NRK expôs vendedores de localização de celular ao solicitar seus próprios dados e depois comprá-los

Em 2020, os dados de localização de celular estavam silenciosamente se tornando uma mercadoria próxima do governo: corretores vendiam registros de movimento 'anonimizados', agências dos EUA como a Alfândega e Proteção de Fronteiras e o ICE compravam acesso, e os aplicativos em que os usuários confiavam nunca nomeavam os compradores. O dano era real, mas difuso — fácil de descrever, impossível de apontar. Martin Gundersen, jornalista da emissora pública norueguesa NRK, suspeitava que seu próprio celular alimentava esse mercado e decidiu provar isso de ponta a ponta.

Ele conduziu o experimento a partir de fevereiro de 2020: um celular extra carregado de aplicativos e levado a todos os lugares, enquanto a equipe da NRK documentava separadamente mais de 8.300 celulares rastreados em hospitais e abrigos para mulheres. Depois, ele transformou o direito de acesso do titular previsto no GDPR em um instrumento investigativo, apresentando pedidos a todas as empresas que a trilha tocava, começando pela Venntel, a corretora da Virgínia que vende dados de localização a agências federais dos EUA. A Venntel respondeu com 75.406 registros de localização e confirmou que os dados haviam sido compartilhados para finalidades incluindo aplicação da lei federal e segurança nacional.

Cada resposta nomeava a próxima empresa, então os pedidos se multiplicaram: a controladora da Venntel, Gravy Analytics, depois as intermediárias Predicio e Complementics, depois a Sygic — a desenvolvedora eslovaca de aplicativos de navegação — e a criadora do aplicativo Funny Weather. A análise técnica da NRK encontrou um identificador que a Complementics usava para dados da Sygic dentro dos registros da Venntel, e três especialistas noruegueses em privacidade classificaram a cadeia como uma aparente violação do GDPR.

Para mostrar quanto valia o 'anonimizado', a equipe da NRK já havia comprado acesso a um conjunto de dados comerciais de localização por 35.000 NOK (cerca de US$ 4.000) e extraído Karl Bjarne Bernhardsen, de 31 anos, de Stavanger. Quando ligaram para ele, puderam recitar onde ele estivera ao longo de 2019 — o zoológico, uma entrevista de emprego, dias no hospital como pai de primeira viagem. O fornecedor de dados havia chamado os mesmos dados de anonimizados; a NRK acabara de demonstrar que o rótulo não significava nada.

Forçar cada corretor de dados a responder a pedidos do GDPR e depois comprar o produto: as respostas mapeiam a cadeia e a amostra prova que não é anônima

Os pedidos de acesso do titular previstos no GDPR operam sobre a própria maquinaria jurídica dos vendedores: um corretor deve responder o que detém e com quem compartilhou, então nenhuma intimação ou denunciante é necessária para iniciar a cadeia.

As respostas se tornam um rastro documental: o arquivo da Venntel nomeava a Gravy Analytics, que nomeava a Predicio e a Complementics, que levavam de volta à Sygic e à Funny Weather — um caminho que nenhuma política de privacidade revelava.

Comprar o produto como cliente comum é o teste mais forte: por 35.000 NOK, a NRK identificou uma pessoa nomeada em dados que o vendedor chamava de anonimizados, e uma única ligação telefônica desmontou a defesa.

O dano concreto fez a história repercutir: ler para Bernhardsen seus próprios deslocamentos — o zoológico, a entrevista de emprego, o hospital — converteu uma abstração de vigilância em uma notícia que o leitor podia sentir.

Para expor um mercado cujo dano é invisível, interrogue cada fornecedor por meio de seus deveres de divulgação e compre o produto você mesmo: cada resposta nomeia o próximo vendedor, e a amostra prova o dano.

O relato em inglês no NRKbeta (3 de dezembro de 2020) atraiu 493 pontos e 169 comentários no Hacker News, e o jornalista respondeu aos leitores, creditando o modelo de pedido de acesso de Michael Veale. Isso alimentou um debate crescente nos EUA: um comentarista citou o senador Ron Wyden dizendo que a Venntel havia 'bloqueado o Congresso por meses' quanto às suas fontes, enquanto a CBP confirmou acesso limitado a dados comerciais. O representante da Sygic chamou o vínculo de 'não claro' e de violação, se comprovado. Advogados noruegueses duvidaram que uma ação judicial funcionasse porque a Venntel não tem escritórios na Europa — a documentação em si, não uma multa, era o resultado entregue.