4º Circuito decide que não há expectativa razoável de privacidade em dados de localização do Google
(fourthamendment.com)- O Tribunal de Apelações do 4º Circuito dos EUA decidiu, por 2 a 1, em United States v. Chatrie, que não há expectativa razoável de privacidade sob a Quarta Emenda em históricos de localização compartilhados voluntariamente com o Google
- A decisão se apoia na estrutura em que o Location History vem desativado por padrão, e o armazenamento só começa depois que o usuário passa por etapas como compartilhamento de localização, opt-in na conta, Location Reporting e login
- O Google armazena o Location History no Sensorvault, e mandados de geofence exigem números anônimos de dispositivos, coordenadas, timestamps, intervalos de confiança, fontes dos dados etc. dentro de um horário e uma área específicos
- Os pedidos de geofence warrant por órgãos de aplicação da lei cresceram rapidamente desde 2016, e desde 2018 o Google opera um processo de resposta em três etapas que restringe gradualmente o escopo dos pedidos
- A decisão aumenta o conflito sobre se consultas em massa baseadas em localização constituem buscas sob a Quarta Emenda, e volta a evidenciar os limites entre dados de localização móvel e investigações policiais
A decisão do 4º Circuito e as premissas do Location History
- Em United States v. Chatrie, o Tribunal de Apelações do 4º Circuito decidiu que não há expectativa razoável de privacidade em dados de localização do Google
- A decisão saiu em 9 de julho de 2024, por 2 a 1
- A premissa central é que o usuário compartilha voluntariamente esses dados com o Google
- O Location History fica desativado por padrão, e o rastreamento e armazenamento pelo Google só começam se o usuário passar por várias configurações
- Ativar o compartilhamento de localização no dispositivo móvel
- Fazer opt-in no Location History da conta Google pelo navegador de internet, app do Google, configurações de dispositivos Android etc.
- Antes da ativação, o Google exibe um texto explicando o conteúdo básico do serviço
- Ativar o recurso “Location Reporting” no dispositivo móvel
- Fazer login na conta Google nesse dispositivo
- Mesmo depois do opt-in, o usuário mantém algum controle sobre os dados de localização armazenados
- Pode revisar, editar e excluir informações já coletadas
- Pode manter apenas os dados de uma data específica e excluir o restante, ou excluir tudo
- Pode pausar a coleta futura do Location History
- O Google afirma que segue as escolhas do usuário
- Quando o Location History é ativado, o Google continua monitorando a localização por GPS mesmo quando o usuário não está usando o telefone
- No Android, se o “Google Location Accuracy” estiver ativado, também são usadas entradas além do GPS, como pontos de acesso Wi-Fi e redes móveis
- O Location History pode ser mais preciso do que outros métodos de rastreamento de localização, como informações de localização por torres de celular
- Ainda assim, o histórico de localização do Google é uma estimativa da posição do dispositivo, e cada coordenada de localização inclui um “confidence interval” em metros
- O Google indica uma probabilidade de 68% de que o usuário esteja dentro desse intervalo de confiança para um determinado ponto de localização
Sensorvault e o procedimento de mandados de geofence
- O Google mantém todos os dados do Location History em um repositório chamado Sensorvault
- O Sensorvault atribui um número de identificação exclusivo a cada dispositivo
- Mantém os dados do Location History associados ao dispositivo
- O Google usa esses dados para criar modelos agregados que auxiliam aplicativos como o Google Maps
- Órgãos de aplicação da lei começaram a enviar geofence warrants ao Google em 2016
- Um mandado de geofence exige a entrega dos dados de Location History de todos os usuários que estiveram em uma área geográfica específica durante um período determinado
- O Google afirmou que os pedidos de geofence aumentaram 1.500% entre 2017 e 2018, e 500% entre 2018 e 2019
