Google位置情報データには合理的なプライバシー期待がないとの第4巡回区控訴裁判所判決
(fourthamendment.com)- 米国第4巡回区控訴裁判所は United States v. Chatrie で、Googleに自発的に共有された位置履歴には合衆国憲法修正第4条上の 合理的なプライバシー期待 がないと、2対1で判断
- この判断は、Location Historyがデフォルトでオフであり、ユーザーが位置共有、アカウントでのオプトイン、Location Reporting、ログインなどを経て初めて保存が始まるという仕組みに基づいている
- GoogleはLocation Historyを Sensorvault に保存しており、ジオフェンス令状は特定の時間・地域内の匿名デバイス番号と座標、タイムスタンプ、信頼区間、データソースなどを要求する
- 法執行機関による geofence warrant の請求は2016年以降急増し、Googleは2018年から請求範囲を段階的に絞り込む3段階の対応手順を運用している
- 今回の判決は、位置情報に基づく大量照会が修正第4条上の捜索に当たるのかをめぐる対立を深め、モバイル位置情報データと法執行捜査の境界を改めて浮き彫りにしている
第4巡回区控訴裁判所の判決とLocation Historyの前提
- United States v. Chatrieで、第4巡回区控訴裁判所はGoogle位置情報データについて 合理的なプライバシー期待 がないと判断した
- 判決は2024年7月9日に2対1で出された
- 中核となる前提は、ユーザーが当該データをGoogleに 自発的に共有 している点
- Location History はデフォルトではオフであり、Googleによる追跡と保存が始まるには、ユーザーが複数の設定を経る必要がある
- モバイル端末で位置共有をオンにする
- インターネットブラウザ、Googleアプリ、Android端末の設定などを通じて、GoogleアカウントのLocation Historyにオプトインする
- Googleは有効化の前に、サービスの基本内容を説明する文言を表示する
- モバイル端末で「Location Reporting」機能をオンにする
- その端末でGoogleアカウントにログインする
- オプトイン後も、ユーザーは保存された位置情報データについて一定のコントロールを維持する
- すでに収集された情報を確認、修正、削除できる
- 特定の日付のデータだけを残して残りを削除したり、全体を削除したりすることも可能
- 今後のLocation Historyの収集を一時停止できる
- Googleはユーザーの選択に従うとしている
- Location Historyが有効になると、Googleはユーザーがスマートフォンを使っていない間もGPSで位置を継続的に監視する
- Androidでは「Google Location Accuracy」をオンにすると、Wi-Fiアクセスポイントやモバイルネットワークなど、GPS以外の入力も使用する
- Location Historyは、セルサイト位置情報のような他の位置追跡方式より精密な場合がある
- ただしGoogleの位置履歴は端末の位置に関する 推定値 であり、各位置座標にはメートル単位の「confidence interval」が含まれる
- Googleは特定の位置点について、ユーザーがその信頼区間内にいる確率を68%と表示する
Sensorvaultとジオフェンス令状の手続き
- GoogleはすべてのLocation Historyデータを Sensorvault という保存先に保管する
- Sensorvaultは各端末に一意の識別番号を付与する
- 端末に紐づくLocation Historyデータを保持する
- Googleはこのデータを、Google Mapsのようなアプリケーションを補助する集計モデルの構築に使用する
- 法執行機関は2016年からGoogleに geofence warrant を送り始めた
- ジオフェンス令状は、特定の時間に特定の地理的区域内にいたすべてのユーザーのLocation Historyデータを提出するよう求める
- Googleは、ジオフェンス請求が2017年から2018年の間に1,500%、2018年から2019年の間に500%増加したと明らかにしている
- Googleはユーザープライバシーへの脅威を懸念し、2018年に社内法務チームおよび法執行機関と協議した後、3段階の対応手順を作成した
- Googleの3段階手順は、匿名データからアカウント識別情報へ進む前に、請求範囲を絞り込むよう設計されている
- ステップ1: GoogleはLocation History保存先全体を検索し、指定された時間・ジオフェンス内にいたユーザーを探し、匿名デバイス番号、緯度・経度、タイムスタンプ、信頼区間、GPSまたはWi-Fiといったデータソースを提供する
- Googleは開示前に請求を審査し、過度に広いと判断した場合は異議を申し立てる
- ステップ2: 法執行機関は追加情報が必要な場合、ステップ1で特定されたユーザーの一部について、より広い期間とジオフェンス内外の移動座標を請求できる
- ステップ3: 法執行機関は捜査に関連する個人を定めたうえで、Googleに氏名やメールアドレスなどのアカウント識別情報を要求する
- Googleは通常、前のステップより請求対象を絞るよう求め、ステップ2で特定されたすべてのユーザーの身元をそのまま要求できないようにしている
- Bloombergの Geofence Warrant Decision Exposes Hole in Fourth Amendment Law は、この割れた控訴審判断により、政府によるGoogleモバイル端末位置情報データの取得が憲法上の審査から外れることになったと見ている
