Komisi Komunikasi Federal AS (FCC) Menjatuhkan Denda kepada Operator Seluler Terbesar karena Berbagi Data Lokasi

• FCC menjatuhkan denda total hampir 200 juta dolar kepada AT&T, Sprint, T-Mobile, dan Verizon karena secara ilegal membagikan informasi lokasi kepada pihak ketiga tanpa persetujuan pelanggan
  • Sprint dan T-Mobile bergabung setelah penyelidikan dimulai, dan masing-masing menghadapi denda 12 juta dolar dan 80 juta dolar
  • AT&T dikenai denda lebih dari 57 juta dolar, sementara Verizon sekitar 47 juta dolar

Pelanggaran kewajiban melindungi data pelanggan

• Hasil penyelidikan Biro Penegakan FCC menemukan bahwa masing-masing operator menjual akses ke informasi lokasi pelanggan kepada "aggregator", yang kemudian menjual kembali akses tersebut kepada penyedia layanan berbasis lokasi pihak ketiga
• Masing-masing operator berusaha mengalihkan kewajiban memperoleh persetujuan pelanggan kepada penerima hilir informasi lokasi, yang berarti dalam banyak kasus persetujuan pelanggan yang sah tidak diperoleh
• Kegagalan awal ini menjadi lebih parah ketika operator terus menjual akses ke informasi lokasi tanpa mengambil langkah-langkah yang wajar untuk melindunginya dari akses tanpa izin, bahkan setelah menyadari bahwa pengaman yang ada tidak efektif

Kewajiban melindungi informasi pelanggan berdasarkan Pasal 222 Undang-Undang Komunikasi

• Berdasarkan hukum termasuk Pasal 222 Undang-Undang Komunikasi, operator wajib mengambil langkah-langkah yang wajar untuk melindungi informasi pelanggan tertentu, termasuk informasi lokasi
• Selain itu, operator harus menjaga kerahasiaan informasi pelanggan dan memperoleh persetujuan pelanggan yang aktif dan eksplisit sebelum menggunakan, mengungkapkan, atau mengizinkan akses ke informasi tersebut
• Kewajiban ini tetap berlaku sama ketika operator membagikan informasi pelanggan kepada pihak ketiga

Pernyataan Direktur Biro Penegakan FCC, Loyaan A. Egal

• "Perlindungan dan penggunaan data pribadi sensitif seperti informasi lokasi adalah sesuatu yang tidak dapat diganggu gugat"
• "Jika jatuh ke tangan yang salah atau digunakan untuk tujuan jahat, hal itu membahayakan kita semua"
• "Karena kekuatan musuh asing dan penjahat siber telah memprioritaskan untuk mendapatkan informasi ini, prioritas tertinggi Biro Penegakan adalah memastikan penyedia layanan memiliki perlindungan yang wajar untuk melindungi data lokasi pelanggan dan memperoleh persetujuan yang sah atas penggunaannya"

Finalisasi Notices of Apparent Liability (NAL) yang diterbitkan pada Februari 2020

• Forfeiture Orders yang diumumkan hari ini memfinalisasi Forfeiture Orders yang diterbitkan kepada operator-operator ini pada Februari 2020
• Besaran denda untuk AT&T dan Sprint tidak berubah sejak tahap NAL
• Denda untuk T-Mobile dan Verizon dikurangi setelah peninjauan tambahan atas pengajuan para pihak terhadap NAL
• Hukum tidak mengizinkan jumlah denda untuk pelanggaran tertentu dinaikkan setelah NAL diterbitkan

