Σε όλες τις πλατφόρμες κινητών, οι διαφημιστικές εταιρείες προσφέρουν στους προγραμματιστές έτοιμα εργαλεία ανάπτυξης λογισμικού (SDK) που κάνουν εύκολη την εμπορική αξιοποίηση μιας εφαρμογής. Τα ίδια όμως εργαλεία μπορούν να τροφοδοτούν αυτόματα με τα δεδομένα θέσης των χρηστών τα διαφημιστικά συστήματα από τα οποία αντλούν οι μεσίτες δεδομένων τοποθεσίας για να παρακολουθούν ανθρώπους. Πολλοί προγραμματιστές το αγνοούν — πόσο μάλλον οι χρήστες που το υφίστανται.
Όταν ένας προγραμματιστής επιτρέπει σε ένα διαφημιστικό SDK να συλλέγει δεδομένα θέσης, το διακύβευμα δεν είναι απλώς κάποιες ανατριχιαστικά «στοχευμένες» διαφημίσεις. Πληροφορίες τοποθεσίας που προήλθαν από τη διαφημιστική βιομηχανία έχουν χρησιμοποιηθεί σε έρευνες της αμερικανικής υπηρεσίας μετανάστευσης ICE, σε εργαλεία παγκόσμιας κατασκοπείας, για την αποκάλυψη της σεξουαλικότητας ενός ιερέα, για την παρακολούθηση συνδικαλιστών και για τον εντοπισμό στρατιωτικού προσωπικού των ΗΠΑ.
Έρευνα του EFF εντόπισε αρκετά διαφημιστικά SDK που παραδέχονται δημοσίως ότι συλλέγουν και διαμοιράζουν την τοποθεσία των χρηστών εξ ορισμού, εφόσον ενσωματωθούν σε εφαρμογές Android που έχουν λάβει άδειες τοποθεσίας. Αν, λοιπόν, οι προγραμματιστές δεν εξετάσουν προσεκτικά τις σχετικές ρυθμίσεις των διαφημιστικών τους εργαλείων, κινδυνεύουν να εκθέσουν χωρίς να το αντιληφθούν τη θέση των χρηστών τους.
Το άρθρο που ακολουθεί εξηγεί με ποιους τρόπους τα διαφημιστικά SDK διευκολύνουν και ενθαρρύνουν τον διαμοιρασμό δεδομένων θέσης: μέσα από επεμβατικές προεπιλογές, οικονομικά κίνητρα και ασαφή τεκμηρίωση.
Οι μεσίτες δεδομένων αντλούν τοποθεσίες από τα διαφημιστικά συστήματα
Από τη στιγμή που ένα διαφημιστικό SDK συλλέγει και διαμοιράζει δεδομένα θέσης, αυτά εντάσσονται σε ένα ευρύτερο οικοσύστημα διαφημιζομένων, εταιρειών ad tech και μεσιτών δεδομένων. Το EFF ξεκίνησε να ερευνά τις πρακτικές των διαφημιστικών SDK ακριβώς για να χαρτογραφήσει αυτή τη διαδρομή, από τις εφαρμογές του κινητού μέχρι τους μεσίτες.
Οι μεσίτες δεδομένων τοποθεσίας εμπορεύονται τις ακριβείς κινήσεις δισεκατομμυρίων ανθρώπων, χωρίς αυτοί να το γνωρίζουν και χωρίς να έχουν δώσει ουσιαστική συγκατάθεση. Η πρώτη ύλη προέρχεται κατά κύριο λόγο από τις εφαρμογές στα κινητά μας. Ορισμένες εφαρμογές συνεργάζονται απευθείας με μεσίτες, χρησιμοποιώντας SDK που αναπτύσσουν οι ίδιοι οι μεσίτες ή μεταφορές από διακομιστή σε διακομιστή. Άλλες διαρρέουν τη θέση των χρηστών μέσω διαφημιστικών SDK που σερβίρουν συμπεριφορικά στοχευμένες διαφημίσεις μέσω «δημοπρασιών πραγματικού χρόνου» (real-time bidding, RTB). Καθώς δημοπρατείται ο διαφημιστικός χώρος, οι εταιρείες ad tech μεταδίδουν δεδομένα των χρηστών σε χιλιάδες υποψήφιους διαφημιζόμενους. Και οι μεσίτες δεδομένων συμμετέχουν στις δημοπρασίες αυτές όχι για να αγοράσουν διαφημιστικό χώρο, αλλά για να συλλέξουν τα προσωπικά δεδομένα που περιέχονται στα αιτήματα προσφοράς.
