Firmy toho o lidech vědí dost na to, aby odhadly, kolik je kdo ochoten zaplatit. Státní úřady vědí, že tatáž data si mohou koupit, a obejít tím pravidla, která by při vlastním sběru musely dodržet. A protože se obchoduje na otevřeném trhu, koupí si je i vlády, které nejsou ničí spojenec. Trh, který vyrostl z reklamy a skončil u zaměřování vojáků v zahraničí, mapuje investigativní reportér Byron Tau — autor knihy Means of Control, dnes v redakci ProPublica a jeden z letošních laureátů Pulitzerovy ceny za mezinárodní zpravodajství.
Ceny šité na míru peněžence
Sledovací cenotvorba stojí na jediné otázce: kolik z vás jde vymáčknout. Firmy roky sbírají, co kdo kupuje, čím jezdí, kde bydlí a co ho zajímá, a dosud z toho těžily hlavně cílenou reklamu. Na stejném profilu se ale dá postavit i cena. Že o tom velké řetězce přinejmenším uvažují, považuje Tau za pravděpodobné — data k tomu mají.
Kus té budoucnosti je tu dávno. Předplatitel, který ruší objednávku novin, dostane na odchodovou stránku nabídku, ať zůstane za dosavadní sazbu; totéž zná každý, kdo se pokusil odejít od kabelové televize. Rozdíl je v načasování: napříště může systém spočítat slevu i přirážku dřív, než se zákazníkem vůbec stanete — ze socioekonomického zařazení, z útraty na kartě, z odhadu, kde pracujete. Regulátoři se o téma začali zajímat a některé americké státy chtějí aspoň povinnost přiznat, že různí lidé platí různě.
Nevyhnutelné to není. Rozhoduje, co lidé jako voliči a zákazníci strpí — a kolik z nich naopak výměnu dat za slevy uvítá.
Od reklamních dat k nástroji sledování
Celé to začalo historkou od večeře. Někdo vyprávěl o programu, v němž ministerstvo obrany nakupovalo na volném trhu komerčně dostupné údaje a stavělo na nich protiteroristickou práci. Že si lze objednat přehled o pohybu stovek milionů telefonů, reportéra pokrývajícího justici a policii do té doby nenapadlo.
Data tečou z aplikací — z předpovědi počasí, z her — poté, co uživatel odklikne souhlas. Jméno ani telefonní číslo v nich nejsou, jen řetězec písmen a číslic. Jenže telefon, který každou noc spí na jedné adrese a každé ráno míří do jedné kanceláře, majitele prozradí sám.
V roce 2020 už s nimi pracovalo ministerstvo vnitřní bezpečnosti: hlídalo neoprávněné překročení hranice, hledalo cizince bez pobytového oprávnění ve vnitrozemí a postupně data zapojilo i do běžné policejní práce. Bez soudce, bez příkazu a bez toho, aby o programu kdokoli veřejně věděl.
Každý úřad chce jiný výsek
Armáda a zpravodajské služby míří ven. O cizincích kupují tytéž údaje, jaké jsou k mání o vlastních občanech: vyhledávají a hodnotí lidi, které by šlo získat ke spolupráci, sledují chování mocných v cizích zemích a při protiteroristických operacích podle nich vybírají cíle — někdy i pro zbraně.
Ministerstvo vnitřní bezpečnosti se dívá dovnitř. Kdo přijíždí, co se dováží, kdo žádá o vízum, co tu dělá. Jeho pravomoci sahají do stokilometrového pásma od hranic, a protože se do něj počítají letiště i pobřeží, spadá do něj i většina velkých měst. Je to úřad, který chce váš obličej, aby vás rychleji pustil přes odbavení, a chce vědět, s kým cestujete.
