Antiviruset ditt vet alt om deg

Antiviruset ditt kjenner mye til deg. Den vet hvilke programmer du kjører, fordi den må sørge for at de er legitime. Den kjenner nettstedene du besøker, og styrer deg bort fra svindel og farer. I tillegg kan antivirusfirmaet lære mye om deg når du samhandler med salg, support og så videre. Men det er greit, ikke sant? Vel, et nylig forsøk fra den gratis antivirusgiganten AVG for å avklare personvernreglene hans forårsaket ganske oppstyr.

Wired rapporterte om den nye policyen med overskriften "AVG kan selge surfing og søkehistorikk til annonsører." Det viste seg at den inflammatoriske overskriften ikke var nøyaktig. En liten graving overbeviste meg om at AVGs policy ikke er mye forskjellig fra konkurrentene - den er bare tydelig beskrevet. Jeg sjekket retningslinjene for flere andre gratis antivirusverktøy, og også for Wires nettsted.

Kan du forstå meg?

Til å begynne med så jeg på ordetellingen og lesbarheten til policyene. En policy som er for lang å lese eller for forvirrende til å forstå, hjelper ingen.

AVG-er var kortest, omtrent 2.100 ord. Personvernreglene for Lavasoft, utgiver av Ad-Aware Free Antivirus +, kom på omtrent 2500 ord; Wired's var omtrent det samme. For å forstå personvernreglene for brukere av Avira Antivirus, må du vade gjennom over 4000 ord. Den store vinneren her (hvis vinneren er det rette ordet) er policyen for Avast Free Antivirus, med rundt 9 200 ord.

Lengde er ikke den eneste faktoren, så jeg legger hver policy gjennom en samling lesbarhetstester. Flesch-Kincaid Reading Ease-metrikken tildeler hvert dokument en rangering fra 0 til 100, med høyere tall som indikerer enklere lesing. Avast, AVG og Avira scoret alle på 40-tallet, mens Ad-Aware og Wired begge scoret 29. Til sammenligning er min siste anmeldelse omtrent 3.500 ord lang og scoret 60 på samme skala.

Andre tester vurderer dokumenter på utdanningsnivå som kreves for å forstå dem. Avast, AVG og Avira scoret alle på eller litt over 12, noe som betyr at en videregående utdannet person skal kunne forstå dem. For å forstå retningslinjene som tilbys av Ad-Aware og Wired, trenger du en college-grad. Å, og den gjennomgangen av meg? Det skal gå bra for ungdommer på ungdomsskolen og oppover. Jeg streber etter klarhet!

Ulike retningslinjer

Alle retningslinjene bruker mye ordbruk på å skille personlig identifiserbar informasjon (PII) fra anonyme data. Alle retningslinjene sier at selskapet kan dele anonyme data med tredjepart. Og alle retningslinjene forklarer at PII kan deles i selskapet, om nødvendig, men at det er på plass strenge beskyttelsesregler for å forhindre misbruk. Alle advarer om at hvis du klikker på en kobling som fører til et annet nettsted, er du underlagt retningslinjene for dette nettstedet.

Avast er gratis, som resten, men du må registrere deg for å kunne bruke den i mer enn 30 dager. Hvis du velger å registrere deg ved hjelp av Facebook, kan du bli en liten overraskelse. Med mindre du velger bort, kan Avast legge ut påstander som "Jeg har nettopp installert Avast Antivirus gratis. Jeg liker det virkelig. Hvis du vil ha den beste beskyttelsen, kan du laste ned Avast som jeg gjorde" på Facebook-veggen din. Denne policyen sier veldig tydelig at "Vi vil ikke bruke denne informasjonen til direkte markedsføringsformål med mindre du velger å motta slik kommunikasjon."

Jeg fant en liten overraskelse i beskrivelsen av Avasts populære gratis Android-app. Denne appen inneholder en SDK som brukes av tredjepartsannonsører, og disse annonsørene mottar mindre PII-data, inkludert alder, kjønn og andre apper som er installert på enheten din. Hmm.

