Gdy opadnie kurz, czyli jak przygotować się do pierwszej wojny cyber korporacji o dane użytkowników?

Google 

Jako ostatni z największych producentów przeglądarek WWW wprowadzi blokowanie 3rd party cookies w Chrome w 2023 roku (harmonogram wygaszania wsparcia. Co więcej koncern zapowiedział brak wsparcia dla ujednoliconego identyfikatora (tzw. Unified ID) lub identyfikatorów opartych o adresy poczty e-mail użytkowników: „Nie będziemy tworzyć alternatywnych identyfikatorów do śledzenia osób przeglądających strony internetowe ani nie będziemy ich używać w naszych produktach. Zdajemy sobie sprawę, że oznacza to, że inni dostawcy mogą oferować pewien poziom identyfikacji tożsamości użytkowników do śledzenia reklam w sieci, których nie będziemy wspierać - jak mechanizmy umożliwiające identyfikację użytkownika (PII Graphs) oparte na adresach e-mail użytkowników. Nie wierzymy, że te rozwiązania spełnią rosnące oczekiwania konsumentów w zakresie prywatności, ani że sprostają szybko zmieniającym się ograniczeniom regulacyjnym, a zatem nie są trwałą inwestycją. Zamiast tego nasze produkty internetowe będą obsługiwane przez chroniące prywatność interfejsy API, które uniemożliwiają indywidualne śledzenie, a jednocześnie dostarczają wyniki reklamodawcom i wydawcom ”.

“Wielu dużych wydawców, którzy mają własne strategie dotyczące danych, korzysta z identyfikatorów podawanych przez wydawców (PPID - Publisher Provided Identifiers) w usłudze Google Ad Manager do dostarczania spersonalizowanych kampanii reklamowych w sposób zapewniający prywatność. Ta funkcja umożliwia wydawcom tworzenie niestandardowych segmentów odbiorców, prowadzenie kampanii za pośrednictwem tradycyjnych rezerwacji lub umów typu Programmatic Guaranteed.

Chcąc umożliwić wydawcom dalsze zwiększanie wartości zasobów reklamowych, staramy się pomóc im rozszerzyć wykorzystanie ich identyfikatorów PPID na bardziej zautomatyzowane typy kampanii, w tym aukcję otwartą. Eksperymentujemy też z nową funkcją, która pomoże wydawcom każdej wielkości wykorzystać własne dane w usłudze AdManager. Przy minimalnym wysiłku technicznym rozwiązanie umożliwi wydawcom uruchomienie mechanizmu zapisującego zdarzenia związane z aktywnością użytkowników na ich własnych witrynach. 

Dlatego eksperymentujemy z funkcją, która zapewni wydawcom możliwość bezpośredniego udostępniania zaszyfrowanych danych Authorized Buyers lub Open Bidders, z którymi mają już bezpośrednie relacje. Wydawcy będą mieli pełną kontrolę nad tym, jakie dane są gromadzone i kto może odbierać ww dane. Google nie będzie w stanie ich odczytać ani odszyfrować. Ad Manager będzie działać tylko jako pośrednik w imieniu wydawcy, przekazując je wybranym przez nich zewnętrznym partnerom”

Apple

Apple już wymaga obowiązkowego powiadamiania (w ramach Appstore) użytkowników o danych używanych do śledzenia, danych połączonych i niepołączonych z profilem klienta przez wszystkich twórców aplikacji mobilnych.

Koncern zapowiedział też, w kolejnej wersji systemu operacyjnego (iOS 14.5), wprowadzenie obligatoryjnego opt-in do śledzenia przez konsumentów we wszystkich aplikacjach mobilnych dystrybuowanych za pośrednictwem Apple Appstore. Prawdopodobnie spowoduje to gigantyczny spadek trakowalnosci użytkowników w aplikacjach iOS (co może szczególnie dotknąć m.in. aplikacje bankowe, retailowe, programy lojalnościowe etc.). Historycznie w przeglądarkach WWW mieliśmy mechanizmy defaultowego opt-inu do śledzenia via cookies z możliwością swobodnego opt-out. W przypadku aplikacji będzie odwrotnie. 

^{Przykład w jaki sposób aplikacja mobilna będzie prosiła o zgodę na śledzenie.}

Według danych Flurry udział użytkowników zgadzających się na śledzenie od czasu uruchomienia przez Apple funkcji ATT oscyluje pomiędzy 11 a 15% (w USA).

