Włoski organ ochrony danych (Garante per la protezione dei dati personali) nałożył na Meta Platforms Ireland Limited karę 805 mln euro, czyli około 887 mln dolarów. Powód nie dotyczył wycieku danych ani awarii infrastruktury. Chodziło o funkcję „Get suggestions from gallery when browsing Facebook”, która wykorzystywała zdjęcia i filmy z galerii użytkowników Androida do podpowiadania treści w serwisie. Według organu funkcja była włączona domyślnie, a dostęp do galerii był żądany jednym uprawnieniem obejmującym kilka funkcji o różnych celach. Regulator uznał, że naruszono przepisy wdrażające do prawa włoskiego europejską dyrektywę o ochronie prywatności, która wymaga „wolnej i świadomej zgody” na dostęp do telefonu jako części sfery prywatnej. Meta ma 60 dni na wyłączenie funkcji i uzyskanie odrębnej zgody na jej wykorzystanie.
Sprawa dotyczy przede wszystkim użytkowników Androida we Włoszech, których organ szacuje na około 20 milionów, ale jej znaczenie jest szersze. To jeden z największych przykładów kary za sposób projektowania zgód w aplikacji mobilnej, a nie za samo przetwarzanie danych. Dla polskich firm tworzących aplikacje żądające dostępu do zdjęć, kontaktów, mikrofonu czy lokalizacji jest to wzorzec zarzutów, jakie mogą się pojawić przy kontroli: zbiorcze uprawnienie systemowe zamiast rozdzielonych celów, funkcja aktywna bez wyraźnego działania użytkownika oraz brak czytelnego wyjaśnienia, po co dane są potrzebne. Poniższa analiza oddziela ustalenia organu od interpretacji i pokazuje, jak sprawdzić własne aplikacje.
Co dokładnie zakwestionował włoski organ
Z relacji Associated Press opublikowanej w SecurityWeek 14 listopada 2026 roku wynikają cztery konkretne ustalenia. Po pierwsze, funkcja pobierania podpowiedzi z galerii była włączona domyślnie. Po drugie, Facebook prosił o dostęp do galerii przez jedno uprawnienie obejmujące wiele funkcji aplikacji o różnych celach. Po trzecie, organ uznał, że brakowało konkretnej zgody i odpowiedniego poinformowania użytkownika. Po czwarte, kara została nałożona na irlandzki podmiot grupy, który zakwestionował jurysdykcję Włoch.
Warto rozdzielić dwie warstwy. Pierwsza to uprawnienie systemowe Androida, czyli techniczna zgoda na dostęp do plików w telefonie. Druga to zgoda wymagana przez prawo ochrony danych na konkretny cel przetwarzania. Organ nie twierdzi, że samo uprawnienie systemowe było nielegalne. Twierdzi, że zostało wykorzystane w sposób, który nie spełniał wymogu wolnej i świadomej zgody dla funkcji przetwarzającej zdjęcia i filmy w określonym celu. To rozróżnienie jest kluczowe dla każdej firmy projektującej aplikację.
Dlaczego „jedno uprawnienie na wiele celów” jest problemem
Uprawnienie do galerii w Androidzie daje aplikacji szeroki dostęp do plików graficznych i wideo. Jeżeli ten sam dostęp obsługuje kilka funkcji — na przykład wybór awatara, wysyłanie zdjęć w wiadomości i generowanie podpowiedzi treści — użytkownik nie wie, które z tych zastosowań akceptuje. W ocenie organu takie połączenie uniemożliwia świadomą zgodę, bo nie da się rozdzielić celów. To zarzut projektowy, nie techniczny: można mieć jedno uprawnienie systemowe i nadal rozdzielić zgody na poziomie funkcji, wyjaśniając każdy cel osobno i pozwalając go wyłączyć.
