Wstęp: urządzenie, które mówi, nawet gdy ty milczysz
Przechodzisz przez galerię handlową, telefon leży na dnie kieszeni, ekran wygaszony, żadna aplikacja nie jest otwarta. Nic nie zeskanowałeś, na nic się nie zgodziłeś, niczego nie zainstalowałeś. A mimo to w ciągu piętnastu minut spaceru twoje urządzenie prawdopodobnie kilkaset razy oznajmiło swoje istnienie każdemu, kto chciał słuchać.
Taka jest sama zasada działania radia bezprzewodowego: żeby móc szybko się połączyć, smartfon nie czeka biernie. On nadaje. Wysyła „zapytania sondujące” wi-fi, pytając, czy znana sieć znajduje się w zasięgu. Rozgłasza ramki Bluetooth, sygnalizując swoją obecność słuchawkom, zegarkowi, samochodowi. Te sygnały nie zawierają ani twojego nazwiska, ani twoich wiadomości, ale zawierają coś, co wielu podmiotom w zupełności wystarcza: identyfikator, moc odbieranego sygnału i znacznik czasu.
Przy trzech czujnikach uzyskuje się pozycję. Przy trzydziestu czujnikach rozmieszczonych w mieście, centrum handlowym czy na lotnisku uzyskuje się trasy. A przy identyfikatorze stabilnym w czasie uzyskuje się historię odwiedzin, która bardzo mocno przypomina dane osobowe — o czym francuski organ ochrony danych CNIL regularnie przypomina w swoich opiniach na temat zliczania i śledzenia przepływu osób.
Ten poradnik nie jest zachętą do wrzucenia telefonu do ołowianego woreczka. Wyjaśnia, jak naprawdę działa to fizyczne śledzenie, jakie ramy prawne obowiązują we Francji i które ustawienia odcinają większość wycieku, nie czyniąc urządzenia bezużytecznym.
Część 1 — Anatomia sygnału: co twój telefon naprawdę rozgłasza
Wi-fi: sondy wysyłane w ciemno
Gdy wi-fi jest włączone, smartfon okresowo wysyła probe requests. W tłumaczeniu: „Dzień dobry, czy sieć X jest tutaj?”. Historycznie te sondy zawierały dwie bardzo groźne rzeczy:
- adres MAC urządzenia, unikatowy identyfikator układu sieciowego, porównywalny do tablicy rejestracyjnej;
- czasem listę zapamiętanych już sieci — czyli pośrednio historię miejsc twojego życia: „Livebox-4A2C”, „Wifi-Hotel-Barcelone”, „Szpital-Odwiedzający”, „SNCF-Wifi”.
Od czasu iOS 14 i Androida 10 producenci upowszechnili losowanie adresu MAC: urządzenie prezentuje adres wygenerowany losowo, inny dla każdej sieci i okresowo odnawiany. To realny postęp. Ale nie jest to niewidzialność: prace naukowe prezentowane m.in. podczas dni badawczych CNIL pokazały, że inne elementy ramki (kolejność pól, deklarowane możliwości, rytm nadawania) tworzą odcisk palca, który czasem pozwala poskładać kawałki z powrotem.
Bluetooth: gaduła bliskiego zasięgu
Bluetooth Low Energy (BLE) działa poprzez nieustanne rozgłaszanie krótkich ogłoszeń. To dzięki temu twoje słuchawki łączą się ponownie w sekundę. To także dzięki temu beacon zainstalowany przy regale może wykryć, że zgodne urządzenie stało cztery minuty przed produktami higienicznymi.
Ważne zastrzeżenie: sam beacon cię nie identyfikuje. Staje się potężny wtedy, gdy słucha go aplikacja zainstalowana na twoim telefonie i przekazuje informację wraz z twoim identyfikatorem reklamowym. To klasyczny model marketingu bliskiego zasięgu: aplikacja sieci handlowej, medium czy gry prosi o dostęp do Bluetooth „aby poprawić twoje doświadczenie w sklepie”.
