בדיקה: אפליקציות פוגעות בפרטיות ואוספות מידע אישי

הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים (רמו"ט), הרשות הישראלית להגנת מידע אישי ופרטיות, השתתפה בפעילות אכיפה משותפת ל-26 רשויות הגנת מידע אישי ופרטיות מרחבי העולם שהתמקדה באיסוף מידע אישי על ידי אפליקציות סלולאריות.

בימים אלו מתפרסם לציבור ריכוז נתונים של GPEN (Global Privacy Enforcement Network) הכולל ממצאי בדיקה של 1211 אפליקציות ברחבי העולם בנוגע לאופן בו האפליקציות משקפות לציבור איזה מידע אישי ייאסף לאחר התקנת האפליקציה ומה ייעשה במידע האישי.

ממצאי הבדיקה מתפרסמים לאחר פעילות אכיפה משותפת ל-26 נציבי הגנת מידע אישי ופרטיות מרחבי העולם וישראל בתוכן. הפעילות המשותפת התמקדה בסריקה של אפליקציות סלולאריות ובחינת האופן שבו הן משקפות למתקינים אותן איזה מידע ייאסף מהם לאחר ההתקנה ומה ייעשה בו. האפליקציות נבחנו במכשירי אפל, מכשירי אנדרואיד, אפליקציות חינמיות ובתשלום, כמו גם אפליקציות מהסקטור הציבורי ומהסקטור הפרטי. מנעד האפליקציות כלל בין היתר אפליקציות של משחקים, בריאות/כושר, וחדשות ובנקאות.

הרשות למשפט טכנולוגיה ומידע נטלה חלק בפעילות האכיפה הבינלאומית בחודשים האחרונים. במסגרת סריקת האפליקציות הסלולאריות בישראל נבחן מדגם של אפליקציות פופולאריות, הנוגעות לתחום הבידור והתקשורת, תחום התחבורה, הצרכנות והבריאות. נמצא כי בחלק מהאפליקציות אין כל התייחסות לסוגיית הפרטיות טרם הורדת האפליקציה, בחלקן יש רק הפניה לקרוא מידע באתר של בעלת האפליקציה, ולגבי חלק מההרשאות המבוקשות על ידי האפליקציה לא ברור מדוע הן נדרשות לסוג השירות שהיא מיועדת לו.

המדינות המשתתפות ובהן ישראל בדקו את סוגי ההרשאות שהאפליקציות דרשו, ובחנו האם ההרשאות חרגו מהתחום הסביר הנדרש לצורך שימוש באפליקציה, ובפרט נבחן אופן מסירת ההסבר למשתמשים, או היעדרו של הסבר, ככל הנוגע לסיבה שבגינה האפליקציות דורשות את המידע האישי ומהו השימוש במידע האישי שנמסר. הדו"ח מראה כי ככל שהפופולאריות של האפליקציות עולה, רבות מהן מחייבות גישה למידע אישי רב ללא מתן הסבר מספק באשר לאופן השימוש במידע. יש בתוצאות סריקת האפליקציות כדי ללמד אודות סוגי ההרשאות המתבקשות על ידי האפליקציות הסלולאריות הפופולאריות בעולם ובישראל, ומידת פירוט הגופים השונים ככל הנוגע למדיניות הפרטיות כלפי המשתמשים.

מטרת הבדיקה לעודד ארגונים לפעול בהתאם לעקרונות הגנת הפרטיות ולהרחיב את שיתוף הפעולה בין רשויות אכיפת הפרטיות בעולם. נושאים המעלים חששות, אשר זוהו במהלך סריקת האפליקציות, יטופלו באופן של מעקב עתידי, לדוגמא באופן של פניה לארגונים, ניתוח מעמיק של מדיניות הפרטיות של האפליקציות ו/או פעילות אכיפה.

עו"ד אלון בכר, ראש הרשות למשפט, טכנולוגיה ומידע: "עקרון יסודי בשמירה על פרטיות הוא להבהיר למשתמש איזה מידע נאסף עליו, איזה שימוש ייעשה בו ולאיזו מטרה, ולקבל את הסכמתו לכך. אנו ברמו"ט מייחסים חשיבות גדולה לנושא הגנת הפרטיות באפליקציות סלולאריות, מכיוון שמדובר במוצר נפוץ מאד שמהווה חלק בלתי נפרד מחיי הציבור הרחב, ובכלל זה ילדים ובני נוער. שיתוף פעולה זה הוא סנונית ראשונה של שיתופי פעולה עתידיים עם גופים מקבילים בחו"ל, והינו חלק מפעילות ענפה של רמו"ט במישור הבינלאומי".

דגשים של סריקת האפליקציות העולמית לשנת 2014:

ב-75% מכלל האפליקציות שנבדקו נדרשה הרשאה אחת או יותר, כאשר ההרשאות הנפוצות ביותר היו מיקום, זיהוי המכשיר, גישה לחשבונות אחרים, מצלמה ואנשי קשר. הגודל היחסי הגדול של האפליקציות המבקשות הרשאות ופוטנציאל הרגישות הרב הכרוך בגישה למידע מדגישים את הצורך לשקיפות רבה יותר של האפליקציות.

