Umělá inteligence nyní dokáže najít váš domov na fotografii interiéru – policie si kupuje přístup k nové sledovací technologii

Nová geografie pozorování

Nejvíce znepokojivé na tom není to, že vás stroj dokáže najít, ale jak málo k tomu potřebuje.

Policie používá nový nástroj s umělou inteligencí, který dokáže zjistit, kde byla fotografie pořízena – i když se jedná o fotografii z interiéru – a identifikovat přesný dům porovnáním snímku s online nabídkami na realitních webech.

Nástroj s názvem Raven byl vyvinut společností Graylark Technologies a server 404 Media uvádí, že si k němu přístup zakoupilo policejní oddělení v Los Angeles a kancelář šerifa v Miami-Dade.

Generální ředitel společnosti Graylark Daniel Heinen na LinkedInu vysvětlil, že Raven „nabízí možnost geolokace interiérových snímků milionů nemovitostí k krátkodobému pronájmu po celém světě“.

V demonstraci fungování nástroje vedla fotografie pračky a sušičky, kterou pořídil X a zveřejnil online, k nabídce ubytování na Airbnb v Charlotte v Severní Karolíně. V jiném případě vedla fotografie koupelny ze sociálních médií, analyzovaná pomocí Raven, k nabídce ubytování na Vrbo v Montecitu v Kalifornii.

Podle zprávy dokáže nástroj najít dům „bez použití údajů o poloze nebo jiných metadat připojených k obrázku“. Místo toho se spoléhá na obsah fotografie, aby ji porovnal s nabídkami nemovitostí.

Heinen ze společnosti Graylarks uvedl, že společnost původně neměla v úmyslu tuto schopnost vyvíjet. „Abych byl upřímný, necvičili jsme ji na to,“ cituje ho server.

Mluvčí policejního oddělení v Miami-Dade uvedl, že nasazení Ravena oddělením bylo „omezené a převážně průzkumné“.

„Něco tak triviálního, jako je fotografie na Zillow, která zbyla z předchozího prodeje vašeho domu, může stačit k určení vaší přesné adresy,“ řekl Neeraj z Coin Center.

Dodal: „Příkaz k prohlídce byl nahrazen návrhem zákona.“

Podle Coin Center datoví brokeři shromažďují „datové soubory z reklamních burz, aplikací, maloobchodníků, úvěrových registrů, veřejných rejstříků, věrnostních programů, webových stránek a dokonce i od dalších datových brokerů“.

Tyto fragmenty pak propojují pomocí digitálních identifikátorů, jako jsou soubory cookie. Výsledkem je „profil konkrétní osoby: kde žije, kde pracuje, kam cestuje, jaké má zájmy a dokonce i s kým tráví čas.“

Neomezují se pouze na informace, které jsou užitečné pro inzerenty. Podle kalifornského úřadu pro ochranu osobních údajů mohou zprostředkovatelé dat také vyvodit závěry o vyhledávání informací o zdraví, „ať už máte děti, či nikoli“ a „kolik byste byli ochotni zaplatit za konkrétní produkt“.

Podle Coin Center jsou tyto informace prodávány „inzerentům, oddělením pro dodržování předpisů, pojišťovnám a stále častěji i vládě“. Kalifornské ministerstvo ochrany osobních údajů také varuje, že zprostředkovatelé dat „mohou také prodávat informace kupujícím se zlým úmyslem, jako jsou nenávistné skupiny, nepřátelské zahraniční vlády a podvodníci“.

Software porovnává dvě fotografie koupelen pomocí očíslovaných ohraničujících rámečků, které zvýrazňují shodné vizuální prvky.

Velká část dat o poloze, která končí u datových zprostředkovatelů, ve skutečnosti pochází z procesu nabídek v reálném čase (RTB), který pohání aukční systém pro online reklamu. Dokumenty od americké celní a hraniční ochrany (CBP) ukazují, že „data o poloze založená na RTB se zaznamenávají při zobrazování reklamy“.

Společnost Citizen Lab popsala systém reklamních aukcí jako „navržený k cílení na jednotlivce na základě jejich mobilního reklamního ID, ID souboru cookie, IP adresy a dalších identifikátorů“.

Ale jak do tohoto systému zapadá vláda?

