NRK、自社データを請求した後に購入して電話位置情報の販売業者を暴く

2020年、電話位置情報データは静かに政府隣接の商品になりつつあった。ブローカーは「匿名化」された移動記録を販売し、米国税関・国境警備局（CBP）やICEなどの米国機関がアクセスを購入し、ユーザーが信頼していたアプリは購入者を一切名指ししなかった。被害は現実だが拡散しており、説明は容易でも特定は不可能だった。ノルウェーの公共放送局NRKの記者マルティン・グンデルセンは、自身の電話がその市場に情報を供給していると疑い、それを端から端まで証明することにした。

彼は2020年2月から実験を開始した。アプリを満載した予備の電話をどこへでも持ち歩く一方、NRKのチームは別途、病院や女性シェルターで追跡された8,300台以上の電話を記録した。そして彼はGDPRの主体アクセス権を調査手段に変え、その足跡が触れたすべての企業に対して請求を行った。まずは米国連邦機関に位置情報データを販売するバージニア州のブローカー、Venntelに対して。Venntelは75,406件の位置情報記録を回答し、データが連邦法執行や国家安全保障を含む目的で共有されたことを確認した。

各回答が次の企業を名指ししたため、請求は連鎖的に積み重なった。Venntelの親会社Gravy Analytics、次に仲介業者のPredicioとComplementics、そしてスロバキアのナビゲーションアプリ開発者Sygic、そしてFunny Weatherアプリの制作者である。NRKの技術分析は、Venntelの記録の中にComplementicsがSygicのデータに使用した識別子を発見し、ノルウェーのプライバシー専門家3名はこの連鎖を明白なGDPR違反と呼んだ。

「匿名化」の価値を示すため、NRKチームはすでに商用位置情報データセットへのアクセスを35,000ノルウェークローネ（約4,000ドル）で購入し、スタヴァンゲル在住の31歳カール・ビャルネ・ベルンハルドセンを抽出していた。彼に電話したとき、彼らは2019年を通じて彼がどこにいたかを暗唱できた。動物園、就職面接、初めての父親として病院で過ごした日々。データ提供者は同じデータを匿名化済みと呼んでいたが、NRKはそのレッテルが無意味であることをただ証明したのだった。

すべてのデータブローカーにGDPR請求を回答させ、その後製品を購入する。回答が連鎖を描き、サンプルがそれが匿名でないことを証明する

GDPRの主体アクセス請求は販売業者自身の法的仕組みで動く。ブローカーは何を保有し、誰と共有したかを回答しなければならないため、連鎖を開始するのに召喚状や内部告発者は不要である。

回答は紙の証跡となる。VenntelのファイルはGravy Analyticsを名指しし、それがPredicioとComplementicsを名指しし、それがSygicとFunny Weatherへと遡った。プライバシーポリシーが明かさなかった経路である。

一般顧客として製品を購入することが最も強力なテストである。35,000ノルウェークローネで、NRKは販売業者が匿名化済みと呼んだデータの中の名指しされた人物を特定し、一度の電話でその防御は崩れた。

具体的な被害が記事を響かせた。ベルンハルドセンに彼自身の移動を読み聞かせること、すなわち動物園、就職面接、病院が、監視の抽象概念を読者が感じ取れるニュースへと変えた。

被害が見えない市場を暴くには、各供給者をその開示義務を通じて問い詰め、自分で製品を購入せよ。すべての回答が次の販売業者を名指しし、サンプルが損害を証明する。

NRKbetaの英語記事（2020年12月3日）はHacker Newsで493ポイントと169件のコメントを集め、記者は読者に回答し、マイケル・ヴィールのアクセス請求テンプレートを称えた。それは米国で広がる議論に寄与した。あるコメンターはロン・ワイデン上院議員がVenntelはその情報源について「議会を何ヶ月も遮ってきた」と述べたことを引用し、一方CBPは商用データへの限定的なアクセスを確認した。Sygicの代表者はその関連を「明確でない」と呼び、証明されれば違反だと述べた。ノルウェーの弁護士たちは、Venntelが欧州に事務所を持たないため訴追は成功しないだろうと疑った。罰金ではなく、文書化そのものが成果だった。