Czy aplikacja do nagrywania rozmów jest bezpieczna? Uprawnienia i dane

Aplikacja do nagrywania rozmów może być bezpieczna, ale sama obecność w sklepie ani wysoka ocena użytkowników tego nie gwarantują. Przed instalacją sprawdź, kto ją wydaje, do czego potrzebuje uprawnień oraz gdzie trafiają nagrania. Najważniejsze jest rozróżnienie między deklaracją producenta a tym, co można potwierdzić w dokumentacji, ustawieniach i działaniu programu.

Zacznij od wydawcy i zasad przetwarzania danych

Nazwa podobna do popularnego programu nie wystarcza do rozpoznania autora. Porównaj nazwę wydawcy w sklepie, dane na jego stronie oraz podmiot wskazany w polityce prywatności. Poszukaj działającego kontaktu i informacji, jak zgłosić problem z danymi. Niejasność co do tego, komu powierzasz rozmowy, jest powodem, aby wstrzymać instalację.

Polityka prywatności powinna pomagać ustalić, jakie informacje opuszczają telefon. Oddziel treść audio od numerów telefonów, nazw kontaktów, historii połączeń, danych konta i informacji diagnostycznych. Deklaracja, że wydawca nie wysyła nagrań na serwer, nie odpowiada jeszcze na pytanie, czy zbiera pozostałe dane.

Jeżeli administrator zbiera od ciebie dane osobowe, art. 13 ust. 1 i 2 RODO przewiduje przekazanie informacji między innymi o jego tożsamości, celach i podstawie przetwarzania, odbiorcach oraz czasie przechowywania lub kryteriach jego ustalenia. Czytając dokument, szukaj konkretnych odpowiedzi. Ogólne zapewnienie o poszanowaniu prywatności nie wyjaśnia, kto może otrzymać plik z rozmową.

Uprawnienia aplikacji nagrywającej rozmowy: każde wymaga uzasadnienia

Uprawnienie oznacza możliwość dostępu, a nie dowód niewłaściwego wykorzystania danych. Oceniaj je w związku z funkcją, którą chcesz uruchomić. Zakres próśb może zależeć od systemu, jego wersji i sposobu działania programu. Nie istnieje jedna lista uprawnień, która potwierdzi bezpieczeństwo wszystkich rejestratorów.

• Mikrofon. Dostęp może służyć rejestracji dźwięku. Nie dowodzi jednak, że aplikacja potrafi zapisać obie strony połączenia ani że nagrywa wyłącznie podczas rozmowy.
• Kontakty. Mogą pomagać przypisywać nazwę rozmówcy do nagrania. Sprawdź, czy taka funkcja jest potrzebna i czy można z niej zrezygnować bez utraty podstawowej funkcjonalności.
• Pliki. Ustal, czy chodzi o zapis, odczyt lub eksport nagrań. Nie zakładaj, że do zapisania jednego pliku zawsze konieczny jest szeroki dostęp do pamięci urządzenia.
• Dostępność. W Androidzie to odrębny mechanizm usług ułatwień dostępu. Prośba o jego włączenie wymaga szczególnie jasnego wyjaśnienia, jakie dane i czynności obejmuje.

Zasady Google Play dotyczące interfejsu AccessibilityService wymagają od aplikacji, które korzystają z niego i nie kwalifikują się jako narzędzia ułatwień dostępu, wyraźnej informacji wewnątrz programu oraz aktywnego potwierdzenia użytkownika. Informacja ma opisywać dane objęte dostępem lub zbieraniem i sposób ich wykorzystania bądź udostępniania. Sam zapis w polityce prywatności albo opisie sklepu nie wystarcza według tych zasad.

Nie traktuj więc komunikatu „włącz, aby działało” jako pełnego uzasadnienia. Jeśli opis funkcji i prośba o dostęp nie pasują do siebie, potrzebne jest wyjaśnienie wydawcy. Akceptacja okna systemowego nie jest też automatycznie zgodą rozmówcy na przetwarzanie jego danych.

Gdzie aplikacja wysyła nagrania?

Rozpatrz trzy odrębne miejsca: pamięć telefonu, serwer usługi oraz kopię zapasową urządzenia. Plik może powstawać lokalnie, a następnie zostać skopiowany przez synchronizację lub mechanizm tworzenia kopii. Dlatego zdanie „nagrania są na telefonie” wymaga sprawdzenia także poza samą aplikacją.

Przejrzyj domyślne ustawienia zapisu i synchronizacji, zanim powierzysz programowi poufną rozmowę. Ustal, czy konto jest konieczne, czy wysyłanie do chmury można wyłączyć i kto ma dostęp do zapisów po zalogowaniu. Dostępność takich ustawień zależy od produktu; nie należy zakładać, że każda aplikacja oferuje zapis wyłącznie lokalny.

Przykład: nagranie pozostaje w pamięci telefonu, lecz użytkownik eksportuje je do folderu synchronizowanego z komputerem. Powstaje dodatkowa kopia, którą trzeba uwzględnić przy kontroli dostępu i usuwaniu. Wysłanie pliku pocztą lub komunikatorem również zmienia krąg osób i usług, które mogą go przechowywać.

Sprawdź osobno eksport oraz usuwanie. Czy można pobrać plik w użytecznym formacie? Co obejmuje usunięcie nagrania z listy: telefon, serwer czy oba miejsca? Jak długo kopia może pozostać w archiwum dostawcy? Nie utożsamiaj odinstalowania programu z usunięciem danych konta, kopii zapasowych i plików wcześniej przekazanych innym osobom.

