Carta do senador Wyden confirma que a NSA está comprando dados de americanos de corretores de dados

• Documentos divulgados pelo senador Ron Wyden revelam a compra de registros de internet pela NSA, e esses registros podem expor quais sites os usuários visitaram e quais apps usaram
• Wyden exige que as agências de inteligência parem de comprar dados pessoais de americanos de corretores de dados e que só seja permitida a venda legal de dados que atenda aos critérios da FTC
• A NSA negou comprar ou usar dados de localização coletados de celulares dentro dos EUA, mas admitiu comprar e usar dados comerciais de netflow sem conteúdo sobre comunicações domésticas de internet e comunicações internacionais que incluam IPs dos EUA
• Levou quase 3 anos para que essas informações fossem divulgadas, e a autorização só saiu depois que Wyden colocou em espera a indicação do candidato a diretor da NSA
• A compra governamental de dados pessoais por meio de corretores de dados pode contornar tribunais e exigências de mandado, enfraquecendo a privacidade dos americanos e os controles sobre vigilância doméstica

---

Confirmação da compra de registros de internet pela NSA

• Documentos divulgados pelo senador Ron Wyden confirmam que a NSA compra registros de internet de americanos
• Esses registros de internet podem revelar quais sites uma pessoa visita e quais apps ela usa
• Em uma carta enviada à diretora de Inteligência Nacional Avril Haines, Wyden pediu a adoção de uma política que impeça as agências de inteligência de comprar dados pessoais de americanos obtidos ilegalmente por corretores de dados
• Wyden afirmou que “o governo dos EUA não deve financiar nem legitimar uma indústria obscura que viola descaradamente a privacidade dos americanos”

O caminho para contornar mandados criado pelos corretores de dados

• A compra de dados domésticos pelo governo junto a corretores de dados já ocorreu repetidas vezes
• Agências federais e autoridades locais de aplicação da lei vêm comprando dados domésticos fornecidos por empresas privadas, o que pode funcionar como uma forma de contornar limitações estabelecidas pela Suprema Corte
• O governo entende que pode aplicar a Third Party Doctrine, mas muitos apps e serviços coletam dados sem que os usuários tenham plena consciência disso
  • Até um jogo mobile aparentemente simples pode consultar a localização do telefone e vinculá-la a um ID específico do dispositivo
  • Esse tipo de coleta pode estar escondido em partes obscuras dos termos de uso

O processo de divulgação de Wyden e suas exigências

• Wyden disse que levou quase 3 anos para conseguir autorização para divulgar informações sobre a compra de metadados domésticos de internet pela NSA
• Em março de 2021, o Departamento de Defesa forneceu informações em resposta ao pedido da equipe de Wyden para identificar quais componentes do departamento compravam dados pessoais de americanos
• Depois, em maio de 2021, Wyden solicitou autorização para divulgar as informações não confidenciais, mas o Departamento de Defesa recusou
• A divulgação só foi autorizada depois que Wyden colocou em espera a indicação do candidato a diretor da NSA
• A carta de Wyden exige o seguinte de cada componente da comunidade de inteligência (IC)
  • Iniciar investigação sobre compras de dados de corretores de dados
  • Investigação da FTC sobre as práticas de negócios dos corretores de dados
  • Fornecer uma lista de dados pessoais comprados de corretores de dados

O que a NSA negou e o que admitiu

• Em carta enviada a Wyden em 2023, a NSA afirmou que não compra nem usa, com ou sem ordem judicial, dados de localização coletados de celulares conhecidos por serem usados dentro dos EUA
• Essa negativa se limita aos dados de localização e não representa uma negação de toda a compra de registros de internet que preocupava Wyden
• Na mesma carta, a NSA admitiu comprar e usar dados comerciais de netflow sem conteúdo
  • Dados relacionados inteiramente a comunicações domésticas de internet
  • Dados sobre comunicações de internet em que um lado é um endereço de protocolo de internet dos EUA e o outro está no exterior
• Essa admissão mostra que o alcance da vigilância doméstica da NSA pode se expandir por meio do mercado de corretores de dados