Ο αδιάκριτος αυτός διαμοιρασμός μέσω RTB έχει ως αποτέλεσμα να παραδίδουν οι προγραμματιστές, εν αγνοία τους, τη θέση των χρηστών τους σε μεσίτες δεδομένων. Το 2025, μια επίθεση χάκερ στον μεσίτη Gravy Analytics αποκάλυψε χιλιάδες εφαρμογές που ενδέχεται να τροφοδοτούσαν τη βάση του. Όταν δημοσιογράφοι επικοινώνησαν με τους προγραμματιστές τους, πολλοί απάντησαν πως ούτε συνεργασία είχαν ούτε καν γνώριζαν την ύπαρξη της Gravy Analytics. Για να μη διαρρέει η τοποθεσία προς τους μεσίτες μέσω RTB, οι προγραμματιστές οφείλουν να γνωρίζουν τι ακριβώς κάνουν τα διαφημιστικά SDK που ενσωματώνουν.
Πώς τα SDK διαρρέουν τα δεδομένα θέσης
Δεν χρειάζεται ο προγραμματιστής να διαμοιραστεί χειροκίνητα — ούτε καν σκόπιμα — δεδομένα θέσης για να καταλήξουν αυτά σε δημοπρασίες RTB. Μόλις ο χρήστης παραχωρήσει σε μια εφαρμογή άδεια πρόσβασης στην τοποθεσία του, τα ενσωματωμένα SDK αποκτούν ακριβώς την ίδια πρόσβαση: δεν υπάρχουν ξεχωριστές άδειες ανά SDK. Έτσι, ένα διαφημιστικό SDK μπορεί να συλλέγει αυτόματα τη θέση και να την ενσωματώνει στα αιτήματα προσφοράς.
Εφαρμογές και SDK μπορούν, βέβαια, να εκτιμήσουν κατά προσέγγιση τη θέση από τη διεύθυνση IP χωρίς καμία απολύτως άδεια. Οι άδειες τοποθεσίας, όμως, δίνουν σαφώς ακριβέστερες και πολύ πιο αποκαλυπτικές εκτιμήσεις. Η άδεια ακριβούς τοποθεσίας επιτρέπει εντοπισμό εντός περίπου 50 μέτρων — και ενίοτε εντός τριών μόλις μέτρων. Η κατά προσέγγιση τοποθεσία, που αποτελεί ξεχωριστό επίπεδο άδειας, δίνει εκτίμηση σε έκταση περίπου τριών τετραγωνικών χιλιομέτρων.
Υπάρχει, επιπλέον, και οικονομικό κίνητρο, τόσο για τους προγραμματιστές όσο και για τα ίδια τα SDK: η τοποθεσία ανεβάζει τις τιμές των προσφορών για τον διαφημιστικό χώρο μιας εφαρμογής. Πολλά SDK απαιτούν από τον προγραμματιστή να ενεργοποιήσει ρητά κάποια ρύθμιση πριν συλλέξουν δεδομένα θέσης — όχι όμως όλα. Το EFF εντόπισε αρκετά που παραδέχονται δημοσίως ότι τα διαμοιράζουν εξ ορισμού.
Τα SDK που διαμοιράζουν τοποθεσία εξ ορισμού
Το EFF μελέτησε τη δημόσια τεκμηρίωση δεκάδων ευρέως διαδεδομένων διαφημιστικών SDK, για να διαπιστώσει πώς χειρίζονται τα δεδομένα θέσης και πώς τα παρουσιάζουν στους προγραμματιστές. Στις ενότητες που ακολουθούν ξεχωρίζουν τέσσερα SDK με μια ιδιαίτερα προβληματική πρακτική: συλλέγουν εξ ορισμού την τοποθεσία για διαφημιστική στόχευση, όποτε η εφαρμογή διαθέτει τη σχετική άδεια. Το EFF ζήτησε την τοποθέτηση κάθε εταιρείας, καθώς και των προγραμματιστών των εφαρμογών που αναφέρονται. Μία απάντησε και στη συνέχεια επικαιροποίησε την τεκμηρίωσή της, ενώ μια δεύτερη απέστειλε διευκρινίσεις.
