Dette er appene du bør passe deg for

Minst 83 apper har tilknytning til et selskap som selger data om mobilbrukeres bevegelser. De har blitt lastet ned mer enn 230 millioner ganger.

Personvernekspert Sean O’Brien ved Yale Privacy Lab advarer folk mot å installere mange apper på mobilen. Det er fordi en eller flere av appene kan spre informasjon om deg, kanskje til og med uten at du vet det.

Ta for eksempel appen «Quran Mp3» utgitt av utvikleren AppSourceHub. Inntil nylig betydde det å installere denne appen at dine mobilbevegelser kunne bli sporet av det britiske selskapet Huq Industries.

Første gang du åpnet appen ville du bli spurt om appen kunne få tilgang til mobilens stedsdata. Trykket du «godta» ville du bli forelagt en forkortet personvernerklæring som fortalte deg at appen samlet inn «forskjellige typer data som i noen tilfeller kan være identifiserende opplysninger».

Quran Mp3 har blitt lastet ned over én million ganger, og den er bare en av mange. Huq Industries kan samle inn stedsdata fra Android-apper nedlastet minst 230 millioner ganger, ifølge en opptelling NRK har gjort basert på appscanneren Exodus Privacy i tidsrommet 15-18. oktober.

Om brukeren skulle angre seg var det mulig å slå av «datainnsamling» i appen Quran Mp3. Det kunne man gjøre i appens innstillinger, men ifølge Joel Reardon ville Huq Industries likevel fått brukerens presise mobilbevegelser. Det viste en analyse han gjorde på vegne av NRK. Reardon er medgrunnlegger av det personvernfokuserte analyseselskapet AppCensus.

Reardon har i tillegg funnet to andre apper som oppførte seg på samme måte. Appene «Network Signal Info» og «QR & Barcode Scanner» har tidligere blitt omtalt av Vice Motherboard. Til BBC innrømmet selskapet at de to appene ikke hadde fulgt deres retningslinjer og at det skal bli fikset.

Huq Industries opplyser til NRK at de nå har brutt partnerskapet med AppSourceHub. Selskapet utviklet appene «Quran Mp3» og «QR & Barcode Scanner».

– Vi er klar over tre tekniske brudd på våre krav til godt personvern. Det innebærer blant annet tilstrekkelige tiltak for å innhente samtykke når brukeren laster ned våre partneres apper, sier Conrad Poulson som er sjef for Huq Industries.

Poulson understreker at de rettet feilene så fort de ble klar over dem.

SJEKK SELV: I bunnen av artikkelen har vi listet opp Android-apper med tilknytning til Huq Industries. Trykk her for å hoppe til listen. NRK har ikke hatt mulighet til å lage en lignende oversikt for iPhone på grunn av at dette operativsystemet er mer lukket.

Selskapet etterforskes

Huq Industries er under etterforskning av dansk datatilsyn. I korrespondanse med tilsynet har selskapet delt et eksempel på hvordan de innhenter et juridisk samtykke til å behandle mobilbrukeres personopplysninger.

Ifølge to jurister som spesialiserer seg på personvernlov er dette samtykke ikke i tråd med det felles europeiske personvernregelverket (GDPR).

NRK har så forelagt fire app-samtykker for to jurister. De mener at samtykkene i appene Quran Mp3, Internet Speed Test, og Speedometer HD ikke var gode nok. De landet på ulike konklusjoner for en britisk togapp.

– Ingen bruker samtykke i samsvar med GDPR, sier Malgorzata Agnieszka Cyndecka som er førsteamanuensis ved Universitetet i Bergen.

Vebjørn Søndersrød leder fagområdet personvern ved advokatkontoret Ræder. Han mener at tre av appene har flere mangler, men at den viktigste er at brukerne ikke vet nok til å gjøre et informert valg akkurat der de blir bedt om å tillate å la seg spore.

– Du vet ikke hvem eller hvor mange aktører dine data deles med, du vet ikke hvilke av dine data som deles, og du vet heller ikke hva dine data brukes til, sier Søndersrød.

For å få denne informasjonen må brukeren trykke seg inn til appenes fulle personvernerklæring.

