欧洲的心理健康网站发现共享广告的用户数据

 
隐私权利倡导组织的研究发现，欧盟流行的心理健康网站正在与广告商分享用户敏感的个人数据。
根据Privacy International的调查结果，欧洲人上网寻求精神健康问题的支持，其中包括跟踪并传递给第三方的敏感健康数据 – 包括抑郁症网站将答案和心理健康检查结果直接传递给第三方以进行广告定位。
该慈善机构使用开源Webxray工具分析法国，德国和英国136个流行心理健康网页的数据收集习惯，并查看一小部分在线抑郁症测试(谷歌搜索结果排名前三位)对于每个国家的短语)。
它已将其调查结果汇编成一份名为Your mental health for sale的报告。
“我们的研究结果显示，许多精神健康网站并没有像他们应该认真对待访问者的隐私，”Privacy International写道。 “这项研究还表明，一些心理健康网站将访客的个人数据视为商品，而未能履行欧洲数据保护和隐私法规定的义务。”
根据欧洲的通用数据保护条例(GDPR)，有严格的健康数据处理规则 – 被归类为特殊类别的个人数据。
如果同意被用作收集此类数据的法律依据，则必须从用户处获得的标准是“明确”同意。
在实践中，这可能意味着在您进行抑郁症测试之前弹出一个问题，询问您是否愿意与广告商的清单分享您的心理健康状况，以便他们可以在您感觉低的时候用它来卖给您的东西 – 提供一个明确的’地狱没有’免费选择不同意(但仍然可以参加测试)。
可以肯定地说，这样的未经许可的同意屏幕就像现代互联网上的母鸡一样罕见。
但是，在欧洲，加强隐私权法律正在被用来挑战“数据工业综合体的系统性滥用行为，并帮助个人对行为跟踪广告技术行业强制执行其权利，而监管机构已经警告这些行业失控。
在Privacy International的主要调查结果中，有 –
76.04%的精神健康网页包含用于营销目的的第三方追踪器
Google跟踪器几乎无法避免，法国有87.8%的网页拥有Google跟踪器，德国为84.09%，英国为92.16%
Facebook是仅次于谷歌的第二大常见第三方追踪者，48.78%的法国网页分析与Facebook共享数据;德国为22.73%;和英国的49.02%。
许多精神健康网页也使用亚马逊营销服务(法国分析网页的24.39%;德国的13.64%;英国的11.76%)
与抑郁相关的网页使用了大量第三方跟踪cookie，这些cookie是在用户能够表达(或拒绝)同意之前放置的。平均而言，PI发现精神健康网页在法国放置了44.49个饼干;德国7.82;和12.24英国
欧洲法律围绕同意作为处理(一般)个人数据的法律依据 – 包括丢弃跟踪cookie – 要求通知，具体和自由提供。这意味着希望收集用户数据的网站必须明确说明他们打算收集哪些数据用于何种目的，并在此之前这样做，为访问者提供自由选择接受或拒绝跟踪。
删除跟踪cookie甚至没有明确要求明显违反该法律标准。当您认为这些心理健康网站处理的个人数据是高度敏感的特殊类别健康数据时，非常严重。
“人们很难寻求心理健康信息，例如在没有无数第三方观看的情况下进行抑郁症测试，”Privacy International技术专家Eliot Bendinelli在一份声明中说。 “所有网站提供商都有责任保护用户的隐私并遵守现行法律，但对于与第三方共享异常细粒度或敏感数据的网站尤其如此。心理健康网站就是这种情况。“
此外，该组织的分析发现，精神健康网站上嵌入的一些跟踪器用于实现称为实时出价(RTB)的程序化广告实践。
这很重要，因为RTB受到GDPR的多次投诉。
这些抱怨认为，个人数据的系统化，高速交易本质上是内在不安全的 – 人们的信息在与程序链中涉及的数百甚至数千个实体共享后无法得到保障，因为没有办法一旦通过就控制它。因此，RTB不符合GDPR要求安全处理个人数据的要求。