Section 702 e preocupações com vigilância doméstica

• A NSA já é conhecida como uma agência que pode varrer “inadvertidamente” dados e comunicações de americanos por meio da coleta da Section 702
• Também é citado o contexto de uso abusivo e repetido da Section 702 pelo FBI para vigilância doméstica
• Nesse cenário, fica a dúvida sobre por que a NSA precisaria comprar dados separadamente de corretores de dados
• O foco das críticas é que a NSA parece coletar mais não por uma necessidade comprovada de segurança nacional, mas porque surgiu um novo caminho para fazer essa coleta
• Se a compra de dados de americanos por meio de corretores de dados se consolidar como prática rotineira do governo, o controle efetivo sobre os poderes de vigilância ficará ainda mais difícil

[GN⁺]

Comentários do Hacker News

• O acesso do governo a informações de cidadãos sem causa provável parece contrariar o espírito, se não a letra, da Quarta Emenda, mesmo quando feito por compra Hoje é possível reunir uma enorme quantidade de informações sobre uma pessoa sem “busca e apreensão”, então parece necessário atualizar a Quarta Emenda para os tempos modernos por meio de uma emenda constitucional. A coleta de dados é uma das maiores questões do nosso tempo, mas acho que a maioria concordaria pelo menos que o governo não deveria poder contornar legalmente nossos direitos usando nossos impostos ou dívida pública

  • Isso remonta à doutrina do terceiro A premissa é que, no momento em que você entrega dados a um terceiro, deixa de haver uma “expectativa razoável de privacidade”, portanto não se trata de uma busca. É parecido com a jurisprudência de que uma lixeira encostada na sua casa ainda está sob seu controle e, portanto, você tem direitos sobre ela, mas, no instante em que a coloca na rua para o caminhão recolher, você abriu mão desses direitos. Não estou dizendo que isso é bom; na verdade, detesto, mas é assim que funciona pela jurisprudência atual dos EUA. Para mudar, o Congresso teria de criar uma nova lei ou a Constituição teria de ser emendada, e opiniões sobre “como deveria ser” têm pouco peso se não forem respaldadas por lei
  • Vejo a maior parte dessa coleta e uso de dados como, na prática, busca e apreensão A diferença é que quem faz isso são empresas privadas, não o governo, e, pessoalmente, acho isso até pior do que se fosse apenas o governo
  • Infelizmente, a Quarta Emenda é interpretada de forma bastante restrita Seria bom haver uma cláusula adicional que declarasse um direito à privacidade mais específico. Impedir buscas “ilegais” significa, no fim das contas, ter de ir ao tribunal depois do fato, o que beira o inútil. A Quarta Emenda parece ter só uns 10% da força que deveria ter
  • Sempre foi legal outra pessoa fornecer voluntariamente à polícia informações sobre você, independentemente de essa pessoa operar um negócio ou não Posso ligar para a polícia agora mesmo e dizer que lumb63 comentou no HN em 2024-01-30T14:14:13, e, se eu souber informações mais detalhadas, também posso repassá-las. A polícia pode ouvir isso legalmente. Posso dizer qualquer coisa que eu saiba sobre alguém que conheço; não vejo por que isso deveria ser ilegal. Essa situação não tem relação com a Quarta Emenda, que é a cláusula que impede o governo de tomar informações à força
  • “Direitos”, mesmo os que constam na Declaração de Direitos, são pisoteados todos os dias Tente atravessar fronteiras estaduais portando uma arma oculta, ou dizer a um policial K-9 que ele não pode revistar seu carro depois de o cão farejador reagir, ou invocar a liberdade de expressão para espalhar falas consideradas discurso de ódio. Não existem “direitos”; existe apenas aquilo que um indivíduo consegue defender no lugar e no momento atuais

• Não entendo muito bem por que é tão mais controverso as agências comprarem dados disponíveis comercialmente Parece que o problema maior é, antes de tudo, a realidade de que esses dados são coletados e oferecidos a qualquer pessoa que pague

