چگونه اطلاعات حساس کاربران یک اپلیکیشن دوست‌یابی به چرخه تبلیغات آنلاین راه یافت؟

نهاد حفاظت از داده‌های نروژ شرکت Xandr وابسته به مایکروسافت را به‌دلیل پردازش غیرقانونی اطلاعات حساس کاربران Grindr جریمه کرد. جزئیات پرونده و نکات مهم برای حفاظت از حریم خصوصی را بخوانید.

نویسنده:

محمدعلی کریمی

نهاد حفاظت از داده‌های نروژ (Datatilsynet) روز 20 مهر اعلام کرد شرکت Xandr را به پرداخت ۹۲ میلیون کرون نروژ جریمه کرده است. این شرکت که اکنون بخشی از کسب‌وکار تبلیغاتی مایکروسافت با نام Microsoft Advertising محسوب می‌شود، به‌دلیل پردازش غیرقانونی اطلاعات شخصی کاربران اپلیکیشن Grindr با این تصمیم روبه‌رو شده است. به گفته نهاد ناظر، تخلف به دوره ژوئیه ۲۰۱۸ تا آوریل ۲۰۲۰ مربوط می‌شود؛ زمانی که Xandr در سازوکار مزایده‌های تبلیغاتی داخل Grindr نقش داشت. این فرایند می‌توانست اطلاعات مرتبط با پروفایل کاربران، از جمله داده‌های حساس درباره گرایش جنسی، را در معرض دسترسی شمار زیادی از شرکت‌های تبلیغاتی قرار دهد. مقام ناظر نروژی اعلام کرده است که این پرونده از نظر مبلغ، بزرگ‌ترین جریمه صادرشده از سوی این نهاد بوده است. نکته اصلی پرونده، صرفاً انتقال داده میان دو شرکت نیست؛ مسئله این است که شرکت واسطه تبلیغاتی نیز مسئولیت قانونی مستقلی برای اطمینان از وجود مبنای معتبر پردازش داده‌ها داشته و نمی‌توانسته صرفاً به فرضِ دریافت رضایت از سوی اپلیکیشن مبدأ تکیه کند.

اطلاعات کاربران چگونه وارد چرخه تبلیغات آنلاین می‌شود؟

برای درک موضوع، باید با سازوکار تبلیغات بلادرنگ (Real-Time Bidding یا RTB) آشنا شد. در این روش، هنگام باز شدن یک صفحه یا نمایش یک فضای تبلیغاتی در اپلیکیشن، درخواست نمایش آگهی به سامانه‌های تبلیغاتی ارسال می‌شود. شرکت‌های واسطه می‌توانند اطلاعاتی درباره شناسه تبلیغاتی یا ویژگی‌های پروفایل کاربر در اختیار شرکت‌کنندگان در مزایده قرار دهند تا آن‌ها درباره نمایش آگهی هدفمند تصمیم بگیرند. این فرایند معمولاً در زمانی بسیار کوتاه انجام می‌شود و ممکن است چندین واسطه در آن دخیل باشند. در نتیجه، اطلاعاتی که کاربر در یک اپلیکیشن وارد کرده یا از طریق استفاده از آن تولید شده است، می‌تواند از محیط همان برنامه فراتر برود. در پرونده Grindr، مسئله زمانی جدی‌تر می‌شود که اطلاعات مورد پردازش به داده‌های حساس درباره گرایش جنسی مرتبط باشد. چنین اطلاعاتی صرفاً برای انتخاب تبلیغ مناسب اهمیت ندارند؛ افشای آن‌ها می‌تواند حریم خصوصی افراد را تهدید کند و در شرایط خاص زمینه تبعیض یا سوءاستفاده را فراهم آورد. بر اساس گزارش نهاد ناظر، Xandr در این فرایند نقش واسطه تبلیغاتی داشت و اطلاعات پروفایل کاربران برای مزایده‌های تبلیغاتی به کار گرفته می‌شد. این نهاد اعلام کرده است که شرکت، اعتبار رضایت کاربران را بررسی نکرده بود.

چرا Xandr مسئول شناخته شد؟

یکی از مهم‌ترین جنبه‌های حقوقی پرونده، مسئولیت شرکت‌های فعال در زنجیره تبلیغات دیجیتال است. بر اساس مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (GDPR)، پردازش اطلاعات شخصی باید مبنای قانونی معتبر داشته باشد. هنگامی که مبنای پردازش، رضایت فرد است، این رضایت باید شرایط قانونی لازم را داشته باشد؛ به‌ویژه در مورد داده‌های حساس، الزامات سخت‌گیرانه‌تری مطرح است.

