Przypadkowe ujawnienie danych pracowników przez Uber i Lyft

Ujawnienie danych pracowników firmy Uber i Lyft nie było zamierzone, ale przyczyni się do wielu konsekwencji dla swoich pracowników.

Współczesny świat technologii staje się coraz bardziej złożony, a ochrona prywatności jest jednym z głównych wyzwań, przed jakimi stoją giganci technologiczni. Przykładem może być niedawne odkrycie badaczy z Northeastern University, którzy ujawnili, że Uber i Lyft przypadkowo wysyłali dane numerów ubezpieczenia społecznego (SSN) swoich pracowników do TikToka i Meta. Wyniki badań skłaniają do refleksji nad prywatnością danych w dobie cyfrowej.

Kiedy osoba ubiega się o pracę dla Ubera czy Lyft, musi wypełnić szereg formularzy online, podając m.in. datę urodzenia, numer prawa jazdy oraz inne wrażliwe dane, takie jak numer ubezpieczenia społecznego (SSN). Jak wykazali badacze, dane były nieświadomie przesyłane do TikToka i Meta przez piksele śledzące, czyli narzędzia analityczne, które śledzą zachowania użytkowników w sieci.

Piksele śledzące to małe fragmenty kodu osadzone w obrazach na interfejsie strony, które umożliwiają firmom monitorowanie zachowań użytkowników i zbieranie cennych informacji do celów reklamowych. Według Davida Choffnesa, profesora nauk komputerowych z Northeastern University, problem pojawia się wtedy, gdy piksele te przypadkowo zbierają dane z prywatnych formularzy aplikacyjnych i przesyłają je bezpośrednio do mediów społecznościowych.

„Prawie każda strona internetowa, którą odwiedzasz, ma w sobie takie piksele” – mówi Choffnes. To wyjaśnia, dlaczego na Facebooku czy Instagramie widzimy reklamy, które są bardzo trafne do stron, które ostatnio przeglądaliśmy. Meta, TikTok, Google oraz inne firmy śledzą nasze zachowanie, aby lepiej targetować reklamy.

Jak się okazuje, Uber i Lyft dodały te piksele śledzące na swoje strony, ponieważ TikTok, Meta i inne firmy oferują w zamian bezpłatne narzędzia analityczne, które pozwalają im analizować ruch na ich stronach. Problemem było to, że piksele te były skonfigurowane w sposób, który umożliwiał przesyłanie danych aplikacyjnych do tych firm. Zamiast służyć jedynie do śledzenia zachowań na stronie, piksele te zaczęły zbierać dane osobowe.

Choffnes podkreśla, że zarówno Uber, jak i Lyft, szybko podjęli działania, aby naprawić te podatności po ich ujawnieniu. W rozmowach z firmami badacze usłyszeli, że problem był niezamierzony i wynikał jedynie z błędnej konfiguracji. Piksele nie muszą zbierać danych z formularzy, ale domyślnie są skonfigurowane w taki sposób, że to robią. To może wskazywać, że być może któś, kto konfigurował stronę, nie do końca wiedział, jakie są konsekwencje jego działań.

Całe badanie miało na celu zrozumienie, jak bardzo narażone na ujawnienie danych są osoby pracujące w sektorze gig economy, takie jak kierowcy Ubera czy Lyfta. To grupa, która często nie ma wyboru co do tego, jak wiele informacji osobistych musi udostępnić, aby podjąć pracę. Choffnes wskazuje, że w przeciwieństwie do konsumentów, pracownicy muszą podawać dane takie jak numer identyfikacji podatkowej, numer ubezpieczenia społecznego, adres zamieszkania i numer telefonu.

To znacząco różni się od sytuacji konsumenta, który zamawia posiłek przez aplikację. Konsument potrzebuje jedynie karty kredytowej i adresu e-mail, aby skorzystać z usługi, podczas gdy pracownicy muszą udostępnić o wiele więcej wrażliwych informacji.

W Europie, pod ogólnym rozporządzeniem o ochronie danych (GDPR), firmy są zobowiązane do określania celu przetwarzania danych. Niestety, w Stanach Zjednoczonych brak takich regulacji, a przepisy federalne dotyczące prywatności danych są nadal w powijakach. W efekcie giganci technologiczni mogą przetwarzać dane pracowników w sposób, który nie zawsze jest zgodny z ich najlepszym interesem.

Badacze podkreślają, że potrzebujemy większej przejrzystości i ochrony prywatności. Gdyby prawo wymagało, aby firmy wyraźnie informowały, że dane wprowadzone w formularzach aplikacyjnych będą wysyłane do innych podmiotów, być może wielu pracowników zastanowiłoby się dwa razy, zanim zaakceptowałoby takie warunki.

Podobne problemy z ochroną prywatności występują w innych branżach. Na przykład w branży zdrowotnej, gromadzenie danych pacjentów jest ściśle regulowane przez prawo, takie jak HIPAA w Stanach Zjednoczonych, które nakłada surowe wymagania dotyczące ochrony danych osobowych pacjentów. Pracownicy służby zdrowia muszą mieć świadomość, w jaki sposób ich dane są przetwarzane i kto ma do nich dostęp, co jest przykładem dobrych praktyk, które mogłyby być zastosowane w innych sektorach.

Również w sektorze finansowym ochrona danych jest kluczowa. Banki i instytucje finansowe muszą spełniać surowe normy, aby zapewnić, że dane osobowe klientów nie trafią w niepowołane ręce. Wprowadzenie podobnych regulacji dla firm z sektora gig economy mogłoby przyczynić się do lepszej ochrony danych pracowników.

Dla pracowników gig economy ochrona danych osobowych może być trudna, zwłaszcza że nie mają dużego wpływu na sposób, w jaki dane są zbierane i przetwarzane. Jednakże warto byłoby, aby osoby pracujące w tym sektorze świadomie zarządzały swoją prywatnością, w miarę możliwości korzystając z narzędzi, takich jak menedżery haseł, VPN-y, czy blokery śledzenia w przeglądarkach internetowych.

Odkrycie przez badaczy z Northeastern University przypadkowego udostępniania wrażliwych danych przez Uber i Lyft zwraca uwagę na potrzebę lepszej ochrony prywatności w sektorze gig economy. Firmy muszą bardziej odpowiedzialnie podchodzić do danych pracowników, zapewniając im podobny poziom ochrony, jaki obowiązuje w innych branżach, takich jak zdrowie czy finanse.

W dobie cyfryzacji każdy z nas powinien mieć kontrolę nad swoimi danymi, a firmy muszą być bardziej transparentne i odpowiedzialne w swoim postępowaniu. Regulacje prawne oraz świadomość konsumentów i pracowników to klucz do zapewnienia bezpieczeństwa w dynamicznie zmieniającym się świecie cyfrowym.

Szymon Ślubowski