Jo vuosia on tiedetty, että puhelimen ja muiden internetiin liitettyjen laitteiden ansiosta ihmisten elämää seurataan varsin tarkasti. Näillä tiedoilla tahkotaan miljardien liikevaihtoa ja seurataan kansalaisten tekemisiä. Kokonainen uusi liiketoiminta syntyi nopeasti keräämällä henkilökohtaisia tietoja, jalostamalla niitä ja käymällä tiedoilla kauppaa esimerkiksi mainostajien, tiedustelupalveluiden ja ylipäätään kaikkien kanssa jotka tiedoista halusivat maksaa. Citizen Labin tutkimuksen ansiosta tietosuojaniuhottajakin on nyt valaistunut siitä miten yksityiset tietomme päätyvät yritysten, viranomaisten ja todennäköisesti myös rikollisten haltuun.

Citizen Lab on Toronton yliopiston 25 vuotta sitten perustama tutkimusorganisaatio, joka keskittyy ihmisoikeuksiin, demokratiaan ja tietoturvaan digitaalisessa maailmassa. Järjestön raportti Uncovering Webloc – An Analysis of Penlink’s Ad-based Geolocation Surveillance Tech onnistuu aukomaan monimutkaisen ihmisten seurantatietojen keruun ketjun puhelimesta datan ostajiin asti.

Raportti selvittää yhdysvaltalaisen Penlink-yhtiön Webloc-tuotteen toiminnan, mitä tietoja ja missä laajudessa kerätään, ja asiakkaat, joilla tiedoille on käyttöä. Webloc-tuote on kaupallinen, yleisesti saatavilla oleva maailmanlaajuiseen ihmisten seurantaan tarkoitettu järjestelmä, josta on liittymiä muihin sitä täydentäviin järjestelmiin.

Yksinkertaistettu kuvaus tietojen keruuketjusta puhelimesta eteenpäin menee näin:

1. Puhelimeen on jotakin tarkoitusta varten asennettu sovellus, joka kuitenkin taustalla kerää tietoja ja lähettää ne dataliiketoiminnan yrityksille.
2. Verkkosivua katseltaessa tai sovellusta käytettäessä ruudulle ilmestyy mainos, joka on kohdennettu käyttäjälle. Yksilöinti on mahdollinen koska mainoshuutokauppaan osallistuneet yritykset ovat saaneet käyttäjän tiedot kohdennusta varten sivun ohjelmakoodilta.
3. Puhelinsovelluksesta ja mainoshuutokaupasta käyttäjän tiedot päätyvät dataliiketoiminnan yrityksille, jotka voivat jalostaa sitä rakentamalla tarkempaa yksilöllistä profiilia, hankkimalla lisää dataa, ja myymällä dataa eteenpäin.
4. Yksi datan ostajista on Webloc-järjestelmän kehittänyt yritys. Miljoonien kerättyjen henkilötietojen joukosta jokaisen ihmisen yksilöivä data on saatavilla Weblocin asiakkaiden, usein suurten organisaatioiden järjestelmissä.

Miten Webloc kerää tietoja puhelimista?

Tiedot puhelimista kerätään pääasiassa kahdella tavalla:

• Puhelimen käyttäjä käynnistää sovelluksen, joka hiljaisesti taustalla poimii kaiken saatavilla tiedon laitteesta, ja lähettää sen jopa sadoille tiedonkeruuyrityksille. Yksi näistä yrityksistä voi olla Weblocin kehittänyt organisaatio. Suosittuja usein ilmaisia sovelluksia, jotka henkilökohtaisia tietoja maailmanlaajuiseen dataliiketoimintaan välittämällä ansaitsevat rahansa, on valtava määrä, kuten monet pelit, pienet näennäisesti hyödylliset sovellukset, ostossovellukset, tekoälyyn liittyvät chatit, viestintä, ja sosiaalinen media. (Ennen kuin puhelimeen uuden sovelluksen lataa on hyvä tarkistaa mitä tietoja se haluaa kerätä, ja sen mukaan päättää tarvitseeko todellakin sovellusta.)
• Toinen yleinen tapa miten dataliiketoiminnan yritykset ihmisten tietoja keräävät ovat nettimainokset. Ennen kuin näet nettimainoksen, se on yleensä pikaisen prosessin (RTB, real time bidding) aikana valittu huutokaupalla vain sinulle. Olipa laite puhelin tai tietokone, ruudulle asteittain ilmestyvän verkkosivun ohjelmakoodi hakee laitteen ja sen käyttäjän yksilöivää dataa. Tämä data päätyy täysin automaattiseen huutokauppaan, jossa mainosten tarjoajat saavat tarkasteltavakseen käyttäjän tiedot. Sen perusteella mainostajat tekevät (edelleen automaattisesti) tarjouksensa mainoksen sijoittamisesta. Huutokaupan ansiosta tiedot päätyvät mahdollisesti sadoille tai tuhansille nimenomaan dataliiketoimintaan erikoistuneille yrityksille.