多个成员国的监管机构正在考虑投诉。但今年夏天，英国的数据监管机构ICO基本上暗示它与这一论点的关键一致 – 在一份更新报告中关注广告技术行业，该报告警告行为广告失控并指示行业广告必须改革。
然而，监管机构还表示，它将给予玩家“一段适当的时间来调整他们的做法”，而不是嘲笑现在的决定和禁令来执行法律。
ICO决定选择隐含的未来执法威胁来推动不合规的广告技术改革，而不是立即采取措施来终止隐私泄露，这引起了隐私保护者的批评。
鉴于隐私国际的调查结果显示，敏感的心理健康数据被提升到投标请求并且处于不安全的规模 – 这可能对个人的权利和自由构成严重风险，因此现在看起来确实存在问题。
隐私国际称，它发现了“众多”心理健康网站，包括来自已知数据经纪人和AdTech公司的跟踪器 – 其中一些从事程序化广告。它还发现一些抑郁症测试网站(即：netdoktor.de，passeportsante.net和doctissimo.fr，在它看来的那些)正在使用RTB的程序化广告。
“这项研究的结果是一个更广泛，更系统的问题的一部分：公司利用人们的数据以更精确的方式定位广告的方式从根本上被打破，”Bendinelli补充道。 “我们希望英国监管机构目前正在探讨AdTech行业及其使用特殊类别数据的多种方式，既不透明也不公平，往往缺乏明确的法律依据。”
我们已经向ICO提出了问题。更新：监管机构发言人向我们发出以下声明：
使用人们敏感的个人数据来投放广告需要得到数据保护法的明确同意，而现在并非始终如一。
我们最近发布的更新报告记录了我们对如何将个人信息(包括有关心理健康的敏感个人数据)用于程序化广告的实时出价的问题。在没有正确评估和解决这些交易对手的风险的情况下，可能与数百家公司共享人员数据，引发了对这些数据的安全性和保留的疑问。
我们已经给业界六个月的时间来开始进行所需的更改。业界对我们的报告表示欢迎，继续与ICO合作并认识到需要进行变革，尽管仍有许多工作要做，以解决我们所有的担忧。
我们还向欧洲互联网广告局询问了采取哪些措施鼓励RTB改革以使该系统符合欧盟隐私法。在撰写本文时，行业协会没有回应。
IAB最近发布了一个新版本，它称之为“透明度和同意管理框架”，旨在使网站嵌入以收集访问者对处理其数据的同意，包括用于广告定位目的 – 从法律上讲，IAB认为。
然而，批评人士认为，这只是广告技术行业中常见的“合规剧院”的另一部分 – 用户只提供了轻松的选择，因为无法真正控制个人数据的使用方式或最终结果。
IAB同意#IABTCF(v1 + v2)向用户和发布商提供了关于谁从他们那里接收数据的明确选择，但没有采取必要的技术措施来强制他们做出选择。
#GDPR第5条第(1)款要求“防止未经授权或非法处理”。
– Johnny Ryan(@johnnyryan)，2019年8月20日
今年早些时候，谷歌在欧洲的主要隐私监管机构爱尔兰DPC开始对该公司在其在线Ad Exchange环境中处理个人数据进行正式调查 – 这也是在爱尔兰提交RTB投诉的结果。
DPC表示将查看广告交易的每个阶段，以确定广告交易是否正在处理符合GDPR的个人数据 – 包括查看合法的处理基础;透明度和数据最小化的原则;及其数据保留实践。
该调查的结果还有待观察。 (投诉人提交新的证据表明他们的个人数据是以他们声称侵犯GDPR的方式分享的。
越来越多的监管机构对广告技术实践的关注无疑突显了许多法律上有问题和道德上可疑的东西 – 比如嵌入式跟踪基础设施，它会根据广告定位目的对人们的心理健康状况进行自由记录。很明显，欧盟监管机构还有很多工作要做，以实现GDPR的承诺.