade por serem limitados pelo sandbox do navegador
• Elogios ao trabalho da organização sem fins lucrativos noyb na aplicação das leis de proteção de dados, com incentivo para que os usuários apoiem suas ações futuras contra empresas que abusam de dados pessoais
• Foi discutida a luta contínua dos defensores da privacidade digital, com críticas às ações insuficientes dos governos
• Discussão sobre publicidade direcionada, com um usuário sugerindo que isso poderia ser uma situação vantajosa para todos se os usuários tivessem controle sobre seu comportamento
• Foi apontado que, apesar de existirem leis de privacidade, essas regras são frequentemente violadas, com a sugestão de que inspeções ativas em grandes sites e aplicativos poderiam ajudar a resolver o problema
• O aumento dos problemas de privacidade em infraestruturas críticas, como carros, foi destacado como uma área que precisa de mais atenção
• Discussão sobre a diferença entre empresas terceiras que apenas processam dados para clientes e empresas que os usam para seus próprios objetivos
• Argumentou-se que focar o debate jurídico em processar organizações que abusam de dados é parte do problema; um usuário sugeriu que o foco deveria estar em fazer as pessoas entenderem como seus dados estão sendo usados