Agências governamentais e empresas de segurança privada nos EUA encontraram uma maneira econômica de se envolver na vigilância sem garantia de indivíduos, grupos e lugares:uma ferramenta da web de pagamento por acesso chamada Fog Reveal.
A ferramenta permite que os policiais vejam "padrões de vida" - onde e quando as pessoas trabalham e moram, com quem se associam e quais lugares visitam. O fabricante da ferramenta, Fog Data Science, afirma ter bilhões de pontos de dados de mais de 250 milhões de dispositivos móveis dos EUA.

O Fog Reveal veio à tona quando a Electronic Frontier Foundation (EFF), uma organização sem fins lucrativos que defende as liberdades civis online, estava investigando os corretores de dados de localização e descobriu o programa por meio de uma solicitação da Lei de Liberdade de Informação. A investigação da EFF descobriu que o Fog Reveal permite que as autoridades policiais e empresas privadas identifiquem e rastreiem pessoas e monitorem locais e eventos específicos, como comícios, protestos, locais de culto e clínicas de saúde. A Associated Press descobriu que quase duas dúzias de agências governamentais em todo o país contrataram a Fog Data Science para usar a ferramenta.

O uso governamental do Fog Reveal destaca uma diferença problemática entre a lei de privacidade de dados e a lei de vigilância eletrônica nos EUA. para a maioria das pessoas. Essa diferença é muito mais importante após a decisão da Suprema Corte Dobbs v. Jackson Women's Health Organization, que revogou o direito constitucional ao aborto. Dobbs coloca a privacidade das informações de saúde reprodutiva e pontos de dados relacionados, incluindo dados de localização relevantes, em risco significativo.

O tesouro de dados pessoais que a Fog Data Science está vendendo, e as agências governamentais estão comprando, existe porque as tecnologias cada vez mais avançadas em dispositivos inteligentes coletam quantidades cada vez maiores de dados íntimos. Sem escolha ou controle significativo por parte do usuário, os fabricantes de dispositivos inteligentes e aplicativos coletam, usam e vendem esses dados. É um dilema tecnológico e legal que ameaça a privacidade e a liberdade individual, e é um problema no qual trabalhei durante anos como advogado, pesquisador e professor de direito.

Vigilância governamental

As agências de inteligência dos EUA há muito usam a tecnologia para se envolver em programas de vigilância como o PRISM, coletando dados sobre indivíduos de empresas de tecnologia como o Google, principalmente desde o 11 de setembro – ostensivamente por motivos de segurança nacional. Esses programas normalmente são autorizados e sujeitos à Lei de Vigilância de Inteligência Estrangeira e à Lei Patriota. Embora haja um debate crítico sobre os méritos e abusos dessas leis e programas, eles operam sob um mínimo de supervisão judicial e do Congresso.

As agências domésticas de aplicação da lei também usam tecnologia para vigilância, mas geralmente com maiores restrições. A Suprema Corte dos EUA decidiu que a Quarta Emenda da Constituição, que protege contra busca e apreensão irracionais, e a lei federal de vigilância eletrônica exigem que as agências policiais domésticas obtenham um mandado antes de rastrear a localização de alguém usando um dispositivo GPS ou informações de localização de celular.

Fog Reveal é algo completamente diferente. A ferramenta – possibilitada pela tecnologia de dispositivos inteligentes e pela diferença entre a privacidade de dados e as proteções da lei de vigilância eletrônica – permite que as autoridades domésticas e entidades privadas comprem acesso a dados compilados sobre a maioria dos telefones celulares dos EUA, incluindo dados de localização. Ele permite o rastreamento e monitoramento de pessoas em grande escala sem supervisão judicial ou transparência pública. A empresa fez poucos comentários públicos, mas os detalhes de sua tecnologia foram divulgados através das investigações da EFF e AP referenciadas.

Dados do Fog Reveal

Todo smartphone tem um ID de publicidade – uma série de números que identificam exclusivamente o dispositivo. Supostamente, os IDs de publicidade são anônimos e não vinculados diretamente ao nome do assinante. Na realidade, isso pode não ser o caso.

Private companies and apps harness smartphones' GPS capabilities, which provide detailed location data, and advertising IDs, so that wherever a smartphone goes and any time a user downloads an app or visits a website, it creates a trail. Fog Data Science says it obtains this "commercially available data" from data brokers, permitting the tool to follow devices through their advertising IDs. While these numbers do not contain the name of the phone's user, they can easily be traced to homes and workplaces to help police identify the user and establish pattern-of-life analyses.

Law enforcement use of Fog Reveal puts a spotlight on that loophole between U.S. data privacy law and electronic surveillance law. The hole is so large that—despite Supreme Court rulings requiring a warrant for law enforcement to use GPS and cell site data to track persons—it is not clear whether law enforcement use of Fog Reveal is unlawful.

Electronic surveillance vs. data privacy

Electronic surveillance law protections and data privacy mean two very different things in the U.S. There are robust federal electronic surveillance laws governing domestic surveillance. The Electronic Communications Privacy Act regulates when and how domestic law enforcement and private entities can "wiretap," i.e., intercept a person's communications, or track a person's location.

Coupled with Fourth Amendment protections, ECPA generally requires law enforcement agencies to get a warrant based on probable cause to intercept someone's communications or track someone's location using GPS and cell site location information. Also, ECPA permits an officer to get a warrant only when the officer is investigating certain crimes, so the law limits its own authority to permit surveillance of only serious crimes. Violation of ECPA is a crime.

The vast majority of states have laws that mirror ECPA, although some states, like Maryland, afford citizens more protections from unwanted surveillance.

The Fog Reveal tool raises enormous privacy and civil liberties concerns, yet what it is selling—the ability to track most persons at all times—may be permissible because the U.S. lacks a comprehensive federal data privacy law. ECPA permits interceptions and electronic surveillance when a person consents to that surveillance.

With little in the way of federal data privacy laws, once someone clicks "I agree" on a pop-up box, there are few limitations on private entities' collection, use and aggregation of user data, including location data. This is the loophole between data privacy and electronic surveillance law protections, and it creates the framework that underpins the massive U.S. data sharing market.

The need for data privacy law

Without robust federal data privacy safeguards, smart device manufacturers, app makers and data brokers will continue, unfettered, to utilize smart devices' sophisticated sensing technologies and GPS capabilities to collect and commercially aggregate vast quantities of intimate and revealing data. As it stands, that data trove may not be protected from law enforcement agencies. But the permitted commercial use of advertising IDs to track devices and users without meaningful notice and consent could change if the American Data Privacy Protection Act, approved by the U.S. House of Representatives Committee on Energy and Commerce by a vote of 53-2 on July 20, 2022, passes.

ADPPA's future is uncertain. The app industry is strongly resisting any curtailment of its data collection practices, and some states are resisting ADPPA's federal preemption provision, which could minimize the protections afforded via state data privacy laws. For example, Nancy Pelosi, speaker of the U.S. House of Representatives, has said lawmakers will need to address concerns from California that the bill overrides the state's stronger protections before she will call for a vote on ADPPA.

As apostas são altas. Recent law enforcement investigations highlight the real-world consequences that flow from the lack of robust data privacy protection. Given the Dobbs ruling, these situations will proliferate absent congressional action.