Медицинские приложения делятся данными о пользователях с рекламодателями. И вряд ли это можно изменить

Удивительная статья от американской WP, являющаяся сигналом того, что видимо американское общество начало задумываться о защите персональных данных. Издание озаботилось состоянием безопасности медицинских данных американских граждан. Колумнисты издания даже провели исследование ряда популярных американских приложений о здоровье с экспертами DuckDuckGo. Выяснилось, что все приложения передают данные пользователей десятку разных компаний: начиная от рекламодателей и заканчивая агентствами недвижимости и страховщикам. Многие приложения заявляют, что они используют минимальную информацию пользователя, например идентификатор, привязанный к номеру мобильного телефона. Однако эксперты по безопасности данных замечают, что очень легко собрать несколько небольших идентификаторов и опознать человека. Колумнисты ненавязчиво упоминают Калифорнию – единственный штат в США, где принят Закон о защите персональных данных. Жителям других штатов рекомендуют почаще сбрасывать рекламный идентификатор на смартфоне.

Стоит отметить, что WP невольно демонстрирует, насколько США отстало от Европы, России, Турции, Казахстана, Японии, Китая, ОАЭ и многих других стран в части защиты медицинских и просто персональных данных граждан. Евросоюз принял закон о защите персональных данных (GDPR) в 2018 году, перед этим потратив не один год в общественных консультациях и выяснив все те вопросы, которые исследовали колумнисты американского издания только сейчас.

Пользователь может найти медицинское приложение на любой вкус: от депрессии до СПИДа. Эти приложения передают данные пользователя десяткам рекламных компаний.

Цифровые медицинские сервисы обладают рядом преимуществ, однако безопасность персональных данных к ним не относится.

Американское общество характеризуется миллионами незастрахованных семей и нехваткой врачей. В связи с эти американцы обращаются к медицинским приложениям и вэб сайтам, в надежде найти там нужную информацию или хотя бы указание на лечение. Но как только пользователь запускает на своем смартфоне приложение для проверки симптомов какого-либо заболевания или просто приложение для проверки здоровья, то он и не ведает, что все его волнения о своем здоровье становятся доступными не только владельцу приложения.

Facebook был пойман за процессом получения информации о пациентах с вэб сайта госпиталя с помощью специального инструмента трекинга. Google хранит все наши запросы, связанные с медицинской темой. Приложения для психологического здоровья указывают в своей Политике обработки персональных данных, что данные передаются третьим лицам. Каким именно - не называют. Пользователи практически не имеют защиты, не смотря на наличие Закона о доступности медицинского страхования (Health Insurance Portability and Accountability Act (HIPAA), когда речь идет о цифровых данных. Популярные медицинские приложения передают персональные данные пользователей широкому кругу рекламодателей, как показало расследование WP.

Большинство персональных данных, передаваемых третьим лицам, закодированы. Например, приложения могут передавать номер, называемый «идентификатором», который привязан к мобильному телефону. Такие данные не всегда передаются только рекламодателям – некоторые из них нужны аналитикам и разработчикам приложений, чтобы анализировать работу приложения. Компании заявляют, что, передача третьим лицам страниц, на которые заходит пользователь, например страницы про депрессию, не то же самое, что раскрыть медицинские сведения о пациенте.

Однако эксперты по защите персональных данных считают, что передача идентификатора с ключевым словом из контекста, в котором находился пользователь, подвергает пользователя ненужному риску. Сборщики больших данных, такие как брокеры данных или рекламные агентства, могут собрать все идентификаторы пользователя в одну картинку. Это значит, что посещение страницы про депрессию может сделать пользователя целью рекламодателя.

WP обратилась к экспертам по безопасности в сети, в том числе исследователям DuckDuckGo, чтобы разобраться, как же продаются данные пользователей. Колумнисты использовали инструмент mitmproxy, который позволяет видеть содержание вэб трафика.

* Mitmproxy — это набор инструментов, предоставляющих интерактивный перехватывающий прокси-сервер с поддержкой SSL/TLS для HTTP/1, HTTP/2 и WebSockets. Он позволяет посмотреть, какие запросы отправляет служба или приложение на вашем компьютере и какие ответы получает.

Они исследовали популярные медицинские приложения на Андроиде: Drugs.com Medication Guide, WebMD: Symptom Checker и Period Calendar Period Tracker. Все эти приложения передавали рекламодателям информацию, которая позволяла им таргетировать пользователя или группу пользователя на основе их запросов по медицинским вопросам.

Эксперты DuckDuckGo: приложение на андроиде Drugs.com, например, отправляет персональные данные более чем в 100 различных компаний, включая рекламодателей. Тригерами для передачи данных служат такие слова как «герпес», «ВИЧ», «аддералл» (это препарат для лечения синдрома дефицита внимания и гиперактивности (СДВГ)), «диабет» и «беременность». Эти ключевые слова сопровождались идентификаторами, позволяющими определить тип устройства пользователя, что в общем-то поднимает вопрос безопасности личных данных и рекламы.