به گفته نهاد ناظر نروژ، Xandr فرض کرده بود که Grindr رضایت معتبر کاربران را دریافت کرده است، اما برای بررسی این موضوع اقدام کافی انجام نداده بود. نهاد ناظر Xandr را در قبال قانونی بودن پردازش اطلاعات مسئول دانسته است؛ به این معنا که شرکت واسطه نمی‌تواند مسئولیت خود را صرفاً به اپلیکیشن ارائه‌دهنده داده منتقل کند. این تصمیم یک تمایز مهم را برجسته می‌کند: وجود گزینه رضایت در یک اپلیکیشن، به‌تنهایی ثابت نمی‌کند که تمام شرکت‌هایی که بعداً داده را دریافت یا پردازش می‌کنند، مجاز به استفاده از آن هستند. کاربر باید بتواند از ماهیت پردازش و اهداف آن آگاه شود و شرکت‌های دخیل نیز باید مسئولیت قانونی خود را بررسی کنند.ریشه این پرونده به سال ۲۰۲۰ بازمی‌گردد؛ زمانی که شورای مصرف‌کنندگان نروژ (Forbrukerrådet) و سازمان غیردولتی حمایت از حریم خصوصی noyb شکایت‌هایی درباره نحوه اشتراک‌گذاری داده‌های کاربران Grindr و چند شرکت فعال در صنعت تبلیغات دیجیتال مطرح کردند. این شکایت‌ها بخشی از ابتکار «Out of Control» بود؛ پروژه‌ای که شیوه جمع‌آوری و انتقال داده‌های کاربران از طریق اپلیکیشن‌های موبایل و شرکت‌های تبلیغاتی را بررسی می‌کرد. در این مجموعه شکایت‌ها، علاوه بر Xandr، نام چند شرکت تبلیغاتی دیگر نیز مطرح شده بود. در اطلاعیه ۱۲ اکتبر ۲۰۲۶، شورای مصرف‌کنندگان نروژ اعلام کرد که نهاد حفاظت از داده‌ها، مسئولیت Xandr را در پردازش غیرقانونی اطلاعات کاربران Grindr تأیید کرده است. این شورا پیش‌تر نیز پیگیر پرونده جداگانه Grindr بود که به جریمه این اپلیکیشن در سال ۲۰۲۵ انجامید. آن پرونده با تصمیم جدید علیه Xandr یکسان نیست و باید جداگانه بررسی شود.

واکنش مایکروسافت به جریمه نروژ

سخنگوی مایکروسافت در واکنش به این تصمیم گفت تحقیقات و نتیجه آن بر رفتارهایی متمرکز بوده که پیش از خرید Xandr توسط مایکروسافت رخ داده‌اند. او همچنین با اشاره به تغییر چارچوب‌های حقوقی و نحوه تفسیر و اجرای آن‌ها اعلام کرد که شرکت در حال بررسی تصمیم و گزینه‌های پیش روی خود است. بنابراین، باید میان دو موضوع تفاوت گذاشت: تصمیم نهاد ناظر درباره عملکرد Xandr در دوره مورد بررسی و واکنش مایکروسافت به مسئولیت شرکت پس از تملک آن. این جریمه به‌خودی‌خود به معنای اثبات تخلف در تمام فعالیت‌های کنونی مایکروسافت یا همه محصولات تبلیغاتی آن نیست. طبق گزارش BleepingComputer، برای اعتراض به تصمیم سه هفته مهلت در نظر گرفته شده بود. منابع بررسی‌شده در این گزارش، نتیجه نهایی احتمالی اعتراض یا وضعیت قطعی پرداخت جریمه را مشخص نمی‌کنند.

کاربران چگونه ریسک ردیابی تبلیغاتی را کاهش دهند؟

1. مجوزهای برنامه‌ها را بررسی کنید. دسترسی‌های موقعیت مکانی، مخاطبان و سایر اطلاعات حساس را فقط در صورت نیاز واقعی برنامه فعال نگه دارید.

2. تنظیمات حریم خصوصی و تبلیغات را بررسی کنید. در تنظیمات گوشی و برنامه‌ها، گزینه‌های مربوط به شناسه تبلیغاتی، شخصی‌سازی آگهی‌ها و اشتراک‌گذاری داده را مرور کنید. غیرفعال‌کردن شخصی‌سازی لزوماً تمام روش‌های ردیابی را متوقف نمی‌کند.