- Preocupado com ameaças à privacidade dos usuários, em 2018 o Google criou um procedimento de resposta em três etapas após discussões com sua equipe jurídica interna e com órgãos de aplicação da lei
- O procedimento em três etapas do Google foi projetado para estreitar o escopo do pedido antes de passar de dados anônimos para informações de identificação de contas
- Etapa 1: o Google pesquisa todo o repositório de Location History para encontrar usuários que estiveram no horário e na geofence especificados, e fornece número anônimo do dispositivo, latitude e longitude, timestamp, intervalo de confiança e fonte dos dados, como GPS ou Wi-Fi
- Antes da divulgação, o Google analisa o pedido e apresenta objeção se o considerar excessivamente amplo
- Etapa 2: se precisar de informações adicionais, o órgão de aplicação da lei pode solicitar, para alguns dos usuários identificados na Etapa 1, coordenadas de deslocamento em um período mais amplo e dentro ou fora da geofence
- Etapa 3: depois de determinar quais indivíduos são relevantes para a investigação, o órgão de aplicação da lei exige do Google informações de identificação da conta, como nome e endereço de e-mail
- O Google geralmente exige que o pedido seja mais restrito do que na etapa anterior, para impedir que sejam simplesmente solicitadas as identidades de todos os usuários identificados na Etapa 2
- O texto da Bloomberg Geofence Warrant Decision Exposes Hole in Fourth Amendment Law considera que essa decisão dividida em grau de apelação deixou a obtenção, pelo governo, de dados de localização de dispositivos móveis do Google fora do escrutínio constitucional
- O texto resume que o Tribunal de Apelações do 4º Circuito concluiu, apesar da opinião dissidente, que o uso de geofencing não constitui uma busca sob a Quarta Emenda
- O artigo da Techdirt Fourth Circuit Finds In Favor Of Geofence Dragnet Deployed To Catch Robbery Suspect também está vinculado como atualização
1 comentários
Opiniões no Hacker News
O Google está transferindo os dados de localização para os dispositivos e apagando-os dos servidores. Como na citação abaixo, com essa mudança o Google deixará de responder a mandados de geofence que exigem informações de todos os dispositivos ao redor de um incidente específico
https://news.ycombinator.com/item?id=40869536
O Google ainda oferece uma forma de manter nos servidores um backup criptografado do banco de dados, mas o padrão é desativado. Ele não exibe um pop-up modal para facilitar a ativação do backup; o usuário precisa clicar manualmente em um botão na UI para abrir um modal com uma folha de instruções e o botão para ativar o backup
Essa mudança é algo pelo qual o público deveria agradecer ao governo. Se o governo não tivesse despejado mandados sobre o Google, o Google teria continuado a coletar e armazenar esses dados
A coleta e o armazenamento de dados atraíram os mandados, e os mandados levaram à decisão de apagar os dados. As chamadas empresas de tecnologia coletam e armazenam dados prejudiciais à privacidade do público mesmo quando seu valor econômico é incerto
Na prática, fica dentro de outra aba de configurações, então não é nada claro
Isso definitivamente não vale para todo mundo que usa uma conta do Google há muito tempo. Antigamente, os dados de localização eram coletados por padrão, com opção de recusa (opt-out)
Eu nunca dei consentimento ativo, e o Google também não desativou o rastreamento para fazer com que os antigos consentidores implícitos passassem de novo por um modelo de consentimento explícito. Provavelmente a cultura mudou de opt-out para opt-in em algum momento no começo da década de 2010
O Histórico de localização é, na prática, mais uma configuração que pergunta se você quer ver seus próprios dados de localização
Do sistema E911 ao Google Play Services, Maps etc., os dados de localização continuam sendo coletados e vendidos/mesclados entre várias empresas
