Aplikacje AR widzą kamerę, otoczenie i ruch telefonu, ale audyt ponad 4000 polityk prywatności wykrył poważne braki w 44,6% z nich

Aplikacja AR nie musi nagrywać filmu i wysyłać go na serwer, żeby wiedzieć o otoczeniu znacznie więcej niż typowy program mobilny. Do prawidłowego nakładania obiektów na obraz korzysta z kamery, danych o ruchu telefonu, położeniu urządzenia, orientacji w przestrzeni, a niekiedy także lokalizacji i informacji pozwalających analizować twarz lub sylwetkę. Problem zaczyna się wtedy, gdy dokument opisujący przetwarzanie tych danych jest znacznie mniej precyzyjny niż sama technologia.

Duży audyt mobilnych aplikacji rozszerzonej rzeczywistości pokazał skalę tego rozdźwięku. Badacze zbudowali zbiór obejmujący 8013 aplikacji MAR z Google Play, pozyskali 6620 plików APK i 6426 plików wskazanych jako polityki prywatności, a do właściwego automatycznego audytu wykorzystali 4116 anglojęzycznych polityk. Wynik, który powinien zainteresować nie tylko deweloperów: 44,62% przeanalizowanych dokumentów miało poważne braki, czyli nie spełniało ponad ośmiu badanych wymagań informacyjnych.

To ważne zastrzeżenie: audyt przeprowadzono względem wymagań obowiązujących w amerykańskich stanowych przepisach o prywatności, a nie względem RODO. Nie można więc powiedzieć, że 44,62% aplikacji narusza europejskie prawo. Można natomiast powiedzieć coś praktycznie ważniejszego: w ogromnej grupie dokumentów brakowało informacji dotyczących praw użytkowników, okresu przechowywania, danych wrażliwych, danych biometrycznych czy możliwości sprzeciwienia się określonym operacjom na danych. To są obszary równie istotne dla użytkownika w Polsce.

AR zbiera inny rodzaj danych niż zwykła aplikacja i właśnie dlatego polityka prywatności ma większe znaczenie

W klasycznej aplikacji mobilnej użytkownik stosunkowo łatwo rozumie część przepływu informacji. Aplikacja pogodowa potrzebuje lokalizacji, komunikator kontaktów lub mikrofonu, program fotograficzny dostępu do zdjęć.

W AR granica jest mniej czytelna.

Telefon musi stale ustalać, gdzie znajduje się urządzenie względem podłogi, ściany, stołu czy twarzy, jak szybko się porusza i jak zmienia się położenie kamery. Badacze opisują ten mechanizm jako połączenie danych z wielu sensorów, obejmujące między innymi strumień z kamery, GPS i trajektorie ruchu urządzenia. Takie informacje mogą ujawniać bardzo szczegółowy kontekst wizualny otoczenia, a część z nich znajduje się blisko kategorii danych biometrycznych.

W praktyce aplikacja do ustawienia wirtualnej sofy w salonie może potrzebować obrazu pokoju i geometrii powierzchni. Aplikacja nakładająca makijaż musi lokalizować elementy twarzy. Filtr społecznościowy śledzi jej ruch. Gra AR może jednocześnie korzystać z kamery, ruchu telefonu i dokładnej lokalizacji.

To nie oznacza automatycznie, że każda z tych informacji trafia do producenta aplikacji. Część analizy może odbywać się lokalnie na urządzeniu. Dlatego przy ocenie aplikacji trzeba rozdzielić trzy różne rzeczy:

• dostęp aplikacji do sensora, np. kamery,

• przetwarzanie danych na telefonie,

• wysyłanie danych poza urządzenie, np. do serwera producenta, firmy analitycznej albo sieci reklamowej.

Sam komunikat Androida „zezwól na korzystanie z aparatu” nie odpowiada na dwa ostatnie pytania.