3. سیاست حریم خصوصی را با دقت بخوانید. به بخش‌های مربوط به شرکای تبلیغاتی، شرکت‌های تحلیل داده و انتقال اطلاعات به طرف‌های ثالث توجه کنید. اگر نام شرکت واسطه‌ای ذکر شده باشد، بررسی کنید چه نقشی در پردازش اطلاعات دارد.

4. اطلاعات حساس غیرضروری وارد نکنید. هر داده‌ای که در یک سرویس ثبت می‌کنید ممکن است مشمول پردازش‌های مختلفی شود؛ بنابراین از ارائه اطلاعاتی که برای استفاده از خدمت ضروری نیستند، خودداری کنید.

5. درخواست‌های رضایت را آگاهانه بررسی کنید. اگر یک برنامه برای ارائه خدمتی ساده، دسترسی یا پردازش گسترده‌ای درخواست می‌کند، ضرورت آن را ارزیابی کنید. موافقت با یک گزینه نباید بدون بررسی، به‌منزله درک تمام مسیرهای احتمالی انتقال داده تلقی شود.

این اقدامات ریسک افشای اطلاعات را کاهش می‌دهند، اما تضمین نمی‌کنند که هیچ داده‌ای به شرکت‌های ثالث منتقل نشود.

کسب‌وکارها چه مسئولیتی دارند؟

برای شرکت‌هایی که اپلیکیشن، وب‌سایت یا خدمات تبلیغاتی ارائه می‌کنند، پیام پرونده فراتر از تنظیم یک صفحه رضایت‌نامه است. لازم است کل مسیر داده از لحظه جمع‌آوری تا اشتراک‌گذاری و حذف، قابل بررسی باشد.

نقشه جریان داده تهیه کنید: مشخص کنید هر نوع اطلاعات از کدام بخش سامانه جمع‌آوری می‌شود، به چه شرکت‌هایی انتقال می‌یابد و برای چه هدفی پردازش می‌شود.
مبنای قانونی را بررسی کنید: فرض نکنید رضایت ثبت‌شده در محصول اصلی، خودکار تمام پردازش‌های بعدی را پوشش می‌دهد.
شرکای تبلیغاتی را ارزیابی کنید: قراردادها باید نقش هر طرف، مسئولیت حفاظت از داده و محدودیت استفاده مجدد از اطلاعات را روشن کنند.
داده‌های حساس را محدود کنید: در صورت نبود ضرورت و مبنای قانونی معتبر، چنین داده‌هایی نباید وارد جریان تبلیغاتی شوند.
امکان ممیزی ایجاد کنید: سوابق انتقال اطلاعات و تنظیمات رضایت باید به اندازه‌ای مستند باشند که در صورت شکایت یا بازرسی قابل ارزیابی باشند.

این موارد توصیه‌های مدیریتی مبتنی بر مسائل مطرح‌شده در پرونده هستند؛ جزئیات تعهدات حقوقی هر کسب‌وکار به نوع فعالیت، حوزه قضایی و نقش آن در پردازش اطلاعات بستگی دارد.

جمع‌بندی؛ مسئولیت حریم خصوصی در زنجیره تبلیغات متوقف نمی‌شود

جریمه Xandr نشان می‌دهد که مسئولیت حفاظت از اطلاعات شخصی لزوماً به شرکتی که داده را از کاربر دریافت می‌کند محدود نیست. واسطه‌هایی که داده‌ها را برای تبلیغات هدفمند پردازش می‌کنند نیز باید مبنای قانونی فعالیت خود را بررسی کنند. برای کاربران، مهم‌ترین نکته این است که داده‌های رفتاری و اطلاعات حساس ممکن است از محیط یک اپلیکیشن فراتر بروند. برای کسب‌وکارها نیز بررسی واقعی رضایت، شفاف‌سازی جریان داده و ارزیابی شرکای تبلیغاتی باید بخشی از طراحی و مدیریت سرویس باشد، نه اقدامی تشریفاتی پس از طرح شکایت. این پرونده همچنین یادآور می‌شود که شفافیت درباره جمع‌آوری داده کافی نیست؛ نحوه استفاده، انتقال و مسئولیت‌پذیری شرکت‌های دریافت‌کننده اطلاعات نیز اهمیت دارد.