Direktur FBI mengonfirmasi lembaganya melacak warga AS dengan membeli data lokasi

• FBI secara resmi dikonfirmasi membeli data lokasi yang dijual secara komersial untuk melacak warga Amerika Serikat
• Data ini berasal dari informasi yang dikumpulkan melalui aplikasi smartphone dan game umum, lalu disediakan lewat broker data
• FBI menyatakan hal ini legal bahkan tanpa surat perintah, dan disebut sejalan dengan Konstitusi serta Electronic Communications Privacy Act (ECPA)
• Senator Ron Wyden mengkritiknya sebagai pelanggaran Amendemen Keempat Konstitusi, dan menuntut pelarangan pembelian informasi tanpa surat perintah
• Di Kongres, telah diajukan Government Surveillance Reform Act yang mencakup penutupan celah pengawasan broker data

---

FBI kembali membeli data

• Dalam kesaksian di Kongres, terungkap bahwa FBI kembali mulai membeli data dan riwayat lokasi warga AS
  • Ini merupakan pengakuan resmi pertama sejak 2023
  • Mantan direktur Christopher Wray sebelumnya mengakui adanya pembelian di masa lalu, tetapi saat itu mengatakan bahwa “saat ini tidak membeli”
• Data tersebut disediakan oleh broker data, yang terutama menjual informasi yang dikumpulkan dari aplikasi dan game konsumen

Posisi FBI dan dasar hukumnya

• Direktur Kash Patel mengatakan FBI membeli “informasi komersial yang sesuai dengan Konstitusi dan Electronic Communications Privacy Act (ECPA)”
  • Ia bersaksi bahwa informasi semacam itu telah menghasilkan “pengumpulan intelijen yang berguna”
• Juru bicara FBI menolak memberikan komentar tambahan selain pernyataan Patel
  • Frekuensi pembelian data maupun detail spesifik broker yang bertransaksi tidak diungkap

Kontroversi pembelian data tanpa surat perintah

• Senator Ron Wyden mengkritik tindakan FBI sebagai “cara untuk mengakali Amendemen Keempat Konstitusi”
  • Amendemen Keempat menetapkan bahwa pemerintah memerlukan surat perintah dari hakim untuk menggeledah atau menyita perangkat maupun data pribadi
• Dalam beberapa tahun terakhir, lembaga pemerintah AS telah menggunakan pembelian data komersial untuk menghindari proses surat perintah pengadilan

Kasus serupa di lembaga pemerintah lain

• Customs and Border Protection (CBP) AS juga dipastikan membeli data yang dikumpulkan dari layanan real-time bidding (RTB)
  • RTB adalah teknologi inti industri periklanan yang mengumpulkan informasi lokasi dan identitas untuk penargetan iklan
  • Perusahaan pengawasan dapat memakai proses ini untuk mengetahui lokasi pengguna, lalu menjualnya ke broker data atau lembaga pemerintah

Kekosongan hukum dan respons legislasi

• FBI mengklaim bahwa penggunaan data semacam ini tidak memerlukan surat perintah, tetapi dasar hukum tersebut belum pernah diuji di pengadilan
• Senator Wyden dan pihak lain mengajukan rancangan undang-undang bipartisan Government Surveillance Reform Act
  • RUU ini mencakup kewajiban surat perintah pengadilan ketika lembaga federal membeli informasi warga AS dari broker data

[GN⁺]

Opini Hacker News

• Masalah yang jauh lebih serius adalah siapa yang menjual data tersebut
  Aplikasi konsumen menyertakan SDK iklan → SDK mengirim sinyal lokasi ke bursa iklan RTB → perusahaan yang bertujuan melakukan pengawasan mengumpulkan data selama proses penawaran → lalu data itu mengalir ke broker data yang tidak punya hubungan langsung dengan konsumen, dan dijual ke lembaga pemerintah dan pihak lain
  Di setiap tahap, tanggung jawab tersebar sehingga tidak ada yang benar-benar memverifikasi persetujuan yang sah. Pada akhirnya, inti masalahnya adalah data ini telah berubah menjadi komoditas yang bisa dibeli siapa saja

  • Apple dan Google juga mendorong penjualan data ini
    Dalam model yang memonetisasi informasi pribadi lewat aplikasi gratis, kedua perusahaan mengklaim melakukan tinjauan keamanan dengan imbalan komisi tinggi, tetapi pada praktiknya mereka tahu dan membiarkannya terjadi
    Di level OS, tidak sulit untuk mengetahui aplikasi mana yang melakukan hal seperti ini
  • Kedua ujung perdagangan data harus sama-sama diblokir
    Penjualan data tanpa persetujuan eksplisit harus dilarang, dan pembelian data semacam ini oleh pemerintah juga harus dilarang berdasarkan Amendemen Keempat Konstitusi AS
    Bahkan jika persetujuan untuk penggunaan oleh pemerintah diwajibkan, secara realistis tidak ada yang akan memberikan persetujuan seperti itu
  • Saya hanya menyisakan aplikasi yang benar-benar perlu dan menghapus semua sisanya
    Setelah beberapa waktu, Anda akan terkejut melihat betapa banyak aplikasi yang sebenarnya tidak berguna
  • Struktur RTB sudah ada lebih dari 10 tahun
    Saya tahu perusahaan mobil menjual data ke perusahaan asuransi, tetapi saya penasaran apakah pemerintah juga bisa membeli data itu secara komersial
  • Ringkasannya akurat
    Satu game yang dipasang setahun lalu bisa jadi awal dari masalah
    Penting untuk selalu memeriksa pengaturan layanan lokasi di smartphone, dan itu juga membantu menghemat baterai