Ultradźwięki i obraz: dyskretni kuzyni
Obraz uzupełniają dwie inne techniki:
- beacony ultradźwiękowe, niesłyszalne, emitowane przez głośnik lub reklamę telewizyjną i wychwytywane przez mikrofon uprawnionej aplikacji;
- analiza wideo przepływów, która nie odczytuje identyfikatora, ale zlicza, segmentuje według sylwetki, szacuje wiek lub kierunek spojrzenia. CNIL opublikował jasne stanowisko w sprawie „kamer wzbogaconych”: anonimowe zliczanie może być dopuszczalne, ale zindywidualizowane śledzenie wymaga solidnej podstawy prawnej i poinformowania osób.
| Technologia | Typowy zasięg | Co przechwytuje | Główna obrona |
|---|---|---|---|
| Sondy wi-fi | 30 do 100 m | Identyfikator układu, znane sieci | Wyłączać wi-fi poza użyciem, losowanie MAC |
| Bluetooth LE | 5 do 50 m | Obecność, czas trwania, bliskość beacona | Wyłączać BT, odmawiać dostępu aplikacjom |
| Ultradźwięki | Jedno pomieszczenie | Korelacja telewizor/telefon | Odmawiać dostępu do mikrofonu |
| Kamera wzbogacona | Pole widzenia | Przepływy, sylwetki, czas przejścia | Prawo do informacji i sprzeciwu |
Część 2 — Kto przechwytuje i po co
Handel: mierzyć publiczność fizyczną tak, jak mierzy się stronę internetową
Deklarowany cel jest prosty: wiedzieć, ile osób przechodzi przed witryną, ile wchodzi, ile wraca, jak długo zostaje. To fizyczny odpowiednik statystyk odwiedzin w internecie. CNIL dopuszcza takie systemy zliczania pod ścisłymi warunkami: anonimizacja lub bardzo krótka pseudonimizacja, brak śledzenia osoby ze sklepu do sklepu, widoczna informacja przy wejściu, minimalny okres przechowywania.
To, co przenosi sprawę do zupełnie innej kategorii:
- zestawianie wizyty w sklepie z kartą lojalnościową;
- śledzenie wielosklepowe tego samego identyfikatora;
- odsprzedaż tras osobom trzecim.
Sieci reklamowe i brokerzy danych lokalizacyjnych
Z „danych o mobilności” żyje cały rynek: reklamowe SDK wbudowane w popularne aplikacje (pogoda, gry, transport, prasa) zbierają pozycje, agregują je i odsprzedają brokerom. Liczne europejskie i amerykańskie śledztwa dziennikarskie pokazały w ostatnich latach, że rzekomo anonimowe zbiory danych pozwalały dotrzeć do adresów zamieszkania i miejsc pracy, bo trasa jest niemal podpisem: cztery punkty czasoprzestrzenne często wystarczają, by ponownie zidentyfikować osobę w bazie danych o mobilności.
Samorządy i zarządcy przestrzeni
Miasta, lotniska, dworce i festiwale mierzą przepływy, by właściwie wymiarować usługi. Zastosowanie jest uzasadnione; problem pojawia się, gdy dane pozostają szczegółowe i długo przechowywane. Dobry odruch obywatela: sprawdzić, czy instytucja publikuje swój rejestr czynności przetwarzania oraz nazwisko inspektora ochrony danych (IOD), obowiązkowego dla podmiotów publicznych.
Lokalizatory przedmiotów, nowy gracz
Małe lokalizatory Bluetooth do kluczy i bagaży opierają się na milionach okolicznych telefonów, zamienionych w przekaźniki. Oddawana usługa jest realna, ale nadużycia są udokumentowane: przypadki śledzenia osób skłoniły Apple i Google do wdrożenia wspólnego standardu wykrywania niechcianych lokalizatorów, zintegrowanego z iOS i Androidem. Jeśli telefon powiadomi cię, że „nieznane akcesorium przemieszcza się razem z tobą”, potraktuj alert poważnie i wykonaj procedurę identyfikacji proponowaną przez system.
Część 3 — Ramy prawne we Francji: czego możesz się domagać
Bezpośrednio przydatne są trzy kwestie prawne.