Místní policie řeší krádeže, pokuty a pořádek — a přikupuje si vlastní díl: co kdo píše na sociálních sítích o místních politicích a o škole, kudy jezdí auta ráno a kudy večer. Legitimní úkol má každá z těch složek. Chybí debata o tom, kde jsou meze, kdo smí do dat vstoupit a za jakých podmínek.
Zatím žádný velký registr, ale tlak roste
Jeden obří registr, kde by bylo o občanovi všechno pohromadě, na Západě zatím nikdo neprovozuje. Data leží roztroušená: něco u státu, něco u firem, něco na prodej, něco ne. Autoritářský model vypadá jinak — všechno putuje bezpečnostním složkám, spotřeba elektřiny prozradí těžbu kryptoměn, jízdy městskou dopravou prozradí schůzky s nepohodlnými lidmi, zprávy se čtou. Rozdíl přitom není v tom, co se sbírá; o lidech na Západě se toho sbírá zhruba stejně. Rozdíl je v tom, že to není svedené do jednoho portálu.
Tlak svést to dohromady ovšem sílí a začíná nevinně. Nejdřív dopravní plánování: nasypme do jednoho místa pohyb aut, jízdy veřejnou dopravou a průjezdy mýtem. Jakmile tam data jsou, přijde bezpečnostní argument — co když někdo prchá před policií, co když se hledá unesené dítě. Přesně o to šlo, když do státní správy vstoupil tým kolem Elona Muska: posbírat databáze, které vznikly každá k jinému účelu, a spojit je. Jenže leckterá leží stranou záměrně. Zdravotní údaje nemají sloužit imigračnímu úřadu, daňové taky ne a mýtné brány nemají nahrazovat soudní příkaz.
Obtížnost slučování je dnes de facto ochranou soukromí: data existují, jen se špatně dávají dohromady. Na tom stojí byznys firem, jako je Palantir — samy data nekupují, prodávají schopnost cizí databáze propojit a vytěžit z nich, co v žádné z nich zvlášť nestojí. Hypoteticky: vzít záznamy z mýtných bran, přiložit kriminální statistiku a hledat nejen známé pachatele, ale i podezřelé vzorce jízd. Jednodenní cesta k hranici a hned zpátky — pašerák, nebo někdo, kdo spěchal? Palantir v tom není sám a žádná magie za tím nestojí; s dostatkem výpočetního výkonu to svede i tabulkový procesor.
Trh, na který stačí kreditka
Kolik firem na světě sbírá data o lidech? Odhadem desetitisíce. Jen u reklamní burzy Googlu je několik tisíc partnerů, kteří umějí servírovat reklamu a zároveň si od reklamních serverů odnesou informace o lidech, jimž míří. To je jediná firma. Vlastní burzu má Meta, další provozují společnosti, o nichž nikdo nikdy neslyšel, protože nemají žádný produkt pro koncového zákazníka — a každá z nich má stovky až tisíce vlastních partnerů. A to je pořád jen reklama.
Vstupné je nízké. Existují tržiště, kde si vzorek dat o pohybu, internetovém provozu nebo prodejích koupíte kartou za stovky až tisíce dolarů, a konference, kde se s nimi obchoduje. Soukromý vyšetřovatel nabídl Tauovi při psaní knihy, že za 2 500 dolarů prověří pohyb konkrétního telefonu a pošle o něm zprávu; sám nakonec nic nekupoval. Kontrakty na celosvětový tok dat z telefonů pro státní odběratele se podle smluv, které viděl, pohybují ve statisících dolarů. Postavit na tom firmu je triviální: koupit levněji, prodat státu s přirážkou.
Jak dlouho data vydrží? Tak dlouho, dokud někdo platí úložiště a má odběratele. Po pár letech většinou zestárnou — kdo bude chtít převíjet cizí život o deset let zpátky? — ale nic nebrání archivovat je pro případ, že se hodí.
