テキサス州、GMを相手に運転者の個人情報を違法に収集・販売した疑いで提訴 [pdf]

[GN⁺]

Hacker Newsのコメント

• 関連プレスリリース: https://www.texasattorneygeneral.gov/news/releases/attorney-...

• GMC車の所有者として、問題のサービスだったOnStar Smart Driverが終了するという、一見無邪気なメールを受け取った
  このサービスが複数の米国法に違反し、顧客の同意なくデータを保険会社に送っていたことを考えると、こうした行為は加害者であるGMなどから巨額の金を回収するまで止まらないだろうから、GMには大きな痛手を受けてほしい

  • 単に巨額というだけでは不十分で、その取引で稼いだ額より一桁以上大きい金額であるべき
    企業が違法行為で稼いだ額よりはるかに少ない金額で、手首を軽く叩かれるだけで済むケースが多すぎる
    盗品を売って捕まった一般人は、稼いだ金をすべて差し出したうえで罰金まで払わなければならないのに、なぜ企業には同じように適用しないのか理解できない
  • 法人が人間だというなら、「服役」している間、なぜ法人設立認可が取り消されないのか疑問だ
  • 関係する役員に実刑を科し、違法取引の売上の数倍を課せば、業界が方向を正すには十分なインセンティブになりそうだ
  • 一定額の基準を超える犯罪行為なら、取締役会にいた人たちの報酬全額を没収して罰金の支払いに充てる方式がいいと思う
    現職・元取締役の別荘やその他の資産まで差し押さえ、その資金が尽きたら会社の金庫を空にして株主に負担を回せばよい
    もちろん「明日自分が狙われる時に備えてボーナスをどう隠すか」といった手口は出てくるだろうが、傲慢さと予測不能性のせいで、目玉が飛び出るほど大きな見せしめはそれでも出てくるはずだ
    悪事を働き、そこから利益を得た人たちが払うべきなので、これは正義にかなっている
  • 会社が十分に大きな罰金を払うか、その行動を助長した取締役会レベルの幹部が実際の期間、刑務所に入るかのどちらかを選ばせてもよい
    選択肢は3つだ: 悪事をしない、稼いだ額より多く払う、あるいは2つ目の選択肢の金を盗んだ場合と同じ期間、刑務所に行く
    スケープゴートではなく、実際の責任者が行くべきだ

• こういうことはめったに言わないが、よくやったTexas！ こういうことをしているすべてのメーカーに対して、全州が動くべきだ

  • 止まった時計も1日に2回は正しい、というやつそのものだ

• Paxtonは腐敗した人物だが、この件では良い戦いをしている
  TexasはMetaの顔認識スキャンについて14億ドルの和解を勝ち取っており、今回の件は保険料上昇という点で被害者の金銭的被害がはるかに大きい
  https://boingboing.net/2024/07/31/meta-to-pay-1-4bn-for-unau...
  次はこのデータを使った保険会社を追跡し、違法データの使用で得た超過利益を吐き出させ、可能なら3倍の罰金まで科すべきだ

  • 効率的な市場では、保険料は本質的にゼロサムに近い
    ある人が自分のリスクを反映して多く払えば、他の人たちはその分少なく払う
    安全運転者が危険運転者を補助しており、より良い予測情報があれば、この補助は減らせるし減らすべきだ
  • 「Paxtonは腐敗している」と言うとき、実際に盗みをしていると信じているという意味なのか、有罪判決を受けたという意味なのか、それとも有罪判決を受けるべきだという意味なのか気になる
    Paxtonが犯罪で有罪判決を受けたことはあるのか？ それとも有罪だと信じる犯罪で起訴されたことがあるのか？
  • 保険会社がこのデータを使うことがなぜ違法なのか分からない
    保護対象集団に対する差別を立証できないなら、どう違法なのか確信が持てない
  • Texasの司法長官は一人の人間ではなく、組織全体だ
    外見だけで判断したがる一方で、この場合にはそれを脇に置けるという点が分かるのはよい
    わざわざこういう宣言をしなければならないと感じるのは、いつも奇妙だ
  • Metaが個人に悪影響を与えることをしたのに、結果としてTexas州が14億ドルを手にするのが、どうして「良い戦い」なのかよく分からない
    そういうやり方は遠慮したい

