Como empresas especializadas em dados obtêm nossas informações?

[Este texto é uma tradução feita em 05/09/2018. O texto original foi publicado no portal Privacy International em 25/05/2018.]

Abra uma boneca russa Matryoshka e você encontrará uma boneca menor dentro dela. Pergunte a uma grande empresa de marketing de dados, como a Acxiom e a Oracle, de onde obtêm suas informações, e a resposta será: de empresas menores do mesmo segmento.

Essas empresas, que englobam corretores de dados, anunciantes, profissionais de marketing, rastreadores da Web e muito mais, facilitam um ecossistema de dados ocultos que coleta, gera e fornece dados a uma grande variedade de beneficiários. Os beneficiários do ecossistema podem incluir outros anunciantes, sites de mídia social, agências de crédito, seguradoras, autoridades judiciais, entre outros. Mas o que raramente se fala é de onde essas empresas obtêm os dados, como dados adicionais são gerados e como os dados são trocados, vendidos e compartilhados dentro do ecossistema.

A Privacy International lançou recentemente uma campanha para esclarecer o ecossistema de dados ocultos, começando por analisar uma seleção de grandes empresas que divulgam publicamente suas fontes.

O efeito boneca russa Matryoshka: as empresas de dados obtêm seus dados de empresas de dados que obtêm seus dados de empresas de dados

Não é surpresa que essa indústria pareça flutuante e passe por frequentes aquisições. Empresas como Acxiom e Oracle têm em seus próprios sites várias fontes de dados. No entanto, essas listas tendem a ser de centenas de empresas de dados menores, como AddThis e Ziff Davis. E quanto mais fundo você vai, mais empresas de dados aparecem.

Por exemplo, uma maneira da Acxiom obter informações sobre cidadãos britânicos é através de uma empresa chamada Read Group, que se orgulha de ter uma lista de dados que é “a visão mais abrangente dos consumidores ativos online e offline do Reino Unido, contendo mais de 32 milhões de indivíduos. Os dados combinam histórico transacional, opções de estilo de vida, insights comportamentais e geodemografia para ajudar a direcionar suas campanhas em todos os níveis ”.

Embora pareça que a maneira mais comum de as empresas obterem seus dados é comprar listas de outras empresas, a questão original ainda permanece: de onde vêm os dados originalmente?

Registro eleitoral, registro aberto, censo: como o Estado alimenta as empresas de dados

Uma importante fonte de dados para empresas de dados não vem do setor comercial, mas do próprio Estado e de formas muito tradicionais de bases. Por exemplo, no Reino Unido, a corretora de dados Acxiom lista o HM Land Registry, o Office for National Statistics (que realiza censos populacionais), o Departamento de Negócios, Energia e Estratégia Industrial, e o Ofcom (Office of Communications) como fontes de dados.

A Experian — amplamente conhecida como uma agência de avaliação de crédito — também é uma empresa de dados que segue um modelo idêntico. Quando se trata dos dados coletados para fins de marketing nos EUA, a Experian cita “informações do Censo dos Estados Unidos” e “a lista telefônica”.

Cookies e web beacons: como as empresas de dados rastreiam você pela web

A maioria dos websites inclui códigos e imagens incorporados que coletam dados sobre quem somos, o que estamos lendo e o que nos interessa. Embora a técnica varie, muitos dos chamados “rastreadores de terceiros” contam com cookies e “web beacons”, também conhecido como pixels. Alguma empresa de dados, como a Quantcast, incorpora esses rastreadores em uma rede de milhões de websites para que, sempre que um usuário visitar um desses sites, ele seja identificado e seu histórico de navegação seja registrado. É por isso que, ao olhar para um par de sapatos em um site, você pode encontrar um anúncio daquele mesmo par “seguindo você” em diferentes sites. Os históricos de navegação também são usados para criar perfis e derivar identidades, interesses e muitas outras informações dos usuários. O grupo ativista Tactical Tech mapeou o rastreamento online em sites, notícias, governos e política, finanças, saúde e sociedade.

Rastreamento de E-mail

De acordo com um estudo publicado em 2016, mais de 40% de todos os e-mails enviados ao redor do mundo diariamente estão sendo rastreados. Veja como isso funciona: Para rastrear um cliente, incorpora-se uma linha de código no corpo de um e-mail — geralmente em uma imagem de 1 x 1 pixel, tão pequena que é invisível, mas também em elementos como hiperlinks e fontes personalizadas. Por meio de empresas de rastreamento de e-mail, não se sabe apenas que um destinatário abriu um e-mail, mas também onde foi aberto e em qual dispositivo. Serviços de newsletters, profissionais de marketing e anunciantes usam essa técnica há anos. Agora, grandes tecnologias como Twitter e Facebook estão seguindo o exemplo.

Apps e rastreadores de terceiros

Um estudo feito pela universidade de Yale em parceria com uma organização francesa de pesquisa, a Exodus Privacy, mostrou que mais de três em quatro aplicativos Android contêm pelo menos um rastreador de terceiros. As empresas de análise de aplicativos terceirizadas planejam uma função crucial para anunciantes e desenvolvedores. Embora alguns sejam usados para entender melhor como os usuários usam aplicativos, a grande maioria é usada para publicidade segmentada, análise comportamental e rastreamento de localização. O problema é que não há uma desativação real quando se trata de rastreamento por terceiros.

Além dos rastreadores de terceiros incorporados nos aplicativos, os próprios aplicativos acessam com frequência os catálogos de endereços, os dados de localização, as fotos e muito mais de todos os usuários, às vezes, mesmo que você tenha desativado explicitamente o acesso a esses dados.

Quando suas lojas favoritas distribuem seus dados

Outra maneira importante para as empresas conseguirem dados é obtê-los das empresas com as quais você interage: os locais que você compra, os serviços que você usa, etc. Muitas empresas de dados oferecem serviços de propaganda e marketing e ajudam as empresas a captar novos clientes ou atingir melhor seus clientes existentes. No entanto, para fornecer esses serviços, essas empresas precisam dos dados desses clientes. Ao concordar com as políticas de privacidade dos sites, muitas vezes você informa que seus dados podem ser compartilhados com terceiros confiáveis e, com frequência, o parceiro será uma empresa de dados.

Registro da plataforma: registrando mais do que você pretende

Outra forma como as empresas de dados obtêm suas informações é por meio de registros de sites. Cada vez mais os sites esperam que você se registre para acessar seu conteúdo. Alguns sites parecem ter sido criados principalmente para fins de obtenção de dados.

Por exemplo, entre as fontes de dados listadas, a Acxiom mencionou dois websites, o Bounty.com e o Emma’s Diary. Ambos os sites têm como público alvo futuros pais e oferecem informações e descontos para seus membros, enquanto coletam dados sobre aqueles que interagem com os sites.

Testes de personalidade, questionários, pesquisas e prêmios: as iscas de dados

Outra importante fonte de dados para empresas de dados são pesquisas, que incluem coisas como testes de personalidade, jogos, quizzes on-line, entre outros. Quando uma empresa lhe pede para avaliar um produto, sua opinião pode beneficiar muitas outras empresas. A empresa de dados Epsilon, por exemplo, criou um banco de dados chamado Shopper’s Voice apresentando “insights exclusivos que você não encontrará em nenhum outro lugar, diretamente de dezenas de milhões de consumidores. Nosso banco de dados de pesquisa proprietário abrange 1.000 pontos de dados, incluindo preferências de produtos e comportamentos de compra ”.

A fim de atrair clientes para responder a sua pesquisa, o Shopper’s Voice oferece várias recompensas: “economia instantânea de flash, ofertas gratuitas feitas sob medida e uma chance de ganhar US $ 1.500”. Prêmios e competições são, de fato, outra forma de as empresas de dados obterem dados. Toda vez que você entra em uma competição ou sorteio de prêmios, o vencedor real pode ser a empresa coletando os dados dos participantes. A Acxiom, por exemplo, menciona o MyOffers.co.uk como uma fonte de dados.

