Alfândega e Proteção de Fronteiras dos EUA (CBP) usa ecossistema de publicidade online para rastrear deslocamentos de pessoas

• Foi confirmado por documentos internos do Departamento de Segurança Interna (DHS) que a CBP comprou dados de localização da indústria de publicidade online para rastrear os deslocamentos de indivíduos
• Esses dados são coletados por apps comuns, como jogos, aplicativos de namoro e rastreadores fitness, e podem revelar com detalhe as mudanças de localização de usuários ao longo de longos períodos
• Os documentos mostram o potencial risco de esses dados publicitários serem usados como ferramenta de vigilância por órgãos governamentais
• A ICE também comprou uma ferramenta semelhante para monitorar o deslocamento de celulares em regiões inteiras e está avaliando obter mais dados de “Ad Tech”
• Cerca de 70 parlamentares pediram ao inspetor-geral do DHS uma investigação sobre a compra de dados de localização pela ICE, destacando a falta de transparência no uso governamental desses dados

---

Uso de dados publicitários pela CBP

• Segundo documentos internos do DHS, a CBP comprou dados de localização coletados no ecossistema de publicidade online para rastrear os deslocamentos de pessoas
  • Os dados são coletados por apps comuns, como videogames, serviços de namoro e rastreadores fitness
  • Isso permite mapear com precisão as mudanças de localização e os trajetos de uma pessoa ao longo do tempo
• Os documentos mostram que esses dados podem ser uma ferramenta poderosa para uso de vigilância por agências governamentais
  • Ao mesmo tempo, sugerem o risco de violação da privacidade individual

Caso semelhante de compra de dados pela ICE

• Também foi confirmado que a ICE (Serviço de Imigração e Controle de Alfândega) comprou uma ferramenta semelhante capaz de monitorar o deslocamento de celulares em regiões inteiras
  • A ICE também demonstrou recentemente interesse em obter dados adicionais de tecnologia publicitária (Ad Tech)
• Após reportagem da 404 Media, os fatos vieram à tona por meio de documentos públicos de contratação

Reação do Congresso

• Cerca de 70 parlamentares enviaram uma carta ao inspetor-geral do DHS, pedindo a abertura de uma nova investigação sobre a compra de dados de localização pela ICE
  • A carta questiona a legalidade da compra desses dados e o potencial de abuso de vigilância

Avaliação de especialista

• Johnny Ryan, do Conselho Irlandês pelas Liberdades Civis (ICCL), descreveu os dados publicitários como uma “mina de ouro capaz de rastrear a localização e o comportamento de consumo de todas as pessoas”
  • Ele alertou que a venda desses dados pode representar uma ameaça grave à privacidade

Aviso sobre restrição de acesso ao artigo

• O texto completo é exclusivo para assinantes pagos, e é necessário assinar para acessar todo o conteúdo
  • Também são fornecidos links para cadastro gratuito ou login

[GN⁺]

Comentários do Hacker News

• Link para o arquivo da matéria

• Eu trabalho com dados de publicidade com frequência por causa da minha profissão, e há muita coisa que os jornalistas entendem errado
  Os dados de localização são, na prática, muito imprecisos. Como o sistema operacional e o navegador bloqueiam bem o acesso à localização, a maior parte das informações de localização fornecidas por redes de anúncios é uma estimativa grosseira baseada em IP
  As redes de anúncios têm incentivo para exagerar a qualidade dos dados. E rastrear usuários individualmente é bem mais difícil do que parece. Mesmo que o SDK de cada app envie sinais, se não houver uma chave para vincular o usuário entre apps, tudo é tratado como dado separado
  É por isso que às vezes anúncios são exibidos com base no histórico de buscas de outra pessoa no mesmo IP
  Em especial, os dados de bidstream são apenas informações fragmentadas do momento em que o anúncio é servido em tempo real, então não são adequados para rastrear indivíduos. Dados como os da Mobilewalla servem mais para análise de padrões do que para rastreamento individual
  Na prática, até órgãos do governo usam esses dados de forma limitada — por exemplo, a CBP tentou detectar atividade anormal de celulares em áreas de fronteira, e a Receita dos EUA testou dados da Venntel, mas fracassou
  No fim, acho que a única solução é a eliminação gradual da publicidade direcionada. Do jeito que está hoje, o governo ainda não está num nível de conseguir identificar indivíduos com esses dados

  • Eu trabalhei no setor de ad-tech no passado e saí dele. Uma empresa chamada Factual usava um geofence muito menor do que suas próprias regras permitiam, e a nossa empresa continuou usando aquilo mesmo sabendo disso
    O CEO dizia: “não tem problema, porque não fomos nós que fizemos”, mas no fim acabamos atuando como intermediários de um sistema que rastreava pessoas em alta resolução. O setor precisa encarar o que destruiu
  • Ao fundir fontes de dados, dá para fazer muito mais do que parece.
    Há pesquisas relacionadas como Large-Scale Online Deanonymization with LLMs e Robust De-anonymization of Large Sparse Datasets
  • Seja governo ou empresa de publicidade, ninguém precisa saber onde eu estou. Mesmo que o dado seja “aproximado”, isso ainda é violação de privacidade
  • Concordo completamente

