Ukryty w serwisie 4programmers.net fingerprinter po cichu zbiera szczegółowe informacje o komputerach użytkowników serwisu

Według mojej najlepszej wiedzy, na stronie 4programmers.net znajduje się ukryty pod pozorem obsługi języka Markdown fingerprinter zbierający szczegółowe informacje o komputerach użytkowników.

Zbierane przez fingerprinter informacje o komputerze obejmują między innymi:

• pojemność pamięci RAM komputera
• liczbę rdzeni procesora
• producenta i model karty graficznej
• głębię koloru trybu graficznego
• rozdzielczość ekranu
• offset strefy czasowej
• zainstalowane czcionki
• typ procesora
• zainstalowane pluginy
• platformę, na której uruchomiona jest przeglądarka (Windows/Mac/Linux/etc)
• czy komputer jest wyposażony w ekran dotykowy
• czy uruchomiony jest adblock
• czy informacja o języku jest zespoofowana
• czy informacja o rozdzielczości ekranu jest zespoofowana
• czy informacja o systemie operacyjnym jest zespoofowana
• czy informacja o przeglądarce jest zespoofowana
• język interfejsu użytkownika
• user-agent przeglądarki

Tymczasem polityka prywatności serwisu, jeśli chodzi o informacje techniczne o naszych komputerach, wyraża się jasno jedynie o adresie IP i nazwie przeglądarki (user agent).

Fingerprinter jest uruchamiany na naszych komputerach bez pytania nas o zgodę zaraz po wejściu na stronę 4programmers.net. Z zebranych informacji liczony jest hash, który następnie jest przesyłany w postaci ciasteczka na serwer.

Dzieje się tak niezależnie od tego, czy zaakceptowaliśmy politykę prywatności, ani czy mieliśmy chociażby szansę się z nią zapoznać, ani od tego, czy mamy konto w serwisie.

Jeżeli bowiem wejdziemy na stronę serwisu i klikniemy link "Polityka prywatności", to w momencie wyświetlenia polityki prywatności na naszym ekranie jest już za późno — fingerprint jest już dawno przesłany na serwer.

Nie pomaga usunięcie ciasteczka — w przypadku braku ciasteczka, fingerprinter jest uruchamiany ponownie w czasie naszej najbliższej wizyty w serwisie, przejścia do innej podstrony, etc. Ciasteczko przyjmuje wówczas najczęściej dokładnie taką samą wartość, jaką miało przed usunięciem.

Daremne wydają się także zmiany ustawień przeglądarki — efekty działania fingerprintera można zaobserwować pomimo ustawienia "Tracking prevention" na najwyższym poziomie "Strict" i włączonej opcji "Send do not track requests" w ustawieniach przeglądarki Microsoft Edge.

Fingerprinter znajduje się pod URLem https://4programmers.net/js/markdown.js — wyraźnie widać, nie tylko polityka prywatności, ale również nazwa pliku jest bardzo myląca i sugerująca, że jest to niewinny plik mający jakiś związek z Markdownem.

Samo odwołanie do pliku JS fingerprintera w kodzie HTML strony również jest niepozorne, sprawiające mylne wrażenie, że jest to kod do obsługi Markdown:

<script async src="/js/markdown.js"></script>

(źródło powyższego kodu HTML: 4programmers.net)

Jeżeli z uwagi na przemilczenia w polityce prywatności, zechcemy zapoznać się z kodem uruchamianego na naszych komputerach fingerprintera, napotkamy kolejną przeszkodę: kod fingerprintera został bowiem poddany "minifikacji", co w praktyce sprawia, że jest zupełnie nieczytelny bez użycia dodatkowych narzędzi.

Na domiar złego, według mojej najlepszej wiedzy użyty w serwisie 4programmers.net fingerprinter zawiera błąd mogący prowadzić na Firefoksie do zmniejszenia entropii i w konsekwencji zwiększenia prawdopodobieństwa kolizji, a w ostatecznym rozrachunku do mylnego przypisywania użytkownikom serwisu cudzej aktywności.