NRK har forelagt Huq Industries og de apputviklerne for juristenes vurderinger og funnene til Joel Reardon.

National Rail, en britisk sammenslutning av private jernbaneselskaper, forteller at de nå har avsluttet samarbeidet med Huq Industries for å være på den sikre siden. Foreløpig har ingen av de andre apputviklerne kommet tilbake til oss. Vi vil oppdatere saken når det skjer.

Markedssjef i Huq Industries, Alexander Fairfax, mener man skal være varsomme med å konkludere om deres datainnsamling er lovlig uten å kjenne alle detaljer. Han oppgir til NRK at de har et team med erfaring med det felles europeiske personvernregelverket (GDPR).

– I vår avtale med app-partnerne våre har vi tydelig beskrevet hvordan de bør innhente samtykke for formålene vi bruker dataene til. Det er deres ansvar å følge opp disse betingelsene. Vi tar personvern veldig alvorlig og vi vil sjekke opp alle bekymringer om spesifikke apper umiddelbart, sier Fairfax.

Fairfax oppgir at eksempelet på samtykke de delte med det danske datatilsynet var «designet for å forklare hvordan samtykkevinduer kan fungere».

– Det avgjørende var at materialet som ble delt med datatilsynet inkluderte ytterligere veiledning vi gir til partnere om deres forpliktelser til å innhente riktig samtykke. Dette inkluderer eksempler på formuleringer, sier Fairfax.

– Det er ikke mulig å foreta en vurdering av om man opererer i samråd med GDPR basert på et enkelt skjermbilde, siden det å operere i samsvar ned GDPR består av et bredt spekter av komponenter, inkludert samtykke fra brukeren til hvordan dataene behandles og brukes, sier Fairfax.

Huq Industries har tidligere oppgitt at de selger data til andre selskaper. Overfor NRK understreker selskapet at informasjonen kun skal brukes til ulike analyseformål.

– Vi har ingen kommersiell interesse av å identifisere enkeltpersoner, sier Huq-sjef Conrad Poulson.

Advarer mot å installere mange apper

Sean O’Brien ved Yale Privacy Lab mener Google og Apple burde gjort mer for å beskytte mobileiere. Ifølge ham er apper nærmest tvunget til å overvåke sine brukere for å tjene penger fordi det er vanskelig å finansiere apputvikling på andre måter.

– Du må spionere på brukerne og du må selge deres data, sier O’Brien til NRK.

O’Brien advarer spesielt mot å installere apper som åpent samarbeider med selskaper som Huq Industries. Om man først installere en app bør man være forsiktig med å gi dem mer tilganger enn de absolutt trenger, mener O’Brien. Det skyldes at mange apper sporer brukerne sine og at noen apper til og med gjør det i skjul.

Han mener at Apple og Google kunne gjort mer for å oppdage og kaste ut selskaper som sporer mobilbrukere ved å være mer proaktive.

Blitt vanskeligere å spore

Google og Apple har strammet inn hvor enkelt det er for en app å få tilgang til brukernes bevegelsesdata. Det har blant annet blitt vanskeligere å spore brukerne mens en app er i bakgrunnen eller at mobilen er låst. Apple har også innført en oversikt som i større grad viser hvilke typer data apper samler inn og deler videre.

Apple har ikke besvart NRKs henvendelser. Kommunikasjonsansvarlig i Google Norge, Sondre Ronander, oppgir at de undersøker Huq Industries.

– Vi er helt fokusert på å beskytte brukernes personvern, og tilby et trygt og sikkert miljø. Apper som er villedende, skadelige, eller på noen måte forsøker å misbruke nettverk, enheter, eller personlige data er strengt forbudt, sier Ronander.

– Google Play Protect skanner over 100 milliarder apper på folk sine enheter hver eneste dag for å sikre at installerte apper ikke oppfører seg på noen skadelig måte, og i 2020 alene forhindret vi over 962.000 apper som brøt våre retningslinjer fra å bli publisert på Google Play i det hele tatt, sier kommunikasjonsansvarlig Sondre Ronander hos Google Norge.

Oversikt over apper som kan sende mobilbrukerens presise bevegelser til Huq Industries. Sist oppdatert 15-18. oktober: