米国国家情報長官宛ての書簡で、NSAがスマートフォンユーザーが使用するアプリを通じて違法に取得した個人データを購入していることが明らかになった。

この公開書簡は、米国上院議員で情報特別委員会の委員であるロン・ワイデン氏によって提出されました。ワイデン氏は、米国の安全保障機関に対し、このような行為を中止し、違法に取得された既存のデータを削除するよう求めています。

NSAが違法に取得された個人データを購入

アプリ開発者がユーザーの個人情報を収集する場合、そのデータの使用方法を法律により開示する必要があります。

どの企業も公表していないが、多くの企業が公表しているのは、位置情報の履歴を含む個人データをデータブローカーを通じて国防情報局（DIA）と国家安全保障局（NSA）に販売していることだ。

それは、ええと、おそらくあなたが知りたいことだと思います。

連邦取引委員会（米国における連邦プライバシー規制機関に最も近い機関）は、これが違法であることを確認し、関与したデータブローカーの一つであるX-Mode Socialに対して法的措置を講じました。しかし、昨日の書簡では、DIAとNSAが引き続きこのデータを購入していることが明らかになりました。

治安機関は令状を必要とする

NSA のようなセキュリティ機関が開発者やインターネット サービス プロバイダーから直接このデータを入手したい場合は、捜索令状が必要になります。

しかし、データを間接的に購入することで、この要件を回避しています。ワイデン上院議員は、このような状況は止めるべきだと述べています。

私は、米国の諜報機関が合法的な方法で取得されたアメリカ人のデータのみを購入することを確実にするための措置を講じるよう要請するためにこの手紙を書いています。

ご存知の通り、米国の情報機関は、政府が通信会社に要求した場合には裁判所命令が必要となるような、アメリカ人の個人データを購入しています。私は2021年に、国防情報局（DIA）が国内の位置データを購入、保管、使用していたことを初めて明らかにしました。こうした位置データは、アプリ開発者によってアメリカ人のスマートフォンから収集され、データブローカーに販売され、防衛関連請負業者に転売され、その後再び政府に転売されています。さらに、国家安全保障局（NSA）はアメリカ人の国内インターネットメタデータを購入しています。

ワイデン氏は、FTCが既にアプリユーザーに通知されていなかったため、これは違法であるとの判断を下していると指摘する。FTCは、開発者がデータブローカーにデータを販売していることを明らかにするだけでは不十分であり、データが米国の情報機関に販売されることを具体的に開示する必要があると明確に述べている。

FTC は、消費者の十分な情報に基づく同意に基づいてデータを取得していない限り、そのような機密データの販売は違法であると判断しました。

位置データは特に機密性の高いプライバシー侵害である

FTCは、特に機密性の高い位置データの販売について特に懸念を表明した。

FTCは訴状の中で、位置データにインフォームドコンセントが必要な理由は、医療施設、宗教の礼拝所、LGBTQ+の識別を推測するために使用される可能性のある場所、家庭内暴力シェルター、福祉シェルター、ホームレスシェルターなど、機密性の高い場所で人々を追跡するために使用できるためだと指摘している。

ワイデン氏は、ISPから購入したデータも同様に機密性が高い可能性があると述べている。

こうした記録により、自殺ホットラインや性的暴行や家庭内暴力の被害者のためのホットライン、特定の医療ニーズに焦点を当てた遠隔医療提供者への訪問に助けを求めているアメリカ人を特定できます。

情報機関は3つの措置を取るよう要請される

ワイデン氏は米国国家情報長官に対し、諜報機関の各部門が以下の3つのことを実行するよう求めている。

• 米国民の個人データを監査する
• 違法に収集・販売されたデータを特定する
• このデータを消去する

9to5Macの見解

怪しい開発者がアプリユーザーの個人データを販売するビジネスは、極めて不透明です。FTC（連邦取引委員会）は開発者が従うべき規則を定めていますが、監視はほとんど行われていないようで、開発者は罰せられることなくこの行為を続けることができています。

プライバシーポリシーでは、実際に何が起こっているのかを隠すために、意図的に曖昧な表現が使われています。典型的な文言は以下のとおりです。

当社は、お客様の個人情報を第三者のサービスプロバイダーまたはビジネスパートナーと共有する場合があります。 

「ビジネス パートナー」がデータ ブローカーを意味することや、この文言が「個人データを最高額の入札者に販売し、その入札者がそれを NSA を含むそれを欲しがる誰にでも販売する」という意味であることを推測する人はほとんどいないでしょう。

私たちは以前、米国には欧州のGDPRをモデルにした、強力な連邦プライバシー法が必要だと主張してきた。

Unsplash の Chris Yang による写真

havebin.com を Google ニュース フィードに追加します。