Proč je sledování uživatelů problémem
Sledování uživatelů (tracking) a techniky otisku zařízení (fingerprinting) představují soubory praktik, jimiž digitální platformy, reklamní sítě a měřicí nástroje zjišťují, identifikují a profilují chování lidí napříč webem a aplikacemi. Na první pohled jde o „běžnou analytiku“, avšak v praxi často překračuje hranice přiměřenosti a zasahuje do práva na soukromí, autonomii rozhodování i informační sebeobranu. V oblasti neetického chování na internetu patří sledování mezi nejčastější a zároveň nejméně viditelná rizika – probíhá potichu na pozadí, 24 hodin denně, 7 dní v týdnu a ve velkém rozsahu.
Základní pojmy a mechanismy
Sledování (tracking) je průběžný proces sběru a propojení událostí o uživateli (zobrazení stránek, kliky, nákupy, pohyb kurzoru, poloha, technické parametry zařízení) s cílem vytvořit konzistentní profil a přiřadit jej k jedinečnému identifikátoru. Fingerprinting je specifická technika, která nespoléhá na ukládání identifikátorů do zařízení, ale vytvoří otisk z množiny signálů (například nainstalované fonty, rozlišení obrazovky, konfigurace prohlížeče, způsob vykreslování grafiky) a tím umožní uživatele opakovaně rozpoznat.
Deterministické propojení využívá přihlášení (e-mail/účty), zákaznické ID nebo čísla věrnostních karet. Pravděpodobnostní propojení sestavuje identitu z několika slabších signálů (IP, časové vzorce, zařízení, geografická poloha), přičemž používá statistické modely k odhadu, že dvě relace náležejí stejnému člověku.
Obvyklé techniky trackování na webu
- Cookies: identifikátory uložené v prohlížeči – vlastní (first-party) a třetích stran (third-party). Slouží k přihlášení, měření, personalizaci a reklamě. Třetí strany jsou nejproblematičtější z hlediska cross-site sledování.
- Link decoration a bounce tracking: identifikátory v URL parametrech přeskakují přes mezistránky, které je „přečtou“ a vytvoří lokální úložiště, obcházející blokování třetích stran.
- Supercookies a alternativní úložiště: využití LocalStorage, IndexedDB, Cache API či ETags v HTTP pro opětovné „oživení“ identifikátoru po jeho smazání.
- Server-side tagging: přesun sběru dat ze skriptů v prohlížeči na servery provozovatele. Může zlepšit bezpečnost a kontrolu, avšak při nesprávném nastavení maskuje třetí strany a ztěžuje audit.
- CNAME cloaking: technika, kdy je doména třetí strany skrytá za subdoménou první strany (DNS CNAME), aby se obcházely blokátory a omezení pro skripty třetích stran.
Fingerprinting: z čeho se „otisk“ skládá
- Vykreslování grafiky: Canvas, WebGL a WebGPU mohou při stejném vstupu produkovat jemně odlišný výstup v závislosti na GPU, ovladačích a fontech.
- AudioContext: miniaturní rozdíly při generování a zpracování zvuku umožňují vytvořit další stabilní signál.
- Fonty a typografie: šířka a metrika písma, dostupnost specifických fontů, fallback mechanismy.
- Čas, jazyk a lokalizace: časové pásmo, locale, formáty datumu, preferované jazyky.
- Síť a protokol: IP rozsahy, vlastnosti TLS/HTTP klienta, velikost MTU, RTT, fingerprint TLS klientské hello zprávy.
- Vstupní zařízení: hustota pixelů, dotykové rozhraní, rychlost a jitter pohybu myši.
Výhodou fingerprintingu pro sledovatele je, že nepotřebuje ukládat identifikátor do prohlížeče; nevýhodou pro uživatele je, že se proti němu obtížně brání a je těžko detekovatelný.
Trackování v mobilních aplikacích
V aplikacích se sledování opírá o SDK třetích stran (analytics, crash reporting, monetizace) a reklamní identifikátory (např. ID pro reklamu). K profilování přispívá i přístup k senzorům (akcelerometr, gyroskop), poloze a seznamům nainstalovaných aplikací. Cross-app a cross-device propojení jsou zde výrazně silnější, zejména pokud uživatel používá stejný účet nebo poskytuje oprávnění, jejichž důsledky nejsou transparentní.
Ekosystém online reklamy a trhů v reálném čase (RTB)
Programatická reklama využívá aukce v reálném čase, kde se o impresi soutěží na základě profilu uživatele a kontextu stránky. Na pozadí putují segmenty publika, identifikátory a atribuce dat mezi desítkami hráčů (ad exchange, DSP, SSP, DMP). Přestože tato infrastruktura má legitimní obchodní cíle, masový přenos dat zvyšuje riziko úniků, re-identifikace a sekundárního použití bez vědomí dotčené osoby.
Rizika a negativní externality
- Porušení soukromí a autonomie: neviditelné sledování zbavuje lidi kontroly nad tím, kdo a za jakým účelem je pozoruje.
- Asymetrie moci: platformy s obrovskými datovými sadami dokáží modelovat a ovlivňovat chování jemnými podněty (ceny, pořadí obsahu, doporučení).
- Diskriminace a exkluze: mikrotargeting může vést k odlišným nabídkám, cenám či přístupu k příležitostem na základě profilů, které uživatel nemůže zkontrolovat ani opravit.
- Bezpečnostní rizika: čím více partnerů a přesunů dat, tím vyšší riziko úniku a zneužití.
- Chilling effect: vědomí, že jsme sledováni, mění chování, potlačuje vyhledávání citlivých informací a svobodu projevu.
