La Oficina de Aduanas y Protección Fronteriza de EE. UU. (CBP) rastreó los movimientos de las personas usando el ecosistema de la publicidad en línea

• Se confirmó, mediante documentos internos del Departamento de Seguridad Nacional (DHS), que CBP compró datos de ubicación de la industria de la publicidad en línea para rastrear a personas
• Estos datos se recopilan desde apps comunes como juegos, aplicaciones de citas y rastreadores de actividad física, y permiten seguir durante largos periodos los cambios detallados en la ubicación de los usuarios
• Los documentos muestran el riesgo potencial de que estos datos publicitarios sean usados como herramienta de vigilancia por organismos gubernamentales
• ICE también compró una herramienta similar para monitorear el movimiento de teléfonos celulares en regiones completas, y está evaluando obtener más datos de ‘Ad Tech’
• Unos 70 legisladores pidieron al inspector general del DHS una investigación sobre la compra de datos de ubicación por parte de ICE, poniendo en foco la falta de transparencia en el uso gubernamental de datos

---

Uso de datos publicitarios por parte de CBP

• Según documentos internos del DHS, CBP compró datos de ubicación recopilados dentro del ecosistema de publicidad en línea para rastrear los movimientos de las personas
  • Los datos se obtienen a través de apps comunes como videojuegos, servicios de citas y rastreadores de actividad física
  • Esto permite identificar con precisión los cambios de ubicación y las rutas de desplazamiento de una persona según la franja horaria
• Los documentos muestran que estos datos son una herramienta poderosa que puede ser utilizada por agencias gubernamentales con fines de vigilancia
  • Al mismo tiempo, sugieren la existencia de riesgos de vulneración de la privacidad personal

Casos similares de compra de datos por parte de ICE

• También se confirmó que ICE (Servicio de Inmigración y Control de Aduanas) compró una herramienta similar capaz de monitorear el movimiento de teléfonos celulares en regiones completas
  • ICE expresó recientemente interés en obtener datos adicionales de tecnología publicitaria (Ad Tech)
• Tras un reporte de 404 Media, los hechos salieron a la luz a través de documentos públicos de contratación

Respuesta del Congreso

• Cerca de 70 legisladores enviaron una carta al inspector general del DHS para exigir el inicio de una nueva investigación sobre la compra de datos de ubicación por parte de ICE
  • La carta cuestiona la legalidad de la compra de datos y la posibilidad de abuso en la vigilancia

Evaluación de expertos

• Johnny Ryan, de la Irish Council for Civil Liberties (ICCL), describió los datos publicitarios como una “mina de oro para rastrear la ubicación y los hábitos de consumo de todas las personas”
  • Advirtió que la venta de datos publicitarios puede representar una amenaza grave para la protección de la privacidad personal

Aviso sobre acceso restringido al artículo

• El texto completo es contenido exclusivo para miembros de pago, por lo que se requiere una suscripción para leerlo íntegramente
  • También se ofrece un enlace para registrarse gratis o iniciar sesión

[GN⁺]

Opiniones en Hacker News

• Enlace al archivo del artículo

• Por mi trabajo, manejo con frecuencia datos publicitarios, y hay muchas partes que los periodistas entienden mal
  Los datos de ubicación en realidad son muy imprecisos. Como el sistema operativo o el navegador bloquean bastante bien el acceso a la ubicación, la información de ubicación que entregan las redes publicitarias suele ser en su mayoría una estimación aproximada basada en IP
  Las redes publicitarias tienen incentivos para exagerar la calidad de sus datos. Y el seguimiento a nivel de usuario es mucho más difícil de lo que parece. Aunque los SDK de cada app envíen señales, si no hay una clave para vincular al usuario entre apps, todo se trata como datos separados
  Por eso a veces se muestran anuncios basados en el historial de búsqueda de otra persona que comparte la misma IP
  En particular, los datos de bidstream son solo información fragmentaria del momento en que se sirve un anuncio en tiempo real, así que no sirven bien para rastrear a una persona. Datos como los de Mobilewalla se usan más para analizar patrones que para seguir individuos
  Incluso las agencias gubernamentales usan estos datos de forma limitada en la práctica — por ejemplo, la CBP intentó detectar actividad anormal de teléfonos en zonas fronterizas, y el IRS probó datos de Venntel, pero fracasó
  Al final, creo que la única solución es la eliminación gradual de la publicidad personalizada. En su estado actual, el gobierno no llega al punto de identificar individuos con estos datos

  • Yo antes trabajaba en la industria ad-tech, pero me fui. Una empresa llamada Factual usaba geofences mucho más pequeños de lo que permitían sus propias políticas, y nuestra empresa siguió usándolos aun sabiéndolo
    El CEO decía “como no lo hicimos nosotros, no hay problema”, pero al final actuábamos como intermediarios en un sistema que rastreaba personas con alta resolución. Hay que mirar de frente lo que destruyó la industria
  • Si fusionas fuentes de datos, se puede hacer mucho más de lo que uno imagina.
    Hay investigaciones relacionadas como Large-Scale Online Deanonymization with LLMs y Robust De-anonymization of Large Sparse Datasets
  • Ni el gobierno ni las empresas de publicidad necesitan saber mi ubicación. Aunque los datos sean “aproximados”, sigue siendo una invasión a la privacidad
  • Totalmente de acuerdo

