Последний тренд из мира приложений – онлайн-игра дополненной реальности Pokémon Go, в которой пользователи iPhone охотятся на виртуальных монстров. Но сперва они должны предоставить разработчику игры Niantic, Inc. фактически безграничный доступ к персональным данным, что, по мнению европейских юристов, не только нарушает тайну частной жизни, но и европейское законодательство.
Покемоны повсюду: в общественном транспорте, в музеях и даже в госучреждениях и молодые люди охотятся на виртуальных монстров, уткнувшись в смартфон. Игра настолько затягивает, что игроки уже попадали в аварии и даже погибали, гоняясь за несуществующими покемонами. Однако главная опасность игры, по мнению австрийской газеты Die Presse, таится не в этом, а в нарушении неприкосновенности частной жизни. Это самый острый правовой аспект модной игрушки, которая получает неограниченный объем данных о любом пользователе. Михаэль Пахингер, австрийский авдокат и управляющий партнер SCWP Schindhelm, проанализировал пользовательское соглашение приложения и разложил нарушения европейского законодательства по пунктам.
Скачивание приложения
Еще до запуска приложения пользователь должен указать дату рождения. Смысл этого, на первый взгляд, непонятен. Однако в соглашении о конфиденциальности разработчик прописал, что это делается для связи аккаунта игрока с его пользовательским аккаунтом Google и, в свою очередь, служит для ограничения доступа посторонним к игре. Однако юрист не исключает, что приложение может использовать дату рождения для таргетирования рекламы.
Создание аккаунта игрока
В процессе регистрации и создания аккаунта пользователь обязан открыть приложению безграничный доступ ко всем данным соцсети Facebook и сервисов Google, что, по мнению юриста, служит исключительно личным интересам интернет-концернов и нарушает интересы пользователя, а также его право на защиту частной жизни.
Доступ к данным геолокации
Для использования приложения пользователь обязан открыть ему доступ к данным геолокации – иными словами, позволить программе следить за всеми его перемещениями. Таким образом, игра постоянно находится в режиме треккинга, или «отслеживания»: записывает поведенческий паттерн пользователя и отправляет эти данные дальше.
Сохранение и передача данных геолокации
В соглашении о конфиденциальности игры говорится, что она сохраняет те гео-данные, которые доступны операционной системе, – то есть все. Пользователь дает свое согласие не только на отслеживание его местонахождения, но и на передачу «данных о его непосредственном окружении» другим игрокам. Какие именно, в соглашении не сказано, но очевидно, что речь может идти в том числе о визуальных данных, так как игрушка так же запрашивает безграничный доступ к камере смартфона. Таким образом, любой игрок может узнать о местонахождении любого другого игрока.
Протокол передачи данных
Приложение предупреждает, что целиком сохраняет данные протокола передачи, то есть почти всю пользовательскую информацию: IP-адрес, операционную систему, клиентское приложение, тип браузера, посещенные сайты, открытые ссылки, поисковые запросы и вообще все «следы», которые пользователь оставил в интернете. От него же разработчик требует согласие не только на хранение, но и на анализ этих данных «при помощи третьих лиц». Кто эти лица, в соглашении не сказано, хотя по действующему европейскому законодательству адресаты всех пользовательских данных должны быть указаны.
Игнорирование функции "Do not track"
Pokémon Go полностью игнорирует приказ пользователя "do not track" – его запрет программам на слежение в том случае, если он не согласен с созданием своего личного профиля. Однако Положение о защите личных данных ЕС гласит, что пользовательская информация должна быть недоступной в том числе и для технических средств. Иными словами, игра сохраняет и передает данные о местонахождении игрока и его окружении даже вопреки его воле.
Реклама и маркетинг: opt-out вместо opt-in
В интернет-маркетинге пользователь может согласиться на рекламу и обработку данных по двум методам – opt-in и opt-out. В случае opt-in пользователь заранее дает согласие на просмотр рекламы и передачу личных данных. Но Pokemon Go использует противоположный метод opt-out, когда реклама показывается, а данные собираются до тех пор, пока пользователь активно не откажется от этого. И это касается не только рекламы в самом приложении, но и сторонних сервисов. По мнению юриста, этот метод является противоречивым с точки зрения европейского законодательства.
Передача данных США
Все личные данные пользователя транслируются и обрабатываются на компьютерах в США и в других юрисдикциях, где законодательство об охране частной жизни не настолько совершенно и защищает пользователя хуже, чем в юрисдикциях европейских: "В эпоху директив Safe Harbor и Privacy Shield (соглашения между США и ЕС об обмене пользовательскими данными в коммерческой сфере – прим. Право.ru) эта мера кажется более чем проблематичной", – считает юрист.
Передача данных госструктурам
В соглашении подробно разъясняется, что разработчик тесно сотрудничает с правительством и органами следствия, что позволяет ему «передавать любую информацию о пользователе из его сферы компетенций правительствам, органам следствия и другим причастным институтам, если он посчитает это необходимым и уместным». На каких правовых основаниях действует это условие разработчик не указывает.
В заключение анализа Михаэль Пахингер вынес неутешительный вердикт:
"Во время охоты на покемонов приложение собирает фактически безграничные объемы данных о пользователе – в первую очередь, о его местонахождении и непосредственном окружении, – которые могут стать доступными третьим лицам. Новшество приложения заключается в том, что реальная офлайн-жизнь совмещается с виртуальной онлайн-жизнью. Иными словами, поведение пользователя в реальном мире (его местонахождение, окружение и т. п.) записывается, анализируется и совмещается с данными из мира виртуального (посещенными сайтами, профилем соцсетей, потребительскими привычками и т. п.), что серьезным образом нарушает Положение о защите личных данных Европейского Союза, которое вступит в силу с 2018 года".