Adres MAC jest daną osobową, o ile pozwala — sam lub w połączeniu z innymi danymi — wyodrębnić urządzenie, a tym samym jego posiadacza. Stosuje się RODO: określony cel, podstawa prawna, informacja, ograniczony okres przechowywania, prawa osób.
1. Uprzednia informacja. System pomiaru odwiedzalności musi być oznaczony: tablica przy wejściu, wskazanie administratora danych, IOD, okresu przechowywania i sposobu wniesienia sprzeciwu. Brak tablicy = pierwszy powód do skargi.
2. Prawo sprzeciwu. Wobec przetwarzania opartego na prawnie uzasadnionym interesie — częsty przypadek zliczania — możesz wnieść sprzeciw. W praktyce najprostszy środek pozostaje techniczny (wyłączenie danego modułu radiowego), ale pisemne żądanie ma swoją wartość: zmusza sieć handlową do udokumentowania swojego systemu.
3. Skarga. CNIL odnotował w ostatnich latach rekordowy poziom skarg i kar, a sprawy z kategorii „wideo i czujniki” należą do powracających motywów. Skarga złożona online, uargumentowana, ze zdjęciem dokumentującym brak oznakowania, to działanie użyteczne i darmowe.
Warto dodać: tzw. dyrektywa „ePrivacy”, transponowana do prawa francuskiego, reguluje również dostęp do informacji przechowywanych w urządzeniu końcowym. Organy europejskie powszechnie uznają, że przechwytywanie sygnałów emitowanych przez urządzenie końcowe podlega tej samej logice ochronnej.
Część 4 — Konkretne działania, od najprostszych do najbardziej radykalnych
Poziom 1 — Podstawowe ustawienia (dziesięć minut, zero dyskomfortu)
- Wyłączaj wi-fi, gdy wychodzisz. To najbardziej opłacalny krok. Zarówno na Androidzie, jak i na iOS przycisk w centrum sterowania czasem wyłącza tylko połączenie, a nie sam moduł: wejdź w Ustawienia, by naprawdę go dezaktywować.
- Wyłącz automatyczne wyszukiwanie sieci i automatyczne łączenie z publicznymi hotspotami.
- Zapomnij niepotrzebne zapamiętane sieci: hotel z zeszłego lata, dworzec, kawiarnia. Każda zachowana nazwa to wskazówka.
- Sprawdź losowanie MAC: w iOS „Prywatny adres Wi-Fi”; w Androidzie „Używaj losowego adresu MAC” dla każdej sieci.
- Bluetooth: wyłączaj go poza użyciem. Jeśli nosisz słuchawki cały dzień, zaakceptuj kompromis, ale wyłączaj go w sklepie.
Poziom 2 — Odzyskać kontrolę nad aplikacjami
To tutaj rozstrzyga się najwięcej, bo beacon bez współpracującej aplikacji niewiele zdziała.
- Przejrzyj uprawnienia do Lokalizacji: przestaw wszystko, co jej nie potrzebuje, na „Nigdy” albo „Podczas używania aplikacji” i odmawiaj dokładnej pozycji, gdy wystarcza przybliżona (pogoda, prasa, handel).
- Odmawiaj dostępu do Bluetooth i Mikrofonu każdej aplikacji, która nie ma oczywistego powodu funkcjonalnego.
- Zresetuj, a następnie wyłącz identyfikator reklamowy: w iOS „Śledzenie” → odmówić globalnie; w Androidzie „Prywatność → Reklamy → Usuń identyfikator reklamowy”.
- Usuń aplikacje sieci handlowych, których nigdy nie otwierasz: najskuteczniejszym blokerem jest odinstalowanie.
Poziom 3 — Rozdzielić zastosowania
Dla tych, którzy idą dalej, logika polega na rozdzieleniu obiegów. Wielu czytelników tego serwisu używa drugiego urządzenia na wyjścia, demonstracje, wrażliwe podróże służbowe albo sprawy, których nie chcą wiązać ze swoim zwykłym życiem: prosty telefon komórkowy bez aplikacji mechanicznie zmniejsza powierzchnię emisji, bo nie ma ani reklamowego SDK, ani beacona do nasłuchiwania.
