As permissões de localização no sistema Android permitem que os aplicativos transmitam coordenadas exatas dos usuários aos anunciantes e corretores de dados. Isso ocorre através de SDKs de publicidade incorporados nos aplicativos, o que foi revelado em uma investigação da Electronic Frontier Foundation (EFF), uma associação de direitos digitais sediada nos Estados Unidos.
De acordo com esta organização, alguns desses pacotes de publicidade são configurados por padrão para acessar e transmitir dados de GPS assim que o usuário concede permissão ao aplicativo. A EFF afirma que esse rastreamento pode ocorrer mesmo sem o conhecimento dos próprios desenvolvedores, criando uma lacuna de privacidade.
SDKs são módulos de código que os desenvolvedores usam para adicionar funcionalidades aos aplicativos; no caso de publicidade, são usados para exibir anúncios e gerar receita. No entanto, o Android não possui uma permissão específica de localização apenas para esses SDKs. Consequentemente, se um aplicativo obtém autorização para acessar dados precisos de localização, bibliotecas de terceiros integradas também podem obter essas informações teoricamente.
A EFF analisou a documentação e o tráfego de rede de aplicativos Android para descobrir quais serviços recebem dados de localização. Um exemplo é o sistema BidMachine, que declarava no Play Store coletar apenas localização aproximada. No entanto, o fundo descobriu o envio de coordenadas exatas em aplicativos como QR Scanner e GPS Speedometer, que possuem mais de 60 milhões de downloads.
Após solicitação, a empresa atualizou sua documentação, reconhecendo a coleta de localização precisa. O texto indica: 'O SDK nunca solicita permissões de localização: ele lê a localização do dispositivo somente se o aplicativo já tiver recebido a permissão do usuário'. No entanto, a empresa não especificou como os desenvolvedores podem desativar essa função.
A investigação também menciona empresas como InMobi, descrita como a décima biblioteca de publicidade mais popular no Android, bem como Verve (responsável pelo HyBid SDK) e Huawei (Petal Ads SDK). Todos eles veem a localização como um recurso capaz de aumentar a receita de publicidade, o que, na opinião da EFF, cria um incentivo comercial para manter a coleta de dados.
O ativista Bill Budington, membro da EFF, explicou ao TechCrunch que os SDKs analisados representam 'uma pequena parte de um ecossistema publicitário mais amplo', mas esse ecossistema já abrange bilhões de usuários e dezenas de milhares de aplicativos.
É sabido que os dados coletados pelos aplicativos podem ser usados para segmentar anúncios. Não é coincidência que muitas pessoas se deparam com situações em que, após pesquisarem algo, são bombardeadas com ofertas semelhantes, ou veem anúncios de empresas locais estando em outra cidade.
No entanto, a EFF afirma que o rastreamento de localização precisa permite vender essas informações a governos e agências de inteligência, colocando em risco a privacidade dos usuários. Atualmente, esses dados obtidos pela indústria de publicidade 'foram usados para investigações do ICE (Serviço de Imigração e Controle Alfandegário, na abreviatura em inglês) [...] e monitoramento militar dos EUA'.
A organização cita o vazamento da Gravy Analytics em 2025, demonstrando a escala do problema. Na época, essa empresa tinha contratos com gigantes como Uber, Apple e o governo dos Estados Unidos, que usava os dados para monitorar possíveis imigrantes ilegais.
Para a organização, os SDKs de publicidade não devem compartilhar dados confidenciais por padrão. Enquanto os governos em todo o mundo não estabelecerem regras específicas, a EFF defende que a coleta de dados seja desativada e que os desenvolvedores sempre desativem qualquer transmissão desnecessária, quando possível.