Andmekaitse Inspektsioon (AKI) viis läbi mobiilirakenduste seire, mille käigus leidis tõsiseid puudujääke mitmetes populaarsetes Eesti rakendustes.
Inspektsioon kontrollis kümmet mobiilirakendust ning uuris, kuidas täidetakse nende kasutamisel isikuandmete töötlemise nõudeid. Valimisse kuulusid rakendused nagu Apollo Kino, Basaar, Forum Cinemas, Osta.ee, Pargi.ee, Piletilevi, Rahva Raamat, Taxify, Tuulelaevad ja Tpilet.
"Rakenduste seire käigus leidsime enim puudusi nelja rakenduse puhul. Nendeks olid Apollo Kino, Forum Cinemas, Rahva Raamat ja Tpilet. Kõigi nelja rakenduse suhtes algatasime ka järelevalvemenetluse, et küsida lisaselgitusi ja teha parandusettepanekuid,"sõnas AKI avalike suhete nõunik Maire Iro Geeniusele.
"Praeguseks on lõpetatud järelevalvemenetlused Rahva Raamatu ja Tpileti rakenduste osas, kes esitasid inspektsioonile puuduste kohta ammendavad selgitused ning viisid sisse ka vajalikud parandused. Teised menetlused on veel lõpetamata, ent meile teadaolevalt on ka nende rakenduste haldajad tegemas muudatusi isikuandmete töötlemise põhimõtetes."
Iga rakendust kontrolliti eraldi nii Androidi kui ka iOS-i operatsioonisüsteemides. Puudusi esines suuremal või vähemal määral kõigil kontrollitud rakendustest.
"Eraldi vaatasime, kui palju isikuandmeid rakenduses küsitakse ehk millistele andmetele peab rakenduse kasutamisel andma ligipääsuloa. Peamise probleemina selgus, et tihtilugu küsib rakendus igaks juhuks luba rohkematele andmetele kui tegelikult rakenduse kasutamiseks vajalik on. Nõusolek tuleb aga anda enne rakenduse allalaadimist. Sõltuvalt operatsioonisüsteemist ja selle versioonist, saab kasutaja hiljem minna oma telefoniseadete alla, et kontrollida antud nõusolekuid ja vajadusel mittevajalikud ligipääsud sulgeda,"selgitas AKI oma seire kokkuvõttes.
Minimaalsus on peamine
"Isikuandmete töötlemisel peab muu hulgas alati lähtuma ka minimaalsuse ja eesmärgipärasuse põhimõtetest. Rakenduste puhul tähendab see, et andmeid võib küsida ainult nii palju, kui on vajalik rakenduse kasutamiseks või selle kaudu ostetava toote kättetoimetamiseks ja teenuse osutamiseks. Need põhimõtted tulevad isikuandmete kaitse seadusest ja neid peavad järgima kõik Eesti rakenduste pakkujad,"täpsustas Iro.
AKI vaatles seire käigus ka seda, kas rakendusest on leitav isikuandmete töötlemise kord ning kuidas on esitatud viited või selgitused konto kustutamise kohta. „Isikuandmete töötlemise kord võib rakenduses olla ka viitena ning asuda tegelikkuses näiteks ettevõtte kodulehel. Kindlasti peab see viide aga rakendusest leitav olema. Isikuandmete töötlemise korras peavad olema kirjeldatud isikuandmete töötlemise eesmärgid, töödeldavate isikuandmete koosseis ja viisid, kuidas andmeid töödeldakse, ning millistel juhtudel edastatakse isikuandmeid kolmandatele isikutele,"ütles Iro.
Paljudel seiratud rakendustest see kord puudus ja ei olnud võimalik leida viidet isikuandmete töötlemise põhimõtetele. Sageli ei olnud rakendustes ka infot selle kohta, kuidas on võimalik oma konto kustutada.
"Oma privaatsuse tagamiseks tasub kasutajatel oma mobiilis telefoniseadete alt rakenduste ligipääse aeg-ajalt üle kontrollida. Seda soovitame teha pärast uue rakenduse allalaadimist ning ka siis, kui rakendusi on uuendatud. Samuti võiks oma telefonist mittevajalikud rakendused kustutada,"soovitas Iro.
"Rakendust kasutusele võttes tasub läbi lugeda kasutustingimused ja isikuandmete töötlemise põhimõtted ning mõelda ka selle peale, mis saab siis, kui ühel hetkel otsustatakse uuest ja huvitavast rakendusest loobuda – kas ja kuidas on võimalik sisestatud andmed ja loodud konto hiljem kustutada? Kui vastuseid neile küsimustele esimese hooga ei leia, tasub vaadata ka ettevõtte kodulehele või küsida otse rakenduse pakkujalt, kuidas sinu isikuandmetega ringi käiakse."
Foto: Scanpix/PM/Toomas Huik
