RUU pertama di AS yang melarang penjualan data lokasi ponsel mungkin akan segera muncul

 (wsj.com)
1 poin oleh GN⁺ 2023-07-11 | 1 komentar | Bagikan ke WhatsApp
  • Legislator Massachusetts sedang mempertimbangkan langkah yang hampir sepenuhnya melarang perdagangan data lokasi yang berasal dari perangkat seluler konsumen, dan jika diberlakukan, ini bisa menjadi kasus pertama di Amerika Serikat
  • Location Shield Act adalah RUU komprehensif yang bertujuan sangat membatasi praktik pengumpulan dan penjualan data lokasi ponsel
  • Setelah sidang dengar pendapat yang digelar bulan lalu, cara informasi lokasi konsumen di negara bagian tersebut diperdagangkan melalui broker data masuk ke ranah regulasi
  • RUU ini mewajibkan persyaratan surat perintah dalam sebagian besar kasus ketika aparat penegak hukum mengakses data lokasi
  • Jika pemberian informasi lokasi tanpa izin pengadilan diblokir, industri data lokasi bernilai miliaran dolar juga akan terkena pembatasan langsung

Location Shield Act di Massachusetts

  • Legislator Massachusetts sedang mempertimbangkan langkah yang hampir sepenuhnya melarang pembelian dan penjualan data lokasi yang berasal dari perangkat seluler konsumen di negara bagian tersebut
  • Location Shield Act berisi langkah untuk sangat mengurangi praktik pengumpulan dan penjualan data lokasi ponsel
  • Legislator negara bagian mengadakan sidang dengar pendapat tentang RUU ini bulan lalu
  • Langkah ini bisa menjadi upaya tingkat negara bagian pertama di AS untuk mengendalikan industri data lokasi bernilai miliaran dolar

Pembatasan akses data lokasi oleh aparat penegak hukum

  • Location Shield Act memperkenalkan persyaratan surat perintah untuk akses aparat penegak hukum ke data lokasi
  • Dalam sebagian besar situasi, broker data tidak dapat memberikan informasi lokasi warga Massachusetts tanpa izin pengadilan
  • RUU ini sekaligus membahas pembatasan perdagangan data lokasi dan pembatasan akses untuk tujuan penegakan hukum

Bacaan terkait

1 komentar

 
GN⁺ 2023-07-11
Opini Hacker News

  • Saya pertama kali tertarik pada masalah ini ketika menemukan bug yang memungkinkan siapa pun melacak lokasi hanya dengan nomor ponsel: https://arstechnica.com/information-technology/2018/05/servi...
    Dalam kasus ini, situs tersebut menjual data lokasi real-time dari operator, jadi pada praktiknya hampir tidak ada cara bagi individu untuk melindungi diri selain memakai burner phone atau tidak memakai ponsel sama sekali
    Senang melihat ada tindakan tegas terhadap penjualan data lokasi, dan semoga larangannya diperluas lebih luas lagi. Akan bagus juga kalau ini berlaku di Kanada

