GDPR w aplikacji mobilnej: jakie dane SDK przekazują przed uzyskaniem zgody użytkownika

Użytkownik instaluje aplikację i otwiera ją po raz pierwszy. Gdy na ekranie pojawia się propozycja skonfigurowania ustawień prywatności, wbudowana biblioteka analityczna może już zarejestrować uruchomienie, a narzędzie do atrybucji reklamowej — przesłać informacje o urządzeniu swojemu dostawcy. Użytkownik nie dokonał jeszcze żadnego wyboru, ale transmisja danych już nastąpiła.

Dla spółki IT jest to jeden z najtrudniejszych aspektów pracy z danymi osobowymi w produkcie mobilnym. Zachowanie aplikacji zależy nie tylko od kodu własnego zespołu: zainstalowane SDK mogą automatycznie zbierać zdarzenia, tworzyć identyfikatory i komunikować się z zewnętrznymi serwerami. Dlatego zgodności z wymaganiami GDPR nie można ocenić wyłącznie na podstawie treści polityki prywatności lub wyglądu ekranu zgody. Należy sprawdzić, co aplikacja robi na urządzeniu i jakie dane rzeczywiście są przesyłane przez sieć.

Czego można dowiedzieć się o użytkowniku bez imienia i rejestracji

W analityce często używa się określenia «anonimowy» w odniesieniu do użytkownika, który nie zalogował się na konto. Z prawnego punktu widzenia to nie wystarczy. Identyfikator instalacji, identyfikator reklamowy lub inny trwały znacznik pozwala powiązać działania danej osoby pomiędzy sesjami. Jeżeli później się zarejestruje, zgromadzona historia może zostać powiązana z jej kontem.

Nawet pojedyncze zdarzenia mogą ujawnić wiele informacji o użytkowniku. Nazwa otwartego ekranu, wybrany plan taryfowy i kwota zakupu pomagają analizować zachowanie w produkcie. W aplikacji zdrowotnej zdarzenie takie jak «wyświetlenie wyniku badania» w połączeniu z identyfikatorem może ujawniać informacje wymagające szczególnej ochrony. Ryzyko zależy od zawartości parametrów, które aplikacja przekazuje wraz ze zdarzeniem, a nie tylko od nazwy SDK.

W praktyce należy sprawdzić trzy źródła danych: to, co biblioteka zbiera automatycznie; zdarzenia skonfigurowane przez zespół; informacje dodawane do nich z profilu użytkownika. Automatyczne zbieranie danych szczególnie łatwo przeoczyć, ponieważ może rozpocząć się natychmiast po inicjalizacji SDK.

Pierwsze uruchomienie, odmowa i wycofanie zgody: trzy różne kontrole

Typowa ścieżka użytkownika pokazuje, dlaczego sama obecność przycisku «Odrzuć» nie dowodzi jeszcze, że aplikacja uwzględnia jego wybór.

Kontrola powinna uwzględniać również ponowne otwarcie aplikacji. Na przykład zespół może prawidłowo ograniczyć działanie SDK na pierwszym ekranie, ale przy kolejnym uruchomieniu biblioteka może rozpocząć pracę wcześniej, niż aplikacja odczyta zapisane ustawienia użytkownika.

Wycofanie zgody powoduje zaprzestanie w przyszłości przetwarzania, które opiera się na tej zgodzie. Nie oznacza automatycznego usunięcia wszystkich informacji wcześniej zebranych zgodnie z prawem. Do przechowywania wcześniejszych danych, obsługi żądań ich usunięcia oraz przekazywania takich żądań dostawcy SDK potrzebne są odrębne zasady.

Dlaczego uprawnienie telefonu nie zastępuje zgody zgodnie z GDPR

W aplikacji mobilnej obowiązuje kilka poziomów regulacji. Dostęp do informacji znajdujących się na urządzeniu lub zapisywanie na nim informacji są regulowane przepisami ePrivacy wdrożonymi do prawa państw UE. Nie dotyczą one wyłącznie plików cookie w przeglądarce: zakres tych przepisów może obejmować również technologie wykorzystywane przez mobilne SDK. Jeżeli nie ma zastosowania wyjątek, zgoda jest wymagana przed uzyskaniem takiego dostępu.

