Seus aplicativos sabem onde você estava na noite passada e não estão mantendo isso em segredo

Dezenas de empresas usam os locais dos smartphones para ajudar os anunciantes e até mesmo os fundos de hedge. Eles dizem que é anônimo, mas os dados mostram como é pessoal.

Os milhões de pontos no mapa traçam estradas, ruas secundárias e trilhas de bicicleta – cada uma seguindo o caminho de um usuário de celular anônimo.

Um caminho acompanha alguém de uma casa fora de Newark até uma Planned Parenthood próxima, permanecendo lá por mais de uma hora. Outro representa uma pessoa que viaja com o prefeito de Nova York durante o dia e retorna a Long Island à noite.

No entanto, outro deixa uma casa no interior de Nova York às 7 da manhã e viaja para uma escola secundária a 14 milhas de distância, permanecendo até o final da tarde em cada dia de aula. Apenas uma pessoa faz essa viagem: Lisa Magrin, uma professora de matemática de 46 anos. Seu smartphone vai com ela.

Um aplicativo no dispositivo reuniu suas informações de localização, que foram vendidas sem o conhecimento dela. Ele registrou seu paradeiro a cada dois segundos, segundo um banco de dados de mais de um milhão de telefones na área de Nova York, revisto pelo The New York Times. Embora a identidade de Magrin não tenha sido divulgada nesses registros, o Times conseguiu conectá-la facilmente a esse ponto.

O aplicativo a acompanhou quando ela foi a uma reunião do Vigilantes do Peso e ao consultório de seu dermatologista para um procedimento menor. Ele a seguiu caminhando com seu cachorro e ficando na casa de seu ex-namorado, informações que ela achava perturbadoras.

“É a ideia de as pessoas descobrirem esses detalhes íntimos que você não quer que as pessoas saibam”, disse Magrin, que permitiu que o Times revisse seus dados de localização.

Como muitos consumidores, Magrin sabia que os aplicativos poderiam rastrear os movimentos das pessoas. Mas à medida que os smartphones se tornaram onipresentes e a tecnologia mais precisa, uma indústria de espionagem nos hábitos diários das pessoas se espalhou e se tornou mais intrusiva.

Lisa Magrin é a única pessoa que viaja regularmente de sua casa para a escola onde ela trabalha. Sua localização foi registrada mais de 800 vezes lá, muitas vezes em sua sala de aula.

Uma visita ao consultório médico também está incluída. Os dados são tão específicos que o The Times pôde determinar quanto tempo ela estava lá.

Os dados de localização da Sra. Magrin mostram outros locais frequentemente visitados, incluindo a academia e os Vigilantes do Peso.

Em cerca de quatro meses de dados analisados pelo The Times, sua localização foi registrada em mais de 8.600 vezes – em média, uma vez a cada 21 minutos.

Pelo menos 75 empresas recebem dados de localização anônimos e precisos de aplicativos cujos usuários permitem serviços de localização para obter notícias locais, previsão do tempo ou outras informações, segundo o Times. Várias dessas empresas afirmam rastrear até 200 milhões de dispositivos móveis nos Estados Unidos – cerca de metade dos que foram usados no ano passado. O banco de dados analisado pelo The Times – uma amostra de informações reunidas em 2017 e mantido por uma empresa – revela as viagens das pessoas com detalhes surpreendentes, com precisão de alguns metros e, em alguns casos, atualizadas mais de 14.000 vezes por dia.

Essas empresas vendem, usam ou analisam os dados para atender a anunciantes, varejistas e até mesmo fundos de hedge que buscam insights sobre o comportamento do consumidor. É um mercado quente, com vendas de publicidade segmentada por local atingindo cerca de US $ 21 bilhões este ano. A IBM entrou no setor, com a compra dos aplicativos do Weather Channel. A rede social Foursquare se reformou como uma empresa de marketing de localização. Investidores proeminentes em start-ups de localização incluem Goldman Sachs e Peter Thiel, o co-fundador do PayPal.