    • "Krebs kemudian mengutip perwakilan Electronic Frontier Foundation yang mengatakan bahwa operator seluler secara hukum memang perlu mengetahui perkiraan lokasi pelanggan agar bisa digunakan untuk layanan darurat 911 bila diperlukan. Namun, apakah operator boleh menjual atau memberikan informasi itu kepada pihak ketiga jauh kurang jelas. Tampaknya akan ada penyelidikan yang jauh lebih besar soal ini dalam beberapa minggu dan bulan ke depan."
      Sebenarnya cukup lihat MVNO yang menyediakan layanan seluler prabayar. Beberapa menonaktifkan fitur tertentu jika pelanggan tidak mengirimkan alamat E911 yang sebenarnya
      Mungkin perlu ada pembatasan pada cara data itu digunakan
    • Mengungkap hal ini benar-benar langkah yang bagus. Saya penasaran apakah operator Kanada juga memberikan informasi seperti ini kepada pihak ketiga
      Saya juga penasaran apakah ada yang kemungkinan tidak melakukan itu karena punya rekam jejak perilaku etis atau advokasi konsumen. Misalnya semacam TekSavvy di dunia operator
    • Tidak ada gunanya juga tidak membawa ponsel
      Mencabut SIM juga tidak ada gunanya
      Lihat saja sekitar, kamera ada di mana-mana. Bukan cuma yang terang-terangan seperti di langit-langit supermarket yang seolah bilang "hai, aku kamera", tapi juga kamera ponsel yang dibawa semua orang di sekitar, yang bisa langsung mengenali identitas dan lokasi hingga hitungan meter berdasarkan wajah dan berbagai informasi biometrik
      Begitu Anda bicara, pola suara langsung mengungkap identitas
      Burner phone sudah jadi barang masa lalu. Begitu Anda berbicara atau tertangkap kamera, IMEI burner phone bisa sangat cepat dipetakan ke identitas Anda
      Metode yang dipakai saat ini jauh lebih canggih daripada teknologi yang pernah saya baca
      Bahkan drone di ketinggian 20.000 kaki dapat mengidentifikasi orang di tengah kerumunan 2.000 orang berdasarkan suara jantung, pernapasan, bentuk kepala, telinga, hidung, wajah, kontur wajah, bayangan tubuh pada waktu tertentu, keunikan gaya berjalan, dan sebagainya. Tambahkan sedikit analisis statistik, maka sangat sulit bersembunyi meski sudah berusaha
      Kalau Anda pikir kegelapan akan menyembunyikan Anda, ternyata tidak

  • "Para legislator Massachusetts sedang mempertimbangkan langkah yang hampir sepenuhnya melarang pembelian dan penjualan data lokasi dari perangkat seluler konsumen di negara bagian itu, yang bisa menjadi upaya pertama di AS untuk mengatur industri bernilai miliaran dolar.
    Bulan lalu, legislatif negara bagian menggelar dengar pendapat untuk RUU bernama Location Shield Act. Usulan komprehensif ini secara signifikan membatasi praktik pengumpulan dan penjualan data lokasi dari ponsel di Massachusetts. Ini juga mewajibkan surat perintah bagi aparat penegak hukum untuk mengakses data lokasi, dan dalam sebagian besar kasus melarang broker data memberikan informasi lokasi penduduk negara bagian tanpa izin pengadilan.
    ...
    Belum ada negara bagian yang sepenuhnya melarang penjualan data lokasi penduduk. Pendekatan yang paling umum di negara bagian lain adalah mewajibkan layanan digital dan broker data memperoleh persetujuan eksplisit konsumen untuk mengumpulkan data, serta memberlakukan beberapa pembatasan pada transfer dan penjualannya."

    • "Persetujuan eksplisit" pada akhirnya tidak beda jauh dari menyembunyikan kalimat persetujuan di dalam syarat penggunaan yang tidak pernah dibaca siapa pun
    • Menurut saya, hanya mengandalkan persetujuan sudah terbukti sebagai mekanisme yang cacat. Persyaratan pemrosesan yang sah/perlu dalam GDPR menunjukkan arah ke depan
      1. Situs tidak boleh bisa menjadikan persetujuan atas izin yang tidak perlu sebagai syarat penggunaan
      2. Saya harus bisa mencabut izin dan menghapus data saya kapan saja, dan ini harus berlaku secara berantai. Situs juga harus menghapus semua data yang dibagikan ke subprosesor, dan sebelum membagikannya harus punya jaminan kontraktual bahwa mereka dapat melaksanakannya
    • Karena sebagian besar komunikasi nirkabel diatur oleh FCC, ini mungkin sulit dilakukan di tingkat negara bagian atau pemerintah lokal
    • Kalau ini lolos, apakah berarti orang bisa pergi ke Massachusetts, mendapatkan perangkat yang patuh, lalu mengambil keuntungan dari situ?
    • Konstitusi AS punya klausul perdagangan antarnegara bagian yang melarang negara bagian mengganggu atau menghalangi perdagangan lintas negara bagian. Apakah larangan penjualan data lokasi di Massachusetts benar-benar akan berlaku?

