Телефонът ми ме шпионира, но аз намерих кой използва тези данни

Следят ме: голяма американска компания има информация за точното ми местоположение.

В моя телефон са инсталирани 160 приложения. Аз не зная какво точно правят те и реших да разбера.

Непрекъснато имах усещането, че тези приложения ме шпионират. Не че ме подслушват, но постоянно следят къде се намирам. Че информацията за всяка моя стъпка се подава на някого: когато пазарувам в търговския център, когато се отбивам на чашка в бара и когато си говоря с приятелите.

Много добре знам, че има такива компании, които купуват и продават тази информация. Но по какъв точно начин ни следят и какво искат да правят с нашите данни?

За да мога да стигна до самото дъно, през месец февруари тази година започнах един интересен експеримент. Купих си резервен смартфон, на който инсталирах куп приложения и след това започнах да го нося със себе си.

Не, не – почти навсякъде със себе си. Оставих го вкъщи, когато през месец април трябваше да се тествам за COVID-19.

Злоупотребата е съвсем лесна

Усещането за следене с годините се засилваше, като аз имах причини за това. Тази пролет участвах в екипа на NRK (норвежката комуникационна корпорация), която документира как става следенето на над 8300 мобилни телефона, докато те са в болниците и в приютите.

За 35 хиляди норвежки крони (3300 евро/4000 долара) ние получихме достъп до данните за местоположенията, показващи къде са ходили през 2019 година десетки хиляди норвежци.

Един от тях бе 31-годишният Карл Бьорн Бернхардсен от Ставангер. Този информация ми даде възможност съвсем лесно да го идентифицираме по данните, които доставчикът заяви, че са анонимизирани.

Ние му позвънихме и му показахме къде се е намирал почти всеки ден от 2019 година. Зоопаркът. Кандидатстване за работа. Няколко дни в болницата като баща на първородния си син. И т.н. и т.н.

Тогава Карл ни каза, че ако тази информация попадне в неправилните ръце, то тя може много коварно да бъде използвана.

Предателството

Често можем да чуем, че комерсиалното следене не е чак толкова страшно и се използва само за реклама. Само че има много други, които са заинтересовани от цифровите следи на нашите телефони.

От излязлата наскоро публикация на Vice Motherboard стана ясно, че въоръжените сили на САЩ купуват данните за местоположенията и че приложението за мюсюлманските молитви изпраща потребителските данни за местоположението на различни клиенти от сферата на отбраната.

„Това прилича на предателство“ – заяви местният ръководител на съвета по американско-ислямски отношения.

През 2018 година собственикът на затворено заведение от веригата Kentucky Fried Chicken бе арестуван в погранично градче в Аризона по подозрение че е участвал в контрабандата на наркотици от Мексико през тунел под границата със САЩ.

Според информация на Wall Street Journal (WSJ), имиграционната и митническата полиция на САЩ (U.S. Immigration and Customs Enforcement, ICE) е използвала данни за местоположението, които могат да се купят.

Веднага става ясно, защо журналистите на NRK са настоятелно съветвани внимателно да помислят, преди да носят със себе си смартфон на среща с конфиденциален източник на информация. Властите елементарно могат да получат достъп до информацията за местоположението и на двата обекта дори без съдебно разрешение.

Ако моите данни за местоположението попаднат в лоши ръце, то това може да окаже влияние и на други хора. Ние непрекъснато се опасяваме от това, че може да се идентифицира този, който ни е съобщил конфиденциална информация.

Искам достъп до своите данни

Сега вече знаем, че компанията, която е доставила на ICE информацията за това заведение за бързо хранене, се нарича Venntel. Според документите за регистрация, тази компания се намира в промишлен клъстър на щата Вирджиния.

В същата тази местност могат да бъдат видени различни предприятия от сектора на отбраната – например, Lockheed Martin – компанията, която създаде F-35. Можем да видим и Booz Allen Hamilton – бившият работодател на Едуард Сноудън. Достатъчно е да продължите с автомобила си в продължение на 20 минути на изток и ще се окажете в Лангли, щата Вирджиния, където се намира централният офис на ЦРУ.

На 20-ти август аз поисках копие на цялата информация, която Venntel има за мен. В резултат от приемането на GDPR през 2018 година, всички европейци имат това право.

На следващия ден юридическият отдел на Venntel ме помоли да укажа няколко адреса, които съм посетил наскоро.

„След като получим тази информация, ние първо ще проверим, дали предоставеният от вас Advertiser ID го има в нашата база данни“ – се казваше в получения имейл.

Advertiser ID е нещото, което го има във всеки смартфон. Този идентификатор е ключът към следенето на потребителите на смартфони. Притежателите на мобилни телефони имат възможност да ограничават колко лесно да става достъпа до този индикатор, но твърде малко хора се занимават с това.

Аз предоставих на Venntel адреса на моя офис в сградата на NRK и на моя апартамент в Осло.

Данни за продан

След почти един месец аз получих от Venntel нов имейл с интересен прикачен файл. В него бе включена информацията за това, къде 75406 пъти съм бил, считано от 15 февруари. Внезапно се появи възможност да проследя всяка своя стъпка – разходка, бар, на гости на баба ми в Южна Норвегия и т.н.

В тези данни няма нито номера на телефони, нито имена. Но абсолютно всеки с лекота може да разбере, че това съм аз и това са моите местоположение. Обикновено търсене в Google и в телефонния справочник би показало че има такъв Мартин Гундерсен, който живее в квартала Sorgenfrigata на Осло и работи  NRK Marienlyst.

