Cục Hải quan và Biên phòng Mỹ (CBP) theo dõi lộ trình di chuyển của người dân bằng cách tận dụng hệ sinh thái quảng cáo trực tuyến

• Tài liệu nội bộ của Bộ An ninh Nội địa (DHS) xác nhận rằng CBP đã mua dữ liệu vị trí từ ngành quảng cáo trực tuyến để theo dõi sự di chuyển của các cá nhân
• Dữ liệu này được thu thập từ các ứng dụng phổ biến như game, ứng dụng hẹn hò, thiết bị theo dõi thể dục và có thể cho phép nắm bắt chi tiết thay đổi vị trí của người dùng trong thời gian dài
• Tài liệu cho thấy dữ liệu quảng cáo như vậy mang rủi ro tiềm ẩn khi bị sử dụng làm công cụ giám sát của các cơ quan chính phủ
• ICE cũng đã mua công cụ tương tự để giám sát chuyển động điện thoại di động trên toàn khu vực, đồng thời đang xem xét thu thập thêm dữ liệu ‘Ad Tech’
• Khoảng 70 nghị sĩ đã yêu cầu Tổng thanh tra DHS điều tra việc ICE mua dữ liệu vị trí, qua đó làm nổi bật vấn đề minh bạch trong việc chính phủ sử dụng dữ liệu

---

CBP sử dụng dữ liệu quảng cáo

• Theo tài liệu nội bộ của DHS, CBP đã mua dữ liệu vị trí được thu thập trong hệ sinh thái quảng cáo trực tuyến để theo dõi sự di chuyển của người dân
  • Dữ liệu được thu thập thông qua các ứng dụng phổ biến như game, dịch vụ hẹn hò, thiết bị theo dõi thể dục
  • Nhờ đó có thể xác định chính xác sự thay đổi vị trí và lộ trình di chuyển của từng cá nhân theo từng mốc thời gian
• Tài liệu cho thấy đây là một công cụ mạnh có thể được các cơ quan chính phủ dùng cho mục đích giám sát
  • Đồng thời cũng cho thấy nguy cơ xâm phạm quyền riêng tư cá nhân

Trường hợp ICE mua dữ liệu tương tự

• ICE cũng được xác nhận là đã mua một công cụ tương tự có thể giám sát chuyển động điện thoại di động trên phạm vi cả khu vực
  • Gần đây ICE cũng bày tỏ sự quan tâm đến việc thu thập thêm dữ liệu công nghệ quảng cáo (Ad Tech)
• Sau bài viết của 404 Media, sự việc liên quan đã được hé lộ thông qua các tài liệu mua sắm công khai

Phản ứng của Quốc hội

• Khoảng 70 nghị sĩ đã gửi thư cho Tổng thanh tra DHS, thúc giục mở một cuộc điều tra mới về việc ICE mua dữ liệu vị trí
  • Bức thư đặt vấn đề về tính hợp pháp của việc mua dữ liệu và khả năng lạm dụng giám sát

Đánh giá của chuyên gia

• Johnny Ryan của Irish Council for Civil Liberties (ICCL) mô tả dữ liệu quảng cáo là “mỏ vàng có thể theo dõi vị trí và hành vi tiêu dùng của mọi người”
  • Ông cảnh báo rằng việc bán dữ liệu quảng cáo có thể trở thành mối đe dọa nghiêm trọng đối với quyền riêng tư cá nhân

Lưu ý về giới hạn truy cập bài viết

• Nội dung gốc là bài viết chỉ dành cho thành viên trả phí, cần đăng ký để xem toàn bộ
  • Kèm theo đó là liên kết đăng ký thành viên miễn phí hoặc đăng nhập

[GN⁺]