GDPR odrębnie reguluje dalsze przetwarzanie danych osobowych. Spółka musi określić cel, podstawę prawną, okres przechowywania oraz odbiorców danych. Nie można obejść wymogu uprzedniej zgody na dostęp do urządzenia wyłącznie poprzez powołanie się na prawnie uzasadniony interes w odniesieniu do późniejszej analityki.

Systemowe komunikaty iOS i Androida realizują własne zadania. Zezwolenie na dostęp do geolokalizacji lub powiadomień samo w sobie nie daje prawa do wykorzystywania uzyskanych danych w dowolnym innym celu. Podobnie zezwolenie na śledzenie w ramach App Tracking Transparency (ATT) nie zastępuje spełnienia wymagań GDPR i ePrivacy, jeżeli mają one zastosowanie do produktu.

Czy można pozostawić analitykę po odmowie użytkownika

Odpowiedź zależy od tego, z jakiego rodzaju analityki korzysta spółka. Pod jednym określeniem mogą kryć się różne operacje: proste zliczanie uruchomień, analiza ścieżki konkretnego użytkownika, łączenie danych aplikacji z CRM oraz przekazywanie zdarzeń do systemu reklamowego.

W niektórych krajach ograniczony pomiar odbiorców może być prowadzony bez zgody po spełnieniu rygorystycznych warunków. Na przykład francuski regulator CNIL dopuszcza taką możliwość w przypadku narzędzi skonfigurowanych do prowadzenia ograniczonych statystyk odwiedzin, bez łączenia danych z innymi zbiorami oraz bez wykorzystywania informacji przez dostawcę do własnych celów. Samo określenie «analityka produktowa» nie daje prawa do skorzystania z takiego wyjątku.

Jeżeli spółka chce zachować określone wskaźniki po odmowie zgody na opcjonalną analitykę, powinna odrębnie ustalić, jakie dane liczbowe są rzeczywiście potrzebne do działania serwisu i w jaki sposób można je uzyskiwać. Czasami wystarczą zagregowane wskaźniki po stronie własnego serwera lub narzędzie o ograniczonym zakresie zbierania danych. Jeżeli jednak cel wymaga śledzenia ścieżki konkretnej osoby pomiędzy ekranami i zestawiania jej działań z reklamą, takiego przetwarzania nie można przedstawiać jako prostego technicznego zliczania.

Raporty o awariach również wymagają analizy pod kątem ich rzeczywistej zawartości. Informacje niezbędne do znalezienia błędu i zapewnienia bezpieczeństwa serwisu mogą być przetwarzane inaczej niż dane służące do analizy zachowania. Nie uzasadnia to jednak przesyłania wraz z raportem tekstu wprowadzonego przez użytkownika, zawartości ekranu lub pełnego profilu konta.

Co zmienia się przy korzystaniu z identyfikatorów reklamowych

Atrybucja reklamowa odpowiada na pytanie, po której kampanii użytkownik zainstalował aplikację lub wykonał określone działanie. W tym celu dostawcy mogą wykorzystywać identyfikator reklamowy urządzenia, informacje o kontakcie z reklamą oraz zdarzenia wewnątrz produktu. Im dokładniej spółka chce mierzyć ścieżkę konkretnego użytkownika, tym ważniejsze jest ustalenie, jakie dane są łączone pomiędzy aplikacjami i kto otrzymuje wynik.

W przypadku śledzenia użytkowników pomiędzy aplikacjami i stronami internetowymi Apple wymaga przestrzegania zasad ATT. Jeżeli użytkownik odmówił udzielenia zezwolenia, braku dostępu do identyfikatora reklamowego nie można rekompensować za pomocą innego trwałego identyfikatora lub cyfrowego odcisku urządzenia. Zgoda uzyskana we własnym interfejsie aplikacji również nie uchyla odmowy udzielonej na poziomie platformy.

