Rośnie popularność aplikacji, które pomagają dbać o zdrowie psychiczne czy monitorują owulację. Dlaczego to może być niebezpieczne? Wyjaśnia Gosia Fraser, analityczka prywatności i cyberbezpieczeństwa

Czasami korzystanie z aplikacji, których celem jest poprawa naszej kondycji psychicznej, może przynieść więcej szkody niż pożytku. Np. podczas procesu rekrutacyjnego. – Jeśli korporacja zyska dostęp do danych na temat naszego zdrowia psychicznego i stwierdzi, że jesteśmy osobą „niestabilną”, bo cierpimy na depresję czy zaburzenia odżywiania – to mimo odpowiednich kwalifikacji i choć to karygodne, możemy nie otrzymać wymarzonej posady. Będziemy dyskryminowani i nieświadomi, skąd ta dyskryminacja pochodzi – ostrzega Gosia Fraser, analityczka prywatności i cyberbezpieczeństwa.

Ela Kowalska: Horoskop, treść modlitwy, odpowiednia muzyka do porannej medytacji – wszystko to mamy dostępne od ręki dzięki aplikacjom na smartfony. Chyba nie ma dziedziny życia, do której nie można byłoby dopasować aplikacji. Te programy m.in. weryfikują skład produktów, które kupujemy, przypominają o regularnym piciu wody i obowiązkach, które powinniśmy wykonać danego dnia. Rośnie też popularność „apek”, które pomagają dbać o zdrowie psychiczne. Z czego to wynika?

Gosia Fraser: Na fali popularności smartfonów wpadliśmy w wir tworzenia aplikacji, które mają ułatwić nasze życie, np. wskazując najszybszą drogę powrotną z pracy do domu. To taki technologiczny solucjonizm, w którym skłaniamy się ku temu, że rozwiązaniem naszych problemów zajmie się technologia – w tym przypadku aplikacje. Są więc programy służące do treningów, relaksu, diety czy właśnie monitorowania zdrowia. Smartfona – nawet tego najprostszego – posiada 90 proc. z nas. A to sprawia, że dostęp do wielu rodzajów usług, jakie oferują aplikacje, jest bardziej egalitarny i nie zależy tak mocno od statusu materialnego.

Wzrost popularności programów dbających o zdrowie psychiczne widoczny był u nas za sprawą pandemii koronawirusa. Na Zachodzie ten trend pojawił się wcześniej i był związany z kulturą pracy w korporacji. Była ona stresująca, wymagała zostawania po godzinach i ogromnego wysiłku psychicznego. Początkowo aplikacje miały więc za zadanie poprawiać „wellness” pracowników, tak aby nie zamienili się w pracujących do wycieńczenia japońskich karōshi. Pierwsze programy do pobrania na smartfona służące do monitorowania nastroju pojawiły się w okolicach 2015/16 roku. Początkowo traktowane były jako „kieszonkowe” wsparcie psychologiczne. Pandemia znacząco wpłynęła na ten sektor aplikacji. Co prawda psychologowie i terapeuci przenieśli swoje usługi do sieci, ale po pierwsze – nie każdego stać na takie regularne spotkania. Poza tym czasami może się okazać, że specjalista nie ma wolnych terminów. Dodatkowo sporej zmianie uległy również więzi społeczne. Przez wiele miesięcy żyliśmy w specyficznej izolacji. Nawet mimo telefonicznego utrzymywania kontaktów z bliskimi, wielu z nas miało poczucie pozostawania samemu sobie. Wtedy część osób zwracała się właśnie ku aplikacjom, które stały się taką protezą pomocy psychologicznej.

Gosia Fraser / arch. prywatne

Jakiego rodzaju dane są gromadzone przez aplikacje, które mają poprawiać nasz dobrostan?

