Netflix собирал о зрителях «Бандерснэтча» больше данных, чем нужно. Но забыл об этом предупредить
Netflix собрал данные о всех решениях зрителей интерактивного фильма «Черное зеркало: Бандерснэтч» и другую персональную информацию. Но не предупредил пользователей и не получил специального разрешения, пишет Motherboard.
Что случилось
В конце декабря Netflix выпустил свой первый интерактивный фильм — «Черное зеркало: Бандерснэтч». В нем зрители могут выбирать, как поступят герои, как будет развиваться сюжет и чем закончится фильм.
Британский исследователь Майкл Вейл узнал, что за данные собрал Netflix и как сервис собирается их использовать.
С чего все началось
В прошлом году в ЕС начал действовать Общий регламент по защите данных или GDPR. Он в том числе позволяет пользователю запросить информацию, которую собрала о нем компания.
Исследователь Университетского колледжа Лондона Майкл Вейл решил на примере «Бандерснэтча» показать, как работает GDPR и узнать, какие данные собрал Netflix.
Чтобы получить эту информацию, нужно заполнить специальную форму и отправить копании электронную копию паспорта. Но чтобы получить данные по «Бандерснэтчу» Вейлу пришлось сделать специальный запрос.
В итоге Netflix прислал исследователю ссылку на сайт, где можно было загрузить нужные данные. Вейл получил два зашифрованных файла: CSV и PDF.
Оказалось, Netflix не просто собирал данные не только о решениях зрителей, но и о гаджетах, с которых они смотрели фильм, и времени просмотра. В компании объяснили, что эта информация нужна им для того, чтобы показывать пользователю фрагмент сюжета соответственно сделанному выбору. Также эти данные помогут сервису улучшить качество новых интерактивных фильмов.
В чем проблема
Сервис был готов к подобному запросу и прислал Вейлу данные в удобном формате. Впрочем, исследователь не исключает, что быстрая реакция связана с тем, кто за ней обратился — Вейл часто делает такие запросы, используя GDPR.
Но как долго Netflix собирается хранить эту информацию, сервис так и не сообщил. Вейл считает, что Netflix не анонимизирует данные пользователей и считает, что cервис должен просить специальное разрешение на хранение этих данных.