Technologie předběhla zákon
Spojené státy jsou podle Taua poslední velká demokracie a ekonomika bez souhrnného zákona o ochraně osobních údajů. Místo něj mají mozaiku předpisů stát od státu a několik prezidentských nařízení mířených na národní bezpečnost. V předdigitální éře přitom zákonodárci vyvažovat uměli. Když Nejvyšší soud rozhodl, že na odposlech telefonu není třeba příkaz, protože zvuk jen putuje po drátě, Kongres to přebil zákonem a soudce do hry vrátil. V sedmdesátých letech svázal pravidly údaje o platební historii, v devadesátých zdravotní dokumentaci. Pro digitální data neudělal nic.
Následek je hmatatelný. Policie potřebuje soudní příkaz, když chce po mobilním operátorovi výpis pohybu konkrétního čísla. Pokud tatáž data posbírala aplikace s předpovědí počasí, příkaz netřeba — jde o obchodní transakci a ústavní ochrana se na ni nevztahuje. Skupina zákonodárců napříč stranami chce mezeru zalepit, Kongres se k tomu zatím neměl.
Část problému je kapacita. Člen Kongresu má k ruce pár desítek lidí, často mladých a technicky zdatných, ale špatně placených; po pár letech odcházejí do lobbistických firem za trojnásobek. Expertiza, která by na takové otázky stačila, se ve sboru nestihne usadit.
Stejná data si koupí i cizí vlády
Když chce stát data a nechce být vidět, pořídí si prostředníka. Americký zbrojní dodavatel Sierra Nevada Corporation vlastní drobnou marketingovou firmu nContext: na webu klienti jako komunitní a kulturní centra, v registru veřejných zakázek kontrakt se zpravodajskou komunitou. Jiní dodavatelé se skrývat nepotřebují. Otevřeně říkají, že nakoupí data od stejných obchodníků, jako jsou oni sami, a přeprodají je státu.
Novináři popsali několik izraelských firem, které dělaly totéž — marketingová fasáda napojená na zbrojařskou společnost a data putující cizím vládám. Seznam jejich klientů nikdo nezná a Tau předpokládá, že stejným způsobem pracují i další státy; izraelský případ je jen ten, který se podařilo doložit.
Proč by cizí vláda stála o data o obyvatelích jiné země? Chce rozumět tomu, jak žijí a jak se pohybují, chce vzorce chování prominentů a chce příležitosti k verbování — třeba vědět, kam po směně chodí zaměstnanec továrny s citlivou výrobou. A pak jsou tu vojáci: telefon, který si nikdo neošetřil, prozradí, kam míří celá jednotka. Kancelář senátora Rona Wydena se Pentagonu přímo zeptala, jestli existují zprávy o zaměřování amerických vojáků pomocí nakoupených dat. Pentagon potvrdil, že věrohodné zpravodajské informace v tomto smyslu dostal: protivníci využívají komerčně dostupné údaje od datových brokerů ke sledování a zaměřování amerického personálu v poli. Podrobnosti nesdělil a konkrétní stát nejmenoval; Tau to čte v kontextu současného napětí kolem Íránu.
Zákaz vývozu dat do Íránu, Severní Koreje, Číny a Ruska, který před časem prošel napříč stranami, na tom mnoho nemění. Stačí založit nastrčenou firmu v Německu a nakoupit přes ni; vymáhat se to skoro nedá. Zbude vrstva papírování, která uživí právníky na compliance. Řešení by existovala — přikázat, aby data o občanech zůstala na serverech doma, a zakázat prodej komukoli za hranice — jenže mezinárodní korporace zatím zákonodárce přesvědčily, že by to příliš rozbilo přeshraniční obchod. Evropa mezitím tlačí na to, aby data o jejích občanech fyzicky ležela na jejím území, a Čína cizí firmy sbírat data o svých lidech nepustí vůbec.