Η εστίαση σε αυτή τη συγκεκριμένη προεπιλογή δεν είναι τυχαία: αυξάνει τον κίνδυνο να διαρρέουν δεδομένα χωρίς κανείς να το αντιληφθεί. Αρκετές μελέτες δείχνουν ότι οι προγραμματιστές τείνουν να μένουν στις προεπιλεγμένες ρυθμίσεις. Όταν, επομένως, ένα SDK μεταδίδει τοποθεσία εξ ορισμού, η ακριβής θέση των χρηστών μπορεί να καταλήξει σε διαφημιστικά συστήματα χωρίς ποτέ ο προγραμματιστής να το έχει ενεργοποιήσει συνειδητά. Τα SDK αυτά διαθέτουν ξεχωριστές σελίδες τεκμηρίωσης που εξηγούν πώς σημαίνονται οι χρήστες τους οποίους καλύπτουν νομοθεσίες όπως ο GDPR και ο COPPA, ώστε να περιοριστεί η επεξεργασία των δεδομένων τους — καμία τους, όμως, δεν είναι η προεπιλογή.
Τα τέσσερα SDK που εξετάζονται παρακάτω δεν είναι τα πιο διαδεδομένα της αγοράς, είναι όμως ενσωματωμένα σε χιλιάδες εφαρμογές και φτάνουν σε δισεκατομμύρια χρήστες.
InMobi: «αφήστε το ανοιχτό, αποδίδει περισσότερα»
Η InMobi διαφημίζει ότι φτάνει σε «πάνω από 2 δισ. χρήστες σε 150+ χώρες» και ήταν, κατά τον χρόνο δημοσίευσης, το δέκατο δημοφιλέστερο διαφημιστικό SDK στο Android, σύμφωνα με το AppBrain και το Appfigures.
Ο οδηγός «Getting Started with Android SDK Integration» αναφέρει ότι το SDK προωθεί αυτόματα τα σήματα τοποθεσίας όποτε αυτά είναι διαθέσιμα. Παρέχεται μεν ρύθμιση εξαίρεσης, η εταιρεία όμως συστήνει ρητά να διαμοιράζεται η τοποθεσία, τονίζοντας το οικονομικό όφελος: οι εμφανίσεις που συνοδεύονται από δεδομένα θέσης αποδίδουν, όπως αναφέρει, υψηλότερα έσοδα.
Πολλές εφαρμογές που ενσωματώνουν το InMobi δεν χρειάζονται καθόλου την τοποθεσία για να λειτουργήσουν ή αρκούνται στην κατά προσέγγιση. Παρ’ όλα αυτά, η εταιρεία συνιστά θερμά στους προγραμματιστές να ζητούν άδεια ακριβούς τοποθεσίας, «για ακριβή στόχευση διαφημίσεων». Τους προτρέπει μάλιστα να ζητούν και άδειες πρόσβασης σε πληροφορίες δικτύων Wi-Fi, οι οποίες (σε συνδυασμό με την ακριβή τοποθεσία) αποκαλύπτουν αναγνωριστικά σημείων πρόσβασης που επίσης προσφέρονται για εντοπισμό.
Δεν είναι η πρώτη φορά που η InMobi κατηγορείται ότι παραπλανά προγραμματιστές σε ζητήματα τοποθεσίας. Το 2016 συμβιβάστηκε με την αμερικανική Ομοσπονδιακή Επιτροπή Εμπορίου (FTC), έπειτα από κατηγορίες ότι παρέκαμπτε τις άδειες τοποθεσίας και εντόπιζε την ακριβή θέση των χρηστών μέσω δεδομένων Wi-Fi. Έκτοτε, το Android απαιτεί άδεια τοποθεσίας και για την πρόσβαση σε αυτά τα δεδομένα.
BidMachine: διόρθωσε την ανακριβή τεκμηρίωση μετά την τεχνική ανάλυση του EFF
Η BidMachine δηλώνει ότι φτάνει σε πάνω από 600 εκατομμύρια «άμεσους χρήστες SDK».
