79 de publicații din România au rulat reclame și trackere AdNow în ultimii zece ani. Ce date pot fi colectate

Pe 26 februarie și 3 mai, în două vizite pe site-ul România TV, jurnalistul care a documentat cazul susține că a refuzat colectarea datelor, dar informațiile au fost transmise către 10, respectiv 17 companii diferite.

Investigația arată că AdNow nu livrează reclamele prin Google Ads, ci prin propria infrastructură. Anunțurile apar frecvent la finalul articolelor, iar după accesare datele utilizatorilor pot ajunge într-o rețea de companii rusești la care are acces statul rus.

În România, 79 de publicații au rulat în ultimii zece ani reclame și trackere de la AdNow. Lista include Antena3, B1TV, România TV, Realitatea TV, OrangeSport și Puterea, alături de site-uri locale și platforme conspiraționiste sau extremiste.

Potrivit investigației, aceste publicații au generat trafic zilnic de milioane de utilizatori unici. Expunerea nu se limitează la site-uri de știri, ci include și site-uri de sport, aplicații mobile, platforme religioase sau pagini de extremă dreapta și conspiraționiste.

Datele sunt legate de un cod unic și trimise mai departe

Utilizatorii sunt identificați inițial printr-un cod unic, descris drept un „CNP digital” sau o amprentă digitală. Informațiile sunt corelate cu același cod și cu coduri de urmărire de pe Facebook, ceea ce permite profilarea pe mai multe categorii.

Datele colectate pot include informații despre sănătate, situație financiară, orientare politică sau religioasă, orientare sexuală, localizare în timp real și detalii tehnice despre dispozitiv, procesor, browser și ecran.

Rețeaua poate clasifica utilizatorii după interese, vulnerabilități, orientare politică, interes pentru conspirații, astrologie și probleme de sănătate. Johnny Ryan, expert în protecția datelor și publicitate digitală, a spus pentru Snoop că „Datele pot fi extrem de intime”.

În cazul analizat, codul transmis conținea zeci de detalii tehnice despre dispozitiv și era asociat identificatorului „Ssp-9d8f214f-e1ae-d68c-5edf-5edf-cbfb0f915c”. Investigația susține că acest cod poate fi transmis mai departe chiar după refuzul utilizatorului.

Datele ar fi ascunse într-un format „cloaked”, adică împachetate într-un alt cod care poate fi capturat și decodat. Potrivit materialului, informațiile ajung în orașul siberian Novosibirsk sau pe servere din Germania și Olanda, de unde sunt transferate direct la Moscova.

În Federația Rusă, informațiile aflate pe servere pot fi accesate oricând de guvern, în baza legislației și practicii locale, potrivit investigației. Specialiștii citați în material spun că astfel de date pot deveni instrumente de supraveghere și influențare a comportamentului.

Wolfie Christl, expert austriac în publicitate digitală și protecția datelor, a rezumat acest tip de piață astfel: „Se cumpără și se vinde aproape orice”. Johnny Ryan a dat ca exemplu de segmentare inclusiv categoria „persoane cu SIDA”.

Licitația publicitară trimite datele în fracțiuni de secundă

În publicitatea programatică, mecanismul Real-Time Bidding declanșează, într-o fracțiune de secundă, o licitație. Zeci sau chiar sute de companii primesc informații despre ceea ce citește sau face utilizatorul, pentru a decide ce reclamă să afișeze.

La data documentării, site-ul România TV avea 1.019 parteneri de publicitate în notificarea GDPR. În perioada monitorizată, lista sa de parteneri din fișierul ads.txt a variat între 1.000 și 1.600 de entități.

Prezența unei companii în fișierul ads.txt nu dovedește automat că aceasta a colectat sau folosit datele utilizatorilor. Ea arată însă că firma respectivă putea face acest lucru.

În notificarea GDPR afișată pe site, România TV le spune utilizatorilor: „Nouă ne pasă ca datele tale personale să rămână confidențiale”.

Materialul descrie și felul în care profilarea poate duce la reclame pentru fraude financiare. După clasificarea utilizatorilor în funcție de interese și vulnerabilități, unele pagini îi redirecționează către formulare în care pot introduce numele, prenumele și numărul de telefon.

Un exemplu analizat folosea imaginile lui Călin Georgescu, Klaus Iohannis și Ilie Bolojan pentru a promova o schemă de îmbogățire rapidă. Mesajul îi era favorabil lui Călin Georgescu, despre care reclama susținea că ar fi numit schema „onestă” și că i-ar fi adus 1,3 milioane de lei.

Un alt anunț imita stilul unei știri românești și folosea titlul „Vești înfricoșătoare: reforma pensiilor vă va surprinde!”. Reclama era însoțită de imagini cu persoane în vârstă la coadă sau plângând și trimitea utilizatorii către site-ul rusesc xre4xdxrc[.]ru.

Investigația mai susține că reclamele asociate conținutului de ură sunt încadrate în sistemul IAB prin codul IAB25-5. Aceste reclame sunt descrise ca fiind printre cele mai bine plătite din rețele precum AdNow.

Din punct de vedere juridic, GDPR permite invocarea „interesului legitim” doar în anumite condiții, când compania demonstrează că are un scop legitim, că prelucrarea este necesară și că nu încalcă drepturile și libertățile persoanei. Acest temei nu poate justifica în mod general colectarea datelor.

Pentru cookie-uri, pixeli, fingerprinting și alte tehnologii care stochează sau accesează informații de pe dispozitiv este necesar, ca regulă, consimțământul prealabil, potrivit normelor ePrivacy. Tehnologiile folosite pentru publicitate, profilare sau urmărirea utilizatorului între site-uri nu sunt considerate strict necesare pentru furnizarea serviciului.

Autoritatea franceză pentru protecția datelor, CNIL, admite excepții pentru anumite instrumente de măsurare a audienței, dacă sunt folosite exclusiv pentru această măsurare, nu urmăresc utilizatorul între site-uri și nu combină sau transmit datele către terți.

Bogdan Manolea, de la Asociația pentru Tehnologie și Internet, a spus că „interesul legitim” nu poate fi folosit ca justificare generală pentru orice colectare de date, iar cookie-urile și tehnologiile de urmărire publicitară necesită consimțământ.

Pentru reducerea urmăririi online, investigația menționează extensii de tip adblocker, precum uBlock Origin, Adblocker și NoScript, browsere precum Brave sau DuckDuckGo și aplicații VPN, care criptează traficul și pot masca locul din care este folosit dispozitivul.

Materialul citează și două exemple folosite de specialiști pentru a arăta cât de departe pot merge astfel de date. Publicația germană Interaktiv ar fi obținut date de localizare suficient de precise pentru a identifica deplasările unor spioni germani, iar alți experți citați susțin că mai mulți militari americani au fost omorâți de iranieni după ce au fost identificați folosind date de publicitate.