• Es una lástima que la Privacy Act tenga una excepción para fines de aplicación de la ley. En ese momento probablemente no imaginaron que casi cualquier acción del gobierno terminaría llamándose “aplicación de la ley”
  El gobierno de Estados Unidos tiene un marco ético para el manejo de datos personales llamado Fair Information Practice Principles
  Pero en la práctica el estándar del gobierno parece ser algo como “si el propósito es legal, entonces vale”, así que se queda en el mínimo legal en vez de priorizar el interés público

  • El problema no es la ley, sino la mera existencia de los datos. Si los datos existen, al final alguien —ya sea el gobierno o un insider— terminará abusando de ellos

• Últimamente está cambiando mi forma de pensar sobre la privacidad. Ya no se siente como algo que solo hay que defender, sino como si estuviéramos bajo ataque activo
  La gente está perdiendo su sustento o su reputación por invasiones a la privacidad. Yo casi no puedo hacer nada, y las empresas saben hasta cuándo voy al baño
  Lo muestran en anuncios y venden los datos para que instituciones corruptas los abusen legalmente
  Al final, cuando la única opción que queda es “solo aguanta los golpes”, ya no sé quién va a protegernos

  • Aun así, se puede mejorar un poco. Ya existen servicios de eliminación de datos personales que ayudan a gestionar la información que ya se difundió

• Es irónico que se use dinero de los contribuyentes para rastrear a los contribuyentes y además sostener a la industria publicitaria

• Yo solo tengo 26 apps instaladas en el teléfono. De esas, 4 son extensiones de Safari, 1 es una PWA y 1 es una app que hice yo mismo
  Con NextDNS bloqueo el rastreo lo más posible, y no uso redes sociales. Creo que es lo mejor que se puede hacer en la práctica

  • Pero el propio teléfono envía continuamente datos de ubicación a la compañía telefónica. El gobierno puede obtener esos datos incluso sin orden judicial. Al final, estos esfuerzos no pasan de ser “teatro de privacidad”
  • Además, el teléfono transmite a las torres celulares su ubicación exacta las 24 horas del día

• Se siente como si el cuento “Scroogled (2007)” de Cory Doctorow se hubiera vuelto realidad
  Enlace al texto original

  • En 2007 sonaba a teoría conspirativa, pero eso fue antes de las revelaciones de Snowden (2013). Siete años después, el director de la NSA dijo: “matamos gente con metadatos”
    La invasión a la privacidad ha avanzado lentamente, pero de forma constante, y al final está abriendo la puerta a un ‘Turnkey Tyrant’ (una dictadura lista para activarse de inmediato)
  • Ya no estamos en la etapa de “imitación”, sino en la de la implementación
  • Era una buena historia

• Me sorprendió enterarme de que el comentario borrado (octoclaw) era un LLM. En cualquier caso, el problema es lo baratos y fáciles de conseguir que son estos datos. No solo el gobierno; cualquiera puede acceder a ellos
  Por eso uno debería llevar el teléfono consigo solo cuando de verdad haga falta

  • El comentario fue borrado precisamente por ser un LLM
  • Pero desde la perspectiva del consumidor común, estos datos no son tan baratos

• Me pregunto si una ley de privacidad al estilo europeo podría frenar esto. Pero dada la situación política de Estados Unidos, es poco probable que exista una ley así

  • Aunque se haga una ley, si el gobierno la ignora, no sirve de mucho
  • En teoría, si rechazas el consentimiento en los popups y también rechazas todos los apartados ocultos de “interés legítimo”, entonces no deberían recopilar tus datos, pero en la práctica, por los dark patterns y los sistemas de auditoría opacos, los datos de la mayoría de la gente se siguen recolectando
    Además, si es el propio gobierno el que compra estos datos, difícilmente va a sancionar a las empresas por incumplir
  • La pregunta “¿una ley al estilo europeo lo detendría?” es demasiado simple. El problema no es solo la ausencia de una ley, sino esta estructura:
    1. las apps recopilan datos de ubicación precisos,
    2. la infraestructura publicitaria los transmite por RTB,
    3. los brokers los revenden,
    4. el gobierno esquiva la recolección directa comprándolos, y
    5. los reguladores no logran detenerlo
       El GDPR es más estricto, pero por las limitaciones en su aplicación, el ecosistema adtech sigue existiendo
       Al final, lo importante no es una “ley al estilo europeo”, sino un diseño institucional real que incluya límites a la recolección, prohibición de reventa, prohibición de compra por parte del gobierno y obligación de auditoría

• He trabajado de cerca con sistemas de datos como este. Internamente existía el principio de no vigilar a ciudadanos estadounidenses, pero en la práctica la red de reventa de datos era demasiado codiciosa. Mientras más vendían, más dinero ganaban

  • Pero entonces, ¿cómo determinan si alguien es ciudadano o no? Por ejemplo, yo soy ciudadano estadounidense, pero creé mi cuenta de Gmail en Australia, y cuando me conecto a veces me manda al dominio australiano. En un caso así, mis datos podrían clasificarse como si fueran de un extranjero y terminar dentro de la vigilancia