מחקר: אפליקציות היכרויות משתפות מידע רגיש עם מפרסמים

משתמשי אפליקציות היכרויות רוצים לרוב דבר אחד: לפגוש דרך השירות אדם שיפיג את בדידותם, ללילה או לכל החיים. סביר להניח שמרביתם לא מעלים על הדעת בכלל את נושא המידע האישי שהם מספקים בשירות, ושעלול לשמש את החברות המפעילות את השירות לצורך מיקוד מודעות אליהם.

מועצת הצרכנות הנורווגית פרסמה באחרונה דו"ח שמצא 10 אפליקציות היכרויות – כמו טינדר, גריינדר ואחרות מעט פחות מוכרות לנו – הנוהגות לשתף נתוני משתמשים אישיים ורגישים עם מפרסמים. הנתונים הללו כוללים בין השאר: מיקום, נטייה מינית, השקפות דתיות ופוליטיות, ואפילו שימוש בסמים ובתרופות. הנתונים הרגישים, כך טוענים החוקרים, משותפים עם יותר מ-135 חברות צד שלישי.

הממצא מעיד על עבירה על החוק באירופה, שכן שיתוף של נתונים אישיים שנאספו אינו מותר ומפר את תקנות ה-GDPR של האיחוד האירופי. GDPR נועדו לסייע בהגנה על פרטיות המשתמשים ברשת, ומחייבות חברות גם להיות שקופות באשר לאופן שבו שיטות עבודה מסוימות מתנהלות.

המחקר הנורווגי בחן רק יישומי אנדרואיד, אולם המועצה הבהירה שאין זה אומר כי מכשירי iOS בטוחים. לדברי החוקרים, כל היישומים, ללא קשר לפלטפורמה, אוספים נתונים אישיים.

גריינדר וטוויטר – מפרות פרטיות הקהילה הגאה?

אחד ממצאי המחקר העידו כי גריינדר, אפליקציית היכרויות לקהילה הגאה, משתמשת בתוכנת פרסום המכונה MoPub, שנמצאת בבעלות טוויטר, והיא שאוספת מידע IP ומאפשרת למפרסמים לעקוב אחר משתמשים בכל המכשירים.

בדו"ח של המחקר נכתב כי "גריינדר מפרטת רק את MoPub של טוויטר כשותף לפרסום, ומעודדת את המשתמשים לקרוא את מדיניות הפרטיות של השותפים של MoPub עצמה, על מנת להבין כיצד משתמשים בנתוניהם". אולם ל-MoPub יש למעלה מ-160 שותפים שכאלו, ולכן המשתמשים "לא מסוגלים לתת הסכמה מושכלת לאופן בו כל אחד מהשותפים הללו יכול להשתמש בנתונים אישיים", הבהירו החוקרים.

גריינדר בחנות האפליקציות. צילום: BigStock

לאחר פרסום הדו"ח, טוויטר נקטה במספר צעדים כולל בהשעיית הגישה של גריינדר ל-MoPub. דובר טוויטר אמר ל-NPR: "אנו בוחנים כרגע סוגיה זו בכדי להבין האם די במנגנון ההסכמה של גריינדר. בינתיים השבתנו את חשבון MoPub של גריינדר".

יצוין כי במאי האחרון נודע שחברת המשחקים הסינית Beijing Kunlun Tech, הבעלים של גריינדר, הודיעה כי היא מסכימה לבקשה של הוועדה האמריקנית להשקעות זרות, ה-CFIUS, למכור את האפליקציה. החברה אמורה לעשות זאת עד יוני 2020, כך על פי רויטרס. החלטתה של Kunlun התקבלה לאחר שבמרץ נחשף כי ה-CFIUS, שהיא וועדה ממשלתית אשר בוחנת רכישות של חברות אמריקניות בהיבט של סיכונים פוטנציאליים לביטחון לאומי, ביקשה מהבעלים לוותר על גריינדר, שבמאגרה נמצא מידע אישי של משתמשים, חלקו אישי במיוחד, כמו למשל סטאטוס נשאות ה-HIV שלהם. ה-CFIUS חששו מ"זליגת" המידע הרגיש לסין.

החששות הללו לא היו מפורכים, עוד קודם לכן, באפריל 2018, הסתבכה אפליקציית Grindr במחלוקת, לאחר שבאזפיד חשף כי היא משתפת את מצב ה-HIV (נשאות האיידס) של משתמשיה עם חברות פרסום. החברה הכחישה בזמנו את הממצאים והתעקשה שגורמים המקשרים בינה לבין המפרסמים הם שאמורים לנטר את המידע המועבר ממנה הלאה, ולא היא.

המחקר החדש ותוצאותיו מעוררים דאגה רבה גם מחוץ לאירופה. עקב הממצאים של מועצת הצרכנות הנורווגית החל לחץ בנושא בארצות הברית. קבוצה האמונה על זכויות אזרח וקבוצות להגנת הצרכן, בהובלת גוף ממשלתי המכונה Public Citizen, שמבקר פעילות מסחרית לא תקינה כלפי האזרחים, החלו להפציר ברגולטורים הפדרליים והמדיניים בארה"ב, לערוך בירורים משלהם בנוגע לאפליקציות הפופולריות הללו – בהן משתמשים משתפים נתונים רגישים מאוד, כחלק מדף הפרופיל שלהם או בינם לבין מי שאותו הם מבקשים להכיר. הגורמים גם קראו לקונגרס להשתמש בנתונים מהמחקר החדש כדי ליצור חוקים נוקשים בנושא פרטיות, בדומה ל-GDPR.

בנוסף, האיגוד האמריקאי לחירויות אזרחיות, ה-ACLU, שלח בעקבות הדברים מכתב לתובע הכללי של קליפורניה ובו נאמר כי אפשר שהממצאים החדשים שנחשפו מעידים על הפרה של חוק פרטיות הנתונים של המדינה, המכונה CCPA (ר"ת California Consumer Protection Act). מדובר בחוק חדש שעבר בקליפורניה ושלפיו צרכנים יכולים לבטל את הסכמתם למכירת המידע האישי שלהם למפרסמים. אם חברות אינן עומדות בכך – הצרכנים רשאים לתבוע אותן.