GDPR в мобильном приложении: что SDK передают до согласия пользователя
Пользователь устанавливает приложение и открывает его впервые. Пока на экране появляется предложение настроить конфиденциальность, встроенная библиотека аналитики может зафиксировать запуск, а инструмент рекламной атрибуции — отправить сведения об устройстве своему поставщику. Пользователь еще ничего не выбрал, но передача уже произошла.
Для IT-компании это одна из самых сложных частей работы с персональными данными в мобильном продукте. Поведение приложения определяется не только кодом собственной команды: установленные SDK могут автоматически собирать события, создавать идентификаторы и обращаться к внешним серверам. Поэтому соответствие требованиям GDPR нельзя оценить по тексту политики конфиденциальности или виду экрана согласия. Нужно проверять, что приложение делает на устройстве и какие данные действительно уходят по сети.
Что можно узнать о пользователе без имени и регистрации
В аналитике часто используют слово «анонимный» для пользователя, который не вошел в аккаунт. С юридической точки зрения этого недостаточно. Идентификатор установки, рекламный идентификатор или другой устойчивый маркер позволяет связать действия человека между сессиями. Если позднее он зарегистрируется, накопленная история может оказаться связана с его аккаунтом.
Даже отдельные события способны многое сообщить о пользователе. Название открытого экрана, выбранный тариф и сумма покупки помогают изучать поведение в продукте. В приложении для здоровья событие вроде «просмотр результата анализа» в сочетании с идентификатором может раскрывать сведения, требующие особой защиты. Риск зависит от содержания параметров, которые приложение передает вместе с событием, а не только от названия SDK.
На практике проверять нужно три источника данных: то, что библиотека собирает автоматически; события, которые настроила команда; сведения, добавляемые к ним из профиля пользователя. Автоматический сбор особенно легко пропустить, поскольку он может начаться сразу после инициализации SDK.
Первый запуск, отказ и отзыв согласия: три разных проверки
Типичный путь пользователя показывает, почему наличие кнопки «Отклонить» еще не доказывает, что приложение учитывает его выбор.
| Состояние приложения | Какое поведение нужно проверить |
| Первый запуск, выбор еще не сделан | Не запускаются ли SDK и запросы, для которых требуется предварительное согласие |
| Пользователь отказался от аналитики и рекламы | Остановлены ли автоматические события и передан ли отказ встроенным библиотекам |
| Пользователь согласился только на аналитику | Не активировались ли вместе с ней рекламная атрибуция и персонализированная реклама |
| Пользователь отозвал согласие | Прекратились ли соответствующие новые передачи после изменения настройки |
| Вышло обновление приложения или SDK | Сохранилось ли прежнее поведение, не появились ли новые события и получатели |
Проверка должна учитывать и повторное открытие приложения. Например, команда может правильно ограничить SDK на первом экране, но при следующем запуске библиотека начнет работу раньше, чем приложение прочитает сохраненные настройки пользователя.
Отзыв согласия останавливает обработку, которая на нем основана, на будущее. Он не означает автоматического удаления всех ранее законно собранных сведений. Для хранения старых данных, запросов на удаление и передачи таких запросов поставщику SDK нужны отдельные правила.
Почему разрешение телефона не заменяет согласие по GDPR
В мобильном приложении действуют несколько уровней правил. Доступ к информации на устройстве или ее запись регулируются нормами ePrivacy, реализованными в законодательстве стран ЕС. Они распространяются не только на cookie в браузере: действие правила может затрагивать и технологии, используемые мобильными SDK. Если исключение не применяется, согласие требуется до такого доступа.
GDPR отдельно регулирует дальнейшую обработку персональных данных. Компании нужно определить цель, правовое основание, срок хранения и получателей. Нельзя обойти требование предварительного согласия на доступ к устройству одной лишь ссылкой на законный интерес для последующей аналитики.
Системные запросы iOS и Android решают собственные задачи. Разрешение на доступ к геолокации или уведомлениям само по себе не дает права использовать полученные данные для любой другой цели. Аналогично разрешение на отслеживание в App Tracking Transparency (ATT) не заменяет выполнение требований GDPR и ePrivacy, если они применяются к продукту.
Можно ли оставить аналитику после отказа пользователя
Ответ зависит от того, какую именно аналитику использует компания. Под одним названием могут скрываться разные операции: простой подсчет запусков, анализ пути конкретного пользователя, объединение данных приложения с CRM и передача событий в рекламную систему.
В отдельных странах ограниченное измерение аудитории может проводиться без согласия при соблюдении строгих условий. Например, французский регулятор CNIL допускает такую возможность для инструментов, настроенных для ограниченной статистики посещаемости, без объединения данных с другими наборами и без использования поставщиком сведений для собственных целей. Само по себе название «продуктовая аналитика» права на исключение не дает.