Στη σελίδα «Advanced Settings» του οδηγού ενσωμάτωσης για Android αναφέρεται ότι το SDK μπορεί να παρακολουθεί αυτόματα τη θέση της συσκευής «για καλύτερες διαφημίσεις», αρκεί η εφαρμογή να έχει ζητήσει τις σχετικές άδειες. Πριν από τη δημοσίευση, το EFF επικοινώνησε με την εταιρεία, ενημερώνοντάς την για την πρόθεσή του να αναδείξει το ζήτημα.
Μετά την επικοινωνία, η BidMachine άλλαξε τη διατύπωση ώστε να αποσαφηνίσει την πρακτική — όχι όμως και την ίδια την προεπιλεγμένη συλλογή. Η ανανεωμένη ενότητα εξακολουθεί να μην εξηγεί πώς μπορεί ένας προγραμματιστής να την απενεργοποιήσει, κάτι κρίσιμο για εφαρμογές που χρειάζονται την τοποθεσία για βασικές τους λειτουργίες, χωρίς όμως να θέλουν να καταλήγει στους διαφημιζόμενους.
Πριν από την παρέμβαση του EFF, η σελίδα «App Privacy Details On Google Play» ανέφερε ότι συλλέγονται μόνο χονδρικά δεδομένα θέσης και ότι η ακριβής τοποθεσία «δεν συλλέγεται». Η τεχνική ανάλυση δύο εφαρμογών που, σύμφωνα με το Exodus Privacy, περιλαμβάνουν το BidMachine SDK, απέδειξε το αντίθετο: τα αιτήματα δικτύου των QR Scanner και GPS Speedometer προς διαδικτυακό τομέα της BidMachine περιείχαν ακριβείς συντεταγμένες.
Μετά την επικοινωνία, η εταιρεία διόρθωσε και αυτή την τεκμηρίωση, ξεκαθαρίζοντας ότι η ακριβής τοποθεσία όντως συλλέγεται, όποτε έχει δοθεί η άδεια σε επίπεδο εφαρμογής:
Απαντώντας, η BidMachine υποστήριξε ότι της είναι αδύνατον να λάβει πληροφορίες θέσης εάν ο χρήστης δεν έχει παραχωρήσει τη σχετική άδεια μέσω του λειτουργικού συστήματος, και ότι η ευθύνη για τη διαμόρφωση των ροών αδειών και συγκατάθεσης βαρύνει τους εκδότες των εφαρμογών.
Verve: πιο προσεκτική στο Play Store απ’ ό,τι στον οδηγό ρυθμίσεων
Η Verve έχει δηλώσει ότι το HyBid SDK της φτάνει σε «πάνω από 1,5 δισ. χρήστες σε περισσότερες από 10.000 εφαρμογές παγκοσμίως».
Ο οδηγός ρυθμίσεων του HyBid Android SDK (πρώην Pubnative HyBid) το δηλώνει ρητά: η παρακολούθηση τοποθεσίας είναι ενεργοποιημένη εξ ορισμού και, εφόσον ο χρήστης έχει δώσει τις άδειες, το SDK θα αξιοποιήσει τη θέση του για καλύτερα στοχευμένες διαφημίσεις.
Οι οδηγίες της εταιρείας για τη δήλωση δεδομένων στο Google Play λένε μια πιο προσεγμένη ιστορία. Παρότι η παρακολούθηση είναι ενεργή εξ ορισμού, η σελίδα Google Play Data Safety Guidance αναφέρει ότι το SDK δεν συλλέγει ούτε επιχειρεί να συλλέξει αυτοτελώς πληροφορίες τοποθεσίας.
Το ίδιο κείμενο δίνει έμφαση στη συγκατάθεση, υποστηρίζοντας ότι η συλλογή γίνεται μόνο εφόσον ο εκδότης επιτρέπει στη δική του εφαρμογή να συλλέγει τοποθεσία, αφού πρώτα λάβει ρητή συγκατάθεση. Ο οδηγός ρυθμίσεων, ωστόσο, δεν περιέχει καμία σύσταση ή οδηγία για τη λήψη συγκατάθεσης ώστε να διαμοιραστούν τα δεδομένα με τη Verve, πέρα από την άδεια σε επίπεδο εφαρμογής. Αντιθέτως, προβάλλει τα οικονομικά οφέλη της προσθήκης αδειών τοποθεσίας.
