Las agencias gubernamentales y las empresas de seguridad privada en los EE. UU. han encontrado una forma rentable de participar en la vigilancia sin orden judicial de personas, grupos y lugares:una herramienta web de pago por acceso llamada Fog Reveal.

La herramienta permite a los agentes del orden ver "patrones de vida":dónde y cuándo trabaja y vive la gente, con quién se relaciona y qué lugares visita. El fabricante de la herramienta, Fog Data Science, afirma tener miles de millones de puntos de datos de más de 250 millones de dispositivos móviles de EE. UU.

Fog Reveal salió a la luz cuando Electronic Frontier Foundation (EFF), una organización sin fines de lucro que aboga por las libertades civiles en línea, estaba investigando a los corredores de datos de ubicación y descubrió el programa a través de una solicitud de la Ley de Libertad de Información. La investigación de EFF encontró que Fog Reveal permite a las fuerzas del orden y empresas privadas identificar y rastrear personas y monitorear lugares y eventos específicos, como mítines, protestas, lugares de culto y clínicas de atención médica. The Associated Press descubrió que casi dos docenas de agencias gubernamentales de todo el país han contratado a Fog Data Science para usar la herramienta.

El uso gubernamental de Fog Reveal destaca una diferencia problemática entre la ley de privacidad de datos y la ley de vigilancia electrónica en los EE. UU. Es una diferencia que crea una especie de laguna, lo que permite que se recopilen, agreguen y utilicen enormes cantidades de datos personales de manera no transparente. a la mayoría de las personas. Esa diferencia es mucho más importante a raíz de la decisión de la Corte Suprema Dobbs v. Jackson Women's Health Organization, que revocó el derecho constitucional al aborto. Dobbs pone en peligro la privacidad de la información de salud reproductiva y los puntos de datos relacionados, incluidos los datos de ubicación relevantes.

El tesoro de datos personales que Fog Data Science está vendiendo, y las agencias gubernamentales están comprando, existe porque las tecnologías en constante avance en los dispositivos inteligentes recopilan cantidades cada vez más grandes de datos íntimos. Sin elección o control significativo por parte del usuario, los fabricantes de aplicaciones y dispositivos inteligentes recopilan, usan y venden esos datos. Es un dilema tecnológico y legal que amenaza la privacidad y la libertad individual, y es un problema en el que he trabajado durante años como abogado en ejercicio, investigador y profesor de derecho.

Vigilancia del gobierno

Las agencias de inteligencia de EE. UU. han utilizado durante mucho tiempo la tecnología para participar en programas de vigilancia como PRISM, recopilando datos sobre personas de compañías tecnológicas como Google, particularmente desde el 11 de septiembre, aparentemente por razones de seguridad nacional. Estos programas generalmente están autorizados y sujetos a la Ley de Vigilancia de Inteligencia Extranjera y la Ley Patriota. Si bien existe un debate crítico sobre los méritos y los abusos de estas leyes y programas, operan bajo un mínimo de supervisión judicial y del Congreso.

Los organismos encargados de hacer cumplir la ley nacionales también utilizan tecnología para la vigilancia, pero generalmente con mayores restricciones. La Corte Suprema de los EE. UU. ha dictaminado que la Cuarta Enmienda de la Constitución, que protege contra registros e incautaciones irrazonables, y la ley federal de vigilancia electrónica exigen que las agencias policiales nacionales obtengan una orden judicial antes de rastrear la ubicación de alguien usando un dispositivo GPS o la información de ubicación de un sitio celular.

Fog Reveal es algo completamente diferente. La herramienta, que fue posible gracias a la tecnología de dispositivos inteligentes y esa diferencia entre la privacidad de los datos y las protecciones de la ley de vigilancia electrónica, permite a las fuerzas del orden público nacionales y a las entidades privadas comprar acceso a datos compilados sobre la mayoría de los teléfonos móviles de EE. UU., incluidos los datos de ubicación. Permite el seguimiento y seguimiento de personas a escala masiva sin supervisión judicial ni transparencia pública. La compañía ha hecho pocos comentarios públicos, pero los detalles de su tecnología han salido a la luz a través de las investigaciones de EFF y AP a las que se hace referencia.

Datos de Fog Reveal

Cada teléfono inteligente tiene una identificación de publicidad, una serie de números que identifican de manera única el dispositivo. Supuestamente, las identificaciones publicitarias son anónimas y no están vinculadas directamente al nombre del suscriptor. In reality, that may not be the case.

Private companies and apps harness smartphones' GPS capabilities, which provide detailed location data, and advertising IDs, so that wherever a smartphone goes and any time a user downloads an app or visits a website, it creates a trail. Fog Data Science says it obtains this "commercially available data" from data brokers, permitting the tool to follow devices through their advertising IDs. While these numbers do not contain the name of the phone's user, they can easily be traced to homes and workplaces to help police identify the user and establish pattern-of-life analyses.

Law enforcement use of Fog Reveal puts a spotlight on that loophole between U.S. data privacy law and electronic surveillance law. The hole is so large that—despite Supreme Court rulings requiring a warrant for law enforcement to use GPS and cell site data to track persons—it is not clear whether law enforcement use of Fog Reveal is unlawful.

Electronic surveillance vs. data privacy

Electronic surveillance law protections and data privacy mean two very different things in the U.S. There are robust federal electronic surveillance laws governing domestic surveillance. The Electronic Communications Privacy Act regulates when and how domestic law enforcement and private entities can "wiretap," i.e., intercept a person's communications, or track a person's location.

Coupled with Fourth Amendment protections, ECPA generally requires law enforcement agencies to get a warrant based on probable cause to intercept someone's communications or track someone's location using GPS and cell site location information. Also, ECPA permits an officer to get a warrant only when the officer is investigating certain crimes, so the law limits its own authority to permit surveillance of only serious crimes. Violation of ECPA is a crime.

The vast majority of states have laws that mirror ECPA, although some states, like Maryland, afford citizens more protections from unwanted surveillance.

The Fog Reveal tool raises enormous privacy and civil liberties concerns, yet what it is selling—the ability to track most persons at all times—may be permissible because the U.S. lacks a comprehensive federal data privacy law. ECPA permits interceptions and electronic surveillance when a person consents to that surveillance.

With little in the way of federal data privacy laws, once someone clicks "I agree" on a pop-up box, there are few limitations on private entities' collection, use and aggregation of user data, including location data. This is the loophole between data privacy and electronic surveillance law protections, and it creates the framework that underpins the massive U.S. data sharing market.

The need for data privacy law

Without robust federal data privacy safeguards, smart device manufacturers, app makers and data brokers will continue, unfettered, to utilize smart devices' sophisticated sensing technologies and GPS capabilities to collect and commercially aggregate vast quantities of intimate and revealing data. As it stands, that data trove may not be protected from law enforcement agencies. But the permitted commercial use of advertising IDs to track devices and users without meaningful notice and consent could change if the American Data Privacy Protection Act, approved by the U.S. House of Representatives Committee on Energy and Commerce by a vote of 53-2 on July 20, 2022, passes.

ADPPA's future is uncertain. The app industry is strongly resisting any curtailment of its data collection practices, and some states are resisting ADPPA's federal preemption provision, which could minimize the protections afforded via state data privacy laws. For example, Nancy Pelosi, speaker of the U.S. House of Representatives, has said lawmakers will need to address concerns from California that the bill overrides the state's stronger protections before she will call for a vote on ADPPA.

Las apuestas son altas. Recent law enforcement investigations highlight the real-world consequences that flow from the lack of robust data privacy protection. Given the Dobbs ruling, these situations will proliferate absent congressional action.