Domyślne włączenie jako osobny zarzut
Drugi zarzut dotyczy stanu początkowego. Funkcja aktywna od razu po instalacji lub aktualizacji oznacza, że użytkownik musi podjąć działanie, aby z niej zrezygnować. W modelu wymagającym wolnej i świadomej zgody punktem wyjścia powinna być sytuacja odwrotna: funkcja nieaktywna do momentu wyraźnego wyboru. Organ wskazał, że funkcja była włączona domyślnie, i nakazał jej wyłączenie oraz uzyskanie odrębnej zgody. To sygnał, że sam mechanizm opt-out może być niewystarczający, gdy przetwarzane są dane z prywatnej sfery, takie jak zdjęcia z telefonu.
Tło techniczne prostym językiem
Android od lat zmienia model dostępu do plików. W nowszych wersjach aplikacja może prosić o dostęp do wybranych zdjęć zamiast do całej galerii, a systemowy selektor plików pozwala użytkownikowi wskazać konkretne obrazy bez przyznawania szerokiego uprawnienia. To ważne, bo ogranicza zakres danych, do których aplikacja ma w ogóle dostęp. Jeżeli funkcja potrzebuje tylko jednego zdjęcia do profilu, nie potrzebuje całej galerii. Jeżeli potrzebuje zdjęć do podpowiedzi treści, powinna wyjaśnić, jakie kategorie zdjęć analizuje i czy dane są przetwarzane lokalnie, czy wysyłane na serwer.
Zgoda w rozumieniu prawa ochrony danych to nie to samo co kliknięcie „Zezwól” w systemowym oknie. Systemowe okno mówi: aplikacja chce dostać dostęp do tej kategorii danych. Zgoda prawna wymaga dodatkowo wskazania celu, zakresu, okresu i możliwości wycofania. W praktyce oznacza to, że aplikacja powinna mieć własny ekran zgody na funkcję, niezależny od systemowego monitu, z opisem celu i konsekwencji. Systemowe uprawnienie jest warunkiem technicznym, ale nie zastępuje zgody na przetwarzanie.
Trzy poziomy, które trzeba rozdzielić
- Uprawnienie systemowe — techniczna możliwość odczytu plików, przyznawana przez system operacyjny.
- Zgoda na cel — prawna podstawa przetwarzania konkretnych danych w konkretnym celu, z możliwością wycofania.
- Ustawienie funkcji — stan w aplikacji, który decyduje, czy funkcja jest aktywna, i który domyślnie powinien być wyłączony, jeśli opiera się na zgodzie.
Błędem jest traktowanie tych trzech poziomów jako jednego. Właśnie takie połączenie zakwestionował włoski organ: jedno uprawnienie i jeden monit obsługiwały wiele funkcji, a funkcja była aktywna bez wyraźnej decyzji użytkownika.
Realne konsekwencje dla firm
Kara wobec Meta jest wyjątkowo duża, ale jej konstrukcja pokazuje mechanizm, który może dotyczyć także mniejszych podmiotów. Organ wskazał, że kara stanowi około 0,47% globalnego obrotu grupy, a brak współpracy ze strony Meta wpłynął na jej wysokość. Dla polskich firm najważniejszy jest nie sam wymiar kary, lecz katalog zarzutów: domyślne włączenie, zbiorcze uprawnienie, brak odrębnej zgody, niewystarczające poinformowanie. Każdy z tych elementów może pojawić się w postępowaniu przed Prezesem Urzędu Ochrony Danych Osobowych, nawet jeśli skala działalności jest nieporównywalnie mniejsza.
Konsekwencje nie ograniczają się do kary pieniężnej. Organ nakazał wyłączenie funkcji i uzyskanie odrębnej zgody w terminie 60 dni. To oznacza ingerencję w produkt: konieczność zmiany interfejsu, dodania ekranu zgody, przebudowy logiki funkcji i zmierzenia się ze spadkiem zaangażowania po wyłączeniu funkcji. W skrajnym przypadku firma musi wstrzymać działanie funkcji do czasu wdrożenia poprawnych zgód. Do tego dochodzi ryzyko skarg użytkowników, koszt obsługi prawnej i konieczność udokumentowania zmian przed organem.