Domácnost, která o vás vypráví
Že telefony poslouchají hovory v místnosti, Tau nikdy nedoložil. Kdyby to dělaly nepřetržitě, tekl by z nich takový objem dat, že by si toho výzkumníci všimli. Reklamu, která se objeví pár minut po rozhovoru o daném zboží, přitom zažil i on sám a vysvětlení pro ni nemá.
Chytré televize chtějí vědět, co sledujete, a řada z nich k tomu má technologii snímající obraz na obrazovce. Právě takový datový tok pomáhá držet ceny televizorů dole; kdysi šlo o mnohem dražší zboží. Robotické vysavače si mapují byt a některé vidí — skandály už byly, včetně snímků lidí na záchodě, které procházeli lidští anotátoři kvůli trénování strojového učení. Prodej takových záběrů to není, zásah do soukromí ano. Půdorys bytu má cenu jen tehdy, když je konkrétní člověk pro někoho zajímavý; u většiny domácností nemá smysl žádný.
Chytrý reproduktor umí poslouchat už z podstaty. Firmy slibují, že to nedělají, jenže problém není jen v jejich poctivosti: domů si pořizujete mikrofon a otázka zní, jak dobře je zabezpečený. Zloděj, který chce čísla účtů, i cizí služba, která hledá páku na vydírání, míří na stejnou díru. Tau doma reproduktor nemá a mikrofon v chytrém termostatu má vypnutý — jestli ho útočník dokáže zase zapnout, netuší. Chytré osvětlení zase zaznamenává, kdy rozsvěcíte a zhasínáte, a novější systémy umějí i detekovat pohyb. Žárovka kdysi nehlásila nic, dnes hlásí, že jste doma.
Věrnostní karty jsou prostý obchod: sleva za data. Obchod spáruje nákupy s telefonním číslem, e-mailem a adresou a informaci prodá dál — výrobci nápoje i výrobci krůtího masa se dozvědí, kdo je jejich zákazník. Řetězce, které při vrácení zboží skenují řidičský průkaz, sbírají nejsilnější doklad totožnosti, jaký v peněžence nosíte; nejspíš kvůli podvodům, ale sbírají ho a ukládají. A chytré prsteny a hodinky vědí o spánku, stresu a zátěži. Tau jeden nosí a bere to jako vědomý kompromis, zároveň ale popisuje, k čemu je taková psychografie dobrá: kdo chce někoho oslovit ke spolupráci, potřebuje trefit okamžik, kdy je dotyčný nejuvolněnější — nebo naopak nejvíc ve stresu. Výrobci slibují, že data neprodávají. Slíbit nemohou, že nepřijde úřední žádost nebo že se k jejich serverům nedostane útočník.
Většinou to ostatně firmy někde v podmínkách napsané mají. Spoléhají na to, že je nikdo nečte — a shrnout je jazykovým modelem funguje překvapivě dobře.
Auto, které o vás mluví samo
Nejvíc čtenáře knihy překvapují pneumatiky. Čidlo tlaku v každé z nich je malý rádiový vysílač s unikátním číslem — auto podle něj pozná, které kolo hlásí podhuštění. Číslo se ale vysílá pořád, i za jízdy. Kdo rozmístí podél silnice přijímače, pozná projíždějící vůz i po výměně poznávacích značek; na značky si pachatel vzpomene, na čidla v pneumatikách sotva. Armáda umí takové čidlo použít jako spoušť, když někdo vjede do sledovaného úseku. Vážné riziko pro běžného řidiče to není, spíš ukázka technologie, ze které se sledovací zařízení stalo nedopatřením.
Samotná auta jsou na tom hůř. Mobilní čip mívají zabudovaný bez ohledu na to, jestli o něj zákazník stojí, a první rok asistenční služby zdarma znamená rok předávání polohy. V podmínkách bývá i to, jak prudce brzdíte; taková data putují pojišťovnám, prodávají se datovým brokerům a někde se s nimi pracuje i při policejním vyšetřování. Pojistné pak stoupne kvůli jízdě, o které řidič sám neví, že ji někdo hodnotil. Koupit nové auto bez datového připojení šlo ještě před pár lety, dnes je to podle Taua téměř nemožné.