I właśnie tutaj polityka prywatności powinna być konkretna. W dobrze opisanej aplikacji użytkownik jest w stanie ustalić nie tylko, że program korzysta z aparatu, lecz także po co to robi, jakie informacje zostają zapisane, jak długo są przechowywane i komu mogą zostać przekazane.

Google wymaga obecnie od deweloperów publikujących w Google Play zarówno polityki prywatności, jak i aktualnej sekcji Bezpieczeństwo danych, obejmującej zbieranie, wykorzystywanie oraz udostępnianie informacji, również przez biblioteki i SDK zastosowane w aplikacji. Deklaracje powinny odpowiadać rzeczywistemu zachowaniu programu.

Dla użytkownika jest to przydatny punkt kontrolny, ale nie gwarancja. Sekcja w sklepie jest w dużej mierze deklaracją dewelopera. Jeżeli polityka prywatności mówi coś innego niż karta Google Play albo aplikacja żąda uprawnienia, którego nie da się logicznie połączyć z jej funkcją, traktowałbym to jako sygnał ostrzegawczy.

Najbardziej podejrzane są trzy sytuacje: aplikacja żąda dokładnej lokalizacji bez oczywistej potrzeby, chce dostępu do sensora zanim użytkownik uruchomi funkcję AR albo opisuje przetwarzanie jednym szerokim zdaniem w rodzaju „możemy zbierać informacje niezbędne do świadczenia usług”. To za mało, żeby świadomie ocenić ryzyko.

44,62% poważnie niekompletnych dokumentów, a największa dziura dotyczy praw użytkownika

Najciekawszy wynik badania nie brzmi nawet „44,62%”. Ważniejsze jest to, czego konkretnie brakowało.

Autorzy zbudowali model obejmujący 22 wymagania informacyjne wynikające z obowiązujących stanowych ustaw o prywatności w USA: wymagania podstawowe, wymagania aktywowane określonym sposobem przetwarzania oraz warunkowe ciągi obowiązków. Audyt 4116 anglojęzycznych polityk wykazał, że problemy nie koncentrowały się w niewielkiej grupie wyjątkowo źle napisanych dokumentów. Braki występowały szeroko w całym zbiorze.

Liczby są konkretne:

• 58,1% analizowanych polityk nie informowało prawidłowo o prawie dostępu do danych,

• 59,5% pomijało prawo do poprawienia danych,

• 50,8% nie przedstawiało prawa do usunięcia danych,

• 77,1% pomijało prawo do przenoszenia danych,

• 93,3% nie zawierało informacji o prawie do niedyskryminacji,

• 97,4% nie opisywało mechanizmu odwoławczego przewidzianego w analizowanych przepisach.

Problem nie kończył się na prawach.

W grupie podstawowych wymagań 56% polityk nie identyfikowało wyraźnie administratora lub podmiotu odpowiedzialnego za dane, a 47,5% nie miało daty wejścia w życie lub ostatniej aktualizacji. 37,9% nie opisywało sposobu informowania o istotnych zmianach, a 24,4% nie zapewniało funkcjonalnych danych kontaktowych. W 35,8% przypadków zabrakło konkretnego okresu przechowywania danych albo kryterium pozwalającego taki okres ustalić.

To są braki, które użytkownik odczuwa dopiero wtedy, gdy chce coś zrobić. Usunięcie konta nie oznacza przecież automatycznie usunięcia wszystkich informacji. Bez jasnej procedury trudno sprawdzić, gdzie wysłać żądanie, jaki jest zakres danych, kto je kontroluje i co dzieje się z nimi po zakończeniu korzystania z aplikacji.

Jeszcze gorzej wyglądały niektóre scenariusze dotyczące informacji wrażliwych.

Spośród 601 polityk deklarujących zbieranie danych biometrycznych aż 99,8% nie opisywało procedury reagowania na incydent bezpieczeństwa związany z takimi danymi, a 97,2% nie przedstawiało zasad ich usuwania. Wśród 1918 polityk deklarujących przetwarzanie wrażliwych informacji osobowych 93,6% nie informowało o analizowanym w badaniu prawie do ograniczenia takiego wykorzystania.