Scenariusze ryzyka
| Scenariusz | Co się dzieje | Poziom ryzyka |
|---|---|---|
| Funkcja domyślnie włączona, oparta na zgodzie | Użytkownik nie podjął świadomej decyzji, organ może uznać zgodę za nieważną | Wysoki |
| Jedno uprawnienie systemowe dla wielu celów | Brak rozdzielenia celów, użytkownik nie wie, na co się zgadza | Wysoki |
| Brak własnego ekranu zgody poza monitem systemowym | Trudno wykazać cel i zakres przetwarzania | Średni do wysokiego |
| Dostęp do całej galerii, gdy wystarczy selektor plików | Nadmierny zakres danych, zarzut naruszenia minimalizacji | Średni |
| Brak rejestru zgód i wersji interfejsu | Brak dowodów w razie kontroli | Średni |
| Zgoda w regulaminie zamiast osobnego ekranu | Trudno wykazać dobrowolność i odrębność | Średni |
Interpretacja powyższej tabeli jest moja, oparta na katalogu zarzutów z relacji AP. Źródło nie podaje, jak organ oceniałby każdy z tych scenariuszy w odniesieniu do innych podmiotów. To rama do samooceny, nie prognoza rozstrzygnięć.
Jak sprawdzić, czy problem dotyczy twojej aplikacji
Sprawdzenie nie wymaga audytu całego produktu. Wystarczy przejść przez kilka punktów, które odpowiadają zarzutom z tej sprawy. Poniższa lista jest uporządkowana od najprostszych do bardziej złożonych kontroli.
- Ustal, do czego aplikacja faktycznie potrzebuje zdjęć i filmów. Wypisz każdą funkcję, która czyta pliki z galerii, i przypisz jej cel.
- Sprawdź, czy każda z tych funkcji ma osobny opis celu widoczny dla użytkownika przed włączeniem.
- Sprawdź stan początkowy: czy funkcja jest aktywna po instalacji lub aktualizacji bez wyraźnego działania użytkownika.
- Sprawdź, czy aplikacja prosi o dostęp do całej galerii, czy korzysta z selektora plików lub dostępu do wybranych zdjęć.
- Sprawdź, czy systemowy monit jest jedynym momentem, w którym użytkownik dowiaduje się o przetwarzaniu.
- Sprawdź, czy użytkownik może wyłączyć funkcję bez utraty dostępu do podstawowych usług aplikacji.
- Sprawdź, czy wycofanie zgody jest równie proste jak jej udzielenie.
- Sprawdź, czy istnieje zapis, kiedy i w jakiej wersji interfejsu użytkownik wyraził zgodę.
Jeżeli odpowiedź na którekolwiek z pytań 2–4 brzmi „nie” lub „nie wiem”, istnieje luka do zamknięcia. Nie oznacza to automatycznie naruszenia, ale oznacza brak dowodów, które w razie skargi trzeba przedstawić organowi.
Plan reakcji krok po kroku
Poniższy plan zakłada, że firma chce ograniczyć ekspozycję bez wyłączania całego produktu. Kolejność ma znaczenie: najpierw inwentaryzacja, potem decyzje produktowe, na końcu dokumentacja.
Krok 1: Inwentaryzacja dostępu do danych
Zbierz listę wszystkich uprawnień, o które prosi aplikacja, i przypisz do każdego funkcję oraz cel. W przypadku galerii ustal, czy potrzebne są wszystkie zdjęcia, czy tylko wybrane. Uwzględnij biblioteki zewnętrzne i zestawy SDK, które mogą żądać dostępu niezależnie od głównego kodu. Częstym problemem jest to, że uprawnienie jest wymagane przez komponent, o którym zespół produktowy nie pamięta.
Krok 2: Rozdzielenie celów
Dla każdej funkcji korzystającej ze zdjęć przygotuj osobny opis celu i osobny przełącznik. Jeżeli funkcja nie jest niezbędna do działania usługi, powinna być opcjonalna i domyślnie wyłączona. Jeżeli jest niezbędna, trzeba to jasno powiedzieć i wskazać podstawę prawną inną niż zgoda, jeśli taka istnieje. Nie łącz zgody na podpowiedzi treści z akceptacją regulaminu.
