Primeira lei dos EUA que proíbe a venda de dados de localização de celulares pode estar a caminho

 (wsj.com)
1 pontos por GN⁺ 2023-07-11 | 1 comentários | Compartilhar no WhatsApp
  • O Legislativo de Massachusetts está avaliando uma proposta para proibir quase totalmente a comercialização de dados de localização provenientes de dispositivos móveis de consumidores; se implementada, pode ser o primeiro caso do tipo nos EUA
  • A Location Shield Act é um projeto de lei abrangente que busca restringir significativamente a prática de coletar e vender dados de localização de celulares
  • A partir de uma audiência pública realizada no mês passado, passou a ser alvo de regulação a forma como informações de localização de consumidores do estado são negociadas por meio de data brokers
  • O projeto de lei aplicaria, na maioria dos casos, a exigência de mandado judicial quando órgãos de aplicação da lei acessarem dados de localização
  • Se o fornecimento de informações de localização sem autorização judicial for bloqueado, isso também imporá restrições diretas à indústria de dados de localização, avaliada em bilhões de dólares

A Location Shield Act de Massachusetts

  • O Legislativo de Massachusetts está avaliando uma proposta para proibir quase totalmente a compra e venda de dados de localização provenientes de dispositivos móveis de consumidores do estado
  • A Location Shield Act prevê reduzir significativamente a prática de coletar e vender dados de localização de celulares
  • O Legislativo estadual realizou uma audiência pública sobre esse projeto de lei no mês passado
  • A medida pode se tornar a primeira tentativa, em nível estadual nos EUA, de controlar a indústria de dados de localização, avaliada em bilhões de dólares

Restrição ao acesso de órgãos de aplicação da lei a dados de localização

  • A Location Shield Act introduz a exigência de mandado judicial para o acesso de órgãos de aplicação da lei a dados de localização
  • Data brokers não poderiam fornecer informações de localização de residentes de Massachusetts sem autorização judicial na maioria das situações
  • O projeto de lei trata tanto da limitação da comercialização de dados de localização quanto da restrição ao acesso para fins de aplicação da lei

Leituras relacionadas

1 comentários

 
GN⁺ 2023-07-11
Opiniões no Hacker News

  • Comecei a me interessar por essa situação quando descobri um bug que permitia que qualquer pessoa rastreasse a localização de alguém apenas pelo número de celular: https://arstechnica.com/information-technology/2018/05/servi...
    Nesse caso, como o site estava vendendo dados de localização em tempo real vindos das operadoras, na prática não havia como uma pessoa se proteger, exceto usando um celular descartável ou simplesmente não usando celular
    É bom ver medidas fortes contra a venda de dados de localização, e espero que a proibição seja ampliada. Seria ótimo se isso também se aplicasse ao Canadá

    • "Krebs prossegue citando um representante da Electronic Frontier Foundation, dizendo que as operadoras móveis são obrigadas por lei a saber a localização aproximada de seus clientes caso ela seja necessária para serviços de emergência 911. No entanto, é menos claro se as operadoras podem vender ou fornecer essas informações a terceiros. Parece que haverá muito mais investigação sobre isso nas próximas semanas e meses."
      Na prática, basta olhar para as MVNOs que oferecem serviços móveis pré-pagos. Algumas desativam certos recursos se o cliente não informar um endereço E911 real
      Talvez fosse o caso de impor limites à forma como esses dados podem ser usados
    • Foi muito bom terem exposto isso. Fico me perguntando se as operadoras canadenses também estão fornecendo essas informações a terceiros
      Também me pergunto se há alguma que, pelo histórico de conduta ética ou de defesa do consumidor, pareça improvável que faça isso. Por exemplo, algo como a TekSavvy no lado das operadoras
    • Não adianta não carregar um celular
      Não adianta tirar o SIM
      Olhe ao redor e há câmeras por toda parte. Não apenas aquelas no teto do supermercado que anunciam descaradamente "sou uma câmera", mas também as câmeras dos celulares que todo mundo ao redor carrega, capazes de identificar instantaneamente sua identidade e sua localização em escala de metros com base no rosto e em várias informações biométricas
      No momento em que você fala, o padrão da sua voz revela imediatamente sua identidade
      Celulares descartáveis já são coisa de um passado distante. No momento em que você fala, no momento em que é captado por uma câmera, o IMEI do celular descartável pode ser mapeado à sua identidade muito rapidamente
      Os métodos usados hoje são muito mais sofisticados do que as tecnologias sobre as quais você já leu
      Mesmo um drone a 20 mil pés de altitude consegue identificar uma pessoa em uma multidão de 2.000 com base em som do coração, respiração, formato da cabeça, orelhas, nariz, rosto, contorno facial, a sombra que o corpo projeta em determinado horário, singularidade da marcha etc. Acrescente um pouco de análise estatística e fica difícil se esconder, mesmo tentando
      Se você acha que a escuridão vai escondê-lo, não vai