Podle Coin Center: „Pokud soukromá společnost již shromáždila data a je ochotna je prodat, vláda nepotřebuje povolení k prohlídce. Stačí provést běžnou obchodní transakci na volném trhu.“

Agentura Associated Press uvedla, že Nejvyšší soud USA se nikdy nezabýval otázkou, zda vláda může nakupovat data od zprostředkovatelů dat. V roce 2018 však soud v případu Carpenter v. Spojené státy rozhodl, že policie potřebuje soudní příkaz k získání historických údajů o poloze podezřelého od mobilních operátorů.

Předsedající soudce v té době, John Roberts, napsal, že informace o poloze vysílačů mobilních sítí umožnily vládě provádět „téměř dokonalý dohled a umožnit jí cestovat zpět v čase“. Rozhodnutí však bylo úzce definováno a vztahovalo se pouze na případy, kdy byl mobilní operátor ze zákona nucen předat data – nikoli na data zakoupená od maloobchodníka.

Zpráva agentury AP uvádí, že Nejvyšší soud se touto konkrétní otázkou dosud nezabýval, ale že v Kongresu proběhly pokusy o zastavení této praxe. Zákon „Čtvrtý dodatek není na prodej“, který by vládním agenturám zakazoval nakupovat osobní údaje od zprostředkovatelů dat, byl Sněmovnou reprezentantů schválen v dubnu 2024, ale v Senátu se o něm nikdy nehlasovalo.

Ani Federální obchodní komise (FTC) nemohla tuto praktiku zcela zakázat. To se projevilo v případě společnosti Gravy Analytics, které bylo zakázáno prodávat lokalizační data – „s výjimkou omezených případů týkajících se národní bezpečnosti nebo vymáhání práva“.

FBI mezitím tvrdí, že k použití takových informací pro vyšetřování nepotřebuje povolení k prohlídce, ačkoli tato skutečnost dosud nebyla právně přezkoumána.

Úřad ředitele Národní zpravodajské služby (ODNI) ve své zprávě z roku 2022 uvedl, že vláda nikdy neměla „nutit miliardy lidí, aby s sebou neustále nosili sledovací zařízení“, přesto se právě to nyní s pomocí datových makléřů děje.

Zpráva rovněž výslovně uvádí, že tento typ dat, známý jako komerčně dostupné informace (CAI), „by mohl být například použit k identifikaci jakékoli osoby, která se zúčastnila protestu nebo demonstrace, na základě polohy jejího chytrého telefonu nebo údajů o sledování reklamy.“

Senátor Ron Wyden tuto praktiku dlouhodobě hlasitě kritizuje a označuje ji za „skandální obcházení čtvrtého dodatku“. Navrhl také legislativu, která by od vlády vyžadovala získání soudního příkazu před nákupem osobních údajů od datových makléřů.

FBI je v tomto ohledu otevřená. Ředitel Kash Patel v březnu letošního roku vysvětlil Senátu: „Nakupujeme komerčně dostupné informace, které jsou v souladu s Ústavou a zákony o ochraně soukromí v elektronické komunikaci – a to nám poskytlo cenné informace.“

Tehdejší ředitel Christopher Wray dříve senátorům v roce 2023 řekl, že FBI v minulosti data o poloze nakupovala, ale nyní tak nečiní.

Situace s NSA je jiná. V lednu 2024 senátor Wyden zveřejnil dokumenty, které odhalují, že agentura „nakupuje internetová data od Američanů, která mohou odhalit, které webové stránky navštěvují a jaké aplikace používají“.

Wyden uvedl, že musel za zveřejnění těchto informací bojovat „téměř tři roky“, a dokonce zablokoval nominaci ředitele NSA, aby si vynutil jejich zveřejnění.

V dopise ředitelce Národní zpravodajské služby Avril Hainesové Wyden napsal: „Vláda USA by neměla financovat a legitimizovat pochybné odvětví, jehož do očí bijící porušování soukromí Američanů je nejen neetické, ale i nezákonné.“

Nakonec zveřejněná zpráva ODNI potvrdila, že dotyčná data „mají jednoznačně zpravodajskou hodnotu“ a „mohou odhalit citlivé a intimní informace o jednotlivcích“.

Mezitím se v lednu Ministerstvo vnitřní bezpečnosti (DHS) zeptalo průmyslu, jak by „komerčně dostupná reklamní data“ mohla pomoci s deportacemi a donucovacími opatřeními.

V červnu agentura 404 Media informovala o zakázce na zakázku v hodnotě 10 milionů dolarů, která odhalila, že ICE nakupuje záznamy týkající se daňových identifikačních čísel imigrantů.