Ý kiến trên Hacker News

• Liên kết lưu trữ bài viết

• Tôi thường xuyên làm việc với dữ liệu quảng cáo do tính chất công việc, và có khá nhiều chỗ mà các nhà báo hiểu sai
  Dữ liệu vị trí thực ra rất thiếu chính xác. Vì OS và trình duyệt chặn quyền truy cập vị trí khá tốt, nên thông tin vị trí mà mạng quảng cáo cung cấp phần lớn chỉ là ước lượng gần đúng dựa trên IP
  Các mạng quảng cáo có động cơ thổi phồng chất lượng dữ liệu. Và việc theo dõi ở cấp độ người dùng thực tế khó hơn nhiều so với mọi người tưởng. Dù SDK của từng ứng dụng có gửi tín hiệu, nếu không có khóa để liên kết người dùng giữa các ứng dụng thì tất cả sẽ bị xem là dữ liệu riêng rẽ
  Vì vậy nên đôi khi quảng cáo được hiển thị dựa trên lịch sử tìm kiếm của một người khác dùng cùng IP
  Đặc biệt, dữ liệu bidstream chỉ là thông tin rời rạc tại thời điểm phát quảng cáo theo thời gian thực, không phù hợp để theo dõi cá nhân. Dữ liệu kiểu Mobilewalla phù hợp hơn cho phân tích mẫu hình thay vì theo dõi từng người
  Trên thực tế, các cơ quan chính phủ cũng chỉ sử dụng loại dữ liệu này trong phạm vi hạn chế — ví dụ CBP từng muốn phát hiện hoạt động điện thoại bất thường ở khu vực biên giới, còn IRS đã thử dùng dữ liệu Venntel nhưng thất bại
  Cuối cùng, tôi nghĩ giải pháp chỉ có thể là từng bước loại bỏ quảng cáo cá nhân hóa. Với tình trạng hiện nay, chính phủ vẫn chưa đến mức có thể định danh từng cá nhân thông qua loại dữ liệu này

  • Tôi từng làm trong ngành ad-tech rồi sau đó rời đi. Một công ty tên là Factual đã dùng geofence nhỏ hơn rất nhiều so với quy định của chính họ, và công ty tôi vẫn tiếp tục dùng dù biết rõ điều đó
    CEO nói rằng “không sao vì đó không phải thứ chúng tôi tự làm”, nhưng rốt cuộc chúng tôi chỉ là bên trung gian trong một hệ thống theo dõi con người với độ phân giải cao. Ngành này cần phải nhìn thẳng vào những gì mình đã phá hủy
  • Khi hợp nhất (fusion) các nguồn dữ liệu lại, người ta có thể làm được nhiều hơn bạn nghĩ rất nhiều.
    Có các nghiên cứu liên quan như Large-Scale Online Deanonymization with LLMs và Robust De-anonymization of Large Sparse Datasets
  • Dù là chính phủ hay công ty quảng cáo, họ đều không cần biết vị trí của tôi. Dữ liệu dù chỉ là “gần đúng” thì vẫn là xâm phạm quyền riêng tư
  • Hoàn toàn đồng ý

• Thật đáng tiếc khi Privacy Act lại có ngoại lệ cho mục đích thực thi pháp luật. Hồi đó chắc không ai nghĩ rằng mọi hành động của chính phủ sau này đều có thể được gọi là “thực thi pháp luật”
  Chính phủ Mỹ có một khuôn khổ đạo đức cho việc xử lý dữ liệu cá nhân mang tên Fair Information Practice Principles
  Nhưng trên thực tế, tiêu chuẩn của chính phủ chỉ dừng ở mức “miễn là có mục đích hợp pháp”, nên họ thường chỉ bám vào mức tối thiểu về pháp lý thay vì lợi ích công chúng

  • Vấn đề không phải là luật, mà là sự tồn tại của chính dữ liệu đó. Một khi dữ liệu đã tồn tại thì dù là chính phủ hay người trong nội bộ, sớm muộn gì cũng sẽ lạm dụng nó

• Gần đây suy nghĩ của tôi về bảo vệ quyền riêng tư đang thay đổi. Không còn đơn thuần là phòng thủ nữa, mà giờ có cảm giác như đang bị tấn công chủ động
  Người ta đang mất kế sinh nhai và danh tiếng vì những vụ xâm phạm đời tư. Tôi gần như chẳng thể làm gì, trong khi các công ty thì biết cả lúc nào tôi đi vệ sinh
  Họ biến điều đó thành quảng cáo, rồi bán dữ liệu để những tổ chức mục nát có thể lạm dụng nó một cách hợp pháp
  Cuối cùng tình hình chỉ còn lại lựa chọn là “cứ đứng đó mà chịu trận”, và tôi không biết ai sẽ bảo vệ chúng ta

  • Dù vậy, mọi thứ vẫn có thể dần tốt lên. Hiện đã có cả dịch vụ xóa dữ liệu cá nhân giúp quản lý những dữ liệu đã bị phát tán

• Thật mỉa mai khi tiền thuế của người nộp thuế lại được dùng để theo dõi chính người nộp thuế và hỗ trợ ngành quảng cáo

