śledzenie w internecie

Śledzenie w internecie (online tracking) to zbieranie danych o zachowaniu użytkownika w sieci przez skrypty, piksele, pliki cookie i identyfikatory urządzenia, a następnie łączenie ich w profil na potrzeby reklamy lub analityki. MDN opisuje ciasteczka śledzące jako mechanizm, który podąża za użytkownikiem po różnych witrynach i łączy historię przeglądania z wielu stron w szczegółowy profil ^[1]. Biuletyn UODO zwraca uwagę, że same ciasteczka nie zawierają wprost danych osobowych, ale systematyczne gromadzenie informacji o aktywności może pozwolić zidentyfikować użytkownika i prowadzić do profilowania ^[3]. Śledzenie dotyczy więc zarówno prywatności, jak i przepisów o ochronie danych.

Jak działa

Podstawą jest identyfikator, który przeglądarka odsyła przy kolejnych wizytach. Najprostszym nośnikiem jest ciasteczko. MDN rozróżnia ciasteczka pierwszej strony, których domena zgadza się z adresem w pasku przeglądarki, i ciasteczka stron trzecich, ustawiane przez inne domeny ^[1]. Te drugie powstają, gdy strona osadza obrazy, ramki albo skrypty z cudzych serwerów ^[1]. Jeśli ten sam serwis reklamowy jest osadzony na wielu witrynach, widzi to samo ciasteczko na każdej z nich i może zestawić odwiedziny w jedną historię.

Przebieg śledzenia przez element osadzony z zewnętrznej domeny pokazuje schemat poniżej.

RYS. 1Ciasteczko strony trzeciej

Identyfikator nie musi leżeć w ciasteczku. Fingerprinting przeglądarki to według MDN praktyka rozpoznawania konkretnej przeglądarki, a pośrednio użytkownika, przez zebranie i połączenie cech przeglądarki i systemu ^[2]. Do odcisku wchodzą m.in. wersja przeglądarki, strefa czasowa, język, zainstalowane czcionki oraz rozmiar i rozdzielczość ekranu ^[2]. Strona zbiera je, wykonując JavaScript i CSS na urządzeniu ^[2]. Takiego identyfikatora nie usuwa się razem z ciasteczkami, więc tryb incognito przed nim nie chroni.

Rodzaje

Biuletyn UODO opisuje dodatkowo pliki typu zombie, które potrafią odtworzyć się po usunięciu dzięki kopiom poza przeglądarką ^[3].

W WordPressie

Sam rdzeń WordPressa ustawia głównie ciasteczka logowania i komentarzy. Od wersji 4.9.6 z 17 maja 2018 roku niezalogowany komentujący decyduje, czy jego imię, adres e-mail i witryna zostaną zapisane w ciasteczku przeglądarki ^[7]. To samo wydanie dodało stronę polityki prywatności oraz narzędzia do eksportu i usuwania danych osobowych użytkownika, obejmujące też dane zbierane przez zgodne wtyczki ^[7].

Śledzenie pojawia się na stronie zwykle przez motyw, wtyczkę albo wklejony kod: skrypt analityczny, piksel reklamowy, osadzony film lub przycisk serwisu społecznościowego. Każdy taki element to żądanie do zewnętrznej domeny, a więc potencjalne ciasteczko strony trzeciej. Wytyczne katalogu wtyczek WordPress.org mówią wprost, że wtyczki nie mogą śledzić użytkowników bez ich zgody ^[8]. Za niedozwolone uznają m.in. automatyczne zbieranie danych bez wyraźnego potwierdzenia, ładowanie z zewnątrz zasobów niezwiązanych z usługą i mechanizmy reklamowe stron trzecich, które śledzą użycie lub wyświetlenia ^[8]. Wyjątkiem są wtyczki będące interfejsem do usługi zewnętrznej, jak filtr antyspamowy; instalując je i konfigurując, użytkownik akceptuje zasady tej usługi ^[8].