• 車のセルラーシステムを簡単に無効化しにくい点にはいら立った
  昔の車なら適切なケーブルを抜くだけでオフにできたが、最近の車ではセルラーシステムが他の構成要素と統合されていて、切ってしまうとエンジン警告灯が恒久的に点灯する、といった具合だ
  理想的には、アンテナシステムとECMの間に挟み、テレメトリパケットだけを選択的に捨てるCAMモジュールのようなものがあるとよい

  • アンテナを見つけて50Ω抵抗に置き換え、全体をホイルで包んで車体に接地した
    エンジン警告灯もなく、信号もない
  • 自分のBoltではまだ手を付けていないが、そのヒューズを抜くとハンズフリー通話用マイクもオフになると聞いた
    エンジン警告灯より大きな欠点かもしれない
    おそらくアンテナを切り離してダミーロードを付ける必要がありそうだ
    LexisNexis絡みの問題のせいで、本当にやる必要はある
  • アンテナを殺しても、警告灯以上に他の機能が壊れないのか気になる
    セルラーでGPSを「補強」しているなら、統合GPSも壊れる可能性があるのでは？
    他にどんなリスクがあるだろう？ 以前、CANバスが無線で「ハッキング」されて車が停止した事例を見たことがなかったか？ メーカーが法執行機関に意図的に許可した機能は別としても、だ
  • 私の車にはセルラーシステムがない :)
    2004年式だ

• 「安全」と「プライバシー保護」を理由にAndroid AutoとCarPlayの統合を中止するという、あのGMのことか？

  • そのデータを自分たちで収集して収益化したいからだ

• 直近で車を買うときに要件リストを作り、合う車が見つからなければそもそも買わないことにした
  リストの最上位は「私を監視しないこと」で、結局 Data Communications Module（DCM）のヒューズを外すことで、すべての条件を満たす車を見つけた

  • メーカーによっては、工場出荷状態にリセットせずにディーラーへ持ち込んではいけない場合がある
    インフォテインメントが整備士の立ち上げた Wi-Fi に接続し、保存済みデータがあればすべてアップロードする
    もちろん Android Auto のような統合アプリや他のサードパーティーアプリを使わないという前提も必要で、そうしたアプリもデータを持っていく
    かつてこうしたシステムのソフトウェアエンジニアだったが、これが自分が離れた理由の一つだった
    根本にある考え方は、顧客が車を買って店を出た後は、もはや顧客の車ではないというものだ
  • 結果を共有しないのか？ 1台だけだったのか？

• 位置情報のような危険なほど侵襲的なデータは、HIPAA のような規制を受けるべきだ
  承認なしに流出させたり売ったりした場合、ユーザーごとの無断位置データポイント1件につき10万ドルを課せばいい
  そうすれば、その種のデータは資産ではなく負債になり、問題はほぼ解決するはずだ

  • みんなで言おう：「EU の GDPR を昨日付で米国法に移植しろ！」

• 他州の患者の非公開医療データを受け取る権利があると言っていた、あの Texas のことか？
  https://www.thestranger.com/news/2023/12/21/79315926/texas-t...
  Texas が身体に関する個人情報よりも、財産に関する個人情報を気にするのは驚きではない

• 通信会社や Facebook のように、個人情報の収集・販売について拒否する選択肢を与えない企業の慣行が長らく容認されてきたのなら、なぜこの件が成功するべきなのか想像しにくい
  Texas に本当に度胸があるなら、明示的な同意なしに個人情報の収集と販売を禁じる法律を通していたはずだ
  だが案の定、そうはしていない

  • 少なくとも Facebook の場合、ユーザーはそうすることに同意していた
  • 米国ではこうした同意トグルがデフォルトでオンになっていることが多いが、以前の職場の法務チームは EU ではデフォルトがオフになるよう徹底していた
  • TDPSA は California の CCPA/CPRA、Virginia の VCDPA、EU の GDPR と同様に、同意を求めているように見える