Twórcy aplikacji są nastawieni na to, że założymy w niej konto użytkownika. Nie ma praktycznie aplikacji, która nie wymaga zarejestrowania się i podania podstawowych danych. Rejestrując konto, użytkownik przekazuje podstawowe dane demograficzne i osobowe – imię, nazwisko, datę urodzenia, kraj zamieszkania, adres e-mail. Na podstawie tych informacji firma może więc kierować do niego komunikację marketingową. Firma może też sprzedać nasze dane innym podmiotom, np. tym z branży reklamy, i w ten sposób na tym zarobić. Co jest jednak większym problemem – aplikacje same przekazują twórcom mnóstwo informacji na nasz temat. To, jakie dane z naszego telefonu zbiera konkretna aplikacja, można sprawdzić w sekcji informacji o prywatności w sklepie z oprogramowaniem na urządzenia mobilne. Niektóre aplikacje gromadzą dane diagnostyczne, inne skupiają się na informacjach o transakcjach, jakich dokonujemy, aktywności w innych aplikacjach. Dane te mogą być łączone z indywidualnym profilem, który powstaje na podstawie numeru identyfikacyjnego naszego telefonu, wykorzystywanym dla celów reklamy. Mogą być też agregowane i przetwarzane dla potrzeb statystycznych.

Niektóre aplikacje umożliwiają prowadzenie wirtualnego dziennika, w którym można opisać, jak czujemy się danego dnia, oraz notować zdarzenia, które negatywnie lub pozytywnie na nas wpłynęły. Inne oferują kwestionariusze, gdzie za pomocą skali czy emotek oceniamy nasze samopoczucie. Czy te informacje również mogą być gromadzone i wykorzystywane?

Jeśli w sekcji informacji o prywatności znajdziemy komunikat, że aplikacja rejestruje treści generowane przez użytkownika, możemy być tego pewni. Program zarejestruje wszystko, co w nim wpiszemy. Mogą to być notatki np. dotyczące traumatycznych wydarzeń czy przyjmowanych leków. Są to skrajnie wrażliwe dane, które pozwalają na dokładne mapowanie naszej osobowości i, co ważniejsze, stanu zdrowia psychicznego. Mogą one np. zostać przekazane do celów badawczych albo być wykorzystywane do profilowania po to, abyśmy dostali relewantny przekaz reklamowy.

Na poziomie wyboru ubrań czy akcesoriów do dekoracji mieszkania rzeczywiście dobrze, jeśli internet pokazuje nam produkty zgodne z naszym gustem. Jednak profilowanie to nie tylko reklama internetowa, ale szereg aktywności, które mogą się negatywnie odbić na naszym życiu. Dostęp do baz danych gromadzonych przez info brokerów mają organizacje polityczne oraz szereg różnych firm – naszych potencjalnych pracodawców. Przykładowo, jeśli korporacja zyska dostęp do danych na temat naszego zdrowia psychicznego i stwierdzi, że jesteśmy osobą „niestabilną”, bo cierpimy na depresję czy zaburzenia odżywiania – to mimo odpowiednich kwalifikacji i choć to karygodne, być może nie otrzymamy wymarzonej posady. Będziemy dyskryminowani i nieświadomi, skąd ta dyskryminacja pochodzi. Na podobnej zasadzie mogą działać instytucje finansowe. Np. po analizie informacji o naszym zdrowiu psychicznym stwierdzą, że możemy stracić pracę i nie będziemy w stanie spłacać kredytu hipotecznego, więc nam go po prostu nie przyznają.

Z kolei organizacje polityczne mogą mapować potencjalnych odbiorców pod kątem ich podatności na oddziaływanie różnych czynników, a następnie nimi manipulować. To przekłada się na wybory dokonywane przy urnie. Mówimy tu już nie o wpływie na jednostkę, ale na całe społeczeństwo.

Zdarza się też, że przy pierwszym uruchomieniu aplikacja chce uzyskać dostęp do książki kontaktów, aparatu fotograficznego czy mikrofonu. To powinno nas zaalarmować – bo dlaczego program, którego celem jest odtwarzanie muzyki do medytacji, chce tak mocno wniknąć w sferę naszej prywatności?

W zależności od systemu operacyjnego smartfona, aplikacje możemy pobierać z AppStore lub np. Google Play. Czy zatem, skoro pobieramy programy z bezpiecznego źródła, nie powinny one być zweryfikowane i bezpieczne dla użytkowników?