As empresas dizem que seu interesse está nos padrões, não nas identidades, que os dados revelam sobre os consumidores. Eles observam que os aplicativos de informações coletados estão vinculados não ao nome ou número de telefone de alguém, mas a um código único. Mas aqueles com acesso aos dados brutos – incluindo funcionários ou clientes – ainda podem identificar uma pessoa sem consentimento. Eles poderiam seguir alguém que conhecessem, identificando um telefone que passasse regularmente no endereço residencial dessa pessoa. Ou, trabalhando em sentido inverso, eles poderiam anexar um nome a um ponto anônimo, vendo onde o dispositivo passa à noite e usando registros públicos para descobrir quem moraria lá.

Muitas empresas de localização dizem que quando os usuários de telefone permitem serviços de localização, seus dados são passam a fazer parte de um jogo justo, consentido. Mas, segundo o “New York Times”, as explicações que as pessoas veem quando solicitadas a dar permissão geralmente são incompletas ou enganosas. Um aplicativo pode informar aos usuários que conceder acesso a sua localização os ajudará a obter informações de tráfego, mas não mencionará que os dados serão compartilhados e vendidos. Essa divulgação é frequentemente escondida em uma política de privacidade vaga.

Essas empresas vendem, usam ou analisam os dados para atender a anunciantes, varejistas e até mesmo fundos de hedge que buscam insights sobre o comportamento do consumidor. É um mercado muito frenético, com vendas de publicidade segmentada por local atingindo cerca de US $ 21 bilhões este ano. A IBM entrou no setor, com a compra dos aplicativos do Weather Channel. A rede social Foursquare se reformou como uma empresa de marketing de localização. Investidores proeminentes em start-ups de localização incluem Goldman Sachs e Peter Thiel, o co-fundador do PayPal.

As empresas dizem que seu interesse está nos padrões, não nas identidades, que os dados revelam sobre os consumidores. Eles observam que os aplicativos de informações coletados estão vinculados não ao nome ou número de telefone de alguém, mas a um código único. Mas aqueles com acesso aos dados brutos – incluindo funcionários ou clientes – ainda podem identificar uma pessoa sem consentimento. Eles poderiam seguir alguém que conhecessem, identificando um telefone que passasse regularmente tempo no endereço residencial dessa pessoa. Ou, trabalhando em sentido inverso, eles poderiam anexar um nome a um ponto anônimo, vendo onde o dispositivo passava a noite e usando registros públicos para descobrir quem morava lá.

Muitas empresas de localização dizem que quando os usuários de telefone permitem serviços de localização, seus dados são um jogo justo. Mas, segundo o “New York Times”, as explicações que as pessoas veem quando solicitadas a dar permissão geralmente são incompletas ou enganosas. Um aplicativo pode informar aos usuários que conceder acesso a sua localização os ajudará a obter informações de tráfego, mas não mencionará que os dados serão compartilhados e vendidos. Essa divulgação é frequentemente enterrada em uma política de privacidade vaga.

“As informações de localização podem revelar alguns dos detalhes mais íntimos da vida de uma pessoa – se você já visitou um psiquiatra, se foi para um A.A. reunião, quem você pode namorar “, disse o senador Ron Wyden, democrata de Oregon, que propôs projetos de lei para limitar a coleta e venda de tais dados, que são em grande parte não regulamentados nos Estados Unidos.

“Não é certo ter consumidores mantidos no escuro sobre como seus dados são vendidos e compartilhados e, em seguida, deixá-los incapazes de fazer algo a respeito”, acrescentou.

Dispositivos de Vigilância Móvel

Depois que Elise Lee, uma enfermeira em Manhattan, viu que seu dispositivo foi rastreado até a sala de operações principal do hospital onde trabalha, ela expressou preocupação com sua privacidade e a de seus pacientes.

“É muito assustador”, disse Lee, que permitiu ao The Times examinar seu histórico de localização no conjunto de dados revisado. “Parece que alguém está me seguindo, pessoalmente.”