Senátor Wyden reagoval slovy: „Vypadá to, jako by se Trump snažil obejít zákon a soudní příkaz, aby podpořil svou kampaň za masové deportace.“

Společnost Citizen Lab zveřejnila zprávu o platformě Webloc, kterou prodává společnost Penlink, a popsala ji jako „globální geolokační sledovací systém, který monitoruje stovky milionů lidí na základě dat zakoupených ze spotřebitelských aplikací a digitální reklamy“.

Kanadská skupina uvedla, že Webloc nabízí datové sady „až z 500 milionů mobilních zařízení po celém světě“ a umožňuje zákazníkům „pohled až na tři roky zpět“.

Podle Citizen Lab mezi tyto klienty patří americká armáda, ICE, texaský Department of Public Safety, státní zástupci v New Yorku a policejní oddělení v Los Angeles, Dallasu, Baltimore, Durhamu, Tucsonu a Elk Grove.

ATF provedla s Weblocem „pilotní projekt“, ale ten skončil poté, co se zákonodárci dozvěděli o „více než 300 prohlídkách bez soudního příkazu“, z nichž více než 200 souviselo s probíhajícími soudními řízeními.

V jednom případě proti použití nástroje vznesli námitky jak státní zástupce, tak i soudce v procesu o žhářství. ATF „byla nakonec nucena ustoupit a získat konvenční soudní příkaz“.

Agentura následně uvedla, že Webloc „nesplňuje naše požadavky“ a nasazení ukončila, informovala v červnu agentura AP.

Zpráva agentury AP uvádí: „Ostatní donucovací orgány, včetně FBI a Ministerstva vnitřní bezpečnosti, nadále nakupují komerční geolokační data.“

Zpráva georgetownské organizace American Dragnet z roku 2022 uvádí: „ICE dokázala lokalizovat tři ze čtyř dospělých pomocí jejich doprovodných údajů“ a agentura má „přístup k údajům o řidičských průkazech tří ze čtyř dospělých (74 procent)“.

„V roce 1989 už byla velká část vašeho života někde uložena. Jen nebyla v jediném souboru,“ napsal Kyle Schneps v newsletteru Coin Center.

„Soukromí bylo prakticky součástí těchto nákladů,“ vysvětlil.

Nejvyšší soud to uznal v roce 1989 v případě Ministerstvo spravedlnosti v. Výbor reportérů a dal tomuto jevu název: „praktická neprůhlednost“.

Schneps však pokračoval: „Umělá inteligence eliminuje poslední zbytky této praktické neprůhlednosti.“

S umělou inteligencí model „neposkytuje hromadu souborů, ale biografii: kde jste žili a s kým, za co jste byli žalováni a co to všechno zřejmě znamená“.

Rozdíl je v tom, že „dát tě dohromady nic nestojí a jen ty jsi zodpovědný za to, že tě nedáš dohromady.“

Schneps dodal: „Životopis je také často částečně nepřesný, což je samo o sobě ztráta – nemůžete opravit spis, který nikdy nevidíte.“

„Bannery s cookies, zásady ochrany osobních údajů, odhlášení, žádosti o smazání adresované zprostředkovatelům dat – to vše existuje pouze tehdy, pokud to sami najdete a podniknete kroky, a chrání vás to přesně do té míry, do jaké máte o tom neustálý přehled,“ napsal Schneps.

„Vládní dohled byl dříve omezen jak množstvím práce potřebné ke sledování pohybu jednotlivce, tak i ochranou poskytovanou čtvrtým dodatkem ústavy. Umělá inteligence první část zcela eliminuje,“ napsal Coin Center.

Jak tedy můžete datové brokery připravit o svá vlastní data, nebo alespoň o co největší část?

Vypněte reklamní ID a ujistěte se, že aplikacím nedáte přístup k vaší poloze, pokud ji skutečně nepotřebují – a i tehdy pouze tehdy, když je používáte.

Na jednom zařízení přejděte do „Nastavení“, poté do „Soukromí a zabezpečení“ a poté do „Sledování“ a vypněte možnost „Povolit aplikacím vyžádat si sledování“. Apple vysvětluje, že aplikace pak „nebude mít přístup k celosystémovému reklamnímu identifikátoru IDFA“.