  • Kalau ada yang penasaran, aplikasi cuaca sering kali menjadi pelaku paling buruk dan paling umum dalam masalah seperti ini. Wajar saja orang ingin widget cuaca terus diperbarui di mana pun mereka berada, tetapi di balik layar aplikasi cuaca ini mengambil data NWS yang tersedia gratis untuk publik lalu menjual apa pun yang bisa mereka jual tentang pengguna

    • Saya rasa ini salah satu alasan besar Apple mengakuisisi aplikasi DarkSky. Mereka mengintegrasikan teknologinya ke aplikasi cuaca bawaan untuk menutup celah keamanan dari aplikasi pihak ketiga
    • Coba lihat Yr dari Badan Meteorologi Norwegia. Tidak ada iklan sama sekali, dan berfungsi hampir di mana saja di seluruh dunia
    • Widget cuaca Android menyediakan data prakiraan yang lebih lokal daripada situs web NWS. Situs web NWS hampir selalu menguncinya ke bandara lokal
      Kalau Anda tinggal dekat danau besar, cuaca setempat bisa sangat berbeda meski bandara relatif dekat. Tentu semua datanya tetap berasal dari NWS, tetapi NWS tidak menyajikannya dengan cara yang memudahkan akses ke semua informasi
    • https://www.nwsnow.net/
      Tanpa iklan
      Tanpa pelacakan pengguna
      Tidak perlu GPS
      Menyediakan data NWS tanpa filter, termasuk diskusi prakiraan
    • Kecuali Anda memang selalu bepergian, aplikasi cuaca cukup memakai satu kota, lingkungan, atau kode pos yang statis. Kalau tempat kerja sangat jauh dari rumah, mungkin dua. Kebanyakan orang tidak terus-menerus bepergian

  • Kedengarannya seperti gagasan yang tidak masuk akal, tapi coba dengarkan. Bagaimana jika setiap lembaga pemerintah, di level apa pun, sebelum menerima dataku dari pihak ketiga, harus menunjukkan alasan yang cukup kuat dan mendapatkan surat perintah yang ditandatangani hakim, lalu pihak ketiga secara hukum wajib memberi tahu saya sebelum menyerahkan data itu agar saya bisa mencari pengacara dan menggugat surat perintah tersebut?
    Gila, ya? Seolah-olah kita benar-benar ingin menghormati Amandemen Keempat

    • Kalau Anda membeli dan memublikasikan data lokasi semua anggota legislatif selama periode yang cukup panjang, rasanya Anda bisa mendapatkan apa yang Anda inginkan
    • "Hak rakyat untuk merasa aman atas diri, rumah, dokumen, dan barang milik mereka dari penggeledahan dan penyitaan yang tidak masuk akal tidak boleh dilanggar, dan tidak ada surat perintah yang boleh diterbitkan kecuali berdasarkan alasan yang cukup kuat, didukung sumpah atau pernyataan, serta secara khusus menjelaskan tempat yang akan digeledah dan orang atau barang yang akan disita."
      Dalam kasus ini, bagian mana dari Amandemen Keempat yang sedang dilanggar pemerintah?

  • Saya penasaran di mana seseorang bisa membeli dataset seperti ini untuk tujuan riset pribadi. Jika sebuah perusahaan ingin melakukan outbound sales yang terarah, apakah mereka juga bisa membeli dataset seperti ini?
    Saya sudah melihat judul beritanya, dan saya juga paham ada perusahaan yang menyediakan ini sebagai layanan untuk penegak hukum. Agar berguna, datanya tampaknya harus dideanonomisasi
    Data seperti ini bisa didapat dari siapa, dan di mana?