59% מהאפליקציות לא כללו התייחסות לפרטיות בשלב של לפני הורדת האפליקציה. אפליקציות רבות לא כללו מידע מספיק בנוגע לסיבה בגינה נדרש המידע אשר נאסף או בנוגע לשימושים הנעשים בו לפני הורדת האפליקציה, או כללו קישורים לאתרי אינטרנט בהם הופיעה מדיניות פרטיות שלא התייחסה לאפליקציה עצמה. במקרים אחרים, הקישורים הובילו לדפי מדיה חברתית שלא עבדו או שדרשו מהמשתמש לבצע כניסה לאתר תוך שימוש בשם משתמש. לעיתים היה קשה לקבוע מיהו מפתח האפליקציה ומיהו בעליו של המידע.

באשר לשליש מהאפליקציות (31%), מבצעי הסריקה הביעו דאגה בנוגע להרשאות אשר התבקשו בגינן. מבצעי הסריקה התרשמו שהאפליקציות דורשות הרשאות למידע החורג מהדרוש לצורך שימוש באפליקציה, וזאת על בסיס הבנתם את מהות האפליקציה ואת מדיניות הפרטיות המתייחסת אליה.

כ-43% מהאפליקציות לא התאימו את מדיניות הפרטיות שלהן לתצוגה על מסך קטן. מבצעי הסריקה התלוננו על גודל כתב קטן במיוחד ומדיניות פרטיות ארוכה, אשר דרשה גלילה או הקלקה על מספר עמודים. פעילות נכונה של אפליקציות כללה שימוש בהתראות קופצות (פופ-אפ), מידע בשכבות והודעה אשר מעדכנת את המשתמשים באשר לאיסוף פוטנציאלי או שימושים של מידע כאשר הם מתבצעים בפועל.

חלק קטן מהאפליקציות, 15% סיפקו הסבר ברור באשר לאופן איסוף, שימוש וגילוי המידע האישי. האפליקציות הידידותיות ביותר לשמירה על פרטיות הציעו הסברים קצרים, קלים להבנה, באשר למידע אותו האפליקציה תאסוף או לא תאסוף והשימושים בו, לאחר קבלת כל הרשאה.

חשוב לציין שאפליקציות פופולאריות בשוק הצרכנים באינטרנט היו בין האפליקציות שקיבלו דירוגים גבוהים ביותר, ובכך הדגימו, שכאשר ההסבר לצרכנים ראוי, איסוף המידע אינו משפיע באופן שלילי על כמות הורדות האפליקציה.

תמצית הממצאים בישראל מהבדיקה שערכה רמו"ט:

70% מהאפליקציות אינן מפרטות מדיניות פרטיות בטרם התקנה.

במקרים בודדים צוינה מדיניות הפרטיות באפליקציה בצמצום, אך הרוב מפנות לאתר האינטרנט או לחלוטין אינן מתייחסות לנושא הגנת הפרטיות.

עלו שאלות לגבי נחיצות ההרשאות המתבקשות ביחס לפעילות האפליקציה.

טיפים מרמו"ט למשתמשים באפליקציות:

להוריד אפליקציות רק מ"חנויות" מוכרות;

לבדוק אילו הרשאות גישה מבקשת האפליקציה והאם הן מתקבלות על הדעת נוכח השימוש שאתה מבקש לעשות באפליקציה;

להפעיל פונקציות נעילה אוטומטית והגנה באמצעות סיסמה;

לשמור על עדכניות האפליקציות בהן אתה משתמש, ולמחוק אפליקציות שאין לך עוד שימוש בהן. אפליקציות ישנות ולא מעודכנות עשויות להיות מקור תקיפה וגניבה של מידע אישי מהמכשיר שלך;

להקפיד למחוק את כל המידע והאפליקציות מהמכשיר לפני שאתה מוכר או מוסר אותו לצמיתות. ניתן לבצע אתחול מחדש של המכשיר;

למרות שמדיניות הפרטיות של אפליקציות נוטות להיות ארוכות, מנוסחות בשפה משפטית ולא נוחות לקריאה, ככל הניתן מומלץ בטרם הורדה לקרוא אותן, כדי להבין איזה מידע היא תאסוף ותשמור מהמכשיר שלך. למשל, יש אפליקציות שאוספות אנשי קשר, פירוט שיחות, פגישות מלוח שנה, נתוני מיקום, מזהה מכשיר;

אם בחרת לקרוא את מדיניות הפרטיות תוכל לדעת גם מה בעל האפליקציה מתכוון לעשות במידע שלך. ככל שהשימושים אינם מקובלים עליך באפשרותך להימנע משימוש באפליקציה או לחפש אפליקציה אחרת שמציעה את אותו שירות;

'בחדרי' גם ברשתות החברתיות - הצטרפו!