O setor de localização para dispositivos móveis começou como uma forma de personalizar aplicativos e segmentar anúncios para empresas próximas, mas ele se transformou em uma máquina de coleta e análise de dados.

Os varejistas procuram rastrear as empresas para falar sobre seus próprios clientes e seus concorrentes. Para um seminário na Web no ano passado, Elina Greenstein, executiva da empresa de localização GroundTruth, mapeou o caminho de um consumidor hipotético de casa para o trabalho para mostrar aos possíveis clientes como o rastreamento poderia revelar as preferências de uma pessoa. Por exemplo, alguém pode pesquisar online por receitas saudáveis, mas a GroundTruth pode ver que a pessoa come frequentemente em restaurantes de fast food.

“Procuramos entender quem é uma pessoa, com base em onde estiveram e para onde estão indo, para influenciar o que farão a seguir”, disse Greenstein.

As empresas financeiras podem usar as informações para tomar decisões de investimento antes de uma empresa divulgar ganhos – ver, por exemplo, se mais pessoas estão trabalhando no chão de fábrica ou indo às lojas de um varejista.

Os serviços de saúde estão entre as áreas mais atraentes, porém mais preocupantes, para rastreamento, como demonstrado pela reação de Lee. A Tell All Digital, uma empresa de publicidade de Long Island que é cliente de uma empresa de localização, diz que realiza campanhas publicitárias para advogados de ferimento pessoal que visam pessoas anonimamente em salas de emergência.

“O livro” 1984 “, estamos vivendo isso de várias maneiras”, disse Bill Kakis, sócio-gerente da Tell All.

Prisões, escolas, uma base militar e uma usina nuclear – até mesmo cenas de crime – apareceram no conjunto de dados que o Times analisou. Uma pessoa, talvez um detetive, chegou ao local de um homicídio tarde da noite em Manhattan, depois passou um tempo em um hospital próximo, retornando repetidamente à delegacia local.

Duas empresas de localização, a Fysical e a SafeGraph, mapearam as pessoas que participaram da inauguração presidencial de 2017. No mapa da Fysical, uma caixa vermelha brilhante perto dos degraus do Capitólio indicava a localização geral do Presidente Trump e dos que o rodeavam, com telefones celulares afastando-se. O executivo-chefe da Fysical disse em um e-mail que os dados usados eram anônimos. O SafeGraph não respondeu aos pedidos de comentários.

Crianças sendo monitorada por terceiros

Os dados analisados pelo The Times incluem dezenas de escolas. Em uma exibição de dados se identifica um dispositivo, provavelmente o de uma criança, sendo rastreado de uma casa para outra. O dispositivo passa algum tempo no recreio antes de entrar na escola antes das 8 da manhã, onde permanece até às 15:00. Mais de 40 outros dispositivos aparecem na escola durante o dia. Muitos são rastreáveis a residências próximas.

Mais de mil aplicativos populares contêm código de compartilhamento de localização de tais empresas, de acordo com dados de 2018 da MightySignal, uma empresa de análise móvel. Descobriu-se que o sistema Android do Google tem cerca de 1.200 aplicativos com esse código, em comparação com cerca de 200 no iOS da Apple.

A empresa mais prolífica foi a Reveal Mobile, com sede na Carolina do Norte, que tinha código de coleta de localização em mais de 500 aplicativos, incluindo muitos que fornecem notícias locais. Um porta-voz da Reveal disse que a popularidade de seu código mostrou que ele ajudou os desenvolvedores de aplicativos a ganhar dinheiro com anúncios e que os consumidores recebem serviços gratuitos.

Para avaliar as práticas de compartilhamento de localização, o Times testou 20 aplicativos, a maioria dos quais foi sinalizada por pesquisadores e especialistas do setor como potencialmente compartilhando os dados. Juntos, 17 dos aplicativos enviaram latitude e longitude exatas para cerca de 70 empresas. Dados de localização precisos de um aplicativo, o WeatherBug no iOS, foram recebidos por 40 empresas. Quando contatados pelo The Times, algumas das empresas que receberam esses dados o descreveram como “não solicitado” ou “inapropriado”.