Opini GN⁺

• Kebocoran tanpa izin atas informasi lokasi sensitif pelanggan oleh operator, ditambah kegagalan menyiapkan pengaman yang memadai untuk mencegahnya, merupakan masalah yang sangat serius. Ini makin mengkhawatirkan karena kekuatan musuh asing dan penjahat siber diketahui memburu informasi semacam ini
• Namun, tindakan kali ini terasa terlalu terlambat. Tampaknya denda sudah diumumkan sejak 2020, tetapi keputusan final baru keluar empat tahun kemudian, dan ini tampak bermasalah. Diperlukan tindakan yang cepat dan tegas terhadap kebocoran informasi pelanggan
• Di sisi lain, besaran denda ini mungkin tidak menjadi pukulan besar bagi operator sebesar itu. Untuk mencegah terulangnya kebocoran informasi pelanggan, mungkin diperlukan sarana sanksi yang lebih kuat
• Operator telekomunikasi domestik perlu menjadikan kasus ini sebagai pelajaran, memperkuat pengaman untuk melindungi informasi pelanggan, dan mematuhi peraturan terkait secara ketat. Khususnya untuk informasi sensitif seperti data lokasi, kehati-hatian yang lebih besar diperlukan

[GN⁺]

Opini Hacker News

Berikut adalah ringkasan poin-poin utama dari komentar Hacker News, diformat sebagai daftar poin menggunakan Markdown:

• Isu utamanya adalah transparansi:

  • Pengguna ingin melihat kepada siapa perusahaan menjual atau memberikan informasi mereka dan batasan apa yang berlaku atas penjualan tersebut.
  • Jika sebuah perusahaan mengumpulkan data pengguna dan mengizinkan entitas lain mengaksesnya, mereka harus memberi tahu pengguna dan memudahkan untuk memblokirnya.
  • Sebagian besar penyalahgunaan data pribadi akan hilang jika orang-orang tahu bahwa itu sedang terjadi.

• Denda $200 juta tidak signifikan bagi operator-operator ini:

  • Hanya diperlukan sekitar 9 jam dari gabungan pendapatan harian T-Mobile, AT&T, dan Verizon untuk menghasilkan pendapatan sebesar $196 juta.
  • Kemungkinan besar tidak akan ada perubahan selain menambahkan catatan kaki pada kebijakan privasi.

• Kekhawatiran tentang efektivitas tindakan FCC:

  • Tanpa mewajibkan mekanisme opt-out yang terpisah, operator bisa saja menambahkan "berbagi data lokasi" ke EULA/kebijakan privasi dan tetap melanjutkan dengan "persetujuan".
  • Ini tampak seperti hambatan sementara yang tidak mengubah apa pun dalam jangka panjang.

• Reaksi positif terhadap tindakan FCC:

  • Sebagian orang senang melihat FCC mengambil tindakan dan mendorong mereka untuk terus melakukannya.

• Pertanyaan tentang aparat penegak hukum yang mengakali surat perintah:

  • Ada kekhawatiran bahwa aparat penegak hukum AS mungkin membeli jenis data komersial ini untuk menghindari keharusan mendapatkan surat perintah.

• Startup terkait yang menawarkan layanan seluler tanpa data pribadi:

  • Cape mengumpulkan pendanaan $61 juta dari A16Z dan pihak lain untuk layanan seluler yang tidak menggunakan data pribadi.

• Perbandingan dengan skandal pengawasan AT&T/NSA:

  • Sebagian orang mempertanyakan apakah ada yang pernah didenda atas tindakan AT&T yang membiarkan NSA menyadap semua data jaringan yang telah didekripsi, yang tampaknya lebih parah.

• Pertanyaan tentang dampaknya terhadap agregator data lokasi:

  • Sebagian orang penasaran apakah ada yang menggunakan vendor seperti Zumigo, LocationSmart, atau Microbilt yang melihat sinyal/ketersediaan data menjadi lebih lemah terkait hal ini.
  • Ada ekspektasi bahwa sumber pelacakan akan tetap tersedia tetapi dengan pengungkapan baru yang "lebih transparan".

• Mempertanyakan apakah Google Fi menjual data lokasi pengguna:

  • Seorang komentator penasaran apakah layanan seluler Google sendiri, Google Fi, menjual data lokasi real-time pengguna.