米国初の携帯電話位置データ販売禁止法案が成立する可能性

 (wsj.com)
1 ポイント 投稿者 GN⁺ 2023-07-11 | 1件のコメント | WhatsAppで共有
  • マサチューセッツ州議会が、消費者のモバイル機器から得られた位置データ取引をほぼ全面的に禁止する案を検討しており、施行されれば米国初の事例となる可能性がある
  • Location Shield Actは、携帯電話の位置データを収集・販売する慣行を大幅に制限しようとする包括的な法案である
  • 先月開かれた公聴会をきっかけに、州内消費者の位置情報がデータブローカーを通じて取引される仕組みが規制対象に浮上した
  • 法案は、法執行機関が位置データにアクセスする際、ほとんどの場合に令状要件を適用する
  • 裁判所の許可なしに位置情報を提供できなくなれば、数十億ドル規模の位置データ産業にも直接的な制約が生じる

マサチューセッツ州のLocation Shield Act

  • マサチューセッツ州議会は、州内消費者のモバイル機器から得られた位置データの売買をほぼ全面的に禁止する案を検討している
  • Location Shield Actは、携帯電話の位置データを収集・販売する慣行を大幅に減らす内容である
  • 州議会は先月、この法案に関する公聴会を開いた
  • この措置は、数十億ドル規模の位置データ産業を統制しようとする米国初の州単位の試みになる可能性がある

法執行機関による位置データアクセスの制限

  • Location Shield Actは、法執行機関による位置データアクセスに令状要件を導入する
  • データブローカーは、ほとんどの状況で裁判所の許可なしにマサチューセッツ州住民の位置情報を提供できない
  • 法案は、位置データ取引の制限と法執行目的でのアクセス制限をあわせて扱っている

関連記事

1件のコメント

 
GN⁺ 2023-07-11
Hacker News の意見

  • この事態に最初に関心を持ったのは、携帯電話番号だけで誰でも位置を追跡できるバグを見つけたときだった: https://arstechnica.com/information-technology/2018/05/servi...
    このケースでは、サイトが通信事業者由来のリアルタイム位置データを販売していたため、個人が自分を守る方法は、実質的にはプリペイドの使い捨て携帯を使うか、そもそも携帯電話を使わないことくらいしかなかった
    位置データ販売に対して強い措置が取られるのは歓迎だし、禁止がもっと広く拡大されることを望む。カナダにも適用されるといい

    • 「Krebs は続けて Electronic Frontier Foundation の関係者を引用し、携帯通信事業者は緊急 911 サービスで必要になる場合に備えて、顧客のおおよその位置を法的に把握していなければならないと述べた。ただし、通信事業者がその情報を第三者に販売したり提供したりできるかどうかは、あまり明確ではない。今後数週間から数か月の間に、この点についてはるかに多くの調査が行われると思われる」
      実際には、プリペイド携帯サービスを提供する MVNO を見ればよい。一部は、顧客が実際の E911 住所を提出しないと特定の機能を無効化する
      そのデータの使い方に制限を設けるのはどうだろう
    • これを明らかにしたのは本当に良いことだ。カナダの通信事業者もこうした情報を第三者に提供していると見るべきなのか気になる
      倫理的な行動や消費者擁護の実績があって、そうではなさそうなところがあるのかも気になる。例えば通信事業者側の TekSavvy のようなところ
    • 携帯電話を持ち歩かなくても意味はない
      SIM を抜いても意味はない
      周囲を見ればカメラだらけだ。スーパーの天井にあからさまに「ここにカメラがある」と知らせているものだけでなく、周囲の全員が持っている携帯電話のカメラが、顔やさまざまな生体情報をもとに即座に身元とメートル単位の位置を特定できる
      話した瞬間、声のパターンがすぐに身元を明かす
      使い捨て携帯はすでに遠い過去のものだ。話した瞬間、カメラに捉えられた瞬間に、使い捨て携帯の IMEI は非常に素早く身元と対応付けられ得る
      現在使われている方法は、読んだことのある技術よりはるかに精巧だ
      2万フィート上空のドローンでも、2,000人の群衆の中から、心音、呼吸、頭の形、耳、鼻、顔、顔の輪郭、特定の時間帯に体が作る影、歩き方の固有性などをもとに人物を識別できる。そこに少し統計分析を加えれば、必死に隠れても隠しにくい
      暗闇が隠してくれると思うなら、そうではない

