O mais recente escândalo de privacidade da Meta inclui hospitais que enviam dados de pacientes

Você não pode vê-los, mas os rastreadores do Meta estão embutidos em milhões de websites em toda a Web, coletando dados sobre onde você vai e o que você faz e enviando de volta ao Meta. UMA investigação recente mostra que esses rastreadores estão em websites que até os mais cínicos entre nós podem esperar estar fora dos limites: aqueles pertencentes a hospitais, incluindo portais de pacientes que são deveria ser protegido por leis de privacidade de saúde.

Esta semana, a Markup, uma agência de notícias sem fins lucrativos que cobre os danos da tecnologia, publicou as últimas descobertas de sua investigação nos Pixels da Meta, que são pedaços de código que os desenvolvedores podem incorporar em websites para rastrear seus visitantes. Até agora, essas histórias revelam como os websites de propriedade do governo, centros de aconselhamento de gravideze hospitais estão enviando dados para o Meta por meio de Pixels, muitos dos quais seriam considerados confidenciais para os usuários que os forneceram involuntariamente.

É fácil e compreensível culpar a Meta por isso, dada a reputação muito merecida e menos que estelar da empresa na privacidade do usuário. No Pixel e em outros rastreadores, o Meta desempenhou um papel elementary na construção do mundo on-line sem privacidade e com vazamento de dados que devemos navegar hoje. A empresa fornece um sistema de rastreamento projetado para sugar dados de usuários de milhões de websites e transformá-los em ouro publicitário. sabe muito bem que há muitos casos em que a ferramenta foi mal implementada na melhor das hipóteses e abusada na pior. Mas isso também pode ser um caso raro de um escândalo de privacidade relacionado ao Meta que não é inteiramente culpa do Meta, em parte porque o Meta fez o possível para colocar a culpa em outro lugar.

Ou, como disse o pesquisador de segurança Zach Edwards: “O Fb quer ter seu bolo de dados e não comer as violações também”.

As empresas optam por colocar os rastreadores da Meta em seus websites e aplicativos e escolhem novamente quais dados sobre seus visitantes enviar para o gigante da mídia social. Simplesmente não há uma boa desculpa, nos dias de hoje, para desenvolvedores que usam Meta’s ferramentas de negócios não entender como eles funcionam ou quais dados do usuário estão sendo enviados por meio deles. No mínimo, os desenvolvedores não devem colocá-los em páginas de agendamento de consultas de saúde ou dentro de portais de pacientes, que os usuários têm todos os motivos para esperar que não enviem secretamente seus dados para terceiros intrometidos, porque muitas vezes são explicitamente informados por esses websites que eles não são. O Meta criou um monstro, mas esses websites o estão alimentando.

Como o Pixel facilita demais o rastreamento

A Meta disponibiliza o Pixel, gratuitamente, para empresas incorporarem em seus websites. O Pixel coleta e envia dados de visitantes do web page para o Meta, e o Meta pode combiná-los com o perfil de um usuário no Fb ou Instagram, fornecendo muito mais informações sobre esse usuário. (Há também casos onde o Meta coleta dados sobre pessoas que nem sequer têm contas Meta.) Alguns dados, como o endereço IP de um visitante, são coletados pelo Meta automaticamente. Mas os desenvolvedores também podem configurar o Pixel para rastrear o que ele chama de “eventos”: várias ações que os usuários realizam no web page. Isso pode incluir hyperlinks nos quais eles clicam ou respostas em formulários que eles preenchem, e ajuda as empresas a entender melhor os usuários ou a se concentrar em comportamentos ou ações específicas.

Todos esses dados podem ser usados ​​para direcionar anúncios para essas pessoas ou para criar o que é conhecido como “públicos semelhantes.” Isso envolve uma empresa pedindo à Meta para enviar anúncios para pessoas que a Meta acredita serem semelhantes aos seus clientes existentes. Quanto mais dados o Meta obtiver das empresas por meio desses rastreadores, melhor ele poderá segmentar anúncios. A Meta também pode usar esses dados para melhorar seus próprios produtos e serviços. As empresas também podem usar os dados do Pixel para análises para melhorar seus produtos e serviços.

As empresas (ou os fornecedores terceirizados que contratam para construir seus websites ou executar campanhas publicitárias) têm muito controle sobre quais dados sobre seus clientes o Meta obtém. O Markup descobriu que, em alguns dos websites em seu relatório, as páginas de consultas do web page do medical institution estavam enviando a Meta o nome de alguém que marcou uma consulta, an information e a hora da consulta e qual médico o paciente está consultando. Se isso está acontecendo, é porque alguém do lado do medical institution configurou o Pixel para fazer isso. Ou o medical institution não fez a devida diligência para proteger esses dados ou não os considerou dados dignos de proteção. Ou talvez presumisse que as ferramentas da Meta impediriam a empresa de coletar ou usar quaisquer dados confidenciais que fossem enviados a ela.

