Bea Cukai dan Perlindungan Perbatasan AS (CBP) melacak pergerakan orang dengan memanfaatkan ekosistem iklan online

• CBP membeli data lokasi dari industri iklan online untuk melacak pergerakan individu, sebagaimana terungkap dalam dokumen internal Department of Homeland Security (DHS)
• Data ini dikumpulkan dari aplikasi umum seperti game, aplikasi kencan, dan pelacak kebugaran, sehingga memungkinkan pemantauan perubahan lokasi pengguna secara rinci dalam jangka panjang
• Dokumen tersebut menunjukkan potensi risiko besar ketika data iklan digunakan sebagai alat pengawasan oleh lembaga pemerintah
• ICE (Immigration and Customs Enforcement) juga membeli alat serupa untuk memantau pergerakan ponsel di seluruh wilayah, dan sedang meninjau kemungkinan memperoleh data tambahan dari ‘Ad Tech’
• Sekitar 70 anggota parlemen meminta inspektur jenderal DHS untuk menyelidiki pembelian data lokasi oleh ICE, sehingga menyoroti masalah transparansi penggunaan data oleh pemerintah

---

Pemanfaatan data iklan oleh CBP

• Menurut dokumen internal DHS, CBP membeli data lokasi yang dikumpulkan dari ekosistem iklan online untuk melacak pergerakan orang
  • Data dikumpulkan melalui aplikasi umum seperti video game, layanan kencan, dan pelacak kebugaran
  • Dengan ini, pergeseran lokasi yang akurat dan rute pergerakan individu dapat dipetakan berdasarkan waktu
• Dokumen tersebut menunjukkan bahwa data seperti ini merupakan alat yang kuat untuk tujuan pengawasan oleh lembaga pemerintah
  • Sekaligus mengindikasikan adanya risiko pelanggaran privasi pribadi

Kasus serupa pembelian data oleh ICE

• ICE (Immigration and Customs Enforcement) juga diketahui membeli alat serupa yang dapat memantau pergerakan ponsel di seluruh wilayah
  • ICE baru-baru ini juga menyatakan ketertarikan untuk memperoleh data teknologi iklan (Ad Tech) tambahan
• Setelah laporan dari 404 Media, fakta terkait terungkap melalui dokumen pengadaan publik

Respons Kongres

• Sekitar 70 anggota parlemen mengirim surat kepada inspektur jenderal DHS untuk mendesak dimulainya penyelidikan baru atas pembelian data lokasi oleh ICE
  • Surat tersebut menyoroti legalitas pembelian data dan potensi penyalahgunaan pengawasan

Penilaian para ahli

• Johnny Ryan dari Irish Council for Civil Liberties (ICCL) menyebut data iklan sebagai “tambang emas yang dapat melacak lokasi dan perilaku konsumsi semua orang”
  • Ia memperingatkan bahwa penjualan data iklan dapat menjadi ancaman serius terhadap perlindungan privasi

Pemberitahuan pembatasan akses artikel

• Artikel penuh merupakan posting khusus anggota berbayar, dan memerlukan langganan untuk membaca seluruh isinya
  • Tautan untuk mendaftar gratis atau login juga disediakan

[GN⁺]