• Saya rasa data lokasi harus diatur setingkat dengan penyadapan
  Diperlukan persetujuan eksplisit untuk memberikan informasi lokasi saya ke pihak ketiga, dan persetujuan umum tidak cukup
  Terutama untuk data yang bisa mengidentifikasi seseorang secara real-time, aturannya harus jauh lebih ketat

  • Jangan membuat celah seperti “dugaan persetujuan yang wajar dan beritikad baik”

• Dalam putusan Carpenter v. United States (2018), pemerintah dinyatakan memerlukan surat perintah untuk memperoleh informasi lokasi dari operator telekomunikasi
  Namun, jika pengguna telah menyetujui pelacakan lokasi di aplikasi, maka penjualan data oleh perusahaan menjadi persoalan lain
  Akar masalahnya adalah orang terlalu mudah melepaskan privasi demi menggunakan teknologi

  • Celahnya selalu “keamanan nasional”. Mahkamah Agung pun tidak menegakkannya dengan benar
  • Pemerintahan Trump mengakalinya dengan mengabaikan putusan yang tidak mereka sukai

• Dulu pernah ada presentasi DIY oleh peneliti Jerman di Chaos Computer Conference yang melacak pola pergerakan para politisi
  Sekarang sulit ditemukan lewat pencarian

  • Membagikan artikel terkait dari Ars Technica dan video YouTube

• Third Party Doctrine harus dihapus
  Masalah mendasarnya harus diselesaikan lewat legislasi terhadap pengumpulan dan pembagian data

  • Pengembang seharusnya membuat produk yang sama sekali tidak menangani data pengguna dan menyatakannya secara transparan
    Jika kualitasnya mirip, orang akan memilih produk yang berfokus pada privasi

• Peran FBI adalah menyelidiki kejahatan domestik
  Tetapi mengapa perusahaan swasta begitu aktif ikut dalam ekosistem pelacakan ini masih menjadi pertanyaan
  Pola pikir seperti “kalau tidak ilegal, tidak ada yang perlu dikhawatirkan” adalah masalahnya

  • Ini semata-mata bisnis cari uang. Modelnya beli data murah lalu jual mahal, dan sebagian besar broker data memang sudah punya reputasi buruk
  • Mengawasi seluruh warga bukanlah tugas FBI
  • Alasan perusahaan ikut serta cuma satu, yaitu uang. Kalau menghasilkan, mereka akan melakukannya
  • Saat tindakan buruk yang ilegal menjadi legal, itu lebih buruk, dan kalau sampai diwajibkan, itu yang paling buruk
  • Perusahaan yang berorientasi laba punya kewajiban hukum untuk memaksimalkan keuntungan pemegang saham
    FBI memanfaatkan Third Party Doctrine untuk mengakali semangat Amendemen Keempat
    Kongres tidak melegalkannya karena ingin menghindari tanggung jawab

• Saya penasaran bagaimana SDK iklan masih melacak pengguna di iOS meski GUID sudah hilang

  • Hanya dengan data lokasi saja, seseorang bisa diidentifikasi
    Misalnya, pola berada di kompleks apartemen tertentu pada malam hari dan di kantor tertentu pada siang hari hampir pasti unik
  • Melakukan fingerprinting pada perangkat yang memasang aplikasi juga semudah di browser web
    Dengan IP, lokasi, pola penggunaan aplikasi, ukuran layar, versi OS, dan lainnya, identifikasi probabilistik sudah sangat mungkin dilakukan

• Tulisannya bagus, tetapi saya tidak setuju dengan kesimpulannya
  Data bisa ditafsirkan dengan berbagai cara

• Ini adalah tindakan untuk mengakali Amendemen Keempat

  • Benar. Tetapi itu bukan inkonstitusional
    Senator Wyden juga mengatakan bahwa membeli informasi orang Amerika tanpa surat perintah adalah hal yang memicu kemarahan karena mengakali Amendemen Keempat
    Karena alasan inilah AS membutuhkan undang-undang privasi yang kuat. Saat pemilu, kita perlu mencari kandidat yang mendukung hal tersebut

• AS punya ekspektasi yang ganda terhadap pemerintah dan perusahaan
  Pemerintah diharapkan mematuhi hukum dan transparan, sementara perusahaan dianggap hanya mengejar keuntungan
  Karena itu FBI tidak melakukan pengawasan secara langsung, melainkan memilih membeli data lewat perusahaan yang “memang diakui serakah sejak awal”
  Struktur seperti ini adalah contoh sempurna penghindaran tanggung jawab