Em sua investigação hospitalar mais recente, a Markup descobriu que um terço dos hospitais analisados ​​de uma lista dos 100 principais hospitais do país tinha um Pixel nas páginas de agendamento de consultas e sete sistemas de saúde tinham Pixels em seus portais de pacientes. Vários dos websites removeram o Pixel após serem contatados pela Markup.

Como um medical institution pode justificar isso? O único medical institution que deu à Markup uma resposta detalhada, o Houston Methodist, alegou que não acreditava que estava enviando informações de saúde protegidas para a Meta. O Markup descobriu que o web page do medical institution dizia a Meta quando alguém clicava em “agendar consulta”, para qual médico eles agendaram a consulta e até que o médico foi encontrado pesquisando “aborto em casa”. Mas o Houston Methodist disse que agendar uma consulta não significa que a consulta foi confirmada, nem que a pessoa que agendou a consulta generation a pessoa para quem a consulta generation realmente. A Houston Methodist pode pensar que não está violando a privacidade do paciente, mas seus pacientes podem se sentir de forma diferente. Mas eles também não teriam como saber que isso estava acontecendo em primeiro lugar sem usando ferramentas especiais ou ter um certo nível de conhecimento técnico. Desde então, o Houston Methodist removeu o Pixel.

Outro sistema de saúde que o Markup analisou, Novant Well being, disse em um comunicado que o Pixel foi colocado por um fornecedor terceirizado para uma campanha para fazer com que mais pessoas se inscrevessem no sistema de portal do paciente e foi usado apenas para ver quantas pessoas se inscreveram. Mas o Markup encontrou muito mais dados do que o que estava sendo enviado ao Meta, incluindo medicamentos listados pelos usuários e suas orientações sexuais. Esse fornecedor terceirizado parece ter cometido alguns erros aqui, mas é a Novant que tem o dever com seus pacientes de manter suas informações privadas em websites que prometo fazê-lo. Não o fornecedor de terceiros, e não o Meta.

Isso não é para deixar Meta fora do gancho. Mais uma vez, criou o sistema de rastreamento Pixel e, embora tenha as regras e ferramentas que deveriam impedir que certos tipos de informações confidenciais – como condições de saúde – sejam enviadas para ele, os relatórios do Markup são evidências de que essas medidas não são suficientes.

Meta disse à Recode em um comunicado que “nosso sistema foi projetado para filtrar dados potencialmente confidenciais que ele detecta”. Mas o Markup encontrou esses filtros em falta quando se tratava de dados de pelo menos um web page de um centro de gravidez em crise. A Meta não respondeu às perguntas da Recode sobre o que faz se descobrir que uma empresa está violando suas regras.

Edwards, o pesquisador de segurança, foi ainda menos caridoso sobre quanta culpa a Meta deveria receber aqui.

“É 100 por cento culpa do Fb, na minha opinião”, disse ele.

A Meta também não respondeu às perguntas da Recode perguntando o que faz para garantir que as empresas estejam seguindo suas políticas ou o que faz com as informações confidenciais que as empresas não deveriam enviar. Do jeito que está, parece que o Meta está criando e distribuindo uma ferramenta de rastreamento que pode beneficiar materialmente o Meta. Mas se essa ferramenta for explorada ou usada incorretamente, outra pessoa será responsável. As únicas pessoas que pagam o preço por isso, ao que parece, são os visitantes do web page cuja privacidade é invadida sem saber.

O que você pode fazer para evitar o Pixel

Há algumas coisas que você pode fazer para se proteger aqui. Navegadores como Safari, Firefox e Courageous oferecem bloqueadores de rastreadores. Todd Feathers, um dos repórteres da história do Markup no medical institution, disse ao Recode que eles usaram navegadores Chrome sem extensões de privacidade para seus testes. Falando em extensões de privacidade, você pode pegue aqueles também. As VPNs e o serviço de retransmissão privado pago da Apple podem ocultar seu endereço IP dos websites que você visita.

Finalmente, Meta tem controles que limitam o rastreamento e a segmentação de anúncios fora de suas plataformas. A empresa afirma que desativar “dados sobre sua atividade de parceiros” ou “atividade fora do Fb” impedirá que os dados coletados pelo Pixel sejam usados ​​para direcionar anúncios para você. Isso significa confiar no Meta de que suas ferramentas de privacidade fazem o que afirma que fazem.

E há sempre, é claro, pedir ao seu legislador para pressionar por leis de privacidade que tornariam algumas dessas práticas explicitamente ilegais, ou forçar as empresas a informar e obter o consentimento do usuário antes de coletar e enviar seus dados para qualquer outra pessoa. Algumas novas privacidades federais contas ou rascunho de contas foram introduzidos ainda esta semana. O interesse existe entre alguns congressistas, mas não em número suficiente para chegar perto de aprovar algo ainda.