Rzeczywiście wygląda jak fingerprinter.

@Manna5: Bo to jest fingerprinter - prawdopodobnie fingerprintjs2.

I co ja mam teraz z tym zrobić? Zgłosić do UODO?

Takie pytanie - totalnie abstrahując od głównego tematu wątku - w jaki sposób przeglądarka może mieć dostęp do takich rzeczy jak ilość rdzeni CPU czy rozmiar RAM? Jeszcze rozumiem rozdzielczość ekranu czy user-agent, ale jak to możliwe, że jakiś JS, który powinien działać ze względów bezpieczeństwa w sandboksie, może widzieć takie rzeczy?

A co do danych osobowych - ekspertem nie jestem, ale wydaje mi się, ze nie ma tutaj naruszenia. Zauważ, że (jak zresztą sam piszesz) te dane są zbierane po stronie klienta, potem jakoś przetwarzane i hashowane. A co za tym idzie - to, co trafia na serwer nie zawiera tych informacji, a jedynie jakiś hash, który można porównać. To trochę jakby zarzucić 4P że zna hasła userów. Nie, nie zna haseł, a jedynie jest w stanie je zweryfikować na podstawie jakiegoś hasha. W sensie - nie wiem czy masz hasło kotek123 czy 456piesek, a jedynie jestem w stanie stwierdzić, czy wprowadzone hasło zwraca taki sam hash, co hasło podane podczas rejestracji. Wracając do Twojego zarzutu - wydaje mi się, że przechowywanie jakiegoś zahashowanego fingerprinta spełnia wymogi RODO w zakresie anonimizacji - nie da się na tej podstawie ustalić kim jest dany user, a jedynie ustalić, czy typ nie został wcześniej zbanowany. Ale nic, poza faktem bycia na czarnej liście, z tego nie odczytasz.

No ciekawi mnie ta nazwa markdown.js, jakaś taka nieadekwatna

@1a2b3c4d5e: Moim zdaniem wyraźnie wskazuje na zamiar ukrycia fingerprintera, tym bardziej że kwestia fingerprintingu została zupełnie przemilczana w polityce prywatności.

Ciekawe, że na https://4programmers.dev/ tego pliku nie ma.

@szatkus1: W kodzie źródłowym na GitHubie też chyba nie ma, co moim zdaniem jeszcze bardziej wskazuje na zamiar ukrycia fingerprintingu.

Tymczasem zgodnie z https://www.eff.org/pl/deeplinks/2018/06/gdpr-and-browser-fingerprinting-how-it-changes-game-sneakiest-web-trackers:

How should this work in practice? User consent means an informed, unambiguous action (such as change of settings from “no” to “yes”).[8] In order to be able to rely on this legal ground, companies that use fingerprinting would have to, in the first place, reveal the fingerprinting before it is executed and, then, wait for a user to give their freely-given informed consent. Since the very purpose of fingerprinting is to escape user’s control, it is hardly surprising that trackers refuse to apply this standard.

cerrato napisał(a):

Takie pytanie - totalnie abstrahując od głównego tematu wątku - w jaki sposób przeglądarka może mieć dostęp do takich rzeczy jak ilość rdzeni CPU czy rozmiar RAM? Jeszcze rozumiem rozdzielczość ekranu czy user-agent, ale jak to możliwe, że jakiś JS, który powinien działać ze względów bezpieczeństwa w sandboksie, może widzieć takie rzeczy?

Są do tego API.

