Az adatbrókerek olyan vállalatok, amelyek hatalmas mennyiségű személyazonosításra alkalmas információt (PII) gyűjtenek különböző forrásokból, például kormányzati közhiteles nyilvántartásokból és a közösségi médiából, majd azokkal kereskednek egymás között. Az USA és Európa most megpróbálja megszelídíteni ezt a piacot, mert rájöttek, hogy a böngészési és helymeghatározási adatok érzékenyek és védelmet érdemelnek.

Az amerikai Szövetségi Kereskedelmi Bizottság, az FTC tegnap arra figyelmeztetett, hogy az adatközlőknek újra kell gondolniuk, hogyan definiálják az érzékeny adatokat, tekintettel a közelmúltbeli eljárásokra, amelyek az Avast antivírusgyártót, valamint az X-Mode és az InMarket helymeghatározási adatszolgáltatókat érintették. Európa is mozgolódik ezen a területen, és a folyamatok világszerte a szigorítás irányába mozognak. Az FTC úgy döntött, hogy a böngészési és helymeghatározási adatokat érzékenynek kell tekinteni, és hogy - annak ellenére, hogy a fenti vállalkozások adatállományaiban nem szerepelnek személyazonosításra alkalmas adatokra (Personally Identifiable Information, PII) vonatkozó állítások - már az érzékennyé teszi ezeket az adatokat, hogy mire lehet következtetni belőlük.

"Többéves kutatások azt mutatják, hogy az adatkészletek gyakran akkor is tartalmaznak érzékeny és személyazonosításra alkalmas információkat, ha nem tartalmazzák az un. PII hagyományos, önálló elemeit, és az újraazonosítás napról napra könnyebbé válik" - jelentette ki a szervezet. Két héttel ezelőtt 16,5 millió dollárra bírságolták meg az Avast biztonsági szolgáltatót, mert a cég "egyedi és tartós eszközazonosítót" használt az internetezők tevékenységének nyomon követésére - beleértve "minden egyes meglátogatott weboldalt, a pontos időbélyeget, az eszköz és a böngésző típusát, valamint a várost, az államot és az országot". Mindezek ellenére az adatbrókerek továbbra is árulnak olyan reklámadatokat, amelyek veszélyeztetik az emberek magánéletét.


Az Avast a Jumpshot nevű leányvállaltán keresztül adta el a felhasználói adatait
Az Apple és a Google által használt mobilreklám-azonosító egyedi, a felhasználó által visszaállítható és törölhető lesz, és használható földrajzi célú marketingre. Ezek a hirdetési azonosítók nem biztosítanak közvetlen hozzáférést a felhasználói profilokhoz, de összekapcsolhatók az adatprofilokkal, és felhasználhatók a mobileszközök helymeghatározási adatokon alapuló, személyre szabott hirdetésekkel történő megcélzására. A hirdetési cégek a mobil azonosítókat PII-nek tekinthetik vagy nem tekinthetik, attól függően, hogy azok felhasználhatók-e az eszköz felhasználójának azonosítására. A Google például a PII definícióját helyzeti alapon határozza meg. A hirdetési óriás nem tekinti PII-nek az álneves cookie-kat, az álneves hirdetési azonosítókat, az IP-címeket vagy más álneves végfelhasználói azonosítókat a szerződései és irányelvei terén, mert az európai, az egyesült királyságbeli és az amerikai törvények eltérő meghatározásokat alkalmaznak, és ezek a meghatározások tág teret engednek az értelmezésnek.

Hogy mindez mit jelent a gyakorlatban? Ryan Paterson, az Unplugged nevű mobilos adatvédelemmel foglalkozó cég elnöke elmondta, hogy megkereshet egy adatbrókert, és megveheti az összes reklámazonosítót több, földrajzi szempontból behatárolt régióban - például egy adott ház, egy iskola és egy étterem környékén - egy bizonyos időszak alatt. Ezekkel az adatokkal felfegyverkezve egy magánszemély vagy szervezet térképet készíthet egy adott reklámazonosító mozgásáról, amely gyakran felhasználható az eszközt használó személy azonosítására. Ha például egy adott azonosító gyakran jár egy adott háznál este, akkor valószínűleg ahhoz a háztartáshoz kapcsolódik. Ha pedig egy adott munkahelyen is gyakran megjelenik munkaidőben, akkor az adott személy valószínűleg ott dolgozik.