Em celulares modernos, é impossível desligar completamente o envio de localização para todos os provedores dentro da stack
Uso GrapheneOS no celular e neguei permissão de localização para todos os apps, exceto o Organic Maps offline
Também tenho o hábito de deixar o modo avião sempre ligado, exceto nas raríssimas situações em que preciso fazer uma chamada fora de casa. Considerando a revelação recente de que a AT&T expôs os dados de localização por triangulação de todos os clientes, isso não me parece uma reação exagerada
Privacidade é importante, mas o fato de as pessoas poderem me ligar é extremamente conveniente, e eu não gostaria de abrir mão disso. Precisamos de uma solução melhor
Eu também fiquei preocupado se o modo avião realmente desligaria os transmissores/receptores sem fio, mas pelo menos um resultado aleatório de busca no Google vindo do Reddit diz que sim. Não era uma resposta oficial do GrapheneOS
Existe alguma alternativa amigável à privacidade ao Histórico de localização do Google? Gosto da função de registrar por onde passei durante viagens
Não sei se sou só eu, mas às vezes, quando bate a nostalgia, gosto de refazer meus passos e encontrar memórias ou lugares esquecidos
Os dados do histórico agora ficam armazenados no celular. O backup na nuvem é opcional e vem desativado por padrão; mesmo quando ativado, é sempre protegido por criptografia de ponta a ponta, então o banco de dados do histórico de localização não fica acessível nos servidores do Google. O Google fez essa mudança em resposta a esses problemas
Falta aí a realidade de que a sociedade moderna exige cada vez mais o uso desses aplicativos. Não faz sentido apresentar uma opção em que não há como deixar de consentir
Além disso, há uma grande diferença entre permitir que meus dados sejam usados para o serviço que acredito que o app oferece e usar esses dados para todos os outros fins
Cerca de um terço dos usuários ativos do Google teriam ativado o Histórico de localização. Isso não é algum relatório obrigatório de localização em celulares Android no estilo opt-out, mas especificamente um serviço de Histórico de localização baseado em consentimento explícito
Aceitamos a premissa de que todo mundo está online, todo mundo tem celular e todo mundo acompanha as notícias e a cultura pop, concentrando-se junto em assuntos passageiros como um eclipse ou os filmes Barbie e Oppenheimer
Qualquer pessoa pode escolher evitar qualquer parte do mundo moderno. Somos parte desse mundo, não vítimas dele
Qual é a expectativa razoável sobre empresas lucrarem com produtos que passamos a considerar essenciais? Quem vai criar e dar suporte a um produto que não pode dar lucro?
A UE exigiu que o Facebook oferecesse uma versão sem rastreamento, e a Meta criou um plano pago. Então exigiram novamente que ela não cobrasse pela versão sem rastreamento. Nesse caso, se o Facebook não pode lucrar oferecendo o serviço, por que deveria permanecer na UE?
Ninguém vai chorar pelos negócios da Meta, mas o Facebook é um enorme meio pelo qual as pessoas se conectam. O Google Maps poderia, em teoria, ter o mesmo destino, e o acesso gratuito a mapas parece um bem público. O YouTube também pode ser de interesse público por causa do conteúdo educacional
Hoje, graças à publicidade online eficaz, a lista de produtos que podem ser “gratuitos” e benéficos para a sociedade ficou enorme. Não se trata de nos preocuparmos com as margens de lucro de empresas bilionárias, mas de lidar com o fato de que passamos a depender delas e que elas não aceitarão altruisticamente que seus lucros desapareçam por força da lei
A resposta é claramente “não”. Porque você está entregando a informação a uma empresa com centenas de milhares de funcionários. Se você acha que há bons motivos para abrir mão da privacidade desse jeito é outra questão
Alguém realmente acredita que o Google não rastreia dados de localização se essa configuração não estiver ativada? Se não for um denunciante interno, quem poderia saber?