- 同記事は、第4巡回区控訴裁判所が反対意見にもかかわらず、ジオフェンシングの使用は修正第4条上の捜索に当たらないと結論づけた、と要約している
- Techdirtの Fourth Circuit Finds In Favor Of Geofence Dragnet Deployed To Catch Robbery Suspect も更新としてリンクされている
1件のコメント
Hacker Newsのコメント
Googleは位置データを端末側へ移し、サーバーからは削除している最中です。以下の引用のように、この変更によりGoogleは、特定の事件周辺にあったすべての端末情報を求めるジオフェンス令状に、もはや応じなくなります
https://news.ycombinator.com/item?id=40869536
Googleサーバーにデータベースの暗号化バックアップを保存する方法は引き続き提供されていますが、デフォルトではオフです。バックアップを簡単にオンにできるようなモーダルポップアップも表示されず、ユーザーが自分でUIボタンを押して、案内シートとバックアップ有効化ボタンのあるモーダルを開く必要があります
この変更については、世間は政府に感謝すべきです。政府がGoogleに令状を大量に送りつけていなければ、Googleはこのデータを収集・保管し続けていたでしょう
データの収集と保存が令状を招き、令状が削除の決定を招きました。いわゆるテック企業は、経済的価値が不明確であっても、一般の人々のプライバシーを害するデータを収集・保存します
実際には別の設定タブの中にあり、まったく分かりやすくありません
Googleアカウントを長年使っている全員に当てはまる話では決してありません。以前は位置データが**デフォルトで収集され、拒否する（opt-out）**方式だったからです
積極的に同意したことはなく、Googleも以前の黙示的同意者たちをあらためて明示的同意方式へ移行させるためにトラッキングをオフにはしませんでした。おそらく2010年代前半ごろに、opt-outからopt-inへと文化が変わったのでしょう
ロケーション履歴は、実質的には自分の位置データを見たいかどうかを尋ねる設定に近いものです
E911システムからGoogle Play Services、マップなどに至るまで、位置データは引き続き収集され、複数の企業間で販売・統合されています
現代の携帯電話では、スタック内のどの提供者に対しても、位置情報の報告を完全にオフにすることは不可能です
携帯電話にはGrapheneOSを使っていて、オフラインのOrganic Mapsを除くすべてのアプリの位置情報権限を拒否しています
家の外で発信通話をしなければならないごくまれな場合を除き、常に機内モードをオンにしておく習慣もあります。AT&Tが全顧客の三角測量による位置データを漏えいさせたという最近の事実を見ると、過剰反応だとは感じません
プライバシーは重要ですが、人が自分に電話をかけられるというのは非常に便利なので、手放したくありません。もっと良い解決策が必要です
機内モードが実際に無線送受信機をオフにしないのではないかと心配もしましたが、少なくともRedditで見かけたGoogle検索結果の一つでは、オフにするとされていました。GrapheneOSの公式回答ではありませんでした
Googleロケーション履歴の代わりになる、プライバシーに配慮した代替手段はあるでしょうか？ 旅行中にどこへ行ったかを記録する機能は気に入っています
自分だけかもしれませんが、ときどき懐かしさがこみ上げたときに、足跡をたどり直して忘れていた記憶や場所を見つけるのが好きです
履歴データは現在、携帯電話に保存されます。クラウドバックアップは任意で、デフォルトではオフです。オンにしても常にエンドツーエンド暗号化されるため、位置履歴データベースにGoogleサーバーからアクセスすることはできません。Googleはこうした問題に対応するため、この変更を行いました
現代社会がますますこうしたアプリケーションの利用を求めているという現実が抜け落ちている。同意せざるを得ない選択肢を提示することに意味はない。
さらに、アプリが提供していると信じているサービスのために自分のデータを使うことを許可するのと、そのデータをその他あらゆる用途に使うこととの間には大きな違いがある。
アクティブなGoogleユーザーの約3分の1がロケーション履歴をオンにしているという。これはAndroid端末における何らかのオプトアウト式の必須位置情報レポートではなく、具体的には明示的同意に基づくロケーション履歴サービスについての話である。
誰もがオンラインで、誰もが携帯電話を持ち、誰もがニュースや大衆文化を追い、日食や映画『Barbie』と『Oppenheimer』のような一時的な話題に一緒に注目する、という前提を受け入れているのだ。
誰でも現代世界のどの部分であれ避けることを選べる。私たちはその世界の一部であって、被害者ではない。
私たちが必須だと見なした製品から企業が利益を得ることについて、合理的に期待できることは何か。利益を出せない製品を誰が作り、支えるのか。
EUはFacebookにトラッキングなしのバージョンを提供するよう求め、Metaは有料プランを作った。すると今度は、トラッキングなしのバージョンに料金を課すなと再び求めた。それなら、Facebookがサービスを提供しても利益を出せないのであれば、なぜEUに残るべきなのか。
Metaの事業に涙する人はいないだろうが、Facebookは人々が互いにつながるための巨大な手段だ。Google Mapsも理論上は同じ運命をたどり得るし、無料の地図アクセスは公共財のように見える。YouTubeも教育コンテンツのために公益性があり得る。