Mitä henkilötietoja Webloc pystyy hankkimaan?

Yksi dataliiketoimintaan erikoistunut yritys, joita raportissa kutsutaan data broker -nimellä, voi pitää tietokannoissaan miljardista laitteesta kerättyä dataa. Tietojen keruu on jatkuvaa, kuten USA:n ICE-organisaation käyttämässä Webloc-järjestelmässä, joka saa pelkästään ICE:lle päivittäin miljardeja sijaintipäivityksiä sadoista miljoonista seuratuista laitteista.

Kerätty data voi koostua esimerkiksi seuraavista tiedoista:

• laitteen yksilöivä tunniste
• laitteen kieli
• käyttöjärjestelmä
• tarkka sijainti
• laitteen liiketunnistimen tila
• lähellä olevat Wi-Fi ja Bluetooth-laitteet
• internet (IP)-osoite
• asennetut sovellukset
• käyttäjän ikä
• sukupuoli
• mielenkiinnon kohteet
• tavat
• tehdyt ostokset
• mobile advertising id, joka on puhelimille ja tableteille automaattisesti annettu yksilöivä tunnus, jota mainostajat ja tietojen kerääjät käyttävät ihmisten henkilötunnuksena

Webloc ja moni muu tietojen keruuseen ja ihmisten seurantaan tarkoitetut järjestelmät korostavat sijaintitiedon tärkeyttä. Citizen Labin raportissa on näytönkuvia kartoista, missä yksittäisen ihmisen liikkeet ovat erittäin tarkasti rekisteröity. Tarkimman sijainnin seurantajärjestelmät saavat puhelimen GPS-toiminnosta (jonka jokainen puhelimen omistaja voi kääntää pois päältä silloin kun sitä ei tarvitse, ja myös estää kokonaan sellaisilta sovelluksilta, jotka sitä eivät tarvitse). Seuraavaksi ohjelmistot hakevat Wi-Fi -signaalin kautta paikannettua sijaintia, ja viimeiseksi laitteen IP-osoitetta (jonka laitteen käyttäjä voi harhauttaa VPN-palvelulla).

Keitä ovat asiakkaat, jotka tiedoista ovat valmiita maksamaan?

Weblocin asiakaskuntaa yritysten lisäksi ovat esimerkiksi puolustusvoimat, tiedustelupalvelut ja poliisilaitokset maailmanlaajuisesti. Konkreettisia nimiä ovat Unkarin sisäinen tiedustelupalvelu, USA:n puolustusvoimat ja maahanmuuttoa valvova ICE-yksikkö, monien USA:n osavaltioiden poliisilaitokset, ja Salvadorin poliisi. Näiden lisäksi Citizen Lab pitää todennäköisenä Weblociin perustuvan tiedonkeruun olevan käytössä Hollannissa, Meksikossa, Vietnamissa, Singaporessa, Saksassa, Itävallassa, Italiassa, Romaniassa, UAE:ssa, Israelissa ja Venäjällä.

Penlink-yrityksen Webloc-tuote on vain yksi monista samaan tarkoitukseen kehitetyistä järjestelmistä. Vastaavien järjestelmien kehittämisen on mahdollistanut datan keruuseen, jalostamiseen ja kauppaan liittyvä liiketoiminta, jonka arvioidaan kasvaneen vuonna 2026 noin 300 miljardin suuruiseksi teollisuuden alaksi.