  • "Legisladores de Massachusetts estão considerando uma proibição quase total da compra e venda de dados de localização provenientes de dispositivos móveis de consumidores no estado, o que pode se tornar a primeira tentativa nos EUA de regular uma indústria de bilhões de dólares.
    No mês passado, a legislatura estadual realizou uma audiência sobre um projeto de lei chamado Location Shield Act. A proposta abrangente restringe fortemente a prática de coletar e vender dados de localização vindos de celulares em Massachusetts. Ela também exige mandado para que órgãos de aplicação da lei acessem dados de localização e, na maioria dos casos, proíbe que corretores de dados forneçam informações de localização de residentes do estado sem autorização judicial.
    ...
    Nenhum estado ainda proibiu completamente a venda de dados de localização de seus residentes. A abordagem mais comum em outros estados é exigir que serviços digitais e corretores de dados obtenham consentimento claro do consumidor para coletar dados e impor algumas restrições à transferência e venda."

    • "Consentimento claro" acaba não sendo diferente de enterrar uma frase de aceitação nos termos de uso que ninguém lê
    • Acho que o consentimento por si só já se mostrou um mecanismo falho. Os requisitos de processamento legítimo/necessário do GDPR mostram o caminho adiante
      1. Um site não deveria poder exigir consentimento para permissões desnecessárias como condição de uso
      2. Eu deveria poder revogar e apagar minhas permissões de dados a qualquer momento, e isso deveria se aplicar de forma propagada. O site também deve apagar todos os dados compartilhados com subprocessadores e, antes de compartilhá-los, deve ter garantias contratuais de que eles conseguirão cumprir isso
    • Como a maior parte das comunicações sem fio é regulada pela FCC, pode ser difícil fazer isso em nível estadual ou local
    • Se for aprovado, será que ficaria possível ir a Massachusetts, obter um dispositivo em conformidade e lucrar com isso?
    • A Constituição dos EUA tem a Cláusula de Comércio Interestadual, que impede os estados de interferirem ou bloquearem o comércio entre estados. Uma proibição da venda de dados de localização dentro de Massachusetts teria efeito real?

  • Para quem tiver curiosidade, apps de clima costumam estar entre os piores e mais comuns infratores nesse problema. É natural que as pessoas queiram que o widget de clima seja atualizado onde quer que estejam, mas, no backend, esses apps de clima estão repassando dados do NWS, que são gratuitos e públicos, enquanto vendem tudo o que podem sobre o usuário

    • Acho que esse foi um dos principais motivos pelos quais a Apple comprou o app DarkSky. Ela integrou a tecnologia ao app nativo de clima para fechar a brecha de segurança de apps externos
    • Vale conferir o Yr, do Instituto Meteorológico Norueguês. Não tem nenhum anúncio e funciona em praticamente qualquer lugar do mundo
    • O widget de clima do Android oferece dados de previsão mais locais do que o site do NWS. O site do NWS quase sempre acaba fixando a referência no aeroporto da região
      Se você mora perto de um lago grande, o clima local pode ser bem diferente mesmo que o aeroporto seja relativamente próximo. Os dados certamente vêm todos do NWS, mas o NWS não os disponibiliza de uma forma que dê acesso fácil a todas as informações
    • https://www.nwsnow.net/
      Sem anúncios
      Sem rastreamento de usuários
      GPS desnecessário
      Fornece dados não filtrados do NWS, incluindo discussões de previsão
    • Se você não viaja o tempo todo, um único local estático — cidade, bairro ou CEP — basta para o app de clima. Se o trabalho fica muito longe de casa, talvez dois locais bastem, e a maioria das pessoas não vive viajando

  • Pode parecer uma ideia absurda, mas vale ouvir: e se, antes de qualquer órgão do governo, em qualquer nível, receber meus dados de um terceiro, ele tivesse que apresentar causa provável, obter um mandado assinado por um juiz, e o terceiro tivesse que me avisar legalmente antes de entregar os dados, para que eu pudesse contratar um advogado e contestar o mandado?
    Parece loucura, né? Como se fosse respeitar de fato a Quarta Emenda

    • Se comprarmos e divulgarmos os dados de localização de todos os parlamentares por um período suficientemente longo, acho que conseguiremos o que queremos
    • "O direito do povo de estar seguro em suas pessoas, casas, papéis e pertences contra buscas e apreensões irrazoáveis não será violado, e nenhum mandado será emitido senão com base em causa provável, apoiada por juramento ou afirmação, e descrevendo particularmente o lugar a ser revistado e as pessoas ou coisas a serem apreendidas."
      Neste caso, qual parte da Quarta Emenda o governo está violando?