いまや効果的なオンライン広告のおかげで、「無料」でありながら社会に有益であり得る製品のリストは非常に大きくなった。億万長者企業の利益率を心配しようというのではなく、私たちが彼らに依存するようになっており、彼らが利益を法律で消し去られることを利他的に受け入れるわけではない、という点に向き合う必要がある。
答えは明らかに「いいえ」だ。何十万人もの従業員がいる会社に情報を渡しているからだ。そのようにプライバシーを手放すだけの十分な理由があると思うかどうかは別の問題である。
この設定をオンにしていなければ、Google が位置データを追跡しないと本気で信じている人はいるのだろうか？ 内部告発者でもいない限り、誰に分かるというのか？
ロケーション履歴は、Google がユーザーに自分で収集・確認させてくれるデータのように見えるだけで、Google が収集している位置データ全体ではない。これには周辺の Wi-Fi ネットワーク、近くの携帯電話、その他の Bluetooth 機器から得られるデータも含まれる
ユーザーが同意した後でも、Google がすでに得た情報を確認・修正・削除できるという言い方は、かなり誤解を招く。ユーザーの端末が Google に送った位置情報は見られるが、そのデータをもとに Google がユーザーについて作った推定情報は見たり消したりできない
人々が心配しているのは、土曜の夜ごとによく行く場所を示す GPS 座標の一覧そのものではない。その座標が、たとえばゲイバーで数時間過ごしていたことを示すという事実のほうが大きな問題だ
Google アカウントから GPS 座標の一覧を削除しても、Google がそのデータを受け取った瞬間に付けたであろう「このユーザーはゲイで、毎週土曜にゲイバーによく行く」といったフラグは消せない
この人に起きたこと（https://www.nbcnews.com/news/us-news/google-tracked-his-bike...）は、システム全体と警察によるその利用方法に欠陥があり危険だという良い兆候だと思う
さらに悪いのは、Google は氷山の一角にすぎないという点だ。私たちを追跡しているのは携帯電話だけでなく、通信事業者、通り過ぎる任意のカメラやナンバープレート・通行料金トランスポンダーの読み取り機、「スマート」カーなどもある。普通の米国人がまったく制御できない追跡があまりに多く、警察や他の主体がそこにアクセスできる。もっと強力な保護措置が本当に必要だ
「このユーザーは毎週土曜にゲイバーによく行く」のようなフラグを Google が実際に付けているという証拠はあるのか？ リンク先の自転車盗難の事例は、「この人は午後4〜6時に自転車に乗る」と記録する機械学習システムより、警察がジオフェンス令状を使ったという説明のほうが単純だ
しかし、Google が身元と結び付いた別の位置データを持っているとは思わない。警察がそのデータを要求していたなら、関連記事が出ていたはずだからだ
追加情報：
Is This the End of Geofence Warrants?
https://www.eff.org/deeplinks/2023/12/end-geofence-warrants
完全に終わったわけではないかもしれない。別の位置データがどこかに保存されている可能性もある。それでも、こうした変化が起きたときには成果を祝うことが重要だ
笑えるが、同時に腹立たしい出来事だった。母は Google に位置追跡を頼んだことはない
巨大企業を信頼しているかと言えば、そうではないが、莫大な法的反動がある状況であからさまに嘘をつかない程度には信頼している
Google は弁護士の多い巨大企業で、すでに多くのデータを追跡していることで知られている。ユーザーの選択を無視するのは重大な違反であり、評判上のリスクも大きい。会社が正直でいる必要があると感じるほど、法的な罰則は大きいはずだ
データのエクスポートを要求してみれば、保存されている役に立たないものまで見つかるが、法律や利用規約に反する何かをチーム単位で秘密裏に作り、法務部まで全員が見て見ぬふりをしていた可能性がどれほどあるというのか？
私が働いたことのある場所はどこでも、位置情報になり得るデータに触れるだけでプライバシーと法務のレビューが必要だった。ましてやユーザーと結び付けて保存したり使ったりする場合は言うまでもない。内部告発者や漏洩がないという事実は、そうしたことが起きていないという強い兆候と見るべきだ。Google は漏洩をうまく防ぐ会社でもないし、解雇後の社員たちもかなりシニカルになっている
「ゲイバー」のような例については、一部の法域に派生データに関する弱い保護があるようだが、法の空白である可能性が高い。派生位置データと見なされ、一緒に削除される可能性もある
警察による濫用に関する論点には完全に同意する
iPhone を使えばいい。Android と iOS が同等だとしても、Apple の売上は圧倒的にハードウェアとサービスが基盤で、Google の売上は圧倒的に広告と追跡が基盤だ
数十年前までさかのぼるSensorVault 令状は、すでに2019年の NYT 記事で説明されており、ここではそれを取り上げている
https://www.nytimes.com/interactive/2019/04/13/us/google-loc...
未解決事件まで解決できる
新しい点は、ユーザーが位置追跡を拒否できるということだ。しかし SensorVault、つまり位置報告データは削除しないだろう
機能をオンにすることが、その機能が収集したデータを Google などに渡すこととどう同じなのか？ コンピューターのバックアップをオンにしたら、連邦政府がそれをすべて読めるという意味なのか？