Απαντώντας στο EFF, η Verve διευκρίνισε ότι στην τρέχουσα υλοποίηση για Android το SDK διαβάζει την προσωρινά αποθηκευμένη θέση που δίνει ο πάροχος δικτύου και δεν αξιοποιεί τα δεδομένα GPS της συσκευής, ενώ κάθε γεωγραφικό δεδομένο υποβαθμίζεται σε ακρίβεια όχι μικρότερη των 560 μέτρων περίπου. Πρόσθεσε, επίσης, ότι δεσμεύει συμβατικά τις εφαρμογές να συμμορφώνονται με τη νομοθεσία για την προστασία δεδομένων.
Οφείλουμε να αναγνωρίσουμε ότι το HyBid SDK είναι ανοιχτού κώδικα, οπότε ένας προσεκτικός προγραμματιστής μπορεί να ελέγξει τον ίδιο τον κώδικα αντί να βασιστεί αποκλειστικά στην τεκμηρίωση. Ο κώδικας επιβεβαιώνει τα παραπάνω: οι συντεταγμένες στρογγυλοποιούνται σε δύο δεκαδικά ψηφία και συλλέγεται μόνο θέση προερχόμενη από το δίκτυο. Εντούτοις, όταν μια εφαρμογή διαθέτει άδεια ακριβούς τοποθεσίας, η θέση που προκύπτει από το δίκτυο, στρογγυλοποιημένη σε δύο δεκαδικά, μπορεί να είναι ακριβής εντός περίπου 1,3 τ.χλμ. — δηλαδή ακριβέστερη από τα περίπου 3 τ.χλμ. που συνήθως αποκαλύπτει η κατά προσέγγιση άδεια του Android. Άλλωστε, ακόμη και τα χονδρικά δεδομένα, όταν συλλέγονται επανειλημμένα στον χρόνο, αποκαλύπτουν κινήσεις που θα έπρεπε εξ ορισμού να παραμένουν ιδιωτικές.
Η Verve άφησε ανοιχτό το ενδεχόμενο να αναθεωρήσει την τεκμηρίωσή της, αναφέροντας ότι επανεξετάζει διαρκώς το υλικό που απευθύνεται σε προγραμματιστές και θα λάβει υπόψη τις παρατηρήσεις.
Huawei: πρώτα τα οικονομικά οφέλη, μετά (και αλλού) η εξαίρεση
Η Huawei έχει δηλώσει ότι το Petal Ads SDK της είναι ενσωματωμένο σε πάνω από 85.000 εφαρμογές παγκοσμίως.
Ο οδηγός «Integrating the Petal Ads SDK into an Android App» ξεκινά με τη σύσταση να ζητούνται άδειες τοποθεσίας για την αύξηση των εσόδων, καθώς και με την παραδοχή ότι ο διαμοιρασμός θα γίνεται εξ ορισμού σε όσες εφαρμογές διαθέτουν τις άδειες αυτές.
Μια ξεχωριστή σελίδα, «Use of Location Data for Ads», επαναλαμβάνει ότι το SDK θα περιλαμβάνει τη θέση των χρηστών στα διαφημιστικά αιτήματα, εφόσον η εφαρμογή έχει πρόσβαση σε αυτήν. Καμία από τις δύο σελίδες δεν αναφέρει ότι υπάρχει η μέθοδος setRequestLocation, με την οποία απενεργοποιείται η προεπιλεγμένη συλλογή· η ρύθμιση αναφέρεται μόνο στην τελευταία ενότητα του Ads SDK Compliance Guide. Η δήλωση απορρήτου του SDK αναφέρει ότι δεν αποθηκεύονται ακριβείς πληροφορίες θέσης και ότι αυτές χρησιμοποιούνται μόνο για τον κατά προσέγγιση προσδιορισμό της συσκευής — πουθενά, ωστόσο, δεν διευκρινίζεται πώς ορίζει η Huawei το «κατά προσέγγιση» σε αντιδιαστολή με το «ακριβές».