W tej samej logice etui blokujące sygnał — rodzaj pokrowca zwanego etui Faraday na smartfona — sprawia, że urządzenie jest nieosiągalne na czas konkretnej trasy, bez konieczności jego wyłączania. To brutalne rozwiązanie, ale jedyne, które neutralizuje wszystkie moduły radiowe naraz, łącznie z telefonią.
Poziom 4 — Akcesoria, które zmieniają układ sił
Kilka prostych sprzętów realnie zmniejsza zależność od modułów radiowych:
- słuchawki przewodowe z mikrofonem pozwalają uniknąć trzymania Bluetooth włączonego od rana do wieczora, w transporcie i w biurze;
- kompaktowy powerbank pozwala wyłączać energochłonne funkcje bez obawy o rozładowanie, a więc dłużej utrzymać tryb samolotowy;
- przenośny detektor lokalizatorów Bluetooth uzupełnia natywne alerty dla tych, którzy mają powód obawiać się celowanego śledzenia;
- a dla zrozumienia tematu książka o ochronie danych osobowych napisana przez prawnika pomaga odróżnić to, co należy do sfery fantazji, od tego, co wynika z prawa.
Żaden z tych przedmiotów nie jest magicznym rozwiązaniem. Sprawiają jedynie, że dyskretniejsze zachowanie na co dzień staje się do utrzymania.
Część 5 — Trzy konkretne sytuacje
Sobotnia galeria handlowa
Wi-fi wyłączone, Bluetooth wyłączony, brak aplikacji sieci handlowych: twoje przejście staje się anonimowym punktem w liczniku przepływu, a to dokładnie granica, którą CNIL wyznacza systemom pomiarowym. Jeśli natomiast użyjesz karty lojalnościowej przy kasie, sam ponownie skleisz tożsamość z zachowaniem — temat, który omawialiśmy osobno przy okazji zakupów.
Demonstracja, wrażliwe spotkanie, dyskretna schadzka
Tryb samolotowy nie zawsze wystarcza: na niektórych urządzeniach wi-fi i Bluetooth pozostają możliwe do włączenia i same się reaktywują. Wyłącz je wyraźnie albo zostaw urządzenie w domu. Włączony telefon w tłumie to identyfikator w tłumie.
Podróż służbowa
Hotele, lotniska i targi mnożą portale przechwytujące, które proszą o adres e-mail w zamian za dostęp do wi-fi. Użyj adresu jednorazowego, odrzuć zgodę marketingową i wybierz raczej udostępnianie połączenia z własnego abonamentu. W wymianie wiadomości, przy której nie chcesz ujawniać swojego numeru, usługa wysyłania anonimowych SMS-ów pozwala uniknąć powiązania jednorazowej rozmowy z twoją główną linią.
Podsumowanie: przestać nadawać domyślnie
Śledzenie za pomocą sygnałów radiowych ma nieprzyjemną cechę: o nic nie prosi. Żadnej zgody do kliknięcia, żadnego konta do założenia, żadnego ciasteczka do odrzucenia. Wykorzystuje po prostu fakt, że nowoczesny telefon jest zaprojektowany tak, by być zawsze gotowym do połączenia.
Dobra wiadomość jest taka, że kontrśrodek jest symetryczny i mieści się w jednym zdaniu: pozwalaj nadawać tylko temu, czego potrzebujesz, i tylko wtedy, gdy tego potrzebujesz. Wi-fi wyłączone na zewnątrz, Bluetooth wyłączony poza użyciem, aplikacje pozbawione dostępu do lokalizacji i mikrofonu, identyfikator reklamowy usunięty. Te cztery czynności, które zajmują kwadrans raz na zawsze, likwidują zdecydowaną większość śladów, jakie nieświadomie zostawiasz na ulicach, dworcach i sklepowych alejkach.
Reszta należy do prawa: domagać się oznakowania, zapytać IOD, zwrócić się do organu ochrony danych, gdy system wykracza poza zwykłe zliczanie. Prywatność w przestrzeni fizycznej nie jest stracona — jest po prostu źle broniona, bo zbyt mało osób wie, że bitwa toczy się także tutaj.