Komentar Hacker News

• Tautan arsip artikel

• Aku sering menangani data iklan dalam pekerjaanku, dan ada banyak bagian yang disalahpahami wartawan
  Data lokasi sebenarnya sangat tidak akurat. Karena OS dan browser cukup baik dalam memblokir akses lokasi, informasi lokasi yang disediakan jaringan iklan kebanyakan hanyalah perkiraan kasar berbasis IP
  Jaringan iklan punya insentif untuk melebih-lebihkan kualitas data. Dan pelacakan per pengguna jauh lebih sulit daripada yang dibayangkan. Walaupun SDK tiap aplikasi mengirim sinyal, kalau tidak ada kunci untuk menghubungkan pengguna antar-aplikasi, semuanya diperlakukan sebagai data yang terpisah
  Itu sebabnya iklan kadang ditampilkan berdasarkan riwayat pencarian orang lain yang memakai IP yang sama
  Khususnya, data bidstream hanyalah potongan informasi pada saat penayangan iklan real-time, jadi kurang cocok untuk melacak individu. Data seperti milik Mobilewalla lebih berguna untuk analisis pola daripada pelacakan individu
  Lembaga pemerintah pun pada praktiknya hanya memakai data ini secara terbatas — misalnya CBP mencoba mendeteksi aktivitas ponsel yang tidak biasa di wilayah perbatasan, dan IRS pernah mencoba memakai data Venntel tetapi gagal
  Pada akhirnya, menurutku satu-satunya solusi adalah penghapusan bertahap iklan yang dipersonalisasi. Dalam kondisi sekarang, pemerintah belum sampai pada tingkat mampu mengidentifikasi individu lewat data ini

  • Dulu aku bekerja di industri ad-tech lalu keluar. Perusahaan bernama Factual memakai geofence yang jauh lebih kecil daripada yang diizinkan kebijakan mereka sendiri, dan perusahaan kami tetap memakainya meski tahu itu
    CEO berkata, “kami tidak membuatnya sendiri jadi tidak masalah,” tetapi pada akhirnya kami tetap menjadi perantara dalam sistem yang melacak orang dengan resolusi tinggi. Industri ini harus berani melihat kerusakan yang sudah ditimbulkannya
  • Jika sumber data di-fusion-kan, yang bisa dilakukan jadi jauh lebih banyak daripada dugaan orang.
    Ada riset terkait: Large-Scale Online Deanonymization with LLMs dan Robust De-anonymization of Large Sparse Datasets
  • Baik pemerintah maupun perusahaan iklan, tidak ada yang perlu tahu lokasiku. Sekalipun datanya “kasar”, itu tetap pelanggaran privasi
  • Sangat setuju

• Sangat disayangkan Privacy Act memberi pengecualian untuk tujuan penegakan hukum. Waktu itu mungkin mereka tidak membayangkan semua tindakan pemerintah suatu hari akan disebut ‘penegakan hukum’
  Untuk penanganan data pribadi oleh pemerintah AS, ada kerangka etis bernama Fair Information Practice Principles
  Tetapi secara praktis, standar pemerintah hanya sebatas “asal untuk tujuan yang sah”, jadi lebih berhenti pada minimum legal daripada kepentingan publik

  • Masalahnya bukan hukum, melainkan keberadaan data itu sendiri. Kalau datanya ada, pemerintah maupun orang dalam pada akhirnya akan menyalahgunakannya

• Belakangan ini cara pandangku soal privasi berubah. Bukan lagi sekadar bertahan, rasanya sekarang kita sedang diserang secara aktif
  Orang kehilangan mata pencaharian dan reputasi karena pelanggaran privasi. Hampir tidak ada yang bisa kulakukan, sementara perusahaan tahu sampai kapan aku pergi ke toilet
  Mereka menampilkannya dalam iklan, lalu menjual datanya agar lembaga korup bisa menyalahgunakannya secara legal
  Pada akhirnya, ketika satu-satunya pilihan yang tersisa adalah “diam saja dan terima”, aku benar-benar tidak tahu siapa yang akan melindungi kita

  • Meski begitu, keadaan masih bisa membaik sedikit demi sedikit. Sudah ada layanan penghapusan data pribadi yang membantu mengelola data yang telanjur tersebar

• Ironis sekali bahwa uang pajak dipakai untuk melacak pembayar pajak sekaligus menopang industri iklan

• Aku hanya memasang 26 aplikasi di ponsel. Dari jumlah itu, 4 adalah ekstensi Safari, 1 PWA, dan 1 aplikasi yang kubuat sendiri
  Dengan NextDNS aku memblokir pelacakan sebisa mungkin, dan aku tidak memakai media sosial. Secara realistis, menurutku itu yang terbaik yang bisa kulakukan