Χωρίς γνώση και χωρίς ουσιαστική συγκατάθεση
Σε ορισμένες περιπτώσεις, αφότου η ίδια η εφαρμογή λάβει την άδεια τοποθεσίας, τα διαφημιστικά SDK αντλούν και διαμοιράζουν τη θέση αυτόνομα, χωρίς ο χρήστης να το γνωρίζει ή να έχει συναινέσει ουσιαστικά. Καμία από τις δύο εφαρμογές στις οποίες το EFF παρατήρησε αποστολή ακριβούς τοποθεσίας προς την BidMachine — το QR Scanner και το GPS Speedometer — δεν εμφάνιζε σχετική ειδοποίηση ούτε ζητούσε συγκατάθεση. Επιπλέον, καμία δεν αναφέρει τα δεδομένα θέσης στην ενότητα «Ασφάλεια δεδομένων» του Google Play, εκεί όπου δηλώνεται τι διαμοιράζεται με τρίτους. Και δεν πρόκειται για περιθωριακές περιπτώσεις: οι δύο εφαρμογές μετρούν πάνω από 50 και 10 εκατομμύρια λήψεις αντίστοιχα.
Η άδεια τοποθεσίας σε επίπεδο εφαρμογής δεν μπορεί από μόνη της να εκληφθεί ως ουσιαστική συγκατάθεση για συλλογή και διαμοιρασμό της θέσης από διαφημιστικά SDK τρίτων.
Ακόμη κι αν οι χρήστες έδιναν συνειδητά την άδεια, δύσκολα θα περίμεναν ότι η τοποθεσία τους θα κατέληγε σε τρίτους. Πολλοί αγνοούν ότι η άδεια που δίνουν σε μια εφαρμογή μεταβιβάζεται αυτούσια στα ενσωματωμένα SDK — ή, ακόμη, ότι η εφαρμογή τους περιέχει κώδικα ξένων εταιρειών. Πολλές, εξάλλου, από τις εφαρμογές που ζητούν τοποθεσία, όπως το GPS Speedometer, τη χρειάζονται πραγματικά για να λειτουργήσουν.
Το πρόβλημα δεν σταματά σε αυτά τα τέσσερα SDK
Η εστίαση σε τέσσερα SDK δεν σημαίνει ούτε ότι τα υπόλοιπα προστατεύουν επαρκώς τα δεδομένα θέσης, ούτε ότι οι προγραμματιστές δεν επιλέγουν ενίοτε οι ίδιοι να τα διαμοιραστούν. Άλλα διαφημιστικά SDK έχουν επικριθεί και οδηγηθεί στα δικαστήρια για συλλογή τοποθεσίας χωρίς έγκυρη συγκατάθεση.
Τα ζητήματα των επεμβατικών προεπιλογών, των οικονομικών κινήτρων και της ασαφούς τεκμηρίωσης είναι, εξάλλου, δομικά. Μια μελέτη του 2021 διαπίστωσε ότι δημοφιλή διαφημιστικά SDK χρησιμοποιούν σκοτεινά μοτίβα (dark patterns) για να ωθήσουν τους προγραμματιστές σε μεγαλύτερη συλλογή ευαίσθητων δεδομένων. Μια μελέτη του 2024 εντόπισε αποκλίσεις ανάμεσα στην τεκμηρίωση αρκετών SDK και στις πραγματικές τους πρακτικές. Και μια μελέτη του 2025 κατέληξε ότι οι προγραμματιστές έχουν ελάχιστη επιρροή στο τι τελικά μεταδίδουν τα SDK: συχνά, η μόνη τους επιλογή είναι είτε να αποδεχθούν την επεμβατική συλλογή είτε να μη χρησιμοποιήσουν καθόλου το εργαλείο.
Τι πρέπει να αλλάξει
Η ανάλυση του EFF δείχνει ότι τα διαφημιστικά SDK δεν επιτρέπουν απλώς τον διαμοιρασμό της τοποθεσίας — συχνά τον ενθαρρύνουν κιόλας. Οι προεπιλεγμένες ρυθμίσεις, τα οικονομικά κίνητρα και η θολή τεκμηρίωση καθιστούν τη διαρροή της θέσης των χρηστών την ευκολότερη διαδρομή.
Οι χρήστες μπορούν να λάβουν πρόσθετα μέτρα για να προστατεύσουν την τοποθεσία τους, δεν θα έπρεπε όμως να χρειάζεται. Προγραμματιστές, ρυθμιστικές αρχές και νομοθέτες οφείλουν να δράσουν.
