Avast abusou de seu software de proteção de privacidade para venda de dados

O fabricante de software antivírus Avast foi descoberto vendendo o histórico de navegação de seus usuários para mais de 100 empresas de terceiros por anos, sem aviso prévio ou consentimento. O FTC, órgão regulador federal dos EUA, relatou que a Avast "coletou de forma injusta informações de navegação dos consumidores por meio das extensões de navegador da empresa e do seu software antivírus, [e] as armazenou por tempo indefinido" para então vendê-las por meio de sua subsidiária chamada Jumpshot.

Segundo o FTC, os usuários não tinham ideia sobre este acordo e achavam que a única coisa que a Avast estava fazendo em seus computadores era bloquear o rastreamento de terceiros. A prática continuou pelo menos de 2014 até 2020, quando a Avast encerrou a Jumpshot. Quando a Jumpshot ainda estava em operação, a Avast fornecia a ela dados de navegação identificáveis, que poderiam incluir cada site visitado por uma pessoa, marcas de tempo precisas, tipos de dispositivo e navegador e localização geográfica aproximada. Alguns dos produtos que a Jumpshot oferecia aos seus clientes publicitários foram especificamente projetados para correlacionar dados da Avast com outros dados, incluindo de data brokers, para rastrear usuários individuais. A Avast agora deve pagar $16.6 milhões por sua série de violações e está proibida de vender dados de navegação na web para fins publicitários.

Não é incomum as grandes empresas de tecnologia coletarem dados do usuário sem sequer um aviso ou uma simples notificação, mas é menos comum as empresas cuja premissa inteira é melhorar sua privacidade serem pegas em flagrante fazendo exatamente a mesma coisa. Infelizmente, mesmo os autoproclamados "campeões da privacidade" não são infalíveis quando se trata de proteger suas informações pessoais. Portanto, se você confiar sua privacidade a outra pessoa, vale a pena o tempo e o esforço de uma pesquisa.

A taxa de privacidade da Meta é uma “cortina de fumaça” para esconder a coleta ilegal de dados, dizem grupos da UE

O plano da Meta de cobrar dos usuários da União Europeia €9,99 por mês por uma única conta sem anúncios no Facebook ou Instagram (e isso é apenas no desktop) causou indignação de um consórcio europeu de direitos dos consumidores. O consórcio, que reúne 45 organizações de consumidores europeias de 32 países, rotulou a oferta da Meta aos usuários de “cortina de fumaça” projetada para ocultar “o que, em seu cerne, é a mesma velha coleta de todos os tipos de informações sensíveis sobre a vida das pessoas, que então é monetizada através de seu modelo invasivo de publicidade.”

Já argumentamos anteriormente que o que a Meta retratou como uma escolha justa é, na verdade, uma falsa opção, pois torna a proteção da privacidade um recurso pago reservado apenas para aqueles que estão dispostos a pagar uma quantia exagerada (cerca de €35) para usar tanto o Instagram quanto o Facebook no celular e no desktop. O consórcio anunciou que oito de seus membros apresentaram queixas formais às suas autoridades nacionais de proteção de dados, alegando violações do Regulamento Geral de Proteção de Dados da UE, o GDPR. Esses desafios legais se somam às queixas apresentadas pelos outros 19 membros do consórcio em novembro.

É encorajador ver grupos de consumidores europeus se unindo para desafiar o falso dilema que os usuários da Meta na UE enfrentam agora. Quanto mais visibilidade essa artimanha das Big Techs receber, melhor. No entanto, resta saber se os reguladores europeus irão se interessar pelas preocupações dos consumidores.

Notificações push: o novo método favorito de rastreamento da polícia

Recentemente, escrevemos sobre aplicativos populares no iOS explorando a função de notificação push para coletar dados do usuário de forma oculta. Aparentemente, este não é o único risco à privacidade das notificações push. De acordo com um relatório recente do Washington Post, as autoridades policiais têm buscado cada vez mais acesso aos metadados das notificações push para rastrear suspeitos em várias investigações.

Notificações push são alertas enviados por aplicativos que aparecem na tela inicial do seu telefone. Elas são armazenadas em servidores gerenciados por empresas de Big Tech como Google, Apple e Facebook. Essas empresas podem, mediante solicitação, fornecer à polícia metadados relacionados, incluindo marca de tempo, detalhes da sua rede, e assim por diante. Ao contrário do conteúdo das mensagens, como aquelas enviadas por serviços de criptografia de ponta a ponta como o WhatsApp, de propriedade da Meta, os metadados não são criptografados. No entanto, eles podem revelar detalhes significativos sobre as interações e padrões de comportamento de um usuário, incluindo sua geolocalização. A investigação do Washington Post descobriu mais de 130 mandados de busca para metadados de notificações push apenas nos EUA. Os crimes listados nesses mandados variam de terrorismo e evasão de sanções a fraude de auxílio COVID, pirataria marítima, violações de leis de armas e crimes relacionados a drogas. Em outras palavras, uma mistura de crimes de vários graus de gravidade.

Está se tornando cada vez mais claro que os metadados que acabam nos servidores das Big Techs e que estão associados a usuários individuais podem oferecer insights profundos sobre os locais e padrões de comportamento desses usuários. É uma brecha na privacidade à qual terceiros estão recorrendo cada vez mais, à medida que formas tradicionais de aquisição de dados são minadas pelas regulamentações de privacidade cada vez mais rigorosas. Essa tendência preocupante é uma crescente preocupação com a privacidade, e não vai desaparecer tão cedo.

Pornhub é criticado por falhar em proteger a privacidade de suas "modelos"

A empresa mãe do Pornhub, Aylo, foi acusada de “problemas significativos” com privacidade que levaram a “estigmatização social, danos psicológicos, perdas financeiras e até tentativas de suicídio” de vítimas cujas imagens foram carregadas no site sem consentimento.

As descobertas são resultado de uma investigação de três anos sobre o Pornhub pelo comissário de privacidade do Canadá. Em seu relatório, o comissário criticou a prática do Pornhub de aceitar como verdadeiras as alegações dos carregadores de que eles haviam obtido consentimento das "modelos" para aparecer em material pornográfico. Essa abordagem provou ser terreno fértil para o revenge porn, disse o comissário. Para remediar a situação, ele instou o Pornhub a remover imediatamente todo o conteúdo de seu site para o qual o consentimento significativo não tivesse sido obtido. Por sua vez, a empresa mãe do Pornhub teria discordado veementemente das conclusões e se recusado a implementar qualquer uma das recomendações, em particular a obtenção de consentimento explícito das "modelos" antes de aprovar o upload de cada vídeo.

Apesar dos esforços para regulamentar a indústria pornográfica, ela continua em uma área cinzenta. Por padrão, as imagens ou semelhanças dos usuários não devem ser usadas de maneiras às quais eles não tenham concordado explicitamente. O uso indevido de informações pessoais pela indústria pornográfica serve como um exemplo contundente de como o manejo inadequado de dados — sejam imagens ou outras informações pessoalmente identificáveis — pode ter consequências graves, especialmente na era dos deep fakes gerados por IA, que já é uma realidade.