Météo-France ignora tus elecciones y filtra tu geolocalización
Si quieres acceder a previsiones meteorológicas fiables, Météo-France es una excelente elección. Los datos meteorológicos que utiliza la app del Tiempo de Apple en el iPhone (la app predeterminada) provienen de The Weather Channel, empresa estadounidense adquirida por IBM a principios de 2016, y sus previsiones para Francia, por desgracia, no son muy fiables. Como Météo-France es un organismo público administrativo, esperaba que no me rastrearan en su app para iPhone. Aun así, quise comprobarlo siguiendo este procedimiento:
- Cierre de las distintas apps en segundo plano.
- Lanzamiento de la app Charles Proxy y activación del seguimiento.
- Lanzamiento de la app Météo-France, después de la instalación.
En el primer arranque, Météo-France te pide usar tu ubicación:
Cuesta desconfiar: Météo-France necesita tu ubicación para mostrar la previsión meteorológica de la ciudad en la que te encuentras (de lo contrario, tendrás que introducir la ciudad a mano). Así que autorizo a Météo-France a usar mi ubicación, y a continuación se me presenta la política de privacidad:
Météo-France te pide claramente acceso a los datos de geolocalización, incluidas la longitud y la latitud, con fines publicitarios. Indica además que, si haces clic en "Rechazo todo", tus datos no se recopilarán. Desplacémonos por la pantalla para comprobar las distintas finalidades y hacer clic en "Rechazo todo":
Como puedes ver en las capturas de pantalla, el enfoque es correcto: las distintas finalidades están todas desmarcadas por defecto (sistema "opt-in"). Aun así, compruebo los datos enviados deteniendo la grabación de mi sesión de Charles Proxy y mandando los logs a mi ordenador para analizarlos:
¡Sorpresa! Todavía no he navegado por la app, solo he rechazado el rastreo publicitario de los socios de Météo-France, pero ya me siguen numerosas empresas:
- Facebook: Météo-France llama a la solución de monetización publicitaria de Facebook para apps, Facebook Audience Network. Y esta solución es especialmente voraz a la hora de recopilar tus datos, sin que se entienda por qué Facebook reúne tanta información: Facebook recupera, por ejemplo, la memoria total y la memoria libre de tu iPhone (en bytes), el nivel de tu batería, si esta se está cargando, además de los ajustes de tu acelerómetro.
- Google: Météo-France llama a Firebase, la caja de herramientas de Google para desarrolladores, que le permite personalizar su app sin necesidad de actualizarla. Météo-France también llama a la solución de monetización publicitaria para apps Google AdMob.
- Smart AdServer: solución francesa de monetización publicitaria utilizada por Météo-France.
- Madvertise: a través de mng-ads.com, otra solución francesa de monetización publicitaria. Madvertise es la comercializadora publicitaria exclusiva de Météo-France. Madvertise es, por tanto, corresponsable (junto con Météo-France) de las llamadas publicitarias a Google y a Smart AdServer. Si observamos el detalle de los datos enviados a mobile.mng-ads.com (recordatorio: rechacé toda recopilación de datos personales y no hice clic en ninguna pantalla), vemos 7 solicitudes que filtran mis coordenadas GPS (longitud, latitud), lo que permite conocer con precisión mi domicilio.
Así, Madvertise, la comercializadora publicitaria exclusiva de Météo-France, se apropia de tu geolocalización. Y eso que rechacé toda recopilación de datos personales. ¿Quién es entonces ese proveedor que me dejó "elegir" si los socios podían recopilar mis datos personales? De nuevo Madvertise (!), a través del dominio cmp.madvertise.mgr.consensu.org. Recapitulemos:
- Météo-France, a través de la Consent Management Platform (CMP) de Madvertise, solicita al usuario su consentimiento para la recopilación de datos personales por parte de sus socios (entre los que figura Madvertise).
- Rechazo toda recopilación de datos personales.
- Madvertise no tiene en cuenta mi elección y recopila, en particular, un dato personal especialmente sensible: mi geolocalización.
Sigo navegando, se intensifica la vigilancia
¿Qué sucede cuando navego por la app Météo-France? Para ver si la app deja de filtrar mis datos personales, lanzo un nuevo análisis a través de Charles Proxy y navego por la app durante 2 minutos:
Podemos ver que, además de los rastreadores anteriores, todavía muy presentes, aparecen otros nuevos:
- Integral Ad Science: a través de adsafeprotected.com, esta empresa está especializada en la medición de la visibilidad (¿el anuncio servido se ve en la pantalla o está oculto?), en la detección de fraude (¿el anuncio se muestra a un humano o a un bot?) y en la "brand safety" (¿el sitio en el que aparece el anuncio encaja con la marca? normalmente, las marcas rara vez aprecian los sitios de streaming).
- AppNexus: a través de adnxs.com, adquirida por el gigante estadounidense de las telecomunicaciones AT&T en 2018, esta empresa ofrece una plataforma de monetización publicitaria y una plataforma de compra de espacios publicitarios.
- Index Exchange: a través de casalemedia.com, plataforma de monetización publicitaria.
- MobSuccess: plataforma de compra de espacios publicitarios (DSP) especializada en el universo de las apps.
- Teads: red publicitaria especializada en el formato InRead (los vídeos publicitarios de reproducción automática que aparecen en medio de los artículos); fue adquirida por Altice (propietaria, entre otros, de SFR) en 2017.
- OpenX: otra plataforma de monetización publicitaria.
También podemos comprobar que Météo-France filtra tu geolocalización a Madvertise de forma continua. Recorté la captura de pantalla, pero había el doble de solicitudes en apenas 2 minutos de navegación (y cada una contiene mi longitud y mi latitud):
Un último apunte: si sigues usando Météo-France reiniciando la app (o si la reinstalas, como hice yo para estas pruebas), te pide usar tu ubicación incluso cuando no estás usando la app (!)
Ten en cuenta que el motivo alegado por Météo-France es el mismo que cuando la app está activa: acceder directamente a las previsiones de la ciudad en la que te encuentras y permitirte compartir tus observaciones. En resumen, ningún interés para el usuario, pero sí una autorización que convierte a Madvertise en el espía perfecto, rastreándote incluso cuando no abres Météo-France.
Mientras esperas una mejor protección en iOS, protégete
Ver a un organismo público tan reputado como Météo-France saltarse la ley y permitir que un espía te siga de forma continua resulta especialmente chocante. Si, por desgracia, la CNIL sigue impotente ante estas repetidas violaciones del RGPD, aún te quedan opciones:
- Opta por la app Tiempo que ofrece Apple en iOS (aunque sea menos fiable) o navega por el sitio web de Météo-France con un bloqueador de contenidos.
- Usa una app que bloquee los rastreadores para protegerte mejor frente a la vigilancia en apps como Météo-France: DNSCloak, Adguard o NextDNS en iOS.
Y muy pronto estarás mejor protegido gracias a iOS 14, una actualización que te permitirá dar a las apps que elijas únicamente una ubicación aproximada (en una zona de 25 km²), lo cual es suficiente para apps como las del tiempo.