Если компания хочет сохранить показатели после отказа от необязательной аналитики, ей следует отдельно определить, какие цифры действительно нужны для работы сервиса и каким способом их можно получать. Иногда достаточно сводных показателей на стороне собственного сервера или инструмента с ограниченным сбором. Если же цель требует отслеживать путь конкретного человека по экранам и сопоставлять его действия с рекламой, такую обработку нельзя представлять как простой технический подсчет.
Отчеты о сбоях тоже требуют проверки по существу. Сведения, необходимые для поиска ошибки и поддержания безопасности сервиса, могут обрабатываться иначе, чем поведенческая аналитика. Но это не оправдывает отправку вместе с отчетом введенного пользователем текста, содержания экрана или полного профиля аккаунта.
Что меняется при использовании рекламных идентификаторов
Рекламная атрибуция отвечает на вопрос, после какой кампании пользователь установил приложение или совершил нужное действие. Для этого поставщики могут использовать рекламный идентификатор устройства, сведения о рекламном контакте и события внутри продукта. Чем точнее компания хочет измерить путь отдельного пользователя, тем важнее понять, какие данные связываются между приложениями и кто получает результат.
Для отслеживания пользователей между приложениями и сайтами Apple требует соблюдать правила ATT. Если пользователь отказал в разрешении, нельзя восполнять отсутствие доступа к рекламному идентификатору с помощью другого постоянного идентификатора или цифрового отпечатка устройства. Согласие, полученное в собственном интерфейсе приложения, также не отменяет отказ на уровне платформы.
На Android доступность рекламного идентификатора не является самостоятельным правовым основанием обработки. Нужно учитывать настройки устройства, правила Google Play и требования защиты данных на соответствующем рынке.
У команды должен быть предусмотрен сценарий работы без индивидуальной атрибуции. Рекламные кампании можно оценивать по доступным сводным показателям и инструментам измерения платформ, если они подходят продукту. Это влияет на точность отчетов, зато позволяет заранее определить, какую статистику бизнес реально получит при отказе пользователя.
Что проверить у поставщика SDK до подключения
Библиотека может решать задачу компании и одновременно использовать полученные данные для собственных целей. Например, один и тот же поставщик предлагает измерение аудитории приложения и инструменты для рекламного ретаргетинга. Поэтому недостаточно записать в реестре «аналитический SDK»: нужно выяснить, какие функции включены и можно ли управлять ими отдельно.
Перед подключением важно получить ответы на несколько вопросов:
- Когда SDK начинает передавать данные? Можно ли отложить его запуск до выбора пользователя и отключить автоматический сбор событий?
- Какие сведения уходят поставщику? Помимо событий приложения, проверьте идентификаторы, IP-адрес, технические параметры и содержимое параметров, добавляемых командой.
- Как поставщик использует данные? Работает ли он только для целей приложения или использует сведения также для своей рекламы, сопоставления данных между клиентами и иных собственных задач?
- Как SDK получает сигнал об отказе? Убедитесь, что изменение настройки в интерфейсе действительно меняет поведение библиотеки и ее дальнейших получателей.
Ответы влияют на выбор SDK, настройки приложения и документы с поставщиком. Если нужный режим работы невозможно реализовать или проверить, проблема не решается дополнительным абзацем в политике конфиденциальности.
Как провести проверку перед релизом
Начните с перечня всех SDK и их версий, включая библиотеки, которые попали в приложение вместе с другими инструментами. Затем составьте карту событий: что собирается автоматически, что добавлено разработчиками, какие идентификаторы используются и куда уходят запросы.
Следующий этап — проверка приложения на чистом устройстве. Зафиксируйте сетевую активность до выбора пользователя, после отказа, после частичного согласия и после его отзыва. Повторите тест при новом запуске приложения. Если данные передаются вопреки выбранной настройке, сначала исправляют инициализацию и конфигурацию SDK, а затем приводят в соответствие экран выбора и документы.
Наконец, сравните установленное поведение со сведениями для пользователя и карточками приложения в App Store и Google Play. Описания в магазине должны отражать реальный сбор данных, но сами по себе они не заменяют согласие там, где оно требуется.
Главный результат такой проверки — понятная команде схема: какой модуль, с какой целью и в какой момент получает доступ к данным пользователя. Ее можно использовать при каждом обновлении приложения, когда появляется новый SDK, событие или рекламный сценарий.
Wolja Digital помогает мобильным командам провести правовую проверку этой схемы: определить требования к отдельным потокам данных, оценить настройки согласия и условия работы с поставщиками, а затем согласовать пользовательские документы с фактическим поведением приложения.