Krok 3: Zmiana interfejsu zgody
Wprowadź ekran zgody na funkcję, niezależny od systemowego monitu. Ekran powinien zawierać: nazwę funkcji, cel przetwarzania, zakres danych, informację o tym, czy dane są przetwarzane lokalnie, czy wysyłane dalej, oraz przycisk odmowy równie widoczny jak przycisk zgody. Nie stosuj ciemnych wzorców, takich jak ukryta odmowa czy przedłużające się monity.
Krok 4: Ograniczenie zakresu danych
Tam, gdzie to możliwe, zastąp dostęp do całej galerii selektorem plików lub dostępem do wybranych zdjęć. Jeżeli funkcja analizuje zdjęcia, rozważ przetwarzanie lokalne i wysyłanie wyłącznie wyniku, a nie samych plików. Każde ograniczenie zakresu zmniejsza liczbę danych objętych zgodą i ułatwia uzasadnienie minimalizacji.
Krok 5: Rejestr zgód i wersjonowanie
Zapisuj, kiedy użytkownik wyraził zgodę, na jaką wersję opisu i w jakim kontekście. Przy zmianie interfejsu lub celu przetwarzania nie zakładaj, że stara zgoda obejmuje nowy zakres. Wersjonowanie ekranów zgody pozwala wykazać przed organem, co dokładnie użytkownik zaakceptował.
Krok 6: Komunikacja i obsługa skarg
Przygotuj procedurę odpowiedzi na pytania użytkowników o dostęp do galerii. Jeżeli funkcja zostanie wyłączona lub zmieniona, poinformuj o tym jasno i podaj sposób ponownego włączenia po wyrażeniu zgody. Skargi użytkowników są często pierwszym sygnałem, który trafia do organu.
Typowe błędy
- Traktowanie monitu systemowego jako zgody. Uprawnienie systemowe nie opisuje celu ani nie zastępuje zgody prawnej.
- Zgoda ukryta w regulaminie. Akceptacja warunków usługi nie jest zgodą na przetwarzanie zdjęć w funkcji opcjonalnej.
- Domyślne włączenie „dla wygody”. Wygoda produktu nie jest argumentem, gdy punktem wyjścia powinna być decyzja użytkownika.
- Jedno uprawnienie na wszystko. Wspólny dostęp do galerii dla awatara, wiadomości i podpowiedzi treści uniemożliwia rozdzielenie celów.
- Brak możliwości wycofania. Jeżeli wyłączenie funkcji wymaga kontaktu z supportem, zgoda nie jest łatwa do wycofania.
- Brak dokumentacji wersji. Po zmianie interfejsu firma nie potrafi odtworzyć, co widział użytkownik w momencie zgody.
- Pomijanie bibliotek zewnętrznych. Zestawy SDK mogą żądać dostępu do danych niezależnie od woli zespołu produktowego.
Działania krótkoterminowe
W perspektywie najbliższych tygodni priorytetem jest zatrzymanie najbardziej ryzykownych praktyk. Wyłącz domyślne włączenie funkcji opartych na zgodzie i spraw, by użytkownik musiał aktywnie ją włączyć. Dodaj ekran wyjaśniający cel przetwarzania zdjęć. Ogranicz dostęp do galerii tam, gdzie wystarczy selektor plików. Zbierz listę funkcji i celów, którą można pokazać prawnikowi i zespołowi produktowemu. Jeżeli funkcja jest już aktywna u użytkowników, przygotuj plan jej wyłączenia i ponownego włączenia po uzyskaniu zgody.
Warto też sprawdzić, czy aplikacja nie prosi o dostęp do galerii przy pierwszym uruchomieniu, zanim użytkownik zrozumie, do czego służy. Monit bez kontekstu jest częstym źródłem skarg i utrudnia wykazanie świadomej zgody.
Działania długoterminowe
W dłuższej perspektywie potrzebna jest zmiana sposobu projektowania funkcji, nie tylko interfejsu. Wprowadź zasadę, że każde nowe uprawnienie wymaga opisu celu i oceny, czy da się je zastąpić węższym dostępem. Ustanów proces przeglądu zgód przed wydaniem wersji aplikacji. Uwzględnij w dokumentacji produktu rejestr celów przetwarzania i mapę uprawnień. Przeszkol zespół z różnicy między uprawnieniem systemowym a zgodą prawną. Regularnie przeglądaj biblioteki zewnętrzne pod kątem dostępu do danych.
