خصوصية التطبيقات تحت المجهر: ما الذي يثبته إذن الوصول وما الذي لا يثبته؟

تطلب تطبيقات الهاتف أذونات للوصول إلى الموقع أو الكاميرا أو الصور أو الإشعارات. قد يفسر المستخدم ظهور الطلب باعتباره دليلًا كاملًا على ما تجمعه الشركة، أو يظن أن رفض الإذن يمنع أي جمع للبيانات. كلا الاستنتاجين أوسع مما تسمح به الأدلة.

هذا التحقيق الوثائقي يفحص ثلاثة مستويات منفصلة: ما يظهر للمستخدم في نظام التشغيل، وما تعلنه الشركة في سياسة الخصوصية، وما يمكن للجهات التنظيمية أو الاختبارات الفنية إثباته بشأن المعالجة الفعلية.

المستوى الأول: الإذن ليس سجلًا شاملًا

إذن الموقع أو الميكروفون يحدد نوعًا من الوصول الذي ينظمه نظام التشغيل. لكنه لا يصف وحده كل بيانات الحساب أو المعاملات أو سجلات الاستخدام أو المعرفات التي قد تعالجها الخدمة لأغراض مختلفة.

وفي المقابل، لا يجوز اعتبار مجرد طلب الإذن دليلًا على إساءة استخدامه. الحكم يحتاج إلى معرفة متى استُخدم الوصول، ولأي غرض، وما الذي أُرسل أو خُزن بالفعل.

المستوى الثاني: ماذا تقول سياسة الخصوصية؟

تشرح السياسة عادة فئات البيانات والأغراض والجهات المتلقية وفترات الاحتفاظ وحقوق المستخدم. لكنها وثيقة إفصاح قانوني وليست تسجيلًا مستقلًا لكل تدفق بيانات حدث على جهاز محدد.

يمكن مقارنة نص السياسة مع وصف التطبيق والأذونات، ورصد الغموض أو التعارضات الظاهرة، لكن لا يجوز تحويل هذا الفحص النصي إلى ادعاء بأن تطبيقًا معينًا أرسل بيانات سرًا دون اختبار تقني أو دليل تنظيمي موثق.

المستوى الثالث: ما الذي أثبتته الجهات التنظيمية؟

في رأيه الصادر في أبريل 2024 بشأن نماذج «الموافقة أو الدفع» لدى المنصات الكبرى، شدد مجلس حماية البيانات الأوروبي EDPB على أن الموافقة يجب أن تكون حرة فعلًا، وأن الاقتصار على خيار السماح بالإعلانات السلوكية أو الدفع لا يكفي عادة لتحقيق هذا الشرط في السياق الذي درسه.

هذا الرأي لا يثبت مخالفة كل تطبيق للهاتف، ولا ينطبق تلقائيًا على كل خدمة. لكنه يبين لماذا لا تُقاس جودة الموافقة بعدد الأزرار الظاهرة وحده، بل بوجود بديل حقيقي وفهم واضح للتبعات.

جدول اختبار الادعاءات

حدود هذا التحقيق

لم يُجرِ SP NEWS في هذه المادة اختبار حركة شبكة لتطبيقات مسماة، ولم يحصل على سجلات داخلية من الشركات، ولم يجرِ مقابلات ميدانية. لذلك لا ينسب التحقيق جمعًا سريًا للبيانات إلى تطبيق بعينه. النتيجة التي يمكن الدفاع عنها هي وجود فجوة منهجية بين الإفصاح الظاهر وإثبات السلوك الفعلي.

ما الذي يلزم لتحقيق تقني لاحق؟

يلزم اختيار تطبيقات وعينات محددة، وتوثيق نسخها وأذوناتها، واختبار حركة البيانات في ظروف قابلة لإعادة الإنتاج، وفحص سياسات الخصوصية، وإتاحة حق الرد على النتائج قبل النشر. وحتى عند رصد اتصال بخادم خارجي، لا يكفي عنوان الخادم وحده لإثبات محتوى البيانات المرسلة.

النتيجة

المستخدم يرى جزءًا من سلسلة معالجة البيانات، وليس السلسلة كلها. والإذن الممنوح ليس تفويضًا غير محدود، كما أن الإذن المرفوض ليس برهانًا مستقلًا على غياب كل معالجة. الطريق إلى المساءلة يبدأ بفصل ما هو معلن عما هو مرصود وما هو مثبت.