O Histórico de Localização só parece ser o dado que o Google permite que o usuário colete e verifique diretamente; não é a totalidade dos dados de localização que o Google coleta. Isso também inclui dados obtidos de redes Wi-Fi próximas, celulares próximos e outros dispositivos Bluetooth
Dizer que, mesmo depois de o usuário consentir, ele pode revisar, corrigir e excluir as informações que o Google já obteve é bastante enganoso. É possível ver as informações de localização que o dispositivo do usuário enviou ao Google, mas não é possível ver nem apagar as inferências que o Google criou sobre o usuário com base nesses dados
O que preocupa as pessoas não é, em si, uma lista de coordenadas GPS mostrando os lugares que elas frequentam todo sábado à noite. O problema maior é o fato de essas coordenadas mostrarem, por exemplo, que a pessoa passou horas em um bar gay
Mesmo que você exclua da sua Conta Google a lista de coordenadas GPS, não consegue apagar um sinalizador como “este usuário é gay e frequenta bares gays todos os sábados”, que o Google pode ter anexado assim que recebeu esses dados
O que aconteceu com essa pessoa (https://www.nbcnews.com/news/us-news/google-tracked-his-bike...) me parece um bom indício de que o sistema inteiro e a forma como a polícia o usa são falhos e perigosos
O pior é que o Google é só a ponta do iceberg. Quem nos rastreia não é só o celular, mas também operadoras, câmeras aleatórias pelas quais passamos, leitores de placas e de transponders de pedágio, carros “inteligentes” etc. Há rastreamento demais sobre o qual o americano médio não tem nenhum controle, e a polícia ou outros atores podem ter acesso a isso. Precisamos muito de proteções mais fortes
Há alguma evidência de que o Google de fato aplique sinalizadores como “este usuário frequenta bares gays todos os sábados”? No caso do roubo da bicicleta que você linkou, a explicação mais simples é que a polícia usou um mandado de geofencing, não um sistema de aprendizado de máquina que registrou “esta pessoa anda de bicicleta das 16h às 18h”
Mas não acredito que o Google tenha outros dados de localização vinculados à identidade. Porque, se a polícia tivesse solicitado esses dados, haveria matérias sobre isso
Mais informações:
Is This the End of Geofence Warrants?
https://www.eff.org/deeplinks/2023/12/end-geofence-warrants
Talvez não tenha acabado completamente. Outros dados de localização podem estar armazenados em algum lugar. Ainda assim, quando esse tipo de mudança acontece, é importante comemorar a conquista
Foi engraçado e irritante ao mesmo tempo. Minha mãe nunca pediu ao Google que rastreasse a localização dela
Eu confio em megacorporações? Não, mas confio o suficiente para achar que elas não mentiriam descaradamente numa situação em que haveria enormes consequências jurídicas
O Google é uma empresa gigante, cheia de advogados, e já é conhecido por rastrear muitos dados. Ignorar a escolha do usuário seria uma violação enorme e um grande risco reputacional. As penalidades legais provavelmente seriam grandes o bastante para fazer a empresa sentir que precisa ser honesta
Ao pedir uma exportação dos seus dados, dá para encontrar até coisas inúteis armazenadas; qual a probabilidade de equipes inteiras terem construído secretamente algo que viola a lei e os termos, com até o jurídico fechando os olhos?
Em todos os lugares onde trabalhei, só de mexer em dados que poderiam ser localização já era necessário passar por análises de privacidade e jurídico. Imagine então armazenar ou usar isso vinculado a um usuário. A ausência de denunciantes internos ou vazamentos deve ser vista como um forte sinal de que isso não está acontecendo. O Google nem é uma empresa tão boa em evitar vazamentos, e muitos funcionários ficaram bem cínicos depois das demissões
Quanto a exemplos como “bar gay”, parece haver proteções fracas relacionadas a dados derivados em algumas jurisdições, mas provavelmente é uma lacuna na lei. Também é possível que sejam considerados dados de localização derivados e excluídos junto
Concordo totalmente com o ponto sobre abusos policiais
É só usar iPhone. Se Android e iOS forem equivalentes, a receita da Apple vem esmagadoramente de hardware e serviços, enquanto a receita do Google vem esmagadoramente de publicidade e rastreamento
Os mandados do SensorVault, que remontam a décadas atrás, já foram explicados em uma matéria do NYT de 2019, e é disso que isto está tratando
https://www.nytimes.com/interactive/2019/04/13/us/google-loc...
Dá até para resolver casos arquivados
O ponto novo é que o usuário pode recusar o rastreamento de localização. Mas eles não vão excluir o SensorVault, ou seja, os dados de relatórios de localização
Como ativar um recurso é a mesma coisa que entregar ao Google etc. os dados coletados por esse recurso? Ativar o backup do computador significa que o governo federal pode ler tudo?