To mocny sygnał także dla rynku europejskiego. Dane biometryczne używane do jednoznacznego identyfikowania osoby należą w RODO do szczególnych kategorii danych osobowych, których przetwarzanie podlega dodatkowym ograniczeniom. Nie każdy punkt twarzy wykorzystywany przez filtr automatycznie staje się jednak daną biometryczną w rozumieniu RODO. Liczy się sposób przetwarzania i cel — zwłaszcza to, czy dane służą identyfikacji osoby.

Dlatego bardziej sensowne od pytania „czy aplikacja skanuje twarz?” jest pytanie: co dokładnie powstaje z tego skanu i gdzie wynik trafia?

Co sprawdzić przed uruchomieniem aplikacji AR — trzy minuty, które dają więcej niż przeczytanie całej polityki

Nie polecam zaczynać od czytania 30 ekranów prawniczego tekstu. Najpierw sprawdzam uprawnienia i deklaracje aplikacji, a dopiero potem szukam w polityce kilku konkretnych informacji.

Priorytet 1: kamera, lokalizacja i mikrofon.

Jeżeli funkcja AR polega na ustawieniu wirtualnego produktu na biurku, kamera jest logiczna. Stały dostęp do dokładnej lokalizacji już niekoniecznie.

Przy pierwszym uruchomieniu warto odrzucić wszystko, co nie jest niezbędne, i zobaczyć, czy aplikacja nadal działa. Android oraz iOS pozwalają później zmieniać nadane uprawnienia w ustawieniach systemowych.

Nie ma sensu blokować kamery aplikacji, której podstawową funkcją jest AR — program po prostu przestanie działać. Sens ma natomiast ograniczenie lokalizacji, mikrofonu, zdjęć i innych dostępów, jeśli konkretna funkcja ich nie potrzebuje.

Priorytet 2: odpowiedź na cztery pytania w polityce prywatności.

W dokumencie wyszukuję słowa związane z:

• kamerą, obrazem, twarzą, lokalizacją i danymi sensorycznymi,

• odbiorcami lub „third parties”,

• okresem przechowywania albo „retention”,

• usunięciem danych lub konta.

Jeżeli po kilku minutach nadal nie wiadomo, czy obraz z kamery opuszcza urządzenie, dokument słabo spełnia swój praktyczny cel.

RODO wymaga, aby informacje przekazywane osobie były zwięzłe, przejrzyste, zrozumiałe i łatwo dostępne. Obowiązki informacyjne obejmują między innymi informacje o administratorze, celach i podstawach przetwarzania, odbiorcach danych, okresie przechowywania oraz przysługujących użytkownikowi prawach.

To ważne: sama obecność kilkunastostronicowej polityki nie świadczy o dobrej ochronie prywatności. Dokument może być długi i jednocześnie omijać rzeczy najważniejsze dla użytkownika.

Priorytet 3: zgodność deklaracji z zachowaniem aplikacji.

Jeżeli karta Google Play deklaruje brak udostępniania danych podmiotom trzecim, a polityka szeroko opisuje sieci reklamowe, dostawców analityki i partnerów marketingowych, trzeba wyjaśnić rozbieżność przed dalszym korzystaniem.

Podobnie z SDK. Deweloper może stworzyć prostą aplikację AR, ale jednocześnie dodać do niej Firebase Analytics, Meta SDK, narzędzia reklamowe albo platformę telemetryczną. To właśnie biblioteki zewnętrzne bywają źródłem przepływu danych, którego użytkownik nie kojarzy bezpośrednio z podstawową funkcją aplikacji.

Google wprost nakłada na twórcę aplikacji odpowiedzialność za uwzględnienie w deklaracjach również sposobu przetwarzania danych przez zastosowane SDK.

Na tym etapie mam prostą granicę decyzyjną. Jeżeli aplikacja AR wymaga dostępu do dokładnej lokalizacji, twarzy lub rozbudowanego zestawu sensorów, a jednocześnie nie potrafi jasno wskazać celu, odbiorców i czasu przechowywania danych, rezygnuję z niej, jeśli istnieje rozsądna alternatywa.