Wtyczka spoza katalogu, zwłaszcza piracka wtyczka (nulled plugin), nie przechodzi tej weryfikacji. Dopisany do niej skrypt śledzący albo reklamowy działa na stronie bez wiedzy właściciela, co zbliża problem do malvertisingu.

Zagrożenia i skutki

Dla użytkownika skutkiem jest profil, który trudno kontrolować. MDN zauważa, że dane z ciasteczek śledzących mogą być sprzedawane dalej, co mnoży ryzyko dla prywatności, a także służyć do kierowania spamu e-mailowego i telefonicznego ^[1]. Śledzenie powiększa ślad cyfrowy i ułatwia późniejszą kradzież tożsamości albo precyzyjny phishing.

Przykład łączenia danych opisał Niebezpiecznik w grudniu 2017 roku. Czytelnik odwiedził sklep bez logowania i bez podawania adresu, porzucił koszyk, a potem dostał od sklepu e-mail ^[5]. Firma ConversionLabs wyjaśniła, że jej ciasteczko z anonimowym identyfikatorem jest wiązane z adresem e-mail, gdy użytkownik zarejestruje się w którymś ze sklepów partnerskich; wtedy inny sklep sieci może wysłać przypomnienie przez jej infrastrukturę ^[5].

Dla właściciela strony skutki są prawne. Biuletyn UODO wymienia obowiązek informacyjny, obowiązek uzyskania świadomej i jednoznacznej zgody na cookies marketingowe i analityczne, możliwość wycofania zgody i minimalizację danych ^[3]. Jeśli dane o odwiedzających trafiają do obcych systemów bez podstawy prawnej, może to być naruszenie ochrony danych osobowych w rozumieniu RODO.

Jak się bronić

Po stronie witryny podstawą jest zgoda na pliki cookie zbierana, zanim skrypty śledzące się załadują. Trybunał Sprawiedliwości UE w sprawie C-673/17 (Planet49) orzekł, że zgoda wyrażona przez domyślnie zaznaczone pole wyboru nie jest ważna ^[3]. Biuletyn UODO, powołując się na wytyczne EROD 05/2020, dodaje, że zgoda musi być poprzedzona aktywnym działaniem, a jej wycofanie powinno być tak samo łatwe jak udzielenie ^[3]. W 2024 roku TSUE uznał w sprawie C-604/22 (IAB Europe), że ciąg TC String z preferencjami zgody jest daną osobową, gdy można go powiązać z osobą, np. przez adres IP ^[4].

Dobre praktyki dla administratora WordPressa:

• inwentaryzacja wszystkich zewnętrznych skryptów, pikseli i osadzeń na stronie;
• ładowanie skryptów analitycznych i reklamowych dopiero po zgodzie;
• ustawienie flag ciasteczek SameSite, Secure i HttpOnly dla ciasteczek własnych; MDN zaleca HttpOnly dla ciasteczek wrażliwych i krótki czas ich życia ^[1];
• instalowanie wtyczek z katalogu WordPress.org i czytanie ich opisu pod kątem usług zewnętrznych ^[8].

Po stronie użytkownika część pracy wykonują przeglądarki. Według MDN Firefox i Safari domyślnie blokują ciasteczka stron trzecich, a Chrome robi to domyślnie tylko w trybie incognito ^[1].

Historia i przykłady

Ograniczenia śledzenia wprowadzają też producenci systemów. Sekurak w lutym 2021 roku opisał mechanizm App Tracking Transparency firmy Apple: aplikacja, która chce śledzić użytkownika w innych aplikacjach i witrynach, musi najpierw poprosić go o zgodę ^[6]. Facebook odpowiedział komunikatami w aplikacji, które przed systemowym pytaniem przekonywały, że śledzenie wspiera lepsze reklamy i małe firmy ^[6]. Blokowanie ciasteczek nie kończy jednak śledzenia. Odcisk przeglądarki powstaje bez zapisu czegokolwiek na urządzeniu, a według MDN często jest na tyle unikalny, że pozwala śledzić użytkownika w całej sieci ^[2].