Długoterminowo warto też monitorować orzecznictwo organów nadzorczych w sprawach zgód w aplikacjach mobilnych. Sprawa Meta pokazuje, że organy patrzą na projekt funkcji, a nie tylko na treść polityki prywatności. Firma, która ma dobrze napisaną politykę, ale funkcję włączoną domyślnie i jedno uprawnienie na wiele celów, nadal jest narażona na zarzuty.
Checklista praktyczna
- Czy każda funkcja korzystająca ze zdjęć ma osobny opis celu?
- Czy funkcja oparta na zgodzie jest domyślnie wyłączona?
- Czy zgoda jest zbierana poza systemowym monitem?
- Czy odmowa jest równie łatwa jak zgoda?
- Czy wycofanie zgody jest proste i widoczne?
- Czy aplikacja korzysta z selektora plików zamiast dostępu do całej galerii, gdy to możliwe?
- Czy istnieje zapis wersji ekranu zgody i daty jej udzielenia?
- Czy biblioteki zewnętrzne nie żądają dostępu do danych ponad potrzebę?
- Czy użytkownik rozumie, czy zdjęcia są przetwarzane lokalnie, czy wysyłane na serwer?
- Czy zmiana celu przetwarzania wiąże się z ponowną zgodą?
Co powinien zrobić właściciel firmy / administrator
Właściciel firmy nie musi znać szczegółów technicznych Androida, ale powinien zadać zespołowi cztery pytania. Pierwsze: które funkcje czytają zdjęcia i po co. Drugie: czy użytkownik dowiaduje się o tym przed włączeniem funkcji, czy dopiero z systemowego monitu. Trzecie: czy potrafimy pokazać zapis zgody z datą i wersją opisu. Czwarte: czy wyłączenie funkcji jest tak proste jak jej włączenie. Jeżeli na któreś pytanie nie ma jasnej odpowiedzi, warto zaplanować przegląd.
Administrator lub osoba odpowiedzialna za zgodność powinna natomiast utrzymywać rejestr celów przetwarzania, mapę uprawnień i procedurę odpowiedzi na skargi. Przy zmianie dostawcy biblioteki lub dodaniu nowej funkcji trzeba sprawdzić, czy nie pojawił się nowy dostęp do danych. Warto też ustalić, kto odpowiada za wersjonowanie ekranów zgody i gdzie przechowywane są dowody. W razie kontroli to nie polityka prywatności, lecz zapis konkretnych decyzji użytkownika i wersji interfejsu będzie podstawą odpowiedzi.
Sprawa Meta nie mówi, że dostęp do galerii jest zakazany. Mówi, że sposób jego uzyskania i domyślne włączenie funkcji mogą nie spełniać wymogu wolnej i świadomej zgody. To różnica, która pozwala zaprojektować funkcję poprawnie, zamiast z niej rezygnować.
Ograniczenia materiału dowodowego
Powyższa analiza opiera się na relacji Associated Press opublikowanej w SecurityWeek 14 listopada 2026 roku, która cytuje komunikat włoskiego organu ochrony danych. Materiał nie zawiera pełnej treści decyzji, więc nieznane są szczegóły uzasadnienia prawnego ani pełna lista zarzutów. Meta zakwestionowała jurysdykcję Włoch i nie skomentowała sprawy natychmiast; źródło nie podaje, czy decyzja została zaskarżona do sądu ani czy kara została zapłacona. Nie wiadomo też, jak organ oceniłby podobne praktyki w innych aplikacjach ani czy analogiczne postępowania toczą się w innych państwach. Wszystkie odniesienia do polskich firm i RODO są interpretacją redakcyjną opartą na katalogu zarzutów, a nie ustaleniem organu.