Inaczej podchodzę do aplikacji, której funkcja z natury wymaga takich informacji — na przykład nawigacji AR czy pomiaru przestrzeni. Wtedy samo uprawnienie nie jest problemem. Problemem jest brak proporcji między funkcją a zakresem przetwarzania.

Warto też zwrócić uwagę na wiek polityki prywatności. Audyt MAR pokazał, że dokumenty często zachowują się jak statyczne archiwum, podczas gdy aplikacja, SDK i model biznesowy zmieniają się znacznie szybciej. Autorzy odnotowali m.in., że niemal jedna czwarta analizowanych amerykańskich aplikacji nie była aktualizowana od 2023 r. lub wcześniej, podczas gdy część samych dokumentów również miała problemy z aktualnością.

Stara aplikacja nie jest automatycznie niebezpieczna, ale przy AR jest to szczególnie niewygodne: zmieniają się systemowe API, biblioteki AR i wymagania sklepów. Jeżeli program od dawna nie był utrzymywany, a polityka nie ma daty aktualizacji, nie ma dobrego sposobu, by sprawdzić, czy dokument nadal odpowiada kodowi.

Najważniejszy błąd do usunięcia jest więc prosty: nie traktować systemowej zgody na kamerę jako pełnej informacji o prywatności. Zgoda mówi, że aplikacja uzyska dostęp do sensora. Nie mówi, co stanie się później z informacją uzyskaną za jego pomocą.

FAQ

Czy aplikacja AR może zobaczyć mój pokój?
Tak. Jeżeli korzysta z kamery do rozpoznawania powierzchni i położenia obiektów, analizuje obraz otoczenia. Nie oznacza to jednak automatycznie, że pełny obraz pokoju jest przesyłany na serwer — aplikacja może wykonywać część obliczeń lokalnie.

Czy dostęp do kamery oznacza, że aplikacja nagrywa film?
Nie. Dostęp do kamery pozwala aplikacji korzystać ze strumienia obrazu, ale samo uprawnienie nie mówi, czy obraz jest zapisywany lub wysyłany poza telefon. Tę informację trzeba sprawdzić w polityce prywatności i dokumentacji aplikacji.

Czy 44,62% aplikacji AR narusza RODO?
Nie można tak interpretować wyniku. 44,62% dotyczy polityk z poważnymi brakami względem zestawu wymagań wyprowadzonych z amerykańskich przepisów stanowych, a nie audytu zgodności z RODO. Badanie pokazuje jednak systemowy problem z kompletnością informacji przekazywanych użytkownikom.

Czy skan twarzy w aplikacji AR zawsze jest daną biometryczną?
Nie. W rozumieniu RODO szczególne znaczenie mają dane biometryczne przetwarzane w celu jednoznacznej identyfikacji osoby. Analiza geometrii twarzy wyłącznie po to, aby przykleić do niej filtr AR, nie musi automatycznie oznaczać takiego samego reżimu jak system rozpoznawania tożsamości.

Co sprawdzić jako pierwsze po instalacji?
Najpierw uprawnienia do kamery, dokładnej lokalizacji, mikrofonu i zdjęć. Następnie sekcję Bezpieczeństwo danych w Google Play lub analogiczne informacje w sklepie, a potem w polityce wyszukaj cel przetwarzania, odbiorców, czas przechowywania i procedurę usuwania danych.

Kiedy lepiej odinstalować aplikację?
Gdy żąda wrażliwych uprawnień niezwiązanych z funkcją, nie wyjaśnia, dlaczego ich potrzebuje, ma sprzeczne deklaracje dotyczące udostępniania danych albo nie wskazuje, kto odpowiada za dane i jak zażądać ich usunięcia. Jedna niejasność nie przesądza o nadużyciu. Kilka takich sygnałów naraz to już wystarczający powód, by wybrać inne narzędzie.