A co do danych osobowych - ekspertem nie jestem, ale wydaje mi się, ze nie ma tutaj naruszenia. Zauważ, że (jak zresztą sam piszesz) te dane są zbierane po stronie klienta, potem jakoś przetwarzane i hashowane. A co za tym idzie - to, co trafia na serwer nie zawiera tych informacji, a jedynie jakiś hash, który można porównać. To trochę jakby zarzucić 4P że zna hasła userów. Nie, nie zna haseł, a jedynie jest w stanie je zweryfikować na podstawie jakiegoś hasha. W sensie - nie wiem czy masz hasło kotek123 czy 456piesek, a jedynie jestem w stanie stwierdzić, czy wprowadzone hasło zwraca taki sam hash, co hasło podane podczas rejestracji. Wracając do Twojego zarzutu - wydaje mi się, że przechowywanie jakiegoś zahashowanego fingerprinta spełnia wymogi RODO w zakresie anonimizacji - nie da się na tej podstawie ustalić kim jest dany user, a jedynie ustalić, czy typ nie został wcześniej zbanowany. Ale nic, poza faktem bycia na czarnej liście, z tego nie odczytasz.

Moim zdaniem samo zbieranie, nawet po stronie klienta, to już przetwarzanie w rozumieniu GDPR.

A w przypadku 4programmers mamy taki przypadek, że hash z tych danych jest przesyłany na serwer.

Dodatkowo hashe są liczone w taki sposób, że dysponując odpowiednim zapleczem, często da się te hashe "odwrócić".

A gdyby ktoś się zastanawiał, czy hash może identyfikować użytkownika na gruncie GDPR, to https://www.eff.org/pl/deeplinks/2018/06/gdpr-and-browser-fingerprinting-how-it-changes-game-sneakiest-web-trackers:

It is also worth noting that under the GDPR “identification” does not require establishing a user’s identity. It is enough that an entity processing data can indirectly identify a user, based on pseudonymous data, in order to perform certain actions based on such identification (for instance, to present different ads to different users, based on their profiles). This is what EU authorities refer to as singling-out[2], linkability[3], or inference.[4]

Sprawa Fingerpruntu jest dyskusyjna. Z jednej strony sam piszesz, że użytkownik ze względu na błędy niedoskonałości w logice FP może być zidentyfikowany jako inny, z drugiej z kolei powolujesz się na GDPR i dowodzisz, że użytkownik może być zidentyfikowany jednoznacznie.
Myślę ogólnie, że warto dodać do regulaminu informacje, bo nie zaszkodzi. Ale z tego co pamiętam z tłumaczenia prawników przymusu nie ma dopóki nie udostępniasz tych danych do innych serwisów.

jurek1980 napisał(a):

Sprawa Fingerpruntu jest dyskusyjna. Z jednej strony sam piszesz, że użytkownik ze względu na błędy niedoskonałości w logice FP może być zidentyfikowany jako inny,

Tam jest bug, który czasami powoduje, że hash jest źle wyznaczony.

z drugiej z kolei powolujesz się na GDPR i dowodzisz, że użytkownik może być zidentyfikowany jednoznacznie.

Niczego takiego nie dowodzę, a nawet uważam, że błędna identyfikacja może prowadzić do poniesienia surowszej odpowiedzialności za naruszenie.

Myślę ogólnie, że warto dodać do regulaminu informacje, bo nie zaszkodzi.

Należało to zrobić przed rozpoczęciem fingerprintingu.

Nikt Cię! chyba nie przekona do tego, że nie masz racji. Ja pokazałem tylko błędy w logice Twojej wypowiedzi.

Ja mysle ze to oburzające ze 4p wie o tym jaką mam rozdzielczość ekranu. To łamanie podstawowych swobód obywatelskich.
Zgłosiłem sprawę do GIODO, UOKIK, i NASA.
Ta ostatnia organizacja ponoc zajmuje sie m.in. wszelkimi kosmicznymi katastrofami.

A ja uważam, że wykorzystywanie fingerprintingu (i nie tylko fingerprintingu) do śledzenia swojej ofiary w celu zaczepiania, trollowania, obrażania, dręczenia, bezpodstawnego banowania, naśmiewania się, itd. znacznie wykracza poza ramy RODO / GDPR.

Swoją drogą taka ciekawostka dla zainteresowanych, o której niedawno czytałem, zupełnie niezwiązana z tematem: uporczywie nękając inną osobę można sobie nieźle nagrabić. Górna granica ustawowego zagrożenia czynu stypizowanego w art 190a k.k. została bowiem niedawno podniesiona do 8 lat pozbawienia wolności...

edit: niektórzy mnie tu chyba nie lubią :-(

Ty, ale to wiesz że Twój klient to udostępnia prawda? Tzn. przeglądarka z której korzystasz?