  • Tetapi ponsel itu sendiri terus-menerus mengirim data lokasi ke operator. Pemerintah bisa mendapatkan data itu tanpa surat perintah. Pada akhirnya, upaya seperti ini tidak lebih dari ‘teater privasi’
  • Selain itu, ponsel 24 jam sehari memancarkan lokasi yang akurat ke menara seluler

• Cerpen Cory Doctorow “Scroogled (2007)” terasa seperti sudah menjadi kenyataan
  Tautan teks asli

  • Pada 2007 itu terdengar seperti teori konspirasi, tetapi itu masih sebelum bocoran Snowden (2013). Kepala NSA berkata “kami membunuh orang dengan metadata” tujuh tahun setelahnya
    Pelanggaran privasi berlangsung perlahan namun konsisten, dan pada akhirnya membuka pintu bagi ‘Turnkey Tyrant’ (tirani yang siap diaktifkan kapan saja)
  • Ini bukan lagi tahap “meniru”, melainkan tahap “implementasi”
  • Cerita yang bagus

• Aku kaget mengetahui komentar mendiang octoclaw ternyata adalah LLM. Bagaimanapun, masalahnya adalah betapa murah dan mudahnya data itu diperoleh. Bukan hanya pemerintah, siapa pun bisa mengaksesnya
  Karena itu, seharusnya kita hanya membawa ponsel saat benar-benar perlu

  • Komentar itu mati justru karena itu LLM
  • Tetapi dari sudut pandang konsumen biasa, data ini tidak begitu murah

• Aku penasaran apakah undang-undang privasi ala Eropa bisa mencegah hal seperti ini. Tetapi melihat situasi politik di AS, kemungkinan lahirnya hukum semacam itu tampak kecil

  • Sekalipun hukumnya dibuat, kalau pemerintah mengabaikannya, itu tidak ada artinya
  • Secara teori, jika kita menolak persetujuan di popup dan juga menolak semua opsi ‘kepentingan sah’ yang tersembunyi, pengumpulan data seharusnya tidak terjadi. Tetapi dalam praktiknya, karena dark pattern dan sistem audit yang tidak transparan, data kebanyakan orang tetap saja dikumpulkan
    Lagi pula, kalau pemerintah membeli data semacam ini, kecil kemungkinan mereka akan menindak pelanggaran perusahaan
  • Pertanyaan “apakah hukum ala Eropa bisa mencegah ini?” terlalu sederhana. Masalahnya bukan sekadar tidak adanya hukum, melainkan struktur di mana
    1. aplikasi mengumpulkan data lokasi presisi,
    2. infrastruktur iklan menyiarkannya lewat RTB,
    3. broker menjualnya kembali,
    4. pemerintah mengakali pengumpulan langsung dengan membelinya, dan
    5. regulator gagal menghentikannya
       GDPR memang lebih ketat, tetapi karena keterbatasan penegakan, ekosistem adtech tetap masih ada
       Pada akhirnya, yang penting bukan “hukum ala Eropa”, melainkan desain kelembagaan yang nyata yang mencakup pembatasan pengumpulan, larangan penjualan ulang, larangan pembelian oleh pemerintah, dan kewajiban audit

• Aku pernah bekerja dekat dengan sistem data seperti ini. Secara kebijakan internal ada prinsip bahwa warga AS tidak diawasi, tetapi kenyataannya jaringan penjualan ulang data terlalu rakus. Semakin banyak yang dijual, semakin banyak uang yang dihasilkan

  • Tapi kalau begitu, bagaimana status kewarganegaraan ditentukan? Misalnya aku warga AS, tetapi membuat akun Gmail di Australia dan kadang terhubung ke domain Australia saat mengaksesnya. Dalam kasus seperti itu, dataku bisa saja diklasifikasikan sebagai milik orang asing dan ikut masuk ke pengawasan, kan?