  • 「マサチューセッツ州の議員らは、州内の消費者のモバイル機器から得られた位置データの購入・販売をほぼ全面的に禁止する案を検討しており、これは数十億ドル規模の産業を規制しようとする米国初の試みになる可能性がある。
    先月、州議会は Location Shield Act という法案について公聴会を開いた。この包括的な提案は、マサチューセッツ州で携帯電話由来の位置データを収集・販売する慣行を大きく制限する。また、法執行機関が位置データにアクセスするには令状を必要とし、ほとんどの場合、裁判所の許可なしにデータブローカーが州住民の位置情報を提供することを禁じる。
    ...
    住民の位置データ販売を完全に禁止した州はまだない。他州で最も一般的なアプローチは、デジタルサービスやデータブローカーがデータを収集するには消費者の明確な同意を得るようにし、移転・販売に一定の制限を設ける方式だ」

    • 「明確な同意」というのは、結局、誰も読まない利用規約の中に同意文言を埋め込むのと変わらない
    • 同意だけでは、すでに欠陥のある仕組みだと明らかになっていると思う。GDPR の正当な/必要な処理要件が今後の方向性を示している
      1. サイトが不要な権限への同意を利用条件として要求できないようにすべき
      2. いつでも自分のデータ許可を撤回・削除できるべきであり、それは伝播的に適用されるべきだ。サイトはサブプロセッサに共有したすべてのデータも削除しなければならず、共有前に彼らがそれを履行できるという契約上の保証を備えていなければならない
    • ほとんどの無線通信は FCC が規制しているため、州や地方レベルで行うのは難しいかもしれない
    • 可決されれば、マサチューセッツに行って準拠機器を入手し、利益を得るようなことが可能になるのだろうか
    • 米国憲法には、州が州際通商を妨害したり阻止したりできないようにする州際通商条項がある。マサチューセッツ州内での位置データ販売禁止は、実際に効力を持つのだろうか？

  • 気になる人がいれば、天気アプリはこの問題で最もひどく、よくある加害者であることが多い。人々がどこにいても天気ウィジェットが更新されることを望むのは当然だが、バックエンドではこうした天気アプリが無料で公開されている NWS データを渡しながら、ユーザーについて売れるものはすべて売っている

    • Apple が DarkSky アプリを買収した大きな理由はこれだったと思う。外部アプリのセキュリティホールを塞ぐために、その技術を標準の天気アプリに統合したのだ
    • ノルウェー気象研究所の Yr を確認してみるとよい。広告が一切なく、世界中のほぼどこでも動作する
    • Android の天気ウィジェットは、NWS のウェブサイトよりもさらに局地的な予報データを提供する。NWS のウェブサイトは、ほとんど常に地域の空港基準に固定してしまう
      大きな湖の近くに住んでいると、空港が比較的近くても地域の天気はかなり異なることがある。データは当然すべて NWS から来るのだろうが、NWS がすべての情報に簡単にアクセスできる形で提供しているわけではない
    • https://www.nwsnow.net/
      広告なし
      ユーザー追跡なし
      GPS 不要
      予報解説を含む、フィルタリングなしの NWS データを提供
    • 常に旅行しているのでなければ、天気アプリには静的な市区町村・地域・郵便番号が1つあれば十分だ。職場が自宅からとても遠いなら2つ程度でよく、たいていの人はいつも旅行しているわけではない

  • ばかげた考えに聞こえるかもしれないけれど、ちょっと聞いてほしい。どのレベルの政府機関であれ、第三者から私のデータを受け取る前に、相当な理由を示し、判事が署名した令状を取得しなければならず、第三者はデータを渡す前に法的に私へ通知して、弁護士を雇って令状に異議を申し立てられるようにしなければならないとしたらどうだろう？
    とんでもない考えみたいだろ？ まるで合衆国憲法修正第4条を実際に尊重しようというみたいに

    • 十分に長い期間、すべての議員の位置データを買って公開すれば、望むものを得られそう
    • 「人民がその身体、住居、書類および所持品について、不合理な捜索および押収から安全である権利は侵害されてはならず、令状は、宣誓または確約によって裏付けられた相当な理由に基づき、捜索する場所および押収する人または物を具体的に明示しない限り、発付されてはならない。」
      この場合、政府は修正第4条のどの部分に違反しているのか？

