Flockのカメラは車だけでなく人も追跡している

Flock Safetyのカメラは自動ナンバープレート認識(ALPR)システムで、盗難車や指名手配容疑者の発見を警察が行えるよう支援する目的で設計されています。

404 MediaとWIREDによる共同調査によると、物理的に取り外されたFlockカメラから回収されたデータをもとに分析した結果、そのデバイス上のソフトウェアは車両や自転車、ナンバープレートだけでなく、人物も明確に検知していることが判明しました。

これとは別に、ワシントンDCの警察労働組合は、首都警察(Metropolitan Police Department)が内部調査の対象となった警官を本人に知らせないままFlockのデータを使って追跡していたと主張しています。

これら二つの報道を合わせると、一つのプライバシー問題が浮かび上がります。車両の移動を記録するために構築されたこのネットワークは、実質的にほぼ誰でも追跡できてしまうということです。

今回の新たな報道は、この議論に重要な技術的詳細を加えるものです。

Flockのカメラが収集しているもの

あるハッカー集団が道路からFlockのカメラを取り外し、そのストレージを複製した上で、デバイス内に保存されていた暗号鍵を回収したと報じられています。これにより、Flockは自社デバイスがデバイス内暗号化によって保護されていると主張していたにもかかわらず、数千件の車両検知映像のロックを解除することができたとされています。Flockは、詳細情報がなければこの主張を検証できないとしています。

回収されたカメラのファイルには、人物を検知するソフトウェアモデルが含まれていたと報じられています。これまでFlockに関する公の議論は主に車やナンバープレートに焦点が当てられてきましたが、今回の発見はそれを覆すものです。研究者たちは、顔認識機能が実際に使用されていたという証拠は見つけていません。これは安心材料ではありますが、プライバシー面で問題がないと誤解すべきではありません。

顔認識機能がなくても、繰り返し検知を記録するシステムは、居住地、勤務先、礼拝所、通院先、抗議活動への参加、家族訪問、あるいは他人と過ごす時間といった、機微な行動パターンを明らかにしてしまう可能性があります。ある人物が特定の車両と結びつけられると、車両ベースの追跡は事実上、人物ベースの追跡へと変わり得るのです。

このデータがどれほど広範囲に共有され得るかを示す例として、WIREDの調査によれば、ジョージア州アルファレッタ市の記録は次のような状況にあったといいます。

「警察署、大学、空港、さらには不可解なことに連邦一般調達局(General Services Administration)の監察官室(Office of Inspector General)を含む、2,000を超える機関がアクセス可能な状態にあった」

人物を標的とした追跡

ワシントンDCでの紛争は、人を追跡する力が内部に向けられたときに何が起きるかを示しています。

DC警察労働組合によると、7月に判明したところでは、首都警察の内部監察官が、調査対象となっていた現職警官を本人に知らせずにFlockのナンバープレート読み取りデータを使って追跡していたとのことです。組合はこれに対し苦情を申し立て、警察当局にこうした行為の停止を求めました。その理由として、これほど広範な監視能力を持つシステムに対して、首都警察には十分な統制策がないと主張しています。

首都警察はこの利用について、懲戒調査においてナンバープレート読み取りデータを使用したことは適切だったとの立場を示し、正当性を主張しました。この労働問題は仲裁に向かう見通しだとしています。

警察官自身が、透明性のあるルールなしにこのシステムが自分たちの監視に使われかねないと懸念しているのだとすれば、市民は当然、次の疑問を持つべきでしょう。すなわち、住民、従業員、ジャーナリスト、活動家、元交際相手、その他検索に異議を唱える実効的な手段を持たない人々に対して、同じツールが使われるのを防ぐ仕組みは何なのか、という問いです。

Flockが監視とプライバシーの折り合いをつけようとしている場合であっても、その対策だけでは根本にある市民的自由の問題は解消されません。

回収されたカメラのソフトウェアと、ワシントンDCでの紛争は、それぞれ異なる角度から同じ問題を指し示しています。Flockのネットワークは、単なる路側のナンバープレート読み取り機の集合体ではありません。それは、人々の移動を記録し、パターンを特定し、その記録を検索可能な形で提供する分散型システムなのです。

実効性のある保護策には、以下のようなものが含まれるべきです。

• カメラ設置前の公的な承認手続き、および設置場所と目的を明示した分かりやすい地図の公開
• データの収集、保持、検索、および管轄をまたいだ共有に対する厳格な制限
• 検索を行う前に、文書化された捜査上の正当な理由を要求すること。機微な捜査についてはより上位の承認を必要とすること
• 独立して検証可能な監査ログ、定期的な公的透明性報告書、そして悪用に対する実効性のある罰則
• 保護対象の活動、地方法が協力を禁じている場合の移民法執行、中絶関連の捜査、政治的監視、個人的な目的に関連する検索を明確に禁止すること
• カメラ、クラウドサービス、認証管理、鍵管理、サードパーティ統合を対象とした独立したセキュリティ評価
• 「いつか役立つかもしれない」という理由だけでは覆せない自動削除の仕組み

プライバシーの保護は、権限を持つ利用者が常にルールを守ること、ベンダーがすべての設定を正しく行うこと、あるいは悪用が痛い目に遭って初めて発覚することに依存するべきではありません。最初に講じるべき保護策は、一般市民の生活に関する検索可能な記録をそもそも構築できないよう、システムの能力そのものを制限することです。