@TomRiddle: Sam z siebie nie udostępnia. To fingerprinter zbiera te informacje.

@TomRiddle: co do fragmentu Twój klient to udostępnia prawda? Tzn. przeglądarka z której korzystasz? - uważam, że nic on nie wnosi/nie zmienia. Bo to, w jaki sposób dane zostały pozyskane ma jedynie znaczenie, jakby zostały pozyskane na drodze przestępstwa / nielegalnie. A czy to udostępnia przeglądarka, jakieś API, plugin, biblioteka czy jakkolwiek inaczej - niczego to nie zmienia. Sednem jest to, że jakieś dane są gromadzone i później trzymane. I pytanie - czy jest to działanie legalne.

Trochę poszukałem i wydaje mi się (zresztą w podobnym tonie pisał wcześniej @jurek1980) że sam fakt takiego gromadzenia danych jeszcze nie jest czymś niedozwolonym. Popatrzcie na taki link - https://panoptykon.org/wiadomosc/cookies-informacje-sledzace-rodo. Jest tam taki fragment:

Identyfikator nie musi być tak namacalny i jednoznaczny jak plik cookie (z określonym numerem). Nawet połączenie różnych (osobno nie identyfikujących użytkownika) cech takich jak ustawienia przeglądarki, zainstalowane czcionki i oprogramowanie może prowadzić do pośredniej identyfikacji. Ważny jest cel, nie metoda. A zatem, jeśli zbieranie informacji (o naszej przeglądarce czy urządzeniu) służy ustaleniu, że oto na stronie internetowej pojawił się użytkownik o określonym profilu i że w związku z tym można mu wyświetlić stargetowaną reklamę albo spersonalizowaną treść, mamy już do czynienia z pośrednią identyfikacją.
[...]
To, że serwowanie wszelkiego typu informacji śledzących prowadzi do przetwarzania danych osobowych i „podpada” pod RODO, jeszcze nie znaczy, że w żadnym wypadku nie można tego robić. Bynajmniej! Jednak każdy, kto chce to robić, powinien być w stanie wskazać podstawę prawną swojego działania.
[...]
Uzasadniony interes administratora danych (zwykle będzie nim wydawca portalu lub administrator strony), który może polegać np. na monitorowaniu, jak „klikają” się konkretne treści (w tym wyświetlane informacje reklamowe). Warunkiem powołania się na tę podstawę prawną jest to, że śledzenie nie ingeruje nadmiernie w prywatność użytkowników (np. nie oznacza permanentnego zbierania lokalizacji czy integrowania danych z innych źródeł).

Z tego wynika, że uzasadniony interes administratora strony jest powodem, dla którego dane można zbierać.
Zauważcie, że ten fingerprint nie jest nigdzie stosowany - na 4P praktycznie nie ma reklam. Nie ma też żadnego targetowania, profilowania czy innych działań marketingowych/reklamowych/związanych z zarabianiem na danych użytkowników. Ten fingerprint jest jedynie używany do ochrony forum przed trollami/wandalami, utrudnieniem omijania bana itp. Dlatego wydaje mi się, że sam fakt gromadzenia kilku informacji o komputerze, systemie i przeglądarce usera, nie jest niczym złym. Zauważ także, że te dane nie zawierają niczego bardzo osobistego - imion, nazwisk, peselu, adresu itp.

uporczywie nękając inną osobę można sobie nieźle nagrabić

OK, ale tutaj jest inna sytuacja. Ty sam powracasz i wskazujesz jakieś błędy/dziury w systemie. O ile pierwsze zgłoszenie o treści "UWAGA - jest dziura, ale nic więcej nie powiem" należy rozpatrywać w kategorii kabaretu, to kolejne były (muszę przyznać ze smutkiem)* sensowne.