  • 個人研究目的で、こういうデータセットをどこで買えるのか気になる。会社がターゲットを絞ったアウトバウンド営業をしたい場合にも、こうしたデータセットを購入できるのだろうか？
    見出しは読んだし、法執行機関にこれをサービスとして提供している会社があることも理解している。有用であるには、データは非匿名化されている必要がありそう
    こういうデータは誰から、どこで入手できるのだろう？

    • 出発点として、California data broker registryに掲載されている業者を見てみると思う
      https://www.oag.ca.gov/data-brokers
      重なりのありそうなデータセットをいくつか買う資金があれば、非匿名化はそれほど難しくないはず
    • 個人に売っているところはない。SprintはPinsightという子会社を通じて顧客の位置データを売っていた。現在位置データを売っている会社としては、Advan Research、Placer.ai、SafeGraphなどがある
    • 個人単位の位置データを売っているところは知らない。エコシステムの誰もが、そんなことをするには怖がりすぎているし、率直に言って収益化の方法も明確ではない
      私の経験では、要点は人流パターン、人口統計の推定、人々が他にどの業種を訪れているか、などを見ること。一般的な位置情報ベースのビジネス分析の領域
    • 数人の個人だけを追跡したいなら、そのデータを持っている主体をすべて列挙すればいい。そのうえで彼らが取引しているデータブローカーを探し、再帰的にたどればいい。関係するすべての会社の従業員を見つけ、市場価格と思われる数百ドル程度を用意すれば終わり[0]
      研究目的ならよく分からない。いずれにせよ、こうした会社のどれかと直接取引する必要があるだろうから、彼らと話すところから始めると思う
      [0] - https://www.vice.com/en/article/nepxbz/i-gave-a-bounty-hunte...
    • 良い質問。いつもそういうことが起きていると聞くけれど、実際に起きているのは見たことがない

  • これを見て、マサチューセッツ州が2020年に修理する権利法を成立させたことを思い出した。調べてみると、NHTSAがその法律を骨抜きにしたらしい [1] :/
    州がデジタル権利の面で限界を押し広げるのは良いことだ。今回はもっと明るい未来があることを願う。これを無力化する管轄権を持つ、業界に取り込まれた連邦機関は今のところ思い浮かばない
    [1]: https://www.thedrive.com/news/feds-tell-automakers-to-ignore...

    • これこそが民主主義の実験室だ。州がそれぞれ法律を成立させ、その法律が裁判所で争われる。法律は修正され、プロセスが繰り返される。最終的に十分理解が進めば、同様の法律をどこでも、あるいは全国的に成立させられるようになる
    • 無効化したわけではなく、単に人々にその法律に従うなと言っただけ
      そのため結局、裁判所で解決しなければならない厄介な状況が生じる

  • ある地域を訪れたとき、その地域番号からスパム電話がかかり始めるとぞっとする。会社、それも怪しい会社が、私が家にいないことや、私がどこにいるかを知っているのが明らかだから

    • そんなこと本当に起きる？ 私はSeattleに住んでいるけれど、まだIdahoの番号を使っている。スパム電話はほとんど全部Idahoから来る
      特におかしいのは、iPhoneが発信番号のおおよその地域を表示するのに、Idahoには市外局番が1つしかないこと。だから、一度も行ったことのない町の番号から電話が来る

  • https://archive.is/M7quL

    • このリンクはSSLエラーになる

  • 販売禁止は問題を別の場所へ移すだけだ。通信事業者はすでに大半がデータを「販売」することをやめ、広告分析やその他のマイニングを内製化したうえで、生データではなくそのアクセス権を売っている
    生データだけを売るより分析の方が多く稼げる可能性が高いので、彼らにとっては両得だ

  • 理解できない。位置データの販売はあまりにも明白なプライバシー侵害だ。「匿名化」みたいなたわごとは持ち出さないでほしい。販売も購入も、ただちに連邦犯罪にすべきだ

    • そうしたデータが一般に利用可能であれば、政府にとって都合がいいからだ。データが合法的に「路上」に出ているのに、なぜわざわざ裁判所の許可が必要なのか
    • 法律が古い。盗聴は犯罪だが、Web閲覧履歴の収集はそうではない。米国郵便は法的に保護されているが、メールはそうではない
      法律が成立するまではデータブローカーは商売を続けるし、成立した後も法的な境界線のぎりぎりまで押し進めるだろう