  • Dá para pensar em algumas possibilidades Primeiro, do ponto de vista de uma pessoa comum, o fato de empresas terem esse tipo de informação já não é inerentemente ok. Segundo, como as agências compram essas informações com dinheiro do contribuinte, elas acabam ampliando um mercado com o qual talvez não concordemos. Terceiro, agências governamentais têm regras, e, quando elas contornam regras ou procuram brechas, isso prejudica a confiança nas instituições. O quarto ponto talvez seja o mais importante: agências governamentais têm autoridade e poder para fazer coisas que empresas privadas não podem. Elas podem abrir investigações, obter aconselhamento jurídico de promotores, apresentar acusações, emitir mandados, intimar, prender e deter; tudo isso é invasivo, caro e pode levar a vários desfechos ruins, de honorários advocatícios à prisão
  • O governo tem o monopólio da violência, então deve seguir regras diferentes e mais restritivas Não sei qual é a situação legal da NSA ao comprar dados privados, mas isso parece contrariar o espírito da lei que diz que ela não deve vigiar seus próprios cidadãos
  • O que torna o governo especial é seu poder amplo de criar leis que afetam todos Por exemplo, a frase da Primeira Emenda “o Congresso não fará nenhuma lei que restrinja a liberdade de expressão” se aplica ao governo, mas não a uma regra contra palavrões em uma sala de aula do 3º ano do ensino fundamental. Pode ser razoável que um grupo privado proíba determinado tipo de expressão, porque, se você não gostar, pode ir para outro lugar; mas, no âmbito da lei e das ações do governo, é preciso ter muito mais cautela. O governo é o único agente da sociedade que monopoliza o uso da força, e grandes poderes devem vir acompanhados de grandes responsabilidades
  • O governo pode usar informações para processar criminalmente pessoas, empresas não Além disso, por causa da imunidade soberana e da imunidade de servidores públicos, o governo responde muito menos do que empresas por condutas maliciosas
  • Empresas privadas não podem mandar você para a cadeia nem tirar suas liberdades básicas sem a bênção do governo, mas o governo pode A Declaração de Direitos e a Constituição, em geral, buscam proteger você de excessos do governo, não de particulares; problemas entre particulares são tratados principalmente por leis gerais em nível estadual e local. Nos EUA, essa distinção jurídica sempre existiu

• O artigo diz, sobre a NSA, que “se ela tem ampla capacidade de vigilância doméstica e de fato a usa com frequência, por que compraria dados e correria o risco de expor parte de suas técnicas de coleta, quando poderia obtê-los de forma mais legítima por meio de sua própria rede de coleta em massa?”, mas não acho que a NSA precise se preocupar que os adversários aprendam a técnica de trocar dinheiro por informação Hackear corretores de dados teria mais chance de expor técnicas próprias

• Gostaria que os EUA tivessem proteção de privacidade nos moldes da UE O sistema da UE não é perfeito, mas eu ainda gostaria que existisse. Pelo que entendo, um único senador, Chuck Schumer, está bloqueando no comitê projetos significativos de proteção de privacidade. Ele parece uma bola de demolição de privacidade de uma pessoa só. Li em algum lugar que suas duas filhas têm empregos bem remunerados em empresas que acho que eram Meta e Microsoft. O ponto é que, com uma proteção de privacidade mais forte, as empresas teriam menos informações para vender

  • Não entendo o que as filhas dele têm a ver com esse ponto

• Mesmo que isso prejudique liberdades civis, não dá para deixar as agências sem monitorar corretores de dados comerciais de forma alguma No mínimo, elas precisam poder estimar e prevenir o risco de atividades criminosas dentro do país

  • Isso é mais um recurso do que um defeito Os maiores grupos de lobby são bancos e organizações que usam esse tipo de corretor de dados. Como o governo os deixa em paz, o próprio governo também pode usá-los, e isso vira uma forma de contornar a lei

• O problema é que isso é a NSA A NSA não é uma agência que investiga cidadãos americanos; ela deveria cuidar de inteligência de sinais estrangeira. Se o FBI ou a CIA fizessem algo assim, seria bem previsível, e nem tenho certeza se isso seria errado. No mínimo, é difícil dizer que seria pior do que outros atores que compram dados para fins publicitários

