Flock Safetyへの個人情報収集拒否要請と同社の対応

 (honeypot.net)
2 ポイント 投稿者 GN⁺ 15 일 전 | 1件のコメント | WhatsAppで共有
  • カリフォルニア州在住者が Flock Safety に対し、自身と家族、車両に関する 個人情報の削除および収集禁止要請 を提出
  • 会社は自らが データ処理者（Processor） にすぎず、データの統制権は 顧客機関 にあるとして要請を拒否
  • 返信では データ販売の禁止、30日自動削除ポリシー、公共の場での車両画像中心の収集範囲 などを説明
  • 要請者は、Flock Safety が実際には 個人識別情報を直接処理 しているため、削除義務があると主張
  • 法的対応はまだ未定で、弁護士選任の可能性 を残している

Flock Safetyへの個人情報削除要請と対応

  • カリフォルニア州在住者が Flock Safety に対し、CCPA（カリフォルニア州消費者プライバシー法）に基づく 個人情報の削除および収集禁止要請 をメールで提出
    • 要請内容は、本人、車両、家族構成員に関する情報をすべてのデータベースから削除し、今後の収集・保存を禁じるよう求めるものだった
  • Flock Safety は返信で 要請を処理できないと通知
    • 返信メールでは受信者の名前が2回誤記されていた
    • 会社は「Flock Safety は顧客に代わってデータを処理するサービス提供者かつプロセッサであり、データの所有者および統制者は顧客である」と明記
    • そのため削除要請は Flock Safety ではなく、サービスを利用した機関（顧客） に直接提出すべきだと案内
  • 会社はあわせて データ収集および保管ポリシー を説明
    • 顧客契約 に基づいてデータ処理の範囲と制限が定められ、顧客がデータの所有者である
    • データ販売の禁止: Flock Safety は顧客の指示に従ってデータを処理し、商業目的で販売または共有しない
    • 収集情報: ナンバープレート認識装置（LPR）は、氏名や住所のような機微情報ではなく、公共の場で撮影された車両画像と外観情報 のみを収集
    • 利用目的: 顧客は公共安全の管理、事件対応、犯罪解決など セキュリティ目的 でデータを使用
    • 保管期間: 基本的に30日後にデータは自動削除され、顧客は法律やポリシーに応じて期間を調整可能
  • Flock Safety は、より詳しい内容は Privacy Policy と LPR Policy を参照するよう案内

法的解釈と個人の立場

  • 要請者は Flock Safety の回答が 法的に不正確だと判断
    • 理由は、Flock Safety が実際に 個人識別情報（PII） を収集・処理する主体だからである
    • CCPA によれば、このような情報処理者は 削除要請に応じる義務 があると解釈
  • 現在、法的対応を行うかどうかは未定 であり、弁護士選任の可能性を残している

関連記事

1件のコメント

 
GN⁺ 15 일 전
Hacker News のコメント

  • この記事を書いたのは自分。Flock が自分の要求に応じるとは期待していなかったが、実験として 試してみた。だが、彼らの返答は気になった。彼らは「データは顧客のものであり、顧客が利用と共有を決める」と言ったが、これは CCPA の趣旨と真っ向から衝突している。自分のデータなのに、なぜ彼らの顧客がコントロール権を持つのか理解できない。期待はしていなかったが、こういう形で拒否されたのは残念だった

    • 彼らの言い分は「こちらには連絡せず、カメラの所有者に連絡しろ」という意味だった。だが、データは Flock のサーバー に保存されている。単に保存場所を貸しているだけだからといって、データ所有権がないことにはならないというのが核心だ。さらに言えば、システム設計自体が プライバシー侵害を誘発 するようになっている点が問題だ。これこそが Flock への核心的な批判であり、法廷で扱われれば興味深いと思う
    • 彼らに再度連絡して、「では顧客リストを渡して、新しい顧客が増えるたびに知らせてくれ」と頼んでみたらどうだろう
    • 裁判官が、Flock がシステムをどれだけ 実質的にコントロール しているかを検討したら興味深いと思う。個人データの収集をこれほど簡単にするシステムを構築したのなら、削除要求を処理する手続きもそれと同じだけ 簡単に すべきだ。結局、消費者がこうした状況を許容してきたからこそ、企業がプライバシーを軽く見る世界になったのだ。こうした問題に関心を持つ個人がいるのは幸いだ。法的対応の費用を 支援 する方法があるのか気になる
    • LegalEagle のような YouTuber を巻き込めば注目を集められそうだ。Benn Jordan も専門家証人として出てくれば面白そうだ
    • でも本当にそれは「自分のデータ」なのだろうか？ 自分が運転中に他人の家の Ring カメラ に映ったとして、その映像の所有権が自分にあると主張できるのだろうか？