Empresas financeiras: o jogo duplo

Destacou-se anteriormente o papel ambíguo das empresas de classificação de crédito, cuja função é coletar dados para avaliar crédito pessoal, mas também se envolvem em atividades de marketing. Nos EUA, a Experian argumenta que mantém os dados de marketing separados da pontuação de crédito: “Nenhum dado individualizado do banco de dados regulamentado de relatórios de crédito pode ser usado em qualquer atividade de marketing da OmniActivation Strategic Services”, afirma.

No Reino Unido, a situação é diferente: ao departamento de marketing é permitido usar nomes e endereços dos bancos de dados de pontuação de crédito para duas finalidades: (I) validar nomes e endereços de marketing existentes e garantir que, na medida do possível, os nomes e endereços de marketing pertençam a um indivíduo maior de idade e (II) para verificar e vincular nossos dados modelados à base de clientes existente, sendo que esses dados são fornecidos apenas de forma criptografada, não legível, e só podem ser usados para esse fim”.

Empresas de cartões de débito e crédito também têm uma postura ambígua quando se trata de seus dados. Embora eles não revelem sua transação pessoal (os dados são agregados), a MasterCard representa uma mina de ouro para uma empresa de dados como a Quantcast.

A empresa ainda se orgulha de que seus dados sejam “derivados de bilhões de transações e aplicados a populações de consumidores de terceiros”, e que “uma metodologia da própria MasterCard identifica segmentos de público com maior probabilidade estatística de fazer compras”. Sejam compras on-line ou off-line, usar a MasterCard como forma de pagamento significa que você está alimentando “perfis de público-alvo informados pela atividade em mais de 2,2 bilhões de cartões de pagamento e 43 bilhões de transações por ano”.

Dados off-line e identificação de dispositivos cruzados: a figura completa

Muitas lojas, bem como aeroportos e sistemas de transporte, querem poder rastrear os movimentos de seus clientes uma vez que eles estejam dentro de suas áreas. Assim, as empresas estão fazendo uso de WiFi, Bluetooth e, em alguns casos, até som ultrassônico inaudível para o ouvido humano, a fim de rastrear as localizações dos usuários em tempo real.

Tanto para dados off-line quanto on-line, um dos obstáculos para os anunciantes é identificar um único indivíduo em vários dispositivos, já que a maioria das pessoas usará pelo menos um smartphone e um computador — se não vários. Para evitar o uso de “informações pessoalmente identificáveis”, conforme denominado nos EUA, as empresas de dados tendem a ficar longe de nomes reais, mas atribuem às pessoas uma identificação exclusiva. A capacidade de identificar com precisão os indivíduos tornou-se um argumento-chave de marketing para essas empresas.

Os próximos passos

Empresas de dados dependem de várias fontes — desde dados do governo até rastreamento de cookies e geolocalização — tornando praticamente impossível escapar de sua rede. No entanto, a maioria das empresas que mencionamos neste artigo permanece desconhecida para quase todo mundo. Profissionais de marketing e agências de crédito sempre coletaram, analisaram e compilaram muitos dados sobre pessoas: desde programas de fidelidade até relatórios de crédito de consumidores. Agora, porém, o objetivo de produzir anúncios cada vez mais direcionados criou um ecossistema completo, composto de milhares de empresas que estão no ramo de rastreamento e que criam perfis de pessoas em praticamente todos os aspectos de suas vidas. O problema é: o rastreamento digital tão invasivo de hoje é praticamente invisível.

Como podemos responsabilizar as empresas quando a própria existência delas é desconhecida para nós? É por isso que é essencial que o público em geral tenha consciência dessa indústria que prosperou nas sombras. O GDPR fornece à sociedade civil, aos indivíduos e à mídia uma ferramenta para responsabilizar essas empresas e seu ecossistema.