Co do zasady firmy weryfikują aplikacje, które wpadają do tych sklepów. Apple, czyli dostawca systemu iOS, ma bardziej rygorystyczne zasady niż Google, który próbuje w tym obszarze nadążyć. Jednak weryfikacja ta polega na „przepuszczeniu” oprogramowania przez algorytmy. Sprawdzają one, czy w oprogramowaniu aplikacji nie ma osadzonego złośliwego oprogramowania, które mogłoby wyłudzić nasze dane, bądź miałoby dostęp do informacji zawartych w naszych telefonach, do których nie powinno mieć dostępu. Algorytmy weryfikują też, czy działanie aplikacji jest zgodne z regulaminem platform. Dlatego jako użytkownicy powinniśmy czytać zasady polityki prywatności i regulaminy poszczególnych aplikacji. To tam znajdziemy informacje, dlaczego za konkretną aplikację nie płacimy konkretnej kwoty. Bo za korzystanie z darmowych aplikacji płacimy dostępem do swoich danych. Jeśli nie zapoznamy się z regulaminem, możemy – mówiąc brzydko – obudzić się z ręką w nocniku, kiedy nasze najbardziej intymne informacje zostaną sprzedane brokerom danych. Taka sprzedaż nie jest nielegalna, godzimy się na nią, klikając „akceptuj” pod regulaminem. Dlatego warto, nawet wyrywkowo, przejrzeć zasady korzystania i politykę prywatności danej aplikacji. Jeśli treść jest w języku obcym, można wesprzeć się internetowym tłumaczem.

Są tacy, którzy uważają, że dane, jakie udostępniają smartfonowym aplikacjom, działają na takiej samej zasadzie jak pliki cookies.

To nie jest to samo. Pliki cookies zapisują się w przeglądarce, kiedy odwiedzamy różne witryny. W najprostszej wersji mają służyć temu, żeby ta przeglądarka pamiętała nasze loginy i hasła np. do kont w mediach społecznościowych. Istnieją jednak pliki cookies, które szczególnie chętnie w naszych przeglądarkach umieszcza Facebook. One monitorują naszą aktywność na innych stronach www, gromadzą dane o wszystkim, co robimy w sieci, a następnie przesyłają je Facebookowi. Dzieje się to również, gdy korzystamy z urządzenia mobilnego, czyli np. smartfona. Wtedy, poza odwiedzanymi witrynami, Facebook dowiaduje się także, jakich aplikacji używamy. Facebook i Google to dwaj najwięksi internetowi profilerzy. Pliki cookies można jednak zablokować i w ten sposób uniemożliwić śledzenie tego, co robimy w sieci. Wystarczy zainstalować rozszerzenie do naszej przeglądarki, takie jak np. Privacy Badger czy NoScript. Jednak, jeśli chodzi o dane gromadzone i przesyłane dalej przez aplikacje mobilne – to tutaj jesteśmy bezradni. To kwestia naszej odpowiedzialności, czy będziemy instalować programy, które monetyzują nasze dane, czy też będziemy bardziej ostrożni. Zawsze możemy wybrać tradycyjną, papierową formę prowadzenia takiego np. dziennika.

Równie dużo wątpliwości pojawia się w kontekście aplikacji zdrowotnych, które np. monitorują cykl miesiączkowy.

Niedawno głośna była sprawa aplikacji służącej do monitorowania zdrowia reprodukcyjnego. Okazało się, że przesyłała ona dane Facebookowi. I to jest absolutny koszmar. Bo jeśli Facebook otrzymuje kompleksowe dane na temat zdrowia psychicznego i cyklu, to taką osobą można sprawniej manipulować. Dane z naszego telefonu mogą zdradzić bardzo wiele informacji – w Stanach Zjednoczonych udało się znaleźć grupę osób, która korzystała z usług klinik, gdzie realizowano zabiegi przerywania ciąży. Co ciekawe – te dane można było wykupić u info brokerów, gdyż stworzyli specjalną kategorię zawierającą zbiór danych o osobach, które odwiedzają takie kliniki. Oczywiście nie wiemy, czy konkretna osoba udała się tam na zabieg, czy na zwykłą konsultację lekarską. Z danych można jednak dowiedzieć się, jaka była liczba wizyt w klinice, skąd ta kobieta pochodziła, jakie ma wykształcenie i status majątkowy. Jesteśmy w stanie od A do Z przygotować pełen profil takiej osoby. Przekładając to na polskie realia – można na przykład znaleźć wszystkie osoby odwiedzające określonego ginekologa, który wiemy, że udostępnia kobietom pigułki „dzień po” lub działa w podziemiu aborcyjnym. I to wbrew pozorom nie jest specjalnie trudne zadanie, potrzeba tylko odrobiny wysiłku i cierpliwości. Jeśli więc chcemy korzystać z aplikacji, które mają za zadanie wspierać nasze zdrowie psychiczne i reprodukcyjne – zabezpieczajmy się hasłem i czytajmy regulaminy.