• Tôi chỉ cài 26 ứng dụng trên điện thoại. Trong đó có 4 tiện ích mở rộng Safari, 1 PWA, và 1 ứng dụng do chính tôi làm
  Tôi dùng NextDNS để chặn theo dõi tối đa có thể, và không dùng mạng xã hội. Tôi nghĩ đó là những gì tốt nhất có thể làm trong thực tế

  • Nhưng bản thân điện thoại vẫn liên tục gửi dữ liệu vị trí cho nhà mạng. Chính phủ có thể lấy dữ liệu đó mà không cần trát. Rốt cuộc những nỗ lực kiểu này chỉ là một màn “diễn quyền riêng tư” mà thôi
  • Hơn nữa, điện thoại còn phát vị trí chính xác tới trạm phát sóng suốt 24/7

• Có cảm giác truyện ngắn “Scroogled (2007)” của Cory Doctorow đã trở thành hiện thực
  Liên kết bản gốc

  • Năm 2007 nó nghe như thuyết âm mưu, nhưng đó còn là trước cả tiết lộ của Snowden (2013). Phải 7 năm sau đó giám đốc NSA mới nói rằng “chúng tôi dùng metadata để giết người”
    Việc xâm phạm đời tư đã diễn ra chậm rãi nhưng liên tục, và cuối cùng đang mở cánh cửa cho một “Turnkey Tyrant (chế độ độc tài có thể kích hoạt ngay lập tức)”
  • Không còn là “bắt chước” nữa mà giờ đã là giai đoạn “triển khai”
  • Đó là một câu chuyện hay

• Tôi khá sốc khi biết bình luận đã chết đó (octoclaw) là do LLM tạo ra. Dù sao thì vấn đề vẫn là dữ liệu này rẻ và dễ kiếm đến mức nào. Không chỉ chính phủ mà gần như ai cũng có thể tiếp cận
  Vì vậy chỉ nên mang điện thoại theo người khi thật sự cần

  • Bình luận đó bị chết chính là vì nó là LLM
  • Nhưng từ góc độ người tiêu dùng bình thường thì loại dữ liệu này không hẳn rẻ như vậy

• Tôi tự hỏi liệu luật bảo vệ quyền riêng tư kiểu châu Âu có thể ngăn chuyện này không. Nhưng với tình hình chính trị ở Mỹ, khả năng những đạo luật như vậy xuất hiện là rất thấp

  • Làm luật cũng vô nghĩa nếu chính phủ phớt lờ nó
  • Về lý thuyết, nếu từ chối đồng ý trong các popup và cả các mục “lợi ích chính đáng” được giấu kỹ thì dữ liệu sẽ không bị thu thập, nhưng trong thực tế do dark pattern và hệ thống kiểm toán thiếu minh bạch nên dữ liệu của phần lớn mọi người vẫn tiếp tục bị thu thập
    Hơn nữa, nếu chính phủ đã là bên mua loại dữ liệu này thì họ cũng chẳng có lý do gì để mạnh tay xử lý các vi phạm của doanh nghiệp
  • Câu hỏi “luật kiểu châu Âu có ngăn được không?” là quá đơn giản. Vấn đề không chỉ là thiếu luật, mà là cấu trúc trong đó
    1. ứng dụng thu thập dữ liệu vị trí chính xác,
    2. hạ tầng quảng cáo phát tán nó qua RTB,
    3. các broker bán lại,
    4. chính phủ lách bằng cách mua thay vì tự thu thập trực tiếp,
    5. và cơ quan quản lý không ngăn được toàn bộ quá trình này
       GDPR nghiêm ngặt hơn, nhưng do giới hạn trong thực thi nên hệ sinh thái adtech vẫn tiếp tục tồn tại
       Cuối cùng, điểm cốt lõi không phải là “luật kiểu châu Âu”, mà là một thiết kế thể chế thực chất bao gồm hạn chế thu thập, cấm bán lại, cấm chính phủ mua, và nghĩa vụ kiểm toán

• Tôi từng làm việc khá gần với những hệ thống dữ liệu kiểu này. Về mặt chính sách nội bộ, nguyên tắc là không giám sát công dân Mỹ, nhưng trên thực tế thì mạng lưới bán lại dữ liệu quá tham lam. Bán được càng nhiều thì càng kiếm được tiền

  • Nhưng vậy thì làm sao xác định một người có phải công dân hay không? Ví dụ tôi là công dân Mỹ nhưng đã tạo tài khoản Gmail ở Úc, và khi truy cập đôi lúc còn bị chuyển sang miền của Úc. Trong trường hợp đó dữ liệu của tôi có thể bị phân loại là người nước ngoài và bị đưa vào diện giám sát không?