Weryfikacja praktyczna przed wdrożeniem
Przed wdrożeniem nowego ekranu zgody lub zmiany zakresu dostępu do galerii warto przeprowadzić testy, które sprawdzą nie tylko poprawność techniczną, ale też to, czy użytkownik rzeczywiście rozumie, na co się zgadza. Weryfikacja powinna być udokumentowana, ponieważ w razie kontroli to zapis konkretnych decyzji i wersji interfejsu będzie podstawą odpowiedzi.
Test ścieżki użytkownika od instalacji do zgody
Przejdź całą ścieżkę na czystej instalacji aplikacji, tak jak zrobiłby to nowy użytkownik. Sprawdź, czy monit o dostęp do galerii nie pojawia się przy pierwszym uruchomieniu, zanim użytkownik zrozumie, do czego służy funkcja. Zapisz zrzuty ekranu każdego kroku i dołącz je do dokumentacji wersji. Celem jest wykazanie, że zgoda jest zbierana poza systemowym monitem i po przedstawieniu celu przetwarzania.
Test rozdzielenia celów i uprawnień
Dla każdej funkcji korzystającej ze zdjęć sprawdź, czy ma osobny opis celu i osobny przełącznik. Zweryfikuj, że wyłączenie jednej funkcji nie blokuje pozostałych i że wspólny dostęp do galerii nie jest wymagany dla awatara, wiadomości i podpowiedzi treści jednocześnie. Jeżeli funkcja jest niezbędna do działania usługi, upewnij się, że jest to jasno powiedziane i wskazana jest podstawa prawna inna niż zgoda, jeśli taka istnieje.
Test równowagi zgody i odmowy
Sprawdź, czy przycisk odmowy jest równie widoczny jak przycisk zgody i czy odmowa nie jest ukryta ani opóźniona przedłużającymi się monitami. Przetestuj wycofanie zgody: czy jest proste i widoczne, czy nie wymaga kontaktu z supportem. Jeżeli wyłączenie funkcji wymaga kontaktu z supportem, zgoda nie jest łatwa do wycofania.
Test ograniczenia zakresu danych
Tam, gdzie to możliwe, sprawdź działanie selektora plików lub dostępu do wybranych zdjęć zamiast dostępu do całej galerii. Jeżeli funkcja analizuje zdjęcia, zweryfikuj, czy przetwarzanie odbywa się lokalnie i czy wysyłany jest wyłącznie wynik, a nie same pliki. Każde ograniczenie zakresu zmniejsza liczbę danych objętych zgodą i ułatwia uzasadnienie minimalizacji.
Test bibliotek zewnętrznych
Przejrzyj zestawy SDK i biblioteki zewnętrzne pod kątem dostępu do danych. Sprawdź, czy nie żądają dostępu do galerii niezależnie od woli zespołu produktowego i czy nie pojawił się nowy dostęp do danych przy zmianie dostawcy biblioteki lub dodaniu nowej funkcji. Pomijanie bibliotek zewnętrznych to jeden z typowych błędów.
Monitoring po wdrożeniu
Wdrożenie ekranu zgody nie kończy pracy. Potrzebny jest stały monitoring, który pozwoli wychwycić zarówno problemy techniczne, jak i sygnały od użytkowników, zanim trafią do organu nadzorczego.
Rejestr zgód i wersjonowanie w praktyce
Utrzymuj zapis, kiedy użytkownik wyraził zgodę, na jaką wersję opisu i w jakim kontekście. Przy zmianie interfejsu lub celu przetwarzania nie zakładaj, że stara zgoda obejmuje nowy zakres. Ustal, kto odpowiada za wersjonowanie ekranów zgody i gdzie przechowywane są dowody. Po zmianie interfejsu firma musi potrafić odtworzyć, co widział użytkownik w momencie zgody — brak dokumentacji wersji to typowy błąd.
Monitorowanie skarg i pytań użytkowników
Przygotuj procedurę odpowiedzi na pytania użytkowników o dostęp do galerii. Skargi użytkowników są często pierwszym sygnałem, który trafia do organu, dlatego warto analizować ich treść i częstotliwość. Jeżeli funkcja zostanie wyłączona lub zmieniona, poinformuj o tym jasno i podaj sposób ponownego włączenia po wyrażeniu zgody.