W systemie Android dostępność identyfikatora reklamowego nie stanowi samodzielnej podstawy prawnej przetwarzania. Należy uwzględnić ustawienia urządzenia, zasady Google Play oraz wymagania dotyczące ochrony danych obowiązujące na danym rynku.

Zespół powinien przewidzieć scenariusz działania bez indywidualnej atrybucji. Kampanie reklamowe można oceniać na podstawie dostępnych zagregowanych wskaźników oraz narzędzi pomiarowych platform, jeżeli są odpowiednie dla produktu. Wpływa to na dokładność raportów, ale pozwala z wyprzedzeniem określić, jakie statystyki biznes rzeczywiście otrzyma w przypadku odmowy użytkownika.

Co sprawdzić u dostawcy SDK przed integracją

Biblioteka może realizować zadanie spółki, a jednocześnie wykorzystywać otrzymane dane do własnych celów. Na przykład ten sam dostawca może oferować pomiar odbiorców aplikacji oraz narzędzia do retargetingu reklamowego. Dlatego nie wystarczy wpisać do rejestru «analityczny SDK»: należy ustalić, jakie funkcje są włączone i czy można nimi zarządzać oddzielnie.

Przed integracją warto uzyskać odpowiedzi na kilka pytań:

1. Kiedy SDK zaczyna przesyłać dane? Czy można opóźnić jego uruchomienie do momentu dokonania wyboru przez użytkownika i wyłączyć automatyczne zbieranie zdarzeń?
2. Jakie informacje są przesyłane dostawcy? Oprócz zdarzeń w aplikacji należy sprawdzić identyfikatory, adres IP, parametry techniczne oraz zawartość parametrów dodawanych przez zespół.
3. W jaki sposób dostawca wykorzystuje dane? Czy działa wyłącznie na potrzeby aplikacji, czy wykorzystuje informacje również do własnych celów reklamowych, zestawiania danych między klientami i innych własnych zadań?
4. W jaki sposób SDK otrzymuje informację o odmowie? Należy upewnić się, że zmiana ustawienia w interfejsie rzeczywiście zmienia zachowanie biblioteki i jej dalszych odbiorców.

Odpowiedzi wpływają na wybór SDK, ustawienia aplikacji oraz dokumenty zawierane z dostawcą. Jeżeli wymaganego sposobu działania nie można wdrożyć lub zweryfikować, problemu nie rozwiąże dodatkowy akapit w polityce prywatności.

Jak przeprowadzić kontrolę przed wydaniem aplikacji

Należy zacząć od sporządzenia listy wszystkich SDK i ich wersji, w tym bibliotek, które trafiły do aplikacji wraz z innymi narzędziami. Następnie należy przygotować mapę zdarzeń: co jest zbierane automatycznie, co zostało dodane przez deweloperów, jakie identyfikatory są wykorzystywane i dokąd wysyłane są żądania.

Kolejnym etapem jest sprawdzenie aplikacji na czystym urządzeniu. Należy zarejestrować aktywność sieciową przed dokonaniem wyboru przez użytkownika, po odmowie, po częściowym wyrażeniu zgody oraz po jej wycofaniu. Test należy powtórzyć po ponownym uruchomieniu aplikacji. Jeżeli dane są przesyłane wbrew wybranemu ustawieniu, najpierw należy poprawić inicjalizację i konfigurację SDK, a następnie dostosować ekran wyboru i dokumenty.

Na koniec należy porównać faktyczne zachowanie aplikacji z informacjami przekazywanymi użytkownikowi oraz kartami aplikacji w App Store i Google Play. Opisy w sklepie powinny odzwierciedlać rzeczywisty zakres zbierania danych, ale same w sobie nie zastępują zgody tam, gdzie jest ona wymagana.

Głównym rezultatem takiej kontroli jest zrozumiały dla zespołu schemat: który moduł, w jakim celu i w którym momencie uzyskuje dostęp do danych użytkownika. Można go wykorzystywać przy każdej aktualizacji aplikacji, gdy pojawia się nowy SDK, zdarzenie lub scenariusz reklamowy.