O WeatherBug, de propriedade da GroundTruth, pede permissão aos usuários para coletar sua localização e informa que as informações serão usadas para personalizar os anúncios. A GroundTruth disse que normalmente enviava os dados para empresas de publicidade com as quais trabalhava, mas que, se eles não quisessem, as informações que poderiam pedir para deixar de recebê-los.

O Times também identificou mais de 25 outras empresas que disseram em materiais de marketing ou entrevistas que vendem dados ou serviços de localização, incluindo publicidade direcionada.

A disseminação dessa informação levanta questões sobre o quão segura ela é tratada e se é vulnerável a Hackers, disse Serge Egelman, pesquisador de segurança e privacidade de computadores afiliado à Universidade da Califórnia, em Berkeley.

“Não há realmente consequências” para as empresas que não protegem os dados, ele disse, “além de notícias ruins que são esquecidas.”

Uma questão de consciência

As empresas que usam dados de localização dizem que as pessoas concordam em compartilhar suas informações em troca de serviços personalizados, recompensas e descontos. Ms. Magrin, a professora, notou que ela gostava que a tecnologia de rastreamento permitisse que ela gravasse suas rotas de corrida.

Brian Wong, presidente-executivo da Kiip, uma empresa de publicidade para dispositivos móveis que também vendeu dados anônimos de alguns dos aplicativos com os quais trabalha, diz que os usuários dão aos aplicativos permissão para usar e compartilhar seus dados. “Você está recebendo esses serviços gratuitamente porque os anunciantes estão ajudando a monetizar e pagar por isso”, disse ele, acrescentando: “Você teria que ser bastante alheio se não estiver ciente de que isso está acontecendo”.

Mas a Sra. Lee, a enfermeira, tinha uma visão diferente. “Eu acho que é o que eles têm para dizer a si mesmos”, disse ela sobre as empresas. “Mas vamos lá.”

Lee deu apps em seu iPhone para acessar sua localização apenas para determinados fins – ajudando-a a encontrar vagas de estacionamento, enviando alertas meteorológicos – e apenas se eles não indicassem que as informações seriam usadas para qualquer outra coisa, ela disse. Magrin permitiu que cerca de uma dúzia de aplicativos em seu telefone Android acessassem seu paradeiro para serviços como notificações de tráfego.

Um aplicativo no celular de Lisa Magrin coletou suas informações de localização, que foram compartilhadas com outras empresas. Os dados revelaram seus hábitos diários, incluindo caminhadas com seu cachorro, Lulu. Nathaniel Brooks para o New York Times

Mas é fácil compartilhar informações sem perceber. Dos 17 aplicativos que o The Times viu enviando dados de localização precisos, apenas três no iOS e um no Android disseram aos usuários em um prompt durante o processo de permissão que as informações poderiam ser usadas para publicidade. Apenas um aplicativo, o GasBuddy, que identifica postos de gasolina próximos, indicou que os dados também poderiam ser compartilhados para “analisar as tendências do setor”.

Mais típico foi o theScore, um aplicativo de esportes: ao solicitar que os usuários concedessem acesso à sua localização, os dados ajudariam a “recomendar equipes locais e jogadores relevantes para você”. O aplicativo passou coordenadas precisas para 16 empresas de publicidade e localização.

The Score, sozinho, compartilhou dados de localicação para 16 outras empresas.

Um porta-voz do theScore disse que o idioma no prompt era apenas uma “introdução rápida a alguns dos principais recursos do produto” e que os usos completos dos dados foram descritos na política de privacidade do aplicativo.