Az adatbrókerek viszont - a helymeghatározási adatokat szolgáltató technológiai platformok segítségével - olyan azonosítókat is használnak, amelyekből személyes adatokra lehet következtetni. Éppen ezért az Open Rights Group nevű adatvédelmi aktivista szervezet panaszt nyújtott be az Egyesült Királyság és Franciaország adatvédelmi hatóságaihoz a LiveRamp adatbróker "marketingcélú, mindenre kiterjedő személyazonossági megfigyelése" ellen. A szervezet arra kérte az adatvédelmi hatóságokat, hogy vizsgálják felül a LiveRamp gyakorlatát az európai GDPR és az Egyesült Királyság adatvédelmi jogszabályai alapján.


Példatérkép a helymeghatározási adatok időbeli változásáról
"A reklámtechnológiai iparág ragaszkodik ahhoz a tarthatatlanul szűk értelmezéshez, hogy mi számít személyes információnak" - mondta Arielle Garcia, az ASG Solutions adatvédelmi tanácsadója. "Tekintettel arra, hogy ezeket az adatokat a fogyasztók célzására, nyomon követésére és profilozására használják, alapvető összeegyeztethetetlenség áll fenn az azonosítók használata és az anonimizálás koncepciója között. Amint valaki interakcióba lép egy hirdetéssel, az állítólagos "anonimizálás" semmis. Megvásárolhatunk például egy olyan közönségszegmenst, amely olyan személyekből áll, akik egy adott betegség kezelésére keresnek kezelést, hirdethetnénk nekik, és a hirdetés egy céloldalra irányítaná a forgalmat. Ezen az oldalon - amely szintén tartalmaz egy nyomkövető pixelt - lenne egy űrlap, ahol az illetőnek meg kell adnia a nevét és egyéb személyes adatait."

Az Open Rights Group panaszaihoz mellékelték a LiveRamp személyazonossági rendszerének vizsgálatáról szóló jelentést, amely Wolfie Cristl, a Cracked Labs biztonsági kutatója és a jelentés szerzője szerint 250 millió amerikai, 45 millió egyesült királyságbeli és 25 millió franciaországi személyazonossági adatot tartalmaz. "Mindenkihez hozzárendelnek egy egyedi személyi azonosítót, a RampID-t, amely névhez, lakcímhez, korábbi címekhez, e-mailhez, telefonszámokhoz, eszközazonosítókhoz (okostelefonokra, táblagépekre, tévékészülékekre, böngészőkre stb. utalva), nagy platformokon lévő fiókazonosítókhoz és más adatbrókerek által tárolt digitális profilokra utaló azonosítókhoz kapcsolódik" - írta Cristl a LinkedIn-en közzétett bejegyzésében.

A RampID a jelentés állítása szerint lehetővé teszi a vállalkozások számára, hogy "felismerjék, nyomon kövessék, profilozzák és célozzák az embereket a digitális világban". A jelentés megállapítja, hogy egészen a közelmúltig "a LiveRamp által használt terminológia félrevezető volt, sőt megtévesztőnek is tekinthető", mivel a cég a RampID-re anonim azonosítóként hivatkozott. Jelenleg a vállalat a RampID-t álnevesített azonosítónak nevezi - ami a GDPR értelmében személyes adatnak számít. "Az álnevesített azonosítók olyan azonosítók, például ismert azonosítók, amelyeket álnevesítettek, vagy eszközazonosítók (például mobileszköz-azonosító vagy cookie-azonosító), amelyek nem kapcsolhatók vissza közvetlenül egy személyhez" - áll a LiveRamp dokumentációjában.

A LiveRamp - korábban Acxiom néven volt ismert - egyike annak a három adatbrókernek, amely a Duke Egyetem Sanford School of Public Policy kiberpolitikai programjának 2021-es jelentése szerint "nyíltan és kifejezetten az amerikai hadsereg jelenlegi vagy volt katonáinak adatait árulta". Ezek a cégek azt állítják, hogy nem adnak el személyes adatokat, mégis segítenek például a Planned Parenthood abortuszklinikák látogatóit abortuszellenes hirdetésekkel megcélozni, amerikai állampolgárok adatait külföldi cégeknek eladni, vagy amerikai katonákról adatokat értékesíteni.