Προγραμματιστές
Αξιολογήστε προσεκτικά κάθε SDK τρίτου που ενσωματώνετε και απενεργοποιήστε όποια συλλογή δεδομένων δεν είναι απαραίτητη. Ανεξάρτητα από το τι ορίζουν οι προεπιλογές, η ευθύνη για την προστασία της τοποθεσίας των χρηστών σας παραμένει δική σας. Από την άλλη, η προστασία της ιδιωτικότητας δεν θα έπρεπε να εξαρτάται από το αν κάποιος διάβασε τη σωστή σελίδα τεκμηρίωσης: ο διαμοιρασμός προσωπικών δεδομένων δεν πρέπει να αποτελεί την προεπιλογή, πολύ περισσότερο για κάτι τόσο ευαίσθητο όσο η θέση ενός ανθρώπου.
Ρυθμιστικές αρχές
Οι αρχές οφείλουν να συνεχίσουν να καταλογίζουν ευθύνες στους προγραμματιστές που διαμοιράζονται παράνομα προσωπικά δεδομένα ή ενσωματώνουν βιβλιοθήκες επιβλαβείς για την ιδιωτικότητα, όπως έχουν κάνει στο παρελθόν. Πρέπει, όμως, να ελέγξουν και τις εταιρείες των οποίων τα SDK ενθαρρύνουν αυτές τις πρακτικές σε μαζική κλίμακα. Διαφορετικά, θα συνεχίσουν να σχεδιάζουν εργαλεία που καθιστούν τον επεμβατικό διαμοιρασμό προεπιλογή, μετακυλίοντας την ευθύνη και τις συνέπειες σε όσους τα χρησιμοποιούν.
Νομοθέτες
Οι ΗΠΑ χρειάζονται επειγόντως έναν ομοσπονδιακό νόμο για την προστασία της τοποθεσίας, ο οποίος δεν θα υπερισχύει των αυστηρότερων πολιτειακών νόμων και θα προβλέπει δικαίωμα ατομικής προσφυγής εναντίον όσων παραβιάζουν την ιδιωτικότητα. Το ίδιο οφείλουν να πράξουν και οι υπόλοιπες χώρες. Η ιδιωτικότητα ανήκει σε όλους, ως οικουμενικό ανθρώπινο δικαίωμα.
Οι νομοθέτες μπορούν να χτυπήσουν το πρόβλημα στη ρίζα του, απαγορεύοντας τη συμπεριφορική διαφήμιση. Έτσι θα εξαφανιζόταν το βασικό κίνητρο για τη συλλογή και την εμπορία προσωπικών δεδομένων — και μαζί του η μετάδοση ακριβών τοποθεσιών σε μεσίτες δεδομένων μέσω των δημοπρασιών RTB.
Μέχρι τότε, οι προγραμματιστές καλό είναι να αντιμετωπίζουν με δυσπιστία τις διαφημιστικές βιβλιοθήκες που προδίδουν την τοποθεσία των χρηστών τους.
Σημείωση για τη μεθοδολογία
Το EFF εξέτασε την κίνηση δικτύου διαφημιστικών SDK για Android που αποστέλλουν εξ ορισμού ακριβή τοποθεσία, όταν τους δοθούν οι σχετικές άδειες. Η επιλογή του Android έγινε λόγω της σχετικής ανοιχτότητας της πλατφόρμας και της εξοικείωσης της ομάδας με την ανάλυσή της. Για τον εντοπισμό των δημοφιλών SDK και των εφαρμογών που τα ενσωματώνουν αξιοποιήθηκαν δημόσια διαθέσιμοι πόροι, όπως το Exodus Privacy και το AppBrain.
Σε εργαστηριακό περιβάλλον στήθηκε υπολογιστής για την επισκόπηση της δικής τους κίνησης http(s) με το mitmproxy, στον οποίο συνδέθηκε η συσκευή δοκιμών ώστε να παρακολουθείται η κίνηση σε πραγματικό χρόνο. Όπου χρειάστηκε, χρησιμοποιήθηκε και το εργαλείο δυναμικής ενοργάνωσης Frida.
Πηγή άρθρου: https://www.eff.org/