A może zatem lepiej jest zapłacić za taką aplikację?

Obecnie jest niewiele tego typu aplikacji, które takich danych nie gromadzą. A to, czy program jest bezpłatny, czy nie – nie chroni naszych danych. W teorii aplikacje płatne przeważnie nie wysyłają naszych danych innym firmom w tak dużych ilościach, jak te bezpłatne. W praktyce – określa to regulamin. Zdarza się, że przy rejestracji konta użytkownika aplikacja chce uzyskać dostęp do naszej książki kontaktów, zdjęć, aparatu telefonicznego bądź mikrofonu. Ponownie: to powinno nas zaalarmować. To kwestia związana z prywatnością naszych danych i bezpieczeństwem. Obie sfery: prywatność i bezpieczeństwo w świecie cyfrowym często się przenikają.

Jak definiować pojęcie cyberbezpieczeństwa?

Kiedy myślę o cyberbezpieczeństwie w kontekście aplikacji, to pierwsza kwestia związana jest z tym, jak zabezpieczona jest infrastruktura firmy oferującej taki program. Jeśli to zabezpieczenie nie jest wystarczające, to sprawcy cyberataku mogą uzyskać dostęp do bardzo wrażliwych danych na nasz temat. Co więcej, jeśli z takiej aplikacji korzysta osoba publiczna, a gromadzone dane nie są anonimizowane i można je do niej przypisać – mogą się one stać przedmiotem służącym do jej szantażowania. Politycy, biznesmeni, celebryci – oni mogą być na celowniku cyberprzestępców, którzy dostaną się np. do zapisków z psychologicznego, wirtualnego dziennika.

Mam wrażenie, że niekiedy wpadamy w pułapkę błędnego myślenia, że skoro nie jesteśmy osobami na tzw. świeczniku, to cyberprzestępcy się nami nie zainteresują. A przecież motywy działania takich osób są różne: czasami to grupy przestępcze, a niekiedy zazdrosna koleżanka lub zawiedziony były partner. W mediach często przewijają się przecież informacje dotyczące spraw, których ofiarami padają zwykli ludzie i gdzie szantaż miał polegać na ujawnieniu intymnych treści.

My i nasz smartfon również możemy paść ofiarą cyberprzestępców. Dlatego naszym największym wrogiem są powtarzalne hasła. Jeśli korzystamy z tego samego hasła w różnych aplikacjach – za jednym zamachem otwieramy cyberprzestępcom furtkę do wielu wrażliwych danych na nasz temat, w tym właśnie tych intymnych treści, o których pani wspomniała. Jednak historia przeglądanych stron, dane z aplikacji zdrowotnych czy psychologicznych, rozmowy z komunikatorów, sprawdzane lokalizacje w mapach – mogą dostarczyć dowodów na to, że dana osoba miała np. przeprowadzany zabieg aborcji albo cierpi na chorobę psychiczną. W kontekście obecnej sytuacji politycznej i tego, jaka atmosfera panuje wokół praw reprodukcyjnych kobiet, to bardzo niebezpieczne. Co by się stało, gdyby dowiedzieli się o tym nie tylko nasi bliscy, ale i osoby, które mają inne poglądy na ten temat? W kontekście zdrowia psychicznego – mówiłam już o przykładach uwzględniających potencjalnych pracodawców i instytucje finansowe. Ale taka informacja mogłaby wpłynąć również na postrzeganie nas przez bliskich i znajomych. Technologia jest częścią naszego życia i może je ułatwić, trzeba jednak pamiętać, aby w korzystaniu z aplikacji kierować się zdrowym rozsądkiem i umiarem.

Gosia Fraser – analityczka prywatności i cyberbezpieczeństwa, dziennikarka CyberDefence24.pl, autorka pierwszego w Polsce podcastu o filozofii technologii TECHSPRESSO.CAFE