O aplicativo Weather Channel, de propriedade de uma subsidiária da IBM, disse aos usuários que o compartilhamento de seus locais permitiria que eles obtivessem relatórios meteorológicos locais personalizados. A IBM disse que a subsidiária, a Weather Company, discutiu outros usos em sua política de privacidade e em uma seção separada de “configurações de privacidade” do aplicativo. Informações sobre publicidade foram incluídas, mas uma parte do aplicativo chamada “configurações de localização” não fez menção a ela.

O aplicativo não divulgou explicitamente que a empresa também analisou os dados dos fundos de hedge – um programa piloto que foi promovido no site da empresa. Um porta-voz da IBM disse que o piloto havia terminado. (A IBM atualizou a política de privacidade do aplicativo em 5 de dezembro, após consultas do The Times, para dizer que pode compartilhar dados de localização agregados para fins comerciais, como analisar o tráfego de pedestres.)

Até mesmo especialistas do setor reconhecem que muitas pessoas não leem essas políticas ou podem não entender completamente seu idioma obscuro. Políticas para aplicativos que canalizam informações de localização para ajudar empresas de investimento, por exemplo, disseram que os dados são usados para análise de mercado ou simplesmente compartilhados para fins comerciais.

“A maioria das pessoas não sabe o que está acontecendo”, disse Emmett Kilduff, executivo-chefe da Eagle Alpha, que vende dados para empresas financeiras e fundos de hedge. Kilduff disse que a responsabilidade pelo cumprimento dos regulamentos de coleta de dados recaiu sobre as empresas que coletaram o material das pessoas.

Muitas empresas de localização dizem que tomam medidas voluntárias para proteger a privacidade dos usuários, mas as políticas variam muito.

Por exemplo, o Sense360, que se concentra na indústria de restaurantes, diz que embaralha dados em um espaço de 300 metros em torno da localização aproximada do dispositivo. Outra empresa, a Factual, diz que coleta dados de consumidores em casa, mas que seu banco de dados não contém seus endereços.

Planta nuclear

No conjunto de dados revisado pelo The Times, os locais dos telefones são registrados em áreas sensíveis, incluindo a usina nuclear de Indian Point, perto da cidade de Nova York.

As informações de um domingo incluíram mais de 800 pontos de dados de mais de 60 dispositivos exclusivos dentro e ao redor de uma igreja em Nova Jersey.

Algumas empresas dizem que excluem os dados de localização depois de usá-los para veicular anúncios, outros usam para anúncios e os transmitem para empresas de agregação de dados, e outros mantêm as informações por anos.

Várias pessoas no setor de locação disseram que seria relativamente simples descobrir identidades individuais nesse tipo de dado, mas não o fizeram. Outros sugeriram que exigiria tanto esforço que os Hackers não se importariam.

“Levaria uma enorme quantidade de recursos”, disse Bill Daddi, porta-voz da Cuebiq, que analisa dados de localização anônimos para ajudar varejistas e outros, e arrecadou mais de US $ 27 milhões este ano de investidores, incluindo a Goldman Sachs e a Nasdaq Ventures. No entanto, Cuebiq criptografa suas informações, registra consultas de funcionários e vende análises agregadas, disse ele.

Não há lei federal limitando a coleta ou uso de tais dados. Ainda assim, os aplicativos que pedem acesso aos locais dos usuários, solicitando permissão e deixando de fora detalhes importantes sobre como os dados serão usados, podem entrar em conflito com regras federais sobre práticas comerciais enganosas, disse Maneesha Mithal, autoridade de privacidade do Federal Comissão de Comércio.

“Você não pode curar uma divulgação equivocada de just-in-time com informações em uma política de privacidade”, disse Mithal.

Seguindo o dinheiro

Os aplicativos formam o backbone dessa nova economia de dados de localização.

Os desenvolvedores de aplicativos podem ganhar dinheiro vendendo diretamente seus dados ou compartilhando-os para anúncios baseados em localização, que exigem um prêmio. As empresas de dados de localização pagam meio centavo a dois centavos por usuário por mês, de acordo com cartas de oferta aos fabricantes de aplicativos revisadas pelo The Times.