Honnan szerzik a célzott hirdetésekhez a cégek az adatokat?

Az NRK.no oldalon jelent meg egy cikk 2020. december 3-án, melyben a lap egyik újságírója hosszas nyomozómunkával utánajárt, pontosan mi is történik a rá vonatkozó adatokkal, miután azokhoz a telefonján telepített appok hozzáférnek, illetve pontosan hogyan kerülnek ezek az adatok felhasználásra célzott hirdetések eljutattására. Mint kiderült, a szálak messzire vezetnek és több ponton érintik a valós idejű online hirdetési rendszert (RTB), melyről cikkeinkben az utóbbi időben már többször szó volt. Alább közöljük az eredeti cikket összefoglalva.

Megkérdőjelezhető adatkezelés

Martin Gundersen, az NRK újságírója mindig tudta, hogy a telefonján található appok nyomon követik, azonban újságíróként ennek utána is járt mélyebben. 2020 tavaszán részt vett egy csoportos újságírói munkában, melyben azt tárták fel, hogyan követtek 8.300 esetben olyan személyekhez tartozó telefonokat, amelyek felhasználói kórházban, pszichiátriai intézményben vagy hasonlóan szenzitív helyeken tartózkodtak.

A csoport kb. 3.300 euróért (1,17M Ft) jutott hozzá egy olyan adatbázishoz, melynek segítségével norvég állampolgárok tízezreinek mozgását követhették a 2019-es évben. Az adatok alapján könnyedén be tudtak azonosítani például egy stavangeri lakost, holott a vele kapcsolatos adatok „anonimizáltak” voltak. Nem kérdéses tehát, hogy ezek az adatok alkalmasak arra, hogy segítségükkel célzott hirdetéseket küldjenek.

Gundersen szerint gyakori kifogás, hogy a nyomonkövetés során szerzett adatok „csak reklámozási célokra” kerülnek felhasználásra, viszont a valóságban ez korántsem igaz, illetve még ha az is, az adatkezelőnek a rendelkezésre álló adatok alapján sokszor valós és könnyű lehetősége van további adatok, következtetések kinyerésére is. Példakánt azt a Vice Motherboard cikket hozza fel Gundersen, amely szerint az amerikai hadsereg adatot vásárol egy muszlim ima-apptól a felhasználók helyzetének meghatározására.

Egy másik példa, amit felhoz, annak a KFC étteremtulajdonosnak az esete, akit kábítószercsempészet miatt fogott el az amerikai határőrség. A már nem működő étterem és Mexikó között ugyanis egy alagúton keresztül drogokat csempésztek az országba. Az ügyben a tulajdonos telefonjának helyzeti adatai segítettek a hatóságoknak az elkövetők nyomára, illetve az alagút bejáratára bukkanni.

Hozzáférés kérése

A KFC ügyben a Venntel nevű cég szolgáltatta az adatokat a hatóságoknak, ezért Gundersen úgy döntött, utánajár a cégnek. Mint kiderült, egy virginiai ipartelepen találhatók az amerikai ipar vezető cégei irodáinak szomszédságában, nem messze az FBI központjától.

2020. augusztus 20-án hozzáférést kért a GDPR 15. cikkére hivatkozással a Vennteltől az általa kezelt adatokhoz, amihez a GDPR rendelkezései szerint mindenkinek joga van. A következő napon a Venntel válaszában megkérte, hogy adjon meg néhány címet, amit rendszeresen látogat, hogy összevethessék a kezelt hirdetésazonosítókkal.

Az adatok szolgáltatását követően, körülbelül egy hónap múlva Gundersen egy e-mailt kapott a Vennteltől, mely összesen 75.406 olyan helyet tartalmazott, ahol február 15. óta megfordult. A Venntel hozzáfűzte leveléhez, hogy ezeket az adatokat megosztják ügyfeleikkel, akik ezt bűnüldözésre és nemzetbiztonsági célok elérésére is használják. Az ügyfelek kilétéről a levél nem tartalmazott információt.

Az adatok útja

Meglepő volt, hogy ennyi adat kötött ki végül a Venntelnél, hiszen a Gundersen által használt egyik app sem említette a cég nevét az adatvédelmi tájékoztatójában. A Venntel annyi választ adott, hogy anyacégük, a Gravy Analytics útján jutottak adatokhoz, de a pontos appokról nem tudtak felvilágosítást adni.

A Gravy Analytics egy RTB cég, mely azt állítja, hogy nem ismeri az általuk kezelt adatok eredetét. Megkeresésre azonban kiderült, hogy két további cégen keresztül is jutottak adatokhoz, amelyek kapcsolatban voltak a telefonon használt appok adatkezelőjével, egy Szlovákiában bejegyzett Sygic nevű céggel. Adatkezelési tájékoztatójában a Sygic a reklámok személyre szabását adja meg adatkezelési célként.

Adatvédelmi jogszabályok megsértése

A Sygic látszólag megszegte saját adatvédelmi tájékoztatóját, amikor Gundersen adatait a Gravy Analytics-nek továbbította. A Gravy a „reklámok személyre szabásán” túl már számos további adatkezelési célt fogalmaz meg, mint pl. az átverések megelőzése, a bűnüldözés és a nemzetbiztonság. Elviekben Gundersen személyes adatait ilyen vonatkozásban is felhasználhatták.

Az újságíró felkeresett három GDPR szakértőt, akik azonnal felhívták figyelmét a Rendelet 5. cikkében foglalt „célhoz kötöttség” elvére. Nem elfogadható általánosságban, hogy az adatok továbbítás után rendszer szinten más célokra kerülnek kezelésre, mint amiért eredetileg begyűjtötték őket. Hasonló eredményre jutottak egy másik app (Fu**Weather) kapcsán is, ahol az adatvédelmi nyilatkozat a „bevételszerzést” határozta meg adatkezelési célként. A jogászok véleménye szerint ez a megfogalmazás túlságosan általános, ezért nem fogadható el célként, hiszen minden gazdasági társaságnak ez a célja.

Átláthatatlan, irányíthatatlan adattovábbítások

A fentiek szerint szinte lehetetlen megállapítani, hogy hogyan jutottak az appoktól egészen a Venntelig Gundersen személyes adatai, de sajnos ez egy bevett gyakorlatnak mondható az interneten. A Venntel szóvivője szerint az általuk végzett adatkezelésekre minden esetben megfelelő jogalappal rendelkeznek, ha ebben az esetben máshogy történt, az az egyik partnerük szerződésszegésének eredménye lehet csak.

A GDPR 2018-as alkalmazásától sokan optimistán várták, hogy a célzott hirdetéseket elősegítő adatokkal kereskedő cégeknek nehezebb dolguk lesz az érintettek utáni kémkedés során, azonban közülük sokan a régi módszereiket használják új köntösbe bújtatva. Wolfie Christl, egy osztrák kutató szerint a valóságban szinte lehetetlen feltérképezni a személyes adatok áramlását az egyes appok és szolgáltatók között. Véleménye szerint ez nem fog változni, amíg a hatóságok nem tesznek ellene érdemben.