    • Sebagai titik awal, saya mungkin akan melihat perusahaan-perusahaan yang terdaftar di California data broker registry
      https://www.oag.ca.gov/data-brokers
      Jika Anda punya cukup uang untuk membeli beberapa dataset yang kemungkinan saling tumpang tindih, deanonimisasi seharusnya tidak terlalu sulit
    • Tidak ada yang menjualnya ke individu. Sprint menjual data lokasi pelanggan melalui anak perusahaan bernama Pinsight. Perusahaan yang saat ini menjual data lokasi antara lain Advan Research, Placer.ai, dan SafeGraph
    • Saya tidak tahu ada yang menjual data lokasi tingkat individu. Semua pihak di ekosistem ini terlalu takut untuk melakukan itu, dan sejujurnya cara memonetisasinya juga tidak jelas
      Menurut pengalaman saya, inti utamanya adalah melihat pola pergerakan pengunjung, perkiraan demografi, dan tempat usaha lain apa yang didatangi orang. Ini lebih ke analisis bisnis berbasis lokasi pada umumnya
    • Jika Anda hanya ingin melacak beberapa individu, Anda tinggal membuat daftar semua pihak yang memiliki data tersebut. Lalu cari broker data yang berbisnis dengan mereka dan telusuri secara rekursif. Temukan para karyawan dari semua perusahaan terkait, lalu siapkan beberapa ratus dolar yang tampak seperti harga pasar, dan selesai[0]
      Untuk tujuan riset, saya kurang tahu. Karena bagaimanapun Anda harus berurusan langsung dengan salah satu perusahaan seperti ini, saya mungkin akan mulai dengan berbicara dengan mereka
      [0] - https://www.vice.com/en/article/nepxbz/i-gave-a-bounty-hunte...
    • Pertanyaan yang bagus. Saya selalu mendengar itu terjadi, tapi belum pernah benar-benar melihatnya terjadi

  • Ini mengingatkan saya pada Massachusetts yang meloloskan undang-undang hak untuk memperbaiki pada 2020. Setelah saya cek, tampaknya NHTSA telah melemahkan undang-undang itu [1] :/
    Bagus jika negara bagian mendorong batas dalam soal hak digital. Semoga kali ini masa depannya lebih cerah. Saya tidak langsung terpikir ada lembaga federal yang sudah dikuasai industri dan punya yurisdiksi untuk melemahkan yang ini
    [1]: https://www.thedrive.com/news/feds-tell-automakers-to-ignore...

    • Inilah laboratorium demokrasi. Negara bagian meloloskan undang-undang masing-masing, lalu undang-undang itu diperdebatkan di pengadilan. Hukum direvisi dan prosesnya diulang. Pada akhirnya, ketika pemahamannya sudah cukup matang, kita bisa meloloskan undang-undang serupa di mana-mana, atau secara nasional
    • Itu bukan dibatalkan, mereka hanya menyuruh orang untuk tidak mematuhi undang-undang itu
      Jadi akhirnya muncul situasi canggung yang harus diselesaikan di pengadilan

  • Rasanya menyeramkan ketika setelah mengunjungi suatu wilayah, saya mulai menerima panggilan spam dari kode area wilayah itu. Jelas sekali perusahaan-perusahaan, dan perusahaan yang mencurigakan lagi, tahu bahwa saya sedang tidak di rumah dan tahu saya sedang berada di mana

    • Itu benar-benar terjadi? Saya tinggal di Seattle tapi masih memakai nomor Idaho. Hampir semua panggilan spam saya datang dari Idaho
      Yang paling lucu, iPhone menampilkan perkiraan wilayah dari nomor penelepon, sementara Idaho hanya punya satu kode area. Jadi saya menerima telepon dari nomor kota yang belum pernah saya kunjungi seumur hidup

  • https://archive.is/M7quL

    • Tautan ini menghasilkan error SSL

  • Pelarangan penjualan hanya akan memindahkan masalah ke tempat lain. Operator telekomunikasi pada dasarnya sudah berhenti "menjual" data dan malah menginternalisasi analitik iklan dan penambangan lainnya, lalu menjual akses ke sana alih-alih data mentah
    Kemungkinan mereka menghasilkan lebih banyak uang dari analisis daripada hanya menjual data mentah, jadi bagi mereka ini menguntungkan dari dua sisi

  • Saya tidak mengerti. Menjual data lokasi adalah pelanggaran privasi yang terlalu jelas. Bahkan jangan mulai dengan omong kosong seperti "anonimisasi". Menjual maupun membeli data semacam itu seharusnya langsung menjadi kejahatan federal

    • Karena data seperti itu umumnya tersedia, itu menguntungkan pemerintah. Kalau datanya secara legal sudah beredar "di jalanan", buat apa perlu izin pengadilan
    • Hukumnya sudah ketinggalan zaman. Penyadapan telepon adalah tindak pidana, tapi pengumpulan riwayat penjelajahan web bukan. Surat pos di Amerika dilindungi secara hukum, tapi email tidak
      Sampai undang-undangnya disahkan, broker data akan terus berbisnis, dan setelah disahkan pun mereka akan terus mendorong sampai tepat di batas legal