- Foi oficialmente confirmado que o FBI está comprando dados de localização comercializados para rastrear cidadãos dos EUA
- Esses dados são coletados por meio de apps e jogos comuns de smartphone e fornecidos por corretores de dados
- O FBI afirma que isso é legal mesmo sem mandado, dizendo que está em conformidade com a Constituição e com a Electronic Communications Privacy Act (ECPA)
- O senador Ron Wyden criticou a prática como violação da Quarta Emenda, pedindo a proibição da compra de informações sem mandado
- No Congresso, foi apresentado o Government Surveillance Reform Act, incluindo o fechamento de brechas na supervisão de corretores de dados
FBI retoma compra de dados
- Em depoimento ao Congresso, foi confirmado que o FBI voltou a comprar dados e histórico de localização de americanos
- Este é o primeiro reconhecimento oficial do tipo desde 2023
- O diretor anterior, Christopher Wray, havia admitido compras no passado, mas disse na época que “atualmente não compramos”
- Os dados são fornecidos por corretores de dados, que vendem principalmente informações coletadas em apps e jogos voltados ao consumidor
Posição do FBI e base legal
- O diretor Kash Patel afirmou que o FBI compra “informações comerciais em conformidade com a Constituição e a Electronic Communications Privacy Act (ECPA)”
- Ele testemunhou que essas informações levaram a uma “coleta de inteligência útil”
- Um porta-voz do FBI se recusou a comentar além das falas de Patel em resposta a perguntas adicionais
- Não foram divulgados detalhes sobre a frequência das compras nem sobre quais corretores participaram das transações
Controvérsia sobre a compra de dados sem mandado
- O senador Ron Wyden criticou a conduta do FBI como uma “manobra para contornar a Quarta Emenda”
- A Quarta Emenda estabelece que o governo precisa de mandado judicial para revistar ou apreender dispositivos ou dados de uma pessoa
- Nos últimos anos, agências do governo dos EUA têm usado a compra de dados comerciais para evitar o processo de mandado na Justiça
Casos semelhantes em outros órgãos do governo
- A U.S. Customs and Border Protection (CBP) também foi identificada como compradora de dados coletados em serviços de real-time bidding (RTB)
- O RTB é uma tecnologia central da indústria de publicidade, usada para coletar informações de localização e identificação para segmentação de anúncios
- Empresas de vigilância podem usar esse processo para identificar a localização de usuários e depois vender essas informações a corretores de dados ou órgãos do governo
Vácuo legal e resposta legislativa
- O FBI afirma que não precisa de mandado para usar esses dados, mas essa base legal nunca foi validada pelos tribunais
- O senador Wyden e outros apresentaram o projeto bipartidário Government Surveillance Reform Act
- O projeto inclui a exigência de mandado judicial quando agências federais comprarem informações de americanos de corretores de dados
1 comentários
Comentários do Hacker News
O problema muito mais grave é quem vende os dados
O modelo funciona assim: um app de consumo inclui um SDK de anúncios → o SDK envia sinais de localização para uma exchange de anúncios RTB → uma empresa com objetivos de vigilância coleta os dados durante o processo de leilão → esses dados acabam indo para corretores de dados sem relação direta com o consumidor, que então os vendem para órgãos do governo e outros compradores
Em cada etapa, a responsabilidade fica diluída e ninguém verifica de fato o consentimento. No fim, o problema central é que esses dados viraram um produto que qualquer um pode comprar
No modelo em que apps gratuitos monetizam informações pessoais, as duas empresas afirmam fazer revisão de segurança em troca de altas taxas, mas na prática sabem do problema e deixam acontecer
No nível do sistema operacional, não é difícil identificar quais apps fazem isso
A venda de dados sem consentimento explícito deve ser proibida, e a compra desses dados pelo governo também deve ser proibida sob a Quarta Emenda
Mesmo que fosse necessário consentimento para uso governamental, na prática ninguém daria esse consentimento
Com o tempo, é surpreendente perceber quantos apps inúteis você acumulou
Eu sei que montadoras vendem dados para seguradoras, mas fico curioso se o governo também pode comprar esses dados comercialmente
Um único jogo instalado há 1 ano pode ter sido o começo do problema
É importante sempre conferir as configurações de localização do smartphone, e isso também ajuda a economizar bateria
Acho que dados de localização deveriam ser regulados no nível de leis de escuta
Para repassar minha localização a terceiros, deveria haver consentimento explícito, e consentimento genérico não deveria valer
Principalmente no caso de dados em tempo real capazes de identificar uma pessoa, o tratamento deveria ser ainda mais rigoroso
No caso Carpenter v. United States (2018), decidiu-se que o governo precisa de mandado judicial para obter dados de localização junto às operadoras
Mas quando o usuário concorda com rastreamento de localização em um app, a venda desses dados por empresas é outra questão
A causa raiz é abrir mão da privacidade com facilidade demais para usar tecnologia
Houve no passado uma apresentação faça você mesmo em um Chaos Computer Conference em que um pesquisador alemão rastreou padrões de deslocamento de políticos
Hoje é difícil encontrar isso por busca
É preciso abolir a Third Party Doctrine (doutrina do terceiro)
O problema fundamental da coleta e do compartilhamento de dados precisa ser resolvido por meio de legislação
Se a qualidade for parecida, as pessoas escolherão produtos centrados em privacidade
O papel do FBI é investigar crimes domésticos
Ainda assim, é questionável por que empresas privadas participam tão ativamente desse ecossistema de rastreamento
O problema é essa mentalidade de “se não é ilegal, não há com o que se preocupar”
O FBI está usando a doutrina do terceiro para contornar o espírito da Quarta Emenda
O Congresso evita legislar sobre isso para fugir da responsabilidade
Mesmo depois do fim do GUID no iOS, fico curioso sobre como SDKs de anúncios ainda rastreiam usuários
Por exemplo, um padrão em que alguém está em um certo conjunto de apartamentos à noite e em um certo escritório durante o dia é quase único
Com IP, localização, padrões de uso do app, tamanho da tela, versão do sistema operacional etc., já dá para fazer identificação probabilística
O texto foi bem escrito, mas não concordo com a conclusão
Os dados permitem várias interpretações
Isso é uma forma de contornar a Quarta Emenda
O senador Wyden também disse que comprar informações de americanos sem mandado é uma forma revoltante de driblar a Quarta Emenda
É por isso que os EUA precisam de uma lei de privacidade forte. É preciso procurar candidatos que apoiem isso nas eleições
Os EUA têm uma expectativa dupla em relação ao governo e às empresas
Espera-se que o governo cumpra a lei e seja transparente, enquanto as empresas são vistas como entidades que só buscam lucro
Por isso, o FBI não faz a vigilância diretamente; em vez disso, compra dados por meio de empresas cuja ganância já é tratada como algo normal
Essa estrutura é um exemplo perfeito de fuga de responsabilidade