בכל פעם שאפליקציה חינמית בטלפון שלכם מציגה פרסומת, מתרחשת לפני כן מכירה פומבית שנמשכת שברירי שנייה. וכדי שהמפרסמים ידעו כמה להציע, מישהו צריך לספר להם מי עומד לראות אותה.

זה עובד כך: האפליקציה מעבירה לחברה מתווכת פרטים על המשתמש, המתווכת מפיצה אותם למפרסמים שמתמודדים על החלון הזה, ומי שהציע את ההצעה הגבוהה זוכה להציג את הפרסומת. לשיטה הזאת קוראים real-time bidding. מה שקורה בדרך הוא העיקר, כי הפרטים שנשלחו נחשפים לכל מי שהשתתף במכירה, כולל אלפי חברות שלא זכו בה ואין להן שום קשר אליכם.

מה קרה

ביום שני הטילה הרשות הנורווגית להגנת הנתונים, Datatilsynet, קנס של 92 מיליון קרונה, כ-8.5 מיליון יורו, על חברת Xandr. זהו הקנס הגבוה ביותר שהרשות הטילה מעולם לפי הודעתה שלה. Xandr היא חברת פרסום שנרכשה בידי מיקרוסופט ופועלת היום תחת השם Microsoft Advertising.

לפי ההחלטה, בין יולי 2018 לאפריל 2020 הפעילה Xandr את מכירות הפרסום בתוך Grindr, אפליקציית היכרויות שמשרתת בעיקר את הקהילה הגאה. כלומר המידע שעבר במכירות האלה כלל גם נתון רגיש במיוחד, נטייה מינית, והוא נחשף לאלפי מפרסמים בלי שהמשתמשים ידעו. הנקודה המשפטית שבגללה הקנס נפל דווקא על המתווכת היא ש-Xandr לא אספה את ההסכמות בעצמה, אלא הניחה ש-Grindr עשתה את העבודה. ליין קול, מנכ"לית הרשות, אמרה שהחברה לא טרחה לאמת שההסכמות האלה בכלל תקפות.

התלונה שממנה התגלגל הכול הוגשה עוד בינואר 2020, בידי ארגון הפרטיות האוסטרי noyb ומועצת הצרכנים הנורווגית. פין מירסטאד ממועצת הצרכנים אמר שההחלטה שולחת מסר לכל מי שמודל העסקים שלו מבוסס על מעקב ופרופיילינג של צרכנים. מיקרוסופט מצידה הגיבה ל-BleepingComputer שההחלטה עוסקת בהתנהלות שקדמה לרכישת Xandr, ושהיא בוחנת את צעדיה. לחברה ניתנו שלושה שבועות לערער.

למה זה חשוב לכם

Grindr היא רק המקרה שנתפס. אותו מודל פרסום בדיוק מפעיל חלק גדול מהאפליקציות החינמיות שיש לכם עכשיו בטלפון, אפליקציית מזג האוויר, המשחק, אפליקציית החדשות, וגם הן מעבירות למתווכות מה שהן יודעות עליכם. מה שאין לישראלי הוא הצד השני של המשוואה: הקנס הזה נשען על הרגולציה האירופית, ומשתמש בישראל לא מוגן בה. החברות הן אותן חברות והאפליקציות אותן אפליקציות, רק שאין רשות שתגבה על זה כסף.

מה עושים?

באייפון, היכנסו להגדרות, פרטיות ואבטחה, מעקב, וכבו את "אפשר לאפליקציות לבקש לעקוב". זה חוסם את המזהה שמאפשר לחבר בין הפעילות שלכם באפליקציות שונות.

באנדרואיד, בהגדרות הפרטיות תחת הקטגוריה של מודעות, מחקו את מזהה הפרסום. במכשירים חדשים אפשר גם לבטל אותו לגמרי, וכל האפליקציות יקבלו במקומו ערך ריק.

עברו על ההרשאות של האפליקציות, ובמיוחד על המיקום. פרופיל פרסומי נבנה קודם כל ממקומות, ואפליקציה שלא צריכה לדעת איפה אתם צריכה לקבל "בשימוש באפליקציה" או כלום.

ומחקו אפליקציות שלא פתחתם זמן רב. אפליקציה שנשארה מותקנת ממשיכה לשלוח, גם אם שכחתם שהיא שם.

הקנס הוטל על החברה שתיווכה, לא על האפליקציה שאספה. זה החלק שמשנה משהו בשוק הזה, כי עד עכשיו המתווכות שדרכן עובר המידע כמעט לא שילמו על מה שעבר דרכן.