Има и още. Venntel ме уведоми, че е подавала тази информация на своите клиенти, които я използват в полза на федералното законодателство и националната безопасност.

Кои точно са тези клиенти Venntel отказа да съобщи

Една добре пазена тайна

Как така са могли да получат данните за моето местоположение в Осло хората на Venntel, която се намира в САЩ? Нито в едно от инсталираните от мен приложение тази компания не се споменава. Никъде, дори и в най обърканата политика за конфиденциалност, която едва ли някой чете преди да натисни ОК.

Все пак Venntel ми съобщи, че е получила информацията за мен от своята родителска компания Gravy Analytics и че тя почти нищо не знае за приложенията, които са свързани с тази компания.

Gravy Analytics е брокер на данни в сферата на маркетинга. Този компания събира огромни обеми данни за потребителите, за да може да усъвършенства таргетирането на реклами. От друга страна, Gravy Analytics заявява, че нищо не знае за произхода на повечето от тези данни. Но в отговор на запитването за предоставяне на достъп до тези данни, изведнъж се появиха две нови компании – Predicio (Франция) и Complementics (САЩ).

След като в качеството си на журналист проверих по-надълбоко, се оказа, че част от данните за моите местоположения, оказали се в ръцете на специалистите на Venntel, са взети от словашкия разработчик на приложения Sygic, който има в своето портфолио 70 приложения.

В интернет-страницата на разработчика се твърди, че неговото най-популярно предложение има 200 милиона потребители.

15 февруари аз инсталирах две навигационни приложения на Sygic, като и двете ми поискаха да дам съгласие за персонализация на рекламата.

Ако вие сте един от тези хора, които почти нищо не четат за какво са дали съгласието си, то не сте сами. Съвсем малко са потребителите, които четат условията за използване на инсталираните приложения и онлайн услуги.

Кликнах върху I agree и оттогава между мен и приложението без сключен договор, който има обвързваща сила.

Нарушение на законите за конфиденциалността

Вижда се, че когато Gravy Analytics е получила тези данни, споразумението със Sygic е било нарушено. В своята политика за конфиденциалност Gravy Analytics заявява, че моята лична информация може да се използва в   различните услуги на нейните партньори и клиенти на компанията или с други думи, Gravy Analytics е предала моите данни на своята дъщерна компания. А това ни връща към договора с Sygic от 15 февруари.

Консултирах се с трима адвокати – Малгожата Агнешка Синдецка, Ли Багрейв и Арве Фьойен, които са специалисти точно в тази област. Те заявиха, че възможността за използването на моята лична информация за цели, за които аз не съм си давал съгласието, е явно нарушение на GDPR, понеже този закон налага строги ограничения и изисквания относно това, какво може да се прави с личната информация.

Според юристите, подобна практика подкопаване не само принципа на целевите ограничения, но и принципите на прозрачност и честност, определени в GDPR.

Прогноза на времето с уловка

Сред файловете, които поисках и ми бяха дадени от Gravy Analytics и Venntel, мен ми е следило и приложението за прогноза на времето Fu*** Weather, което дава прогнозите си със силно саркастичен и язвителен тон. Кой не би искал да си подобри настроението чрез ежедневна прогноза за времето изпълнена с нецензурни думи?

При инсталирането на това предложение през есента аз си дадох съгласието, че моите данни могат да се използват за аналитика и „монетизация“ – тоест, за финансирането на това приложение.

Същите трима юристи заявиха, че предложеното за одобряване споразумение не съответства на GDPR, понеже не се знае какво точно се подразбира под „монетизация“.

Разработчикът от Funny Weather Лавиуш Фрас не работи в каквото и да е било голяма компания. Той каза, че не е чувал компанията Venntel, но допълни, че по никакъв начин не скрива бизнес-модела на приложението. Едновременно с това той се съгласи че в предложението би могло по-ясно да бъдат обяснени възможните последствия от въпросната „монетизация“.

Невъзможно е да се проследи

Остава пълна тайна по какъв начин данните от Funny Weather са стигнали до Venntel, но най-вероятно е те да са минали през френската компания Predicio, която е указана като посредник в политиката за конфиденциалност на това приложение.

Това е. От кои други приложения Venntel може да получава данни е много внимателно пазена тайна. Дори създателите и притежателите на мобилни приложения не знаят в какво са били въвлечени.

Направеният от NRK технически анализ показа, че именно данните от Sygic са се оказали във базите данни на Venntel. Вижда се, че ID, използван от компанията Complementics за данните от Sygic, присъства и в данните на Venntel. А Complementics има партньорско споразумение със Sygic.

Благодарение на въвеждането на GDPR през 2018 година защитниците на личните данни удържаха важна победа. Общоевропейският закон е предназначен за осигуряване на по-строг надзор на компаниите търгуващи с данните на потребителите. Но въпреки това, отделни области на цифровата реклама почти не са се променили. На практика всеки има моменти в живота си, които не би искал да споделя с другите – дори и със своите близки, ръководители и дори държавата.

Успях да разбера как протича потокът данни от мобилните приложения до Venntel, но останаха още много въпроси. Кои други клиенти на Venntel са получили тази информация за мен? Дали това са ФБР, разузнаването или военните? Не успях да разбера, а изброените дотук компании спряха да вдигат телефоните си и да отговарят на моите запитвания.