Aviras personvernregler sier tydelig at selskapet vil samle PII inkludert navn, adresse, telefonnummer og mer. Den sier videre at selskapet ikke vil dele disse dataene med tredjepart "på en måte som er i strid med denne personvernpolitikken eller personvernloven (som kan kreve at du gir uttrykkelig samtykke)." Senere står det at Avira "ikke vil dele noen PII eller ikke-pseudynomiserte data vi samlet inn med noen tredjepart."

Avira-policyen sier: "Vi tror mer relevant annonsering gir en bedre internettopplevelse. Dette er også hvordan vi støtter vår virksomhet, mens vi fremdeles leverer visse produkter eller tjenester gratis." AVGs policy sier: "Vi samler inn ikke-personlige data for å tjene penger på gratistilbudene våre, slik at vi kan holde dem gratis." Samme utsagn, men tydeligere.

Lavasofts policy for Ad-Aware gjør et par punkter jeg ikke hadde sett andre steder. Hvis du legger ut noe offentlig i et forum, er det offentlig, ikke privat, og selskapet har ingen plikt til å beskytte disse dataene. Dataene dine passerer også gjennom Lavasofts tjenesteleverandører, som "ikke har noen rettigheter til å bruke slik personlig informasjon på noen annen måte enn til det formålet det er mottatt av Lavasoft." Som resten forbeholder Lavasoft seg retten til å dele ikke-personlige samlede data med tredjepart.

AVG og kablet

Så hvor fikk forfatteren av Wired-artikkelen ideen om at "AVG kan selge surfing og søkehistorikk til annonsører"? Så vidt jeg kan si, kan AVG ha vært for forsiktig. AVG-policyen sier: "Hvis vi blir klar over at en del av nettleserloggen din kan identifisere deg, vil vi behandle den delen av historikken din som personopplysninger, og anonymisere denne informasjonen." Det er noe som kan skje med noen av leverandørene. De andre nevner bare ikke muligheten for at personopplysninger vises i den anonymiserte nettleserhistorikken. Men ved å nevne det fikk AVG flak. Én uttalelse fra AVG-policyen som er tydelig, er dette: "Vi selger eller leier ikke dine personlige data til tredjepart."

Med tanke på at Wired-artikkelen rørte opp denne personvernbrouhahaen, syntes jeg det bare rimelig å se på personvernreglene på wired.com. Forfatterne av denne politikken ser ut til å elske uttrykket, "inkludert uten begrensning." Avsnitt etter avsnitt beskriver data samlet av nettstedet og dets servere. Og hva med dette: "vi kan selge eller dele informasjon om deg… inkludert uten begrensning din registreringsinformasjon og annen personlig identifiserbar informasjon, med våre foreldre, datterselskaper og tilknyttede selskaper og med nøye utvalgte selskaper som vi tror kan tilby tjenester… av interesse for du." Uten begrensning, ja!

Av alle policyene jeg så på, hevdet Wired's mest rettigheter til å samle informasjonen din og gjøre hva de vil med den. Og ikke prøv å begrense nettstedets aktivitet ved å bruke nettleserens Ikke spore-innstillinger. Som retningslinjene sier: "Vi støtter for øyeblikket ikke nettleserbaserte innstillinger for ikke spore (DNT) eller deltar i noen DNT-rammer." Å, og i tilfelle dataovertredelse, "er vi ikke ansvarlig for tap av slik informasjon eller konsekvensene av den." Ta en titt på Wires personvernregler selv, og se om det gjør deg nervøs.

Gratis er ikke gratis

Ingen sikkerhetsselskaper i verden kunne bare overleve ved å gi bort gratis antivirusbeskyttelse. Det må være noen inntekter, ellers vil selskapet tørke opp og blåse bort. Ja, noen leverandører bruker gratisversjonen som en teaser og tjener på oppgraderinger, men de er ikke gigantene. AVG trenger å tjene penger på anonyme data og telemetri mottatt fra mer enn 200 millioner brukere; det samme gjelder Avast, Avira og andre store utgivere av gratis sikkerhetsprodukter.

Det ville være selvmord for et sikkerhetsselskap å faktisk misbruke private data. Jeg kan ikke se at det skjer. Men hvis du i det hele tatt er bekymret, kan du grave deg inn og lese din egen antiviruss personvernregler. Bare sørg for at du har en høyskoleutdannet praktisk for å tolke det komplekse språket.