Ale to, że @Shalom Cię prześladuje to jest mocne nadużycie. Ty tu coś piszesz, on Ci odpowiada. Co innego jakby Cię ścigał i namierzał na innych forach, wypisywał Ci na facebooku, wysyłał maile do Twojego pracodawcy z informacją, że jesteś taki czy owaki. Ale tego (przynajmniej z tego co wiem) nie ma. Za to Ty wchodzisz na 4P i go prowokujesz - np. wątkiem o pracy w kosmosie. Oczywiście - nie napisałeś tego wprost, ale dobrze wszyscy zainteresowani wiedzą, jaki był cel tego wątku i czemu akurat wybrałeś tematykę kosmiczną. Po rozmowie na PW - rozumiem Twoje wyjaśnienia, może rzeczywiście ten wątek nie był prowokacją, ale z drugiej strony - musisz przyznać, że tak można było go odebrać: najpierw kilka spin z @Shalom, a potem wątek o pracy w kosmosie - gdy dobrze wszyscy wiemy, ze właśnie Szalom się tym zajmuje i raczej nie kojarzę nikogo na 4P, kto też by robił kosmiczne tematy. Obaj się trochę zachowujecie jak dzieci, wstawki o autyzmie były słabe (zresztą już po tym posprzątałem), ale mimo wszystko - sugerowanie że Shalom Cię nęka jest tak samo sensowne, jakbym ja Tobie zarzucił gwałt - w końcu siurka posiadasz, więc możesz go w tym celu użyć ;)

• ze smutkiem, bo jak napisałem - wiele z Twoich uwag jest wartościowa i sensowna. A smutne jest to, że nie robisz tych zgłoszeń z dobrej woli, żeby pomóc, bo widzisz problem i chcesz dobrze, tylko używasz tych swoich "znalezisk" w złej intencji, żeby się odegrać (tylko pytanie - za co? Kto i jak Cię tutaj tak skrzywdził, że masz tak silną potrzebę prowadzenia vendetty) na forum albo na kimś osobiście i utrudnić mu/nam życie. Jakbyś to zrobił w inny trybie to byłbym Ci mega wdzięczny za wkład i zaangażowanie w rozwój 4P. A tak to pozostaje niesmak :( Niestety, całokształt Twoich stosunków z 4P jest średnio przyjemny. I nie chodzi teraz o szukanie winnego. Ale tak zastanów się - wprawdzie zapewniasz o swoich dobrych intencjach i nawet jestem skłonny uwierzyć, ale z boku to wygląda tak, że zostałeś "pojechany" i teraz się mścisz zakładając kolejne wątki, wytykając błędy i dziury, grożąc odpowiedzialnością karną oraz RODO. OK, przyjmijmy dobrą wolę (bazuję na Twoich zapewnieniach, a co tak naprawdę Tobie siedzi w głowie to nikt poza Tobą nie wie) - w takim razie coś poszło mocno nie-tak, bo wyszła jakaś chryja seria pyskówek.

Nie widzę jednak informacji o zbieraniu tak szczegółowych informacji w polityce prywatności.

Może jestem przewrażliwiony, ale widzę tu możliwość subsumpcji do dyspozycji art. 267 § 2 k.k., bo czym jest uruchamianie po cichu na cudzych komputerach oprogramowania zbierającego z nich informacje, jeśli nie uzyskiwaniem dostępu do cudzego systemu informatycznego bez uprawnienia?

nie jest to po cichu, wchodząc na stronę z poziomu przeglądarki zgadzasz się na to aby został wyrenderowany html, ostylowany cssem i wykonany js.

ale nie robię review kodu przed wejściem na stronę i nic nie wiem o fingerprintingu

Disable js

1a2b3c4d5e napisał(a):

nie jest to po cichu, wchodząc na stronę z poziomu przeglądarki zgadzasz się na to aby został wyrenderowany html, ostylowany cssem i wykonany js.

Ale nie robię review kodu przed wejściem na stronę i nic nie wiem o fingerprintingu. Według GDPR, zgoda musi być w szczególności świadoma, konkretna i specyficzna.