Kamery čtoucí poznávací značky jsou samostatná vrstva. Veřejnost se upnula na jednu firmu, jenže těch je celá řada — vedle Flocku třeba Vigilant, Rekor, Jenoptik nebo Axon — a dělají totéž. Jejich kamery pokrývají americká města i silnice v dalších zemích a zaznamenávají, kudy se auta pohybují. Jádro problému není značka dodavatele: městečko, které kamery pořídí, se zpravidla připojí do celostátní sdílené sítě, takže záznamy vidí policejní složky po celé zemi. Když se místní proti jedné firmě vzbouří, radnice zpravidla vymění dodavatele a systém běží dál. Vzniká tak několik soukromě vlastněných sledovacích sítí, do kterých má stát přístup prakticky bez omezení.
Co s tím zmůže jednotlivec
Vystoupit z toho úplně by znamenalo žít bez telefonu kdesi na samotě u lesa. Zbývá tedy pořadí důležitosti. Na prvním místě je obsah komunikace a dokumentů: e-maily, soubory, zprávy. Šifrovat se dá vším možným — od funkce pokročilé ochrany dat v telefonu přes šifrované poštovní služby typu ProtonMail nebo Tutanota až po Signal. I WhatsApp, který patří Metě a o svých uživatelích ví spoustu věcí, obsah zpráv nevidí; iMessage je šifrovaný také. Nic z toho není složité, jen to stojí trochu času.
Druhá vrstva jsou oprávnění. Polohu nepotřebuje každá aplikace: adresu lze pokaždé napsat nebo píchnout do mapy, místo aby taxislužba a rozvoz jídla měly trvalý přístup k GPS. Totéž platí pro kontakty, kalendář a fotky — většina aplikací bez nich funguje. Výrobci telefonů ovládací prvky nabízejí; stačí je používat a v pochybnostech nepovolit. Pomáhají i jednorázová telefonní čísla a zástupné e-mailové adresy, které se dají po první vlně spamu odpojit.
U VPN je namístě opatrnost. Nezbavíte se dohledu, jen přesunete otázku, kdo vidí váš provoz — od operátora s velkou právní kanceláří k firmě, o níž nevíte nic. Firmy v tomto oboru se navíc slučují a mění majitele; část z nich vlastní konglomeráty, které samy data sbírají. Připojit se přes VPN v cizí zemi může být lepší než jít přes tamní síť napřímo, ale spolehlivá volba to není automaticky. Existují poskytovatelé, kteří berou hotovost a totožnost k účtu nevážou.
Zbývá DNS, telefonní seznam internetu: překládá jméno stránky na číselnou adresu, kam se počítač připojí. Kdo provozuje takový překladač, vidí, kam lidé míří — a datoví brokeři to už dělali. Existují resolvery, které slibují, že dotazy nelogují, jeden z nich běží ve Švýcarsku; do hloubky je Tau neprověřoval, ale za rozumné opatření je považuje. A vypínat telefon má smysl i mimo diskusi o soukromí: řada pokročilých škodlivých kódů restart nepřežije. Nechat mobil doma vyřadí jeden kanál sledování, ne dohled jako takový — kamery u domů, čtečky značek a mýtné brány běží dál.
Závěr
Nebezpečná není jedna kamera ani jeden soubor. Nebezpečné je skládání: jeden snímek značky je bod, tisíc bodů z různých zdrojů je život. Tím, co dnes soukromí chrání nejvíc, je obtížnost slučování — a právě ta překážka mizí, protože výpočetní výkon zlevnil a data se dají zpracovat strojově. Jestli se individualizované ceny a datová fúze stanou normou, se podle Taua nerozhodne v laboratořích ani na úřadech, ale podle toho, co lidé ještě strpí.