Právní rámec a povinnosti (kontext EU)
Použití cookies a podobných technologií podléhá pravidlům elektronických komunikací (tzv. „cookie pravidla“) a ochraně osobních údajů. Klíčové principy zahrnují zákonný základ zpracování (nejčastěji informovaný souhlas při sledování pro marketing), transparentnost, minimalizaci dat, omezení účelu, bezpečnost a odpovědnost. Provozovatel by měl zpracovat posouzení dopadů ochrany osobních údajů (DPIA) při vysokém riziku, mít uzavřené smlouvy se zpracovateli, vést záznamy o zpracovatelských činnostech a respektovat práva dotčených osob (přístup, výmaz, námitka vůči profilování). Vymáhání se týká i temných vzorů (dark patterns), jimiž se manipuluje se souhlasem – ty jsou v rozporu s principem spravedlnosti a transparentnosti.
Etické aspekty vycházející nad rámec zákona
To, co je legální, nemusí být etické. Minimem by měla být přiměřenost (sbírat pouze to, co reálně potřebuji), proporcionalita (míra sledování vs. přínos), anticipace škod (zvážit scénáře zneužití) a úcta k preferencím uživatele (skutečná volba, nikoli iluze výběru). Organizace by měly mít etické zásady pro data, interní revize a mechanismy pro námitky.
Opatření pro uživatele
- Prohlížeče a režimy ochrany: zapnout blokování trackerů, izolaci cookies podle webu a omezení fingerprintingu; soukromé okno sice zkracuje životnost identifikátorů, ale fingerprinting zcela neeliminuje.
- Rozšíření: používat obsahové blokátory, nástroje pro správu souhlasů a ochranu proti otiskům. Důležité je pravidelné aktualizování a selektivní povolování.
- Síťová vrstva: šifrování DNS dotazů a důvěryhodný resolver snižují viditelnost dotazů. VPN skrývá IP adresu, ale neřeší skripty a identifikátory v prohlížeči.
- Operační návyky: oddělit soukromé a pracovní profily, používat kontejnerové profily pro citlivá témata, minimalizovat přihlášení přes sociální účty, pravidelně mazat úložiště.
- Mobilní zařízení: kontrolovat oprávnění aplikací, omezit přístup na pozadí, resetovat reklamní identifikátor a vypnout personalizovanou reklamu, odinstalovat nepotřebné aplikace s těžkými SDK.
Doporučení pro organizace a vývojáře
- Privacy by design: navrhovat měření a personalizaci od počátku tak, aby nebylo nutné identifikovat jednotlivce vždy a všude.
- Minimalismus dat: sbírat pouze nezbytné metadata, zkrácené IP adresy, kratší doby uchování, agregaci a pseudonymizaci.
- Transparentnost a kontrola: srozumitelné bannery se souhlasy, přehledná nastavení, férové výchozí volby a možnost odhlásit se bez sankcí.
- Správa dodavatelů: přísný výběr třetích stran, zákaz skrytého profilování, smluvní záruky, technická omezení (Content Security Policy, izolace subdomén), pravidelné audity.
- Bezpečnost: segmentace datových toků, šifrování, monitorování anomálií, přístup na základě principu „least privilege“.
Měření bez sledování jednotlivců
Existují alternativy k invazivnímu trackování: agregované reportování, on-device výpočty, diferenciální soukromí pro statistiky, kohortní nebo kontextové cílení bez přenosu identifikátorů a průzkumy s informovaným souhlasem. Pro atribuci konverzí lze upřednostnit modely, které sdílejí pouze minimální údaje a využívají krátké přisuzované období.
Audit a detekce trackování
- Technické skeny: identifikace skriptů třetích stran, porovnání načtených domén, detekce CNAME a cross-site požadavků.
- Behaviorální analýza: sledování, zda se identifikátory udržují po vymazání, zda se data odesílají před udělením souhlasu a kam směřují.
- Procesní audit: mapování toků dat (data mapping), kontrola smluv a účelů, validace politik uchovávání.
Případy hraniční etiky
Řada nástrojů (heatmapy, session replay, asistenční chatboty) může být užitečná, ale při neuváženém nastavení zaznamenávají citlivý obsah (hesla, zdravotní údaje, finanční informace). Eticky správný přístup vyžaduje přednastavenou redakci obsahu, minimalizaci shromažďovaných polí, jasně deklarovaný účel a krátkou dobu uchování.
Praktický rámec pro etické rozhodování
- Účel: proč tato data potřebuji a dosáhnu cíle i bez identifikace jednotlivce?
- Riziko: kdyby byl dataset zveřejněn, jaká škoda by hrozila uživatelům?
- Kontrola: má uživatel jednoduchý způsob, jak odmítnout, upravit nebo vymazat data?
- Transparentnost: rozumí běžný člověk, co se děje, nebo se spoléhám na nejasné formulace?
- Alternativy: existuje technicky méně invazivní možnost s přijatelným kompromisem?
Sledování uživatelů a fingerprinting jsou dnes jádrem mnoha online služeb, avšak bez přísných mantinelů vedou k zásadním zásahům do soukromí a nerovnováze moci v digitálním prostředí. Etické a právně odpovědné přístupy – minimalismus, transparentnost, skutečná volba a bezpečnost – umožňují měřit a optimalizovat produkty bez toho, aby se uživatelé stali neviditelným předmětem nepřetržitého dohledu. Dobře navržené alternativy dokazují, že hodnotu lze vytvářet i bez invazivního profilování jednotlivců.