Trudno mówić o świadomej, konkretnej i specyficznej zgodzie na fingerprinting, jeżeli nie ma o tym nawet wzmianki w polityce prywatności.

cerrato napisał(a):

@TomRiddle: co do fragmentu Twój klient to udostępnia prawda? Tzn. przeglądarka z której korzystasz? - uważam, że nic on nie wnosi/nie zmienia. Bo to, w jaki sposób dane zostały pozyskane ma jedynie znaczenie, jakby zostały pozyskane na drodze przestępstwa / nielegalnie. A czy to udostępnia przeglądarka, jakieś API, plugin, biblioteka czy jakkolwiek inaczej - niczego to nie zmienia. Sednem jest to, że jakieś dane są gromadzone i później trzymane. I pytanie - czy jest to działanie legalne.

No nie do końca, bo to przecież nie jest tak że to serwis 4programmers.net cokolwiek "wyciąga" z maszyny użytkownika, tylko użytkownik (świadomie lub nie) za pośrednictwem klienta sam je wysyła.

Nie rozumiem, czy gdybym wysłał sam maila z prywatnymi danymi na [email protected], to mógłbym mieć wąty że mail jest "gromadzony" i później trzymany? Bo jeśli nie, to czym się różni odebranie maila i trzymanie od, od odebrania requestu HTTP i potem trzymania go?

@TomRiddle:

No nie do końca, bo to przecież nie jest tak że to serwis 4programmers.net cokolwiek "wyciąga" z maszyny użytkownika

no a co zatem robi ten js w markdown.js?

@TomRiddle: Teoretycznie niczym. Bo tak naprawdę winni są właśnie twórcy przeglądarek, ale to nie znaczy że trzeba z nimi "współpracować".

1a2b3c4d5e napisał(a):

@TomRiddle:

No nie do końca, bo to przecież nie jest tak że to serwis 4programmers.net cokolwiek "wyciąga" z maszyny użytkownika

no a co zatem robi ten js w markdown.js?

Ale to nadal Twój klient go wykonuje, i Twój klient mu pozwala wysyłać i zbierać rzeczy.

TomRiddle napisał(a):

cerrato napisał(a):

@TomRiddle: co do fragmentu Twój klient to udostępnia prawda? Tzn. przeglądarka z której korzystasz? - uważam, że nic on nie wnosi/nie zmienia. Bo to, w jaki sposób dane zostały pozyskane ma jedynie znaczenie, jakby zostały pozyskane na drodze przestępstwa / nielegalnie. A czy to udostępnia przeglądarka, jakieś API, plugin, biblioteka czy jakkolwiek inaczej - niczego to nie zmienia. Sednem jest to, że jakieś dane są gromadzone i później trzymane. I pytanie - czy jest to działanie legalne.

No nie do końca, bo to przecież nie jest tak że to serwis 4programmers.net cokolwiek "wyciąga" z maszyny użytkownika, tylko użytkownik (świadomie lub nie) za pośrednictwem klienta sam je wysyła.

A jeśli serwis jest skonstruowany tak, że użytkownik po wejściu nieświadomie wysyła fingerprint swojego komputera, to moim zdaniem jest to pułapka zastawiona na użytkownika.

Nie rozumiem, czy gdybym wysłał sam maila z prywatnymi danymi na [email protected], to mógłbym mieć wąty że mail jest "gromadzony" i później trzymany?

Zależy od okoliczności i reakcji adresata: https://niebezpiecznik.pl/post/rodo-85-tys-zl-kary-za-maila-wyslanego-do-zlego-adresata-w-wyniku-bledu-klienta/

A już na pewno byłyby z tego duże problemy, jeżeli serwis uruchamiałby po cichu na komputerach użytkowników oprogramowanie zbierające z tych komputerów informacje, a następnie wysyłające zebrane informacje mailami.

@TomRiddle:

Ale to nadal Twój klient go wykonuje, i Twój klient mu pozwala wysyłać i zbierać rzeczy.