WorldWide Weekly Opt-in Rate after iOS 14.5 Launch Across All Apps 

% of Mobile Active App Users Who Allow App Tracking Among Users Who Have Chosen to Either Allow or Deny Tracking

Od wersji 15 iOS Apple wprowadził: 

• Mail Privacy Protection eliminujący piksele śledzące umieszczane w poczcie elektronicznej. 93,5% wszystkich wiadomości e-mail otwieranych na urządzeniach mobilnych pochodzi z Apple Mail na iPhone'ach lub iPadach. Na komputerze Apple Mail na Macu odpowiada za 58,4% wszystkich otwieranych wiadomości e-mail (wg Litmus, 05.2021 r.). Mail Privacy Protection uniemożliwi badanie otwarć przesyłek i reklam w systemach poczty elektronicznej klientów, identyfikację użytkowników oraz zachowanie tzw. higieny baz mailowych przez dostawców systemów Marketing Automation, dostawców darmowych systemów skrzynek pocztowych, Email Service Providers, Marketing Clouds, czy w biznesach typu Newsletter only/first.

• Private Relay dla subskrybentów iCloud+, które będzie zapewniać anonimizację adresów IP w przeglądarce WWW Safari, wszystkich zapytaniach DNS, całym nieszyfrowanym ruchu HTTP realizując podobną funkcjonalność do obecnych systemów VPN. Strategia silniejszego wspierania aplikacji mobilnych od otwartego internetu przez Apple ma swoje odwzorowanie zakresie anonimizacji adresów IP albowiem to właśnie jedynie ruch HTTP w aplikacjach będzie przechodził przez Private Relay. Rozwiązanie to (mimo iż Apple uznaje prywatność za fundamentalne prawo człowieka https://www.apple.com/privacy/) nie będzie jednak działać w Chinach, na Białorusi, w Kolumbii, Egipcie, Kazachstanie, Arabii Saudyjskiej, RPA, Turkmenistanie, Ugandzie i na Filipinach.

Facebook

Facebook zaproponowal wlasne rozwiazanie - Multi-Party Computation zapewniajace firmom szyfrowana wymiane separowanych danych klientow, oraz mozliwosci korzystania ze zagregowanych i zanonimizowanych danych do analiz i benchmarkowania.

Zarowno Apple, Google jak i FB wprowadzają kolejne rozwiazania, ktore zapewnią, że dane użytkowników nie opuszczą urządzeń klientów oraz zostaną w maksymalny sposób zabezpieczone: 

Differential privacy (DP) - system publicznego udostępniania informacji o zbiorze danych poprzez opisanie wzorców grup w zbiorze danych przy jednoczesnym ukryciu informacji o osobach w zbiorze danych. Ideą DP jest to, że jeśli efekt arbitralnego pojedynczego podstawienia w bazie danych jest wystarczająco mały, wynik zapytania nie może być wykorzystany do wnioskowania o jakimkolwiek pojedynczym uzytkowniku, a zatem zapewnia prywatność.

Federated learning - technika uczenia maszynowego, która uczy algorytmu na wielu zdecentralizowanych urządzeniach brzegowych np smartfonach, czy notebookach przechowujących lokalne próbki danych, bez ich wymiany. Podejście to kontrastuje z tradycyjnymi scentralizowanymi technikami uczenia maszynowego, w których wszystkie lokalne zestawy danych są przesyłane na jeden serwer czy do chmury, a także z bardziej klasycznymi zdecentralizowanymi podejściami, które często zakładają, że lokalne próbki danych są identycznie rozmieszczone.

Jakie rozwiązania mogą w istotny sposób zmienić architekturę ekosystemu

Te, oparte w znacznej części na nowych mechanizmach technologicznych nie wymagających wykorzystania cookies. Przykłady:

• Criteo - “SPARROW” (Secure Private Advertising Remotely Run On Webserver)

• IAB - Project Rearc

• Local Storage

• Session Storage

• IndexedDB 

• Web SQL

• ETag 

• Last-Modified

Inicjatywy dostawców technologii

Często oparte są na istniejących już rozwiązaniach technologicznych proponujących tworzenie różnorodnych nowych zunifikowanych identyfikatorów. Przykłady:

• Live Ramp - ATS

• The Trade Desk - Unified ID

• LiveIntent - Authenticated Bridge

• Neustar - Fabrick

• Lotame - Panorama ID

• Flashtalking - Ftrack ID

• Verizon Media - Connect ID

• Zeotap - ID+ 

• Merkle - Merkury

• ID5

Inicjatywy wydawców 

Najczęściej oparte są na zunifikowanych systemach logowania się użytkowników do stron różnych wydawców, którzy wymieniają pomiędzy sobą informacje o własnych użytkownikach (Single Sign On - login/email itd.) oraz na 1st party cookies. Dzięki wielu zrzeszonym witrynom zarządzanym przez wielu wydawców są w stanie zapewnić szeroki zasięg - wydawcy, retailerzy, usługodawcy online etc. Przykłady:

• Niemiecki netID (zasięg: 38 milionów kont użytkowników, co odpowiada około 60% rynku)

• Francuski Passmedia

• Portugalski Nonio