• É uma pena que a Privacy Act tenha deixado uma exceção para fins de aplicação da lei. Na época, provavelmente ninguém imaginava que toda ação do governo passaria a ser chamada de “aplicação da lei”
  Há um marco ético para o tratamento de dados pessoais pelo governo dos EUA chamado Fair Information Practice Principles
  Mas, na prática, o padrão do governo fica no nível de “serve se houver finalidade legal”, então ele para no mínimo jurídico, em vez de priorizar o interesse público

  • O problema não é a lei, e sim a própria existência dos dados. Se os dados existem, o governo ou alguém de dentro inevitavelmente vai abusar deles

• Ultimamente minha visão sobre privacidade está mudando. Não parece mais algo apenas defensivo; agora dá a sensação de estar sob ataque ativo
  As pessoas estão perdendo sustento e reputação por causa de invasões de privacidade. Eu quase não posso fazer nada, e as empresas sabem até quando eu vou ao banheiro
  Elas mostram isso em anúncios e vendem os dados para que instituições corruptas abusem disso legalmente
  No fim, quando a única opção que resta é “apanhe e fique quieto”, eu já não sei quem vai nos proteger

  • Mesmo assim, dá para melhorar aos poucos. Já existem serviços de remoção de dados pessoais que ajudam a gerenciar os dados que já se espalharam

• É irônico que usem dinheiro do contribuinte para rastrear contribuintes e ainda sustentar a indústria da publicidade

• Eu só tenho 26 apps instalados no celular. Desses, 4 são extensões do Safari, 1 é um PWA e 1 é um app que eu mesmo fiz
  Com o NextDNS, eu bloqueio rastreamento o máximo possível e não uso redes sociais. Acho que, na prática, isso é o melhor que dá para fazer

  • Mas o próprio celular envia continuamente dados de localização para a operadora. O governo pode obter esses dados sem mandado. No fim, esses esforços não passam de “teatro de privacidade”
  • Além disso, o celular transmite localização precisa para as torres de celular 24 horas por dia

• Parece que o conto “Scroogled (2007)”, do Cory Doctorow, virou realidade
  Link do texto original

  • Em 2007 isso soava como teoria da conspiração, mas era antes das revelações do Snowden (2013). O diretor da NSA disse “nós matamos pessoas com metadados” sete anos depois disso
    A erosão da privacidade vem acontecendo de forma lenta, mas constante, e no fim está abrindo a porta para o ‘Turnkey Tyrant’ (uma ditadura pronta para uso imediato)
  • Não é mais uma fase de “imitação”, e sim de implementação
  • Era uma boa história

• Fiquei surpreso ao descobrir que o comentário apagado (octoclaw) era um LLM. De qualquer forma, o problema é como esses dados são baratos e fáceis de obter. Não é só o governo; qualquer um pode ter acesso
  Por isso, o celular só deveria ser levado quando for realmente necessário

  • O comentário foi apagado justamente porque era um LLM
  • Mas, do ponto de vista do consumidor comum, esses dados não são tão baratos assim

• Fico me perguntando se leis de proteção de dados no estilo europeu conseguiriam impedir isso. Mas, considerando a situação política dos EUA, parece improvável que uma lei assim surja

  • Mesmo que criem a lei, se o governo a ignorar, ela não serve de nada
  • Em teoria, se você recusar o consentimento nos pop-ups e também rejeitar todos os itens ocultos de “interesse legítimo”, os dados não deveriam ser coletados, mas na prática, por causa de dark patterns e de sistemas de auditoria opacos, os dados da maioria das pessoas continuam sendo coletados
    Além disso, se é o próprio governo que compra esses dados, dificilmente ele vai fiscalizar violações cometidas pelas empresas
  • A pergunta “leis no estilo europeu resolveriam?” é simplista demais. O problema não é apenas a ausência de lei, mas o fato de que
    1. apps coletam dados de localização precisa,
    2. a infraestrutura publicitária os transmite via RTB,
    3. corretores os revendem,
    4. o governo contorna a coleta direta comprando os dados,
    5. e os órgãos reguladores não conseguem impedir essa estrutura
       O GDPR é mais rígido, mas, por causa das limitações de fiscalização, o ecossistema de adtech continua existindo
       No fim, o ponto central não é “lei no estilo europeu”, e sim um desenho institucional real que inclua limitação de coleta, proibição de revenda, proibição de compra pelo governo e obrigação de auditoria

• Já trabalhei de perto com esse tipo de sistema de dados. Pela política interna, havia o princípio de não vigiar cidadãos dos EUA, mas, na prática, a rede de revenda de dados era gananciosa demais. Quanto mais vendia, mais dinheiro entrava

  • Mas então como se determina a cidadania? Por exemplo, eu sou cidadão dos EUA, mas criei minha conta do Gmail na Austrália, e às vezes o acesso me redireciona para um domínio australiano. Nesse caso, meus dados poderiam ser classificados como de estrangeiro e entrar nesse monitoramento?