Czyli już ustaliliśmy że to 4p odpytuje o te dane, nice.

Anyway - to fajnie brzmi w teorii, bo w praktyce ludzie nie mają wpływu na "twój klient" większego niż wybranie chroma, edge czy firefoxa i może zainstalowanie wtyczki

TomRiddle napisał(a):

Ale to nadal Twój klient go wykonuje, i Twój klient mu pozwala wysyłać i zbierać rzeczy.

Wykonywanie po stronie klienta ma miejsce także w atakach drive-by-download - wchodząc na spreparowaną/zainfekowaną przez cyberprzestępców stronę zupełnie nieświadomie pobieramy i równie nieświadomie uruchamiamy na swoim komputerze malware, które następnie zbiera z naszych komputerów informacje takie, jak np. loginy, hasła, dokumenty, itd.

Więcej: wykonywanie po stronie klienta ma miejsce gdy dostaniemy maila phishingowego i uruchomimy załącznik. Wtedy też często malware zbiera dane z naszych komputerów. Trudno jednak byłoby doszukiwać się naszej świadomej zgody, mimo że przecież uruchomiliśmy załącznik!

Nie zapominajmy bowiem, że żadne zachowanie ofiary nie usprawiedliwia działań sprawcy.

Uruchamianie po stronie klienta to chyba jest więc okoliczność obciążająca.

@1a2b3c4d5e:

No to jeszcze to. W każdej nowej przeglądarce są ustawienia Prywatności i bezpieczeństwa. I one też są konfigurowalne albo globalnie, albo pod jedną stronę lub domenę.

Przypominam, każda przeglądarka odpala każdą stronę w sandboxie, więc do jakich kolwiek danych JS ma dostęp, to klient (powtarzam, świadomie lub nie) go wpuścił. Jak klikasz na każdej stronie "Zaakceptuj wszystko", to się potem nie dziw.

jest tak że to serwis 4programmers.net cokolwiek "wyciąga" z maszyny użytkownika, tylko użytkownik (świadomie lub nie) za pośrednictwem klienta sam je wysyła

To jest kwestia techniczna. Faktem jest, że te dane (nieważne, w jaki sposób) trafiają na serwer i tam są trzymane. Do tego 4P sam (przy użyciu jakiego skryptu) te dane pozyskuje/stara się odczytać. Moim zdaniem to wystarczy, żeby uznać, ze dane są przetwarzane. A poza tym - argumentowanie, że skoro twórca przeglądarki (czy jakiś tam standard webowy) umożliwia pobranie tych danych to ich przetwarzanie jest OK jest tak samo sensowny jak tłumaczenie, że skoro ktoś na parterze zostawił otwarte okno, a na parapecie telefon, to mogę go wziąć - bo jakby nie chciał żebym zabrał, to by go lepiej pilnował.

gdybym wysłał sam maila z prywatnymi danymi na [email protected], to mógłbym mieć wąty że mail jest "gromadzony" i później trzymany

Jak najbardziej tak. Po pierwsze - formalnie rzecz biorąc, jeśli 4P (albo ogólnie - odbiorca maila) nie ma uzasadnionego powodu żeby te dane trzymać, to powinny zostać skasowane. A po drugie - na Twoje żądanie - jako właściciela tych danych, odbiorca maila powinien je usunąć i zaprzestać ich przetwarzania. Oczywiście - piszę to z założeniem, że odbiorcą maila jest firma a nie jakiś Janek Kowalski.

Ale to nadal Twój klient go wykonuje, i Twój klient mu pozwala wysyłać i zbierać rzeczy.

A tak z ciekawości, jakby zamiast tego wysyłać użyszkodnikom keylogera nazwanego 4pofflineviewer.exe, to by to też było spoko, bo przecież to procesor użytkownika wykonuje ten kod, i to jego karta sieciowa wysyła wszystkie dane, a jakby użytkownik nie chciał, bo by tego nie uruchamiał, albo miał odpowiednio skonfigurowanego firewalla?