Etykieta w sklepie i deklaracja lokalnego zapisu

Informacje o prywatności w Google Play i App Store traktuj jako deklaracje wydawcy, które trzeba zestawić z polityką prywatności i działaniem aplikacji. Sama etykieta nie jest wynikiem niezależnego audytu konkretnej instalacji. Zwróć uwagę na różnicę między obietnicą dotyczącą nagrań a obietnicą dotyczącą wszystkich danych.

Podobnie oceniaj hasła o braku reklam i analityki. Mogą być istotnym kryterium wyboru, lecz nie potwierdzają samodzielnie sposobu ochrony plików. Lokalny zapis ogranicza potrzebę powierzania audio zewnętrznemu serwerowi, ale bezpieczeństwo zależy też od blokady telefonu, aktualizacji, dostępu innych osób i sposobu wykonywania kopii.

Kontrolę deklaracji można uzupełnić obserwacją transferu danych podczas uruchamiania, nagrywania, odtwarzania i eksportu. Do takiej próby użyj materiału bez poufnych informacji, z udziałem osoby świadomej celu sprawdzenia. Licznik transmisji może pokazać, że program korzysta z sieci, lecz nie wyjaśnia, jakie informacje przesyła. Analiza połączeń wymaga dodatkowych umiejętności, a szyfrowanie może uniemożliwić odczyt ich treści.

Brak zauważonego transferu w krótkiej próbie nie dowodzi, że aplikacja nigdy niczego nie wyśle. Z kolei samo połączenie z serwerem nie dowodzi przesłania rozmowy: może służyć innym funkcjom. Wnioski powinny odpowiadać temu, co rzeczywiście udało się zaobserwować.

Reklamy, abonament i instalacja spoza sklepu

Bezpłatność, reklamy albo subskrypcja nie przesądzają o złośliwości programu. Sprawdź, za co płacisz, jakie ograniczenia obowiązują po zakończeniu okresu próbnego i czy zachowasz możliwość pobrania własnych nagrań. Płatny dostęp nie jest certyfikatem prywatności, tak samo jak brak opłat nie oznacza automatycznie sprzedaży danych.

Przy instalacji spoza sklepu szczególnego znaczenia nabiera pochodzenie pliku oraz sposób dostarczania aktualizacji. Pobieraj program z ustalonego źródła wydawcy; przypadkowy załącznik lub przerobiona wersja utrudniają ocenę, co faktycznie instalujesz. Sama dystrybucja poza sklepem nie dowodzi szkodliwości, ale wymaga samodzielnego sprawdzenia tożsamości dostawcy.

Lokalne nagranie a obowiązki dotyczące danych

Miejsce przechowywania nie rozstrzyga, czy nagrywanie jest zgodne z RODO. Art. 2 ust. 2 lit. c RODO wyłącza przetwarzanie przez osobę fizyczną w ramach czynności czysto osobistych lub domowych. Sam fakt używania prywatnego telefonu nie oznacza jednak, że służbowe nagranie mieści się w tym wyłączeniu.

Gdy RODO ma zastosowanie, trzeba określić cel i właściwą podstawę przetwarzania zgodnie z art. 6 ust. 1 RODO. Z art. 5 ust. 1 RODO wynika między innymi, że cel przetwarzania wyznacza niezbędny zakres danych oraz okres ich przechowywania. Z kolei art. 32 ust. 1 RODO wiąże dobór zabezpieczeń z ryzykiem. Ustawienie zapisu lokalnego nie zastępuje tych obowiązków.

Jeżeli zewnętrzny dostawca przetwarza dane w imieniu administratora, znaczenie ma art. 28 RODO, w tym wymogi dotyczące gwarancji ochrony i umowy powierzenia. Role zależą od rzeczywistego sposobu działania usługi. Ponadto lokalny plik użytkownika nie wyklucza odrębnego nagrania w centrali lub u dostawcy obsługującego połączenie, jeśli taka funkcja jest uruchomiona. Trzeba sprawdzić zasady obu zapisów.

Lista kontrolna przed pierwszą poufną rozmową

1. Potwierdź tożsamość wydawcy oraz źródło instalacji i aktualizacji.
2. Porównaj uprawnienia z potrzebnymi funkcjami; wyjaśnij szczególnie dostęp do kontaktów i usług dostępności.
3. Ustal, gdzie powstaje audio, gdzie trafiają kopie i czy synchronizacja jest domyślnie włączona.
4. Sprawdź zasady dostępu, eksportu i usuwania, również po zakończeniu subskrypcji.
5. Zestaw opis w sklepie z polityką prywatności oraz ustawieniami programu.
6. Oddziel ocenę prywatności od sprawdzenia, czy słychać obie strony rozmowy.

Dobrze słyszalne nagranie nie świadczy o bezpieczeństwie aplikacji, a ograniczone zbieranie danych nie gwarantuje skutecznego nagrywania na każdym telefonie. Jeśli nie potrafisz ustalić, kto otrzymuje audio i jak je usunąć, nie powierzaj programowi poufnych rozmów do czasu wyjaśnienia tych kwestii.

Źródła

• Google, Pomoc Konsoli Play: Use of the AccessibilityService API – zasady korzystania z usług ułatwień dostępu, support.google.com/googleplay/android-developer/answer/10964491.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1–88 – zakres stosowania i zasady przetwarzania, art. 2, 5 i 6.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1–88 – informowanie, powierzenie i bezpieczeństwo danych, art. 13, 28 i 32.

Zdjęcie: Océanos y dados, CC0 1.0 (creativecommons.org/publicdomain/zero/1.0/), Wikimedia Commons, commons.wikimedia.org/wiki/File:Smartphone_Use.jpg