Drugs.com заявило, что не передает никаких данных, которые можно считать «конфиденциальными персональными данными», а реклама соответствует странице, которую просматривает пользователь, а не его профилю. Издательство WP продемонстрировало, что Drugs.com передает третьим лицам имя и фамилию пользователя (для теста DuckDuckGo зарегистрировал вымышленного пользователя в приложении), но компания заявила, что никогда не собиралась включать имя пользователя в его профиль и срочно прекратит пересылать такую информацию во вне.

Исследователи DuckDuckGo: приложение WebMD передавало рекламодателям идентификатор пользователя, ассоциированного с такими терминами как «зависимость» и «депрессия». WebMD отказались от комментариев.

Приложение Period Calendar передает десяткам внешних компаний идентификаторы пользователя. Разработчик приложения не ответил на запрос подтвердить это.

Колумнистам не удалось выяснить, что именно рекламодатели делают с полученными данными пользователей. Но ID5, агентство цифровой рекламы, получающая данные пользователей от WebMD, заявила, что она просто создает ID пользователя, чтобы помочь приложению сделать рекламу «более ценной».

Mathieu Roche, CEO ID5: «Наша работа – идентифицировать клиентов, а не узнать, кто они такие».

Jean-Christophe Peube, исполнительный вице-президент агентства цифровой рекламы Smart: данные пользователей, получаемые от приложения Drugs.com могут быть использованы для категоризации пользователей в группы. ПОо мнению Jean-Christophe, реклама, основанная на интересах пользователя, более безопасна, чем реклама , основанная на cookies, которые идентифицируют конкретного человека.

Но ведь пользователи могут совсем не хотеть, чтобы вопросы их здоровья использовались для рекламы.

Pam Dixon, исполнительный директор исследовательской группы World Privacy Forum: если рекламодатель знает мобильный номер пользователя или его группу интересов, то это не избавит конкретных людей от рекламы, связанной с их личными медицинскими вопросами.

Andrew Crawford, старший консультант Center for Democracy and Technology: многие пользователи легко соглашаются с условиями использования приложения, не прочитав длинный текст. «Мы быстро пролистываем условия использования и нажимаем кнопку «согласиться", не вдумываясь, чем мы заплатим за пользование сервисом».

Эксперты по безопасности личных данных: условия приложения могут содержать очень разную информацию, например, данные пользователя попадают к брокерам персональных данных, страховщикам, агентствам недвижимости, кредитным агентствам или даже правоохранительным органам.

Lee Tien, старший юрист правозащитной организации Electronic Frontier Foundation: даже маленький идентификатор пользователя можно соединить с другими данными и получить представление о нашей жизни. Эти маленькие идентификаторы называются прокси или косвенными данными. Более десятилетия назад эти данные помогли сети американских супермаркетов Target выяснить, какие покупатели ждут ребенка, проанализировав, кто покупает лосьоны для тела без аромата.

Lee Tien: «Это очень легко сделать - идентифицировать людей, если у вас достаточно данных. Многие компании говорят: ну да, это правда, но ни у кого нет всех данных о пользователе. А на деле мы просто не знаем, сколько данных о людях собрали компании».

Некоторые законодатели пытаются регулировать передачу медицинских данных пользователя.

Rebecca Bauer-Kahan, член Ассамблеи штата Калифорния, представила в феврале законопроект, который может заново дать определение «медицинской информации» в Законе о конфиденциальных медицинских данных штата. К этим данным будут относится и данные, которые приложения собирают с пользователей. Помимо прочего Закон запретит медицинским приложениям использовать данные, получаемые с целью «диагностики предполагаемого психологического состояния или расстройства», для каких-либо целей, кроме оказания медицинской помощи. Передавать эти данные рекламодателям будет запрещено.

Center for Democracy and Technology вместе с индустриальной группой eHealth Initiative предложили добровольный кодекс для медицинских приложений, который защитит данные пользователей. Кодекс не ограничивает понятие «медицинские данные» каким-то услугами или специальными условиями, но относит к этой категории любые данные, которые могут помочь рекламодателю узнать или сделать вывод о состоянии здоровья человека. Кодекс призывает компании публично подтвердить, что они не связывают понятие «де-идентификация» данных с человеком или устройством, а также требовать от посредников делать так же.

Например, не связывать приложение с профилем на Facebook или с Google эккаунтом. Если у пользователя iPhone, то стоит выбрать функцию «потребовать приложение не следить за мной». Если Андроид, то перезагружать свой Android Ad ID (рекламный идентификатор) почаще. Обновить настройки безопасности на своем смартфоне.

А если приложение просит разрешение на передачу дополнительных данных, отказать. Если есть опасение, что данные не в безопасности, то стоит отправить запрос на удаление данных. Компании в общем-то не обязаны удовлетворить такой запрос от пользователя, если только речь не о Калифорнии. В этом штате принят Закон о защите персональных данных, и компании обязаны удалять эти данные.

Ссылка на статью: https://www.washingtonpost.com/technology/2022/09/22/health-apps-privacy/