SUMATERA BARAT — Jakarta, Kompas Tekno — Aplikasi Android yang terunduh lebih dari 50 juta dan 10 juta kali terbukti mengumpulkan data lokasi presisi tanpa persetujuan eksplisit pengguna. Data tersebut dialirkan ke pengiklan, broker data, hingga instansi intelijen dan militer untuk operasi penargetan.
Laporan dari Electronic Frontier Foundation (EFF) menemukan bahwa pengembang aplikasi kerap membiarkan pengaturan bawaan SDK (software development kit) pihak ketiga tetap aktif. SDK ini biasanya dipakai untuk monetisasi iklan, tetapi secara default mengumpulkan data lokasi yang sangat akurat.
Data lokasi yang dikumpulkan SDK memiliki tingkat presisi yang bervariasi. Lokasi perkiraan berdasarkan alamat IP hanya akurat hingga radius 1,2 mil persegi. Namun, dengan izin lokasi presisi dari pengguna, SDK dapat mempersempit area tersebut hingga 160 kaki, bahkan dalam kondisi tertentu hanya 10 kaki.
Masalahnya, izin yang diberikan pengguna ke aplikasi otomatis diwariskan ke SDK pihak ketiga. EFF menegaskan bahwa izin di tingkat aplikasi tidak bisa dianggap sebagai persetujuan sadar untuk berbagi data dengan SDK iklan.
EFF menganalisis dua aplikasi yang memanen data lokasi lewat SDK. Keduanya tidak menampilkan notifikasi atau meminta persetujuan dari pengguna. Yang lebih parah, kedua aplikasi tersebut gagal mendeklarasikan pembagian data lokasi ke pihak ketiga di bagian Data Safety Google Play Store.
"Izin lokasi di tingkat aplikasi saja tidak bisa menjadi sinyal persetujuan yang berarti untuk pengumpulan dan pembagian lokasi oleh SDK iklan pihak ketiga," tulis EFF dalam laporannya.
Beberapa SDK sebenarnya menyediakan dokumentasi untuk mengaktifkan pembatasan pemrosesan data bagi pengguna yang tunduk pada regulasi GDPR (Uni Eropa) dan COPPA (Anak-anak AS). Namun, pengaturan tersebut tidak aktif secara default, sehingga data tetap mengalir.
Nilai jual data lokasi sangat tinggi bagi pengiklan karena meningkatkan harga tawaran ruang iklan. Bisnis lokal bisa menargetkan konsumen yang sedang berada di dekat toko mereka. Namun, di luar konteks komersial, data yang sama kerap dibeli oleh badan intelijen dan aparat penegak hukum untuk operasi penargetan yang sangat spesifik.
EFF mendorong pengembang aplikasi untuk memeriksa SDK pihak ketiga dan memastikan data pengguna tidak dibagikan secara default. Regulator diminta mengejar pengembang yang gagal melindungi data pengguna, serta perusahaan yang sengaja merancang SDK invasif.
Untuk legislator, EFF merekomendasikan undang-undang federal AS yang setara dengan GDPR. Pelarangan iklan berbasis perilaku juga disebut sebagai cara untuk menghilangkan insentif perusahaan mengumpulkan data sebanyak mungkin.
Bagi pengguna Android di Indonesia, langkah mitigasi sederhana bisa dilakukan dengan memeriksa izin lokasi di pengaturan aplikasi. Setel ke "Hanya saat menggunakan aplikasi" atau "Tolak" untuk aplikasi yang tidak membutuhkan lokasi untuk fungsi intinya. Periksa juga bagian Data Safety di halaman Google Play Store sebelum mengunduh aplikasi baru.