Okresowy przegląd funkcji i uprawnień
Regularnie przeglądaj biblioteki zewnętrzne pod kątem dostępu do danych oraz aktualizuj rejestr celów przetwarzania i mapę uprawnień. Przy każdej nowej funkcji lub zmianie dostawcy sprawdź, czy nie pojawił się nowy dostęp do danych. Warto też śledzić orzecznictwo organów nadzorczych w sprawach zgód w aplikacjach mobilnych — sprawa Meta pokazuje, że organy patrzą na projekt funkcji, a nie tylko na treść polityki prywatności.
Wskaźniki do śledzenia
- Liczba użytkowników, którzy aktywnie włączyli funkcję opartą na zgodzie, w porównaniu z liczbą, którym funkcja była wcześniej włączona domyślnie.
- Liczba skarg i pytań dotyczących dostępu do galerii w podziale na kategorie.
- Liczba funkcji korzystających z dostępu do całej galerii w stosunku do funkcji korzystających z selektora plików.
- Kompletność zapisów zgód: czy dla każdej zgody istnieje data i wersja opisu.
- Wyniki przeglądów bibliotek zewnętrznych i data ostatniej aktualizacji mapy uprawnień.
Checklista weryfikacyjna przed wydaniem wersji
Poniższa lista uzupełnia checklistę praktyczną o punkty weryfikacyjne i monitoringowe. Powinna być przechodzona przed każdym wydaniem wersji aplikacji, która dotyka dostępu do zdjęć lub ekranów zgody.
- Czy na czystej instalacji monit o dostęp do galerii nie pojawia się przed przedstawieniem celu funkcji?
- Czy każda funkcja korzystająca ze zdjęć ma osobny opis celu i osobny przełącznik?
- Czy funkcja oparta na zgodzie jest domyślnie wyłączona?
- Czy zgoda jest zbierana poza systemowym monitem, na osobnym ekranie?
- Czy ekran zgody zawiera nazwę funkcji, cel przetwarzania, zakres danych i informację o tym, czy dane są przetwarzane lokalnie, czy wysyłane dalej?
- Czy odmowa jest równie łatwa i widoczna jak zgoda?
- Czy wycofanie zgody jest proste i widoczne, bez kontaktu z supportem?
- Czy aplikacja korzysta z selektora plików zamiast dostępu do całej galerii, gdy to możliwe?
- Czy istnieje zapis wersji ekranu zgody i daty jej udzielenia?
- Czy biblioteki zewnętrzne nie żądają dostępu do danych ponad potrzebę?
- Czy użytkownik rozumie, czy zdjęcia są przetwarzane lokalnie, czy wysyłane na serwer?
- Czy zmiana celu przetwarzania wiąże się z ponowną zgodą?
- Czy przygotowano procedurę odpowiedzi na pytania i skargi dotyczące dostępu do galerii?
- Czy ustalono, kto odpowiada za wersjonowanie ekranów zgody i gdzie przechowywane są dowody?
- Czy zaplanowano okresowy przegląd funkcji, uprawnień i bibliotek zewnętrznych?
Uwagi końcowe do weryfikacji
Sprawa Meta nie mówi, że dostęp do galerii jest zakazany. Mówi, że sposób jego uzyskania i domyślne włączenie funkcji mogą nie spełniać wymogu wolnej i świadomej zgody. To różnica, która pozwala zaprojektować funkcję poprawnie, zamiast z niej rezygnować — pod warunkiem że weryfikacja i monitoring potwierdzą, iż użytkownik rzeczywiście podejmuje świadomą decyzję.
Źródła i materiały do dalszej weryfikacji
Artykuł jest autorskim opracowaniem przygotowanym na podstawie poniższych materiałów. Linki prowadzą do publikacji źródłowych.
- Meta Fined $887 Million in Italy Over Android Gallery Photos and Videos on Facebook (www.securityweek.com)
Zdjęcie wyróżniające: Towfiqu barbhuiya / Pexels.