Bill Budington, az Electronic Frontier Foundation vezető technológusa szerint még nagyobb a gond. "A hirdetési azonosítók több adatponton keresztül egyedi, tartós azonosítót biztosítanak, így bármely adatbróker, aki rendelkezik egy sor hirdetési azonosítóval és helymeghatározási ponttal, képes "összekapcsolni a pontokat", és nyomon követni egy személy mozgását az idő múlásával" - mondta Budington. "A helymeghatározási adatok felhasználásával további következtetéseket lehet levonni egy személy lakcímére, munkahelyére, arra, hogy kivel van romantikus kapcsolata, hova jár munkaidő után stb. Az adatok anonimizálására irányuló minden erőfeszítésnek szigorú szabványokhoz kell igazodnia" - tette hozzá Budington. "Az olyan hagyományos azonosítók, mint a név vagy az SSN, egyszerű eltávolítása egy adatkészletből közel sem elég. Valójában az egyénhez rendelt egyedi azonosítók jobban azonosíthatják az adott személyt, mint a neve. Az eszközzel összekapcsolt adathalmazok hihetetlenül árulkodóak. Az időbeli helymeghatározással, az esetlegesen felkeresett érzékeny helyszínekhez és a helyhez kapcsolódó viselkedési szokások időbeli meghatározásának kombinálásával azonosítható lehet egy adott személy."

Zach Edwards, a Victory Medium adatvédelmi kutatóház biztonsági és adatvédelmi tanácsadója elmondta, hogy bár az Apple és a Google lehetővé teszi az emberek számára a reklámazonosítók letiltását, a legtöbben nem teszik ezt meg. Elmagyarázta, hogy a mobil hirdetési azonosítók a natív iOS és Android alkalmazásokra vonatkoznak - de a weboldalakra nem, amelyekhez történelmileg más azonosítók, például HTTP-sütik és IP-címek tartoznak. Ezeket azonban gyakran kombinálják.


Az azonosító letiltása csak egy gombnyomás
"Gyakran az IP-cím az összekapcsolási kulcs" - magyarázta Edwards. "A mobilalkalmazás oldalán van egy IP-cím és egy hirdetési azonosító. A weboldal vagy az alkalmazáson belüli böngésző oldalán alapvetően sok IP-cím van. Az alkalmazáson belüli böngészők esetében néha a hirdetési azonosító is megvan, mivel az egy natív alkalmazáson belül létezik. Bizonyos szervezetek sok adatot vásárolhatnak a birtokukban lévő adatokhoz csatolva, és így valóban robusztus profilokat alakíthatnak ki az emberekről. Így épül fel sok hirdetési szegmens. Az összes adatbróker adatot cserél, és a lehető legjobb profilokat építi ki."

Edwards azt is megjegyezte, hogy az Apple és a Google által kínáltakon túl is léteznek reklámazonosítók. A Connected TV - az okos tévékészülékeken és set-top-boxokon keresztül alkalmazásokon keresztül streamelt tartalmak - szintén rendelkeznek reklámazonosítókkal. "Az Apple és a Google két olyan vállalat, amely távolról is ellenőrizni tudja és átláthatóvá teszi ezt a kérdést" - jegyezte meg. "A Tizen ID és az összes többi TV ID alapértelmezés szerint be vannak kapcsolva. Nehéz megtalálni, hogyan lehet ezeket kikapcsolni, és a felhasználót soha senki nem kéri, hogy kapcsolja ki. És ez egyre nagyobb problémát jelent, amikor minden megvásárolható tévé olyan, mint egy felnagyított Android-eszköz."

A problémát tovább súlyosbítja, folytatta Edwards, hogy nem nyilvánvaló, hogy az alkalmazásokba épített SDK-k mit kezdenek az általuk kezelt adatokkal. "Sem a Google, sem az Apple nem követeli meg az SDK-t használó cégek nyilvánosságra hozatalát" - magyarázta Edwards. "Tehát mielőtt letöltenénk egy alkalmazást, lehet, hogy tudjuk, mik az engedélyek. Lehet, hogy látjuk az adatvédelmi címkét, de nem tudjuk kik a partnereik".

Régebben viszonylag kevesen tudták, hogyan lehet az adatokat hatékonyan kihasználni az azonosítás és a célzás érdekében. Mostanra azonban az egykor homályos, szürke marketingtechnikák bevett gyakorlattá váltak. Egy évtizeddel ezelőtt, mondta Edwards, "csak a legmagasabb szintű kormányzati emberek használták a hirdetéseket emberek célzására, rosszindulatú szoftverek kiszolgálására egy adott személynek. Most azonban nagyszámú adatbróker van, akiknek az a fő szolgáltatásuk, hogy szolgáltatásként követik az embereket. "Alapvetően átléptük a Rubicont, ahol minden olyan adattudós, akinek csak egy kis tapasztalata van a helymeghatározási adatokkal kapcsolatban, valamilyen módon tud az ilyen típusú invazív gyakorlatokról."