  • Não é totalmente correto A CIA foi criada para coletar inteligência fora dos EUA, então é a agência que menos teria motivo para acessar esses dados. O FBI é uma agência de aplicação da lei, portanto não pode mexer nesses dados nem vê-los sem mandado; caso contrário, a coleta de dados de muitos casos em andamento poderia ser invalidada. A NSA deve coletar dados de comunicações que entram e saem dos EUA. Décadas atrás, essa distinção era completamente clara, mas hoje é menos. A coleta de dados sobre americanos pode não ser ilegal, dependendo do que é feito com esses dados. A parte mais evidente das revelações de Snowden foi que uma ameaça interna usou indevidamente, para fins pessoais, dados da NSA coletados sobre americanos
  • Não sei o que estrangeiro sequer significa na internet Não há uma linha clara entre pedaços de terra, e tudo está em toda parte
  • O fato de a NSA vigiar americanos em grande escala foi revelado por Snowden em 2013 Em 2024, não há desculpa para se surpreender

• É difícil imaginar ficar indignado só com isso, e não com o fato de que corretores de dados possam vender todas essas informações para começo de conversa

  • Também é difícil imaginar não ficar indignado com as duas coisas ao mesmo tempo Só que uma delas é o resultado acumulado de dezenas de milhares de pequenas violações de consentimento cometidas por centenas ou milhares de atores antiéticos e, em geral, anônimos. A outra é uma violação constitucional enorme e descarada cometida por uma organização governamental que os cidadãos financiam para protegê-los e servi-los. Ambas deveriam receber as punições mais severas

• Não entendo bem como os dados são vinculados a uma pessoa específica no mundo real Pegando meu carro como exemplo: o carro é meu, mas se você estiver dirigindo e passar do limite de velocidade, a multa vai para você. Com dados é parecido: pode até ser verdade que este post foi enviado de um dispositivo do mundo real registrado em meu nome, mas isso não significa que eu, no mundo real, o tenha usado de fato

  • Pense em um endereço IP público A estimativa de localização pode associar um endereço IP a uma faixa imprecisa, como um país, ou a uma área mais precisa, como uma cidade. Ao combinar uma localização aproximada com alguns outros dados, é possível reduzir bastante os candidatos do mundo real correspondentes a uma determinada conta [1]. Segundo um estudo importante, apenas três características conseguem identificar de forma única 87% da população dos EUA; outro estudo diz que esses três fatos sozinhos conseguem identificar de forma única 63% da população dos EUA. Se você tem muita atividade online, a forma como outros usuários chamam você em determinado site pode revelar seu gênero ou idade. Se um site coleta gênero ou data de nascimento, ele também pode compartilhar ou vender essas informações para corretores de dados. Se a polícia conseguir restringir a localização de uma atividade online potencialmente problemática a uma residência, pode aparecer de fato com um mandado e perguntar quem estava usando qual computador dentro da casa naquele horário. [1] https://www.eff.org/deeplinks/2023/11/debunking-myth-anonymo...
  • É uma forma de encontrar correlações entre vários sinais, e isso é explicado aqui https://restoreprivacy[.]com/rtb-data-leveraged-for-user-sur...

• O Facebook também fez isso Comprou todos os dados de sites que podia comprar e, como sabia que poderia usá-los na veiculação de anúncios, transformou a compra de dados em algo lucrativo. Se o governo dos EUA ou agências de inteligência fazem exatamente o mesmo, fico em dúvida se dá para chamar isso de “ilegal” ou errado. Se fizeram usando amplamente poderes do governo, seria violação da lei, mas estão comprando algo que já está disponível

• O irônico é que quem fez isso não foi a China nem a Rússia Não sei por que, quando é uma agência do próprio país que faz isso, a indignação parece muito menor ou quase inexistente

  • Porque seus impostos não vão para o aparato de vigilância da China É claro que eles vigiam você; esse é o trabalho deles. Nosso país sempre disse, ao menos na aparência, que é diferente deles por não tratar seus cidadãos como inimigos — claro, só até certo ponto