App de telefone e mensagens da Google envia dados sem informar utilizadores

A app de telefone e SMS da Google envia dados para a Google sem informar os utilizador nem dar qualquer opção para que não sejam enviados - potencialmente violando o RGPD europeu.

Um novo estudo revela que o Google Dialer e o Google Messages, pré-instaladas de origem na maioria dos smartphones Android, envia dados para a Google sem informar claramente os utilizadores, nem tão pouco disponibilizando qualquer opção que permita desactivar o envio desses dados. A app de telefone envia coisas como os números de telefone, data e hora do telefonema, e duração da chamada; a app de mensagens inclui também uma hash da própria mensagem, que mesmo não permitindo ver o seu conteúdo (embora fique dentro das possibilidades descodificar mensagens curtas), permite fazer o tracking para saber quem a recebeu.

Embora sejam dados pertencente aos utilizadores, esta informação não é incluída na exportação de dados via Google Takeout - pelo que não há qualquer forma de um utilizador comum saber sequer que esta informação está a ser recolhida pela Google. Há também o caso de que muitos utilizadores nem sequer associarem estas apps a apps da Google, uma vez que vêm de origem com o smartphone e assumem que "fazem parte dele".

A Google já se prontificou para seguir algumas das recomendações sugeridas pelo estudo, que incluem coisas como:

• Durante o processo inicial informar claramente que se tratam de apps da Google e disponibilizar informação sobre as políticas de privacidade
• Suspender a recolha da hash das mensagens enviadas via Google Messages
• Suspender recolha de informação relativa ao uso do Dialer e Google Messages
• Associar a telemetria recolhida a um identificador temporário em vez de identificador persistente do equipamento / utilizador
• Indicar como se podem desligar os serviços de caller ID e protecção anti-spam para reduzir o envio de informação

Apesar disto, a Google não se pronunciou quanto à possibilidade destas suas opções violarem o RGPD / GDPR europeu; dizendo apenas que, mesmo quando disponibilizarem opções para o não envio de dados, que continuará a recolher dados que considera serem "essenciais". Veremos se esta questão do que é considerado essencial será compatível com o RGPD, ou se teremos (mais um) novo caso da UE contra a Google, a somar a todos os outros, nos próximos tempos.