  • こうした要求が法的に成り立つのか分からない。たとえば、ある都市が ALPR システム を設置して犯罪の証拠を集めているとして、個人が Flock に「自分のデータは収集するな」と要求することはできない。こうした要求は現行法ではあまりに踏み込みすぎた主張に見える

  • 最近の投稿では会社名が「Flock」とのみ表記され、「Flock Safety (YC S17)」が抜けていたが、以前の記事でもそうだった。YC 表記方式 が変わったのだろうか

    • YC が プライバシー論争 から距離を置こうとしているのかもしれないが、正直そこまで気が回るのかは疑わしい
    • 最近は全体的にそうした表記が減っている気がする。いずれにせよ、タイトルは投稿者が直接書くもので、自動化されているわけではない

  • Flock は「自分たちはデータコントローラーではない」という理由で、ミネソタ州 でも同様の対応をしていた。MCDPA により削除請求権があるにもかかわらずだ

    • それは法律に従っているということだ。州や市の政府顧客は、そのような要求を受け入れてほしくないだろう

  • 「Flock が好きにできる」ということと、「Flock が要求に応じてデータを削除しなければならない」ということの違いは、結局のところ 法律 だ。市民が立法者を選ぶ以上、こうした問題を優先事項にしたいなら 投票 で圧力をかける必要がある

  • これは厳しい戦いになりそうだ。Flock はデータを 政府所有 とし、自分たちは単なる 保管サービス提供者 だと主張している。AWS や Google Cloud に削除要求を送っても、「自分たちは単に保管しているだけだ」という返答が返ってくるだろう。結局、裁判所命令なしで削除を強制するのは難しい。それでも、Flock がデータを他の目的に使わないと明言している点は、クラウドストレージの比喩 を強めている

    • だが実際には、クラウド事業者がデータを覗いていないか を確認する方法は、内部告発者以外にないのではないか？

  • Flock の LPR ポリシー文書 によれば、法的要求やセキュリティ・プライバシー問題の解決のためにデータを使用できると明記されている。だとすれば、この事例も プライバシー問題 に当たるのではないか？ また、「Trust Us」セクションでは 機械学習の活用 についての透明性が不足している

    • 彼らの「Transparency Portal」を見ると、実際には地域機関の 30% 以上で名前すら公開されていない

  • 米国のこの種のデータ収集関連法では、削除要求は 自治体 に出さなければならない。関連情報は deflock.org で確認できる。このサイトは コロラド州ボルダー の住民が運営している

    • すべての自治体に自動で要求を送るシステムを作ったら面白そうだ

  • もし Flock が PII データを処理 しているなら、その顧客は全員 下位処理者(subprocessor) になる。したがって Flock は彼らと データ処理契約(DPA) を結ばなければならない。削除要求が入ったら、AWS、GCP、Cloudflare のようなすべての下位処理者にも伝達されるべきだ

    • だが実際には逆だ。Flock が 下位処理者 であり、データ収集を依頼した 市や自治体 がコントローラーだ。したがって要求はそちらに出すべきだ

  • もし彼らの言い訳が有効なら、CCPA は骨抜き だ

    • だが、そもそも要求自体が 有効ではなかった可能性 もある。たとえば、警察の代わりに速度違反カメラを運用する業者に「自分の写真を消してくれ」と要求することはできない。データは政府所有だからだ
    • しかも、規制は制定された瞬間から 抜け道 が作られる。法律ができる前から、すでに回避のための穴が設計されている