谷歌被指控向數(shù)千名廣告客戶泄露個人數(shù)據(jù)

Brave是一家基于Chromium的谷歌瀏覽器競爭對手的制造商，該公司表示，它有新的證據(jù)表明谷歌正在向廣告商泄露個人信息，并違反歐洲有關(guān)數(shù)據(jù)控制和透明度的隱私法律。

Brave首席政策和行業(yè)關(guān)系官員Johnny Ryan已將他的調(diào)查結(jié)果提交給愛爾蘭數(shù)據(jù)保護委員會，這是谷歌在歐洲的主要監(jiān)管機構(gòu)。

5月，DPC 開始調(diào)查谷歌的授權(quán)買家實時出價(RTB)廣告交易，該廣告交易將廣告買家與數(shù)百萬銷售其廣告資源的網(wǎng)站聯(lián)系起來。

瑞恩于2018 年在英國和愛爾蘭通過谷歌的RTB系統(tǒng)提起GDPR 投訴，認(rèn)為谷歌和廣告公司在使用谷歌行為廣告的網(wǎng)站上的RTB投標(biāo)請求中公開個人數(shù)據(jù)。

與上下文廣告相反，更高價值的行為廣告依賴于使用cookie和其他方式跨網(wǎng)站跟蹤設(shè)備的行為。

谷歌的授權(quán)買家廣告系統(tǒng)被用于840萬個網(wǎng)站，瑞安估計谷歌正在向數(shù)百個谷歌廣告技術(shù)合作伙伴 “廣播”個人數(shù)據(jù)，這些合作伙伴在谷歌的RTB系統(tǒng)中競標(biāo)用戶。

“人們無法知道這些公司對此采取了什么措施，因為Google一旦發(fā)送數(shù)據(jù)就失去了對我的數(shù)據(jù)的控制權(quán)。其政策無法保護，”瑞安說。

Ryan的最新聲明集中在谷歌所謂的“推送頁面”或“google_push”上，他稱之為用戶標(biāo)識符和GDPR限制的解決方法。除了名為“google_gid”的現(xiàn)有標(biāo)識符外，它還可供RTB投標(biāo)人使用。

他認(rèn)為推送頁面允許多個廣告商在一個人加載網(wǎng)頁時共享用戶個人資料身份。

根據(jù)Ryan的說法，每個推送頁面都是唯一的，它通過在公共URL的末尾添加一個標(biāo)識符并與Google cookies結(jié)合使用，以允許公司匿名識別該人。

“Google邀請訪問推送頁面的所有公司都會為被配置人員提供相同的標(biāo)識符。這個'google_push'標(biāo)識符允許他們交叉引用他們的個人資料，然后他們可以互相交換個人資料數(shù)據(jù)，”瑞安寫道。

為了測試Google與廣告客戶共享的數(shù)據(jù)，Ryan使用了干凈安裝的Chrome，它沒有登錄，Cookie或瀏覽歷史記錄，然后分析了計算機上的網(wǎng)絡(luò)流量日志。

在網(wǎng)上沖浪的一小時內(nèi)，Ryan瀏覽器的'google_gid'在來自10家贏得RTB拍賣的公司的網(wǎng)絡(luò)流量中使用了318次。然后，公司可以使用烹飪匹配過程來檢查用戶是否是他們之前分析過的人，然后更新用戶的個人資料。

然而，瑞恩指出，谷歌也可能與其列為廣告技術(shù)合作伙伴的數(shù)百家公司共享該標(biāo)識符。

“就像'google_gid'標(biāo)識符一樣，谷歌先前已經(jīng)向這些公司提供'google_push'標(biāo)識符來識別數(shù)據(jù)主題，”Ryan寫道。

“但是，這兩個標(biāo)識符之間存在重要差異。'google_gid'標(biāo)識符特定于每個接收它的公司。這意味著這些公司不太可能交叉引用他們從數(shù)據(jù)主題中學(xué)到的內(nèi)容。谷歌相互之間。但是，'google_push'標(biāo)識符對于收到它的多家公司來說很常見。“

谷歌發(fā)言人在向ZDNet發(fā)表的一份聲明中表示，未經(jīng)用戶同意，該公司不會投放有針對性的廣告。

“未經(jīng)用戶同意，我們不會向投標(biāo)人提供個性化廣告或投標(biāo)請求。愛爾蘭DPC - 作為Google的主要DPA - 以及英國ICO已經(jīng)在考慮實時競標(biāo)以評估其對GDPR的合規(guī)性。我們歡迎這項工作和正在全力合作，“發(fā)言人說。

盡管如此，英國信息委員會辦公室在其6月份關(guān)于RTB生態(tài)系統(tǒng)審查的報告中也看到了谷歌的授權(quán)買家，他分享了瑞恩對RTB數(shù)據(jù)供應(yīng)鏈的一些擔(dān)憂。

總的來說，ICO發(fā)現(xiàn)“adtech行業(yè)對數(shù)據(jù)保護要求的理解還不成熟”。

它還指出，單個RTB請求可能導(dǎo)致數(shù)百個組織處理個人數(shù)據(jù)，每個組織都有自己的隱私政策。

“多方收到有關(guān)用戶的信息，但只有一方會”贏得“拍賣，以便為該用戶提供廣告。對其他方處理個人數(shù)據(jù)沒有任何保證或技術(shù)控制，例如保留，安全等，” ICO寫道。

“從本質(zhì)上講，一旦數(shù)據(jù)不在一方手中，基本上該方無法保證數(shù)據(jù)仍然受到適當(dāng)?shù)谋Ｗo和控制。”