  • Fico curioso para saber onde dá para comprar esses datasets para fins de pesquisa pessoal. Uma empresa também poderia comprar esses datasets caso quisesse fazer vendas outbound direcionadas?
    Eu vi a manchete e entendo que há empresas que oferecem isso como serviço para órgãos de aplicação da lei. Para serem úteis, parece que os dados teriam que ser desanonimizados
    De quem e onde se consegue esse tipo de dado?

    • Como ponto de partida, eu olharia as empresas listadas no California data broker registry
      https://www.oag.ca.gov/data-brokers
      Se você tiver dinheiro para comprar alguns datasets que provavelmente tenham sobreposição, a desanonimização não deve ser tão difícil
    • Não há lugares que vendam para pessoas físicas. A Sprint vendia dados de localização de clientes por meio de uma subsidiária chamada Pinsight. Entre as empresas que vendem dados de localização hoje estão Advan Research, Placer.ai, SafeGraph etc.
    • Não conheço ninguém que venda dados de localização em nível individual. Todo mundo no ecossistema tem medo demais de fazer isso e, sinceramente, nem está claro como monetizar.
      Pela minha experiência, o ponto central é observar padrões de fluxo de pessoas, estimativas demográficas, quais outros tipos de comércio as pessoas visitam etc. É a análise de negócios baseada em localização típica
    • Se você quiser rastrear apenas algumas pessoas, basta listar todas as entidades que têm esses dados. Depois, descobrir com quais data brokers elas negociam e seguir recursivamente. Encontre funcionários de todas as empresas envolvidas e separe algumas centenas de dólares, que parecem ser o preço de mercado, e pronto[0]
      Para fins de pesquisa, não sei. De alguma forma você teria que lidar diretamente com uma dessas empresas, então eu começaria conversando com elas
      [0] - https://www.vice.com/en/article/nepxbz/i-gave-a-bounty-hunte...
    • Boa pergunta. Sempre ouço dizer que isso acontece, mas nunca vi acontecer de fato

  • Isso me lembrou de quando Massachusetts aprovou uma lei de direito ao reparo em 2020. Pelo que encontrei, parece que a NHTSA neutralizou essa lei [1] :/
    É bom que os estados estejam forçando os limites dos direitos digitais. Espero que este caso tenha um futuro mais promissor. Não me vem à cabeça, de imediato, uma agência federal capturada pela indústria que tenha jurisdição para neutralizar isso
    [1]: https://www.thedrive.com/news/feds-tell-automakers-to-ignore...

    • Isso é o laboratório da democracia. Os estados aprovam leis diferentes, e essas leis são contestadas nos tribunais. As leis são ajustadas e o processo se repete. No fim, quando houver compreensão suficiente, será possível aprovar leis parecidas em todos os lugares, ou em âmbito nacional
    • Não foi invalidada; eles só disseram às pessoas para não seguirem a lei
      Então isso acaba criando uma situação estranha que terá que ser resolvida nos tribunais

  • Dá arrepios quando, depois de visitar uma região, começo a receber ligações de spam daquele DDD. Fica claro que empresas, e empresas suspeitas ainda por cima, sabem que não estou em casa e sabem onde estou

    • Isso realmente acontece? Moro em Seattle, mas ainda uso um número de Idaho. Quase todas as ligações de spam vêm de Idaho
      O especialmente engraçado é que o iPhone mostra a região aproximada do número que está ligando, e Idaho só tem um código de área. Então recebo ligações de números de cidades onde nunca estive

  • https://archive.is/M7quL

    • Esse link dá erro de SSL

  • Proibir a venda só desloca o problema para outro lugar. As operadoras já pararam, em sua maioria, de "vender" os dados, internalizaram a análise de publicidade e outras formas de mineração, e agora vendem acesso a isso em vez dos dados brutos
    Como é provável que ganhem mais dinheiro com a análise do que vendendo apenas os dados brutos, para elas é lucro dos dois lados

  • Não entendo. A venda de dados de localização é uma violação de privacidade tão óbvia. Nem vamos entrar nessa bobagem de "anonimização". Tanto a venda quanto a compra deveriam virar imediatamente crime federal

    • Porque é vantajoso para o governo que esses dados estejam geralmente disponíveis. Se os dados estão legalmente "na rua", por que precisariam de autorização judicial?
    • A lei está ultrapassada. Escuta telefônica é crime, mas coletar histórico de navegação não é. O correio dos EUA é protegido por lei, mas e-mail não é
      Até a lei ser aprovada, os data brokers continuarão fazendo negócios e, mesmo depois, vão empurrar até o limite legal