V systému Android přejděte do „Nastavení“, poté do „Soukromí“, poté do „Reklama“ a vyberte „Smazat reklamní ID“. Google vysvětluje, že po smazání „jakýkoli pokus o přístup k identifikátoru místo toho obdrží řetězec nul“.

Dále byste měli omezit přístup k poloze pro aplikace.

Na iPhonu přejděte do „Nastavení“, poté do „Soukromí a zabezpečení“ a poté do „Polohových služeb“. Tam můžete zakázat funkci „Přesná poloha“ pro aplikace, které nepotřebují přesnou polohu – uvidí pak pouze přibližnou oblast.

Také nakonfigurujte aplikace tak, aby k vaší poloze přistupovaly pouze tehdy, když jsou používány.

V systému Android přejděte do části „Nastavení“, poté do části „Soukromí“, „Správce oprávnění“ a poté do části „Poloha“. U aplikací, které nevyžadují přesné GPS, vždy vyberte, pokud je to možné, možnost „Přibližně“.

A když už u toho budete, měli byste smazat všechny aplikace, které nepoužíváte, protože každá nainstalovaná aplikace je potenciálním místem úniku dat. Na to jsme již upozorňovali v březnu 2026.

Malwarebytes doporučuje používat samostatnou e-mailovou adresu pro důležité účty a aliasové adresy pro nákupy a newslettery, což „zprostředkovatelům dat ztěžuje vytvoření jednotného profilu“.

Pokud žijete v Kalifornii, můžete požádat o okamžité smazání vašich dat více než 600 zprostředkovatelů dat – prostřednictvím vládní platformy pro žádosti o smazání a odhlášení (DROP).

DROP byl spuštěn v lednu 2026. Datoví makléři měli na zahájení zpracování žádostí čas do 1. srpna 2026 a poté na to měli 90 dní. Poté musí „znovu prověřit alespoň každých 45 dní a smazat veškerá nově přidaná shodná data“.

Služba vyžaduje k odeslání žádosti vaše jméno, datum narození a PSČ. Čím více informací poskytnete, tím lépe, protože „tím je pravděpodobnější, že vaše data budou smazána“.

Po odeslání žádosti obdržíte „své osmimístné DROP ID“, které si uschovejte pro budoucí použití.

Oregon, Texas a Vermont také vyžadují, aby se datoví brokeři registrovali u daného státu. Jak ale uvádí Malwarebytes: „Pouze Kalifornie v současné době nabízí centrální platformu, jako je DROP.“

Malwarebytes doporučuje, aby lidé v těchto státech „dodržovali postupy uvedené v tomto dokumentu a zasílali požadavky přímo každému dodavateli dat“ a „vedli si tabulku s daty, dodavateli dat a potvrzeními“.

V Kalifornii čelí datoví makléři, kteří ignorují žádost, „pokuty ve výši 200 dolarů za den plus náklady na vymáhání“.

Pokud žijete ve Spojeném království nebo EU, neexistuje jediný centrální portál, jehož prostřednictvím můžete zastavit zprostředkovatele dat. Existují však práva, která můžete uplatnit.

Právo vznést námitku je upraveno v článku 21 GDPR. Uvádí, že občané mají právo vznést námitku „kdykoli proti zpracování“ pro účely přímého marketingu, „včetně profilování“.

V dalším odstavci téhož článku se uvádí, že po takové námitce „osobní údaje již nesmí být pro tyto účely zpracovávány“.

Úřad britského komisaře pro informace (ICO) uvádí, že organizace v kontextu přímého marketingu „nemají právo takovou námitku odmítnout“.

ICO dále upozorňuje, že právo na výmaz lze uplatnit i v případě, že jsou údaje zpracovávány pro účely přímého marketingu.

Úřad dokonce poskytuje šablonu, která uvádí: „Rád bych uplatnil své právo na výmaz podle zákona o ochraně osobních údajů.“

Po žádosti o smazání je organizace také povinna „informovat všechny ostatní, s nimiž sdílela vaše údaje, o smazání,“ vysvětlil ICO.

Na to je stanovena lhůta v délce jednoho měsíce „počínaje dnem doručení žádosti“, s výjimkou složitých žádostí; v takovém případě může zpracování trvat až tři měsíce.

Šablona ICO pro žádost o smazání končí větou: „Zašlete mi prosím do jednoho kalendářního měsíce úplnou odpověď s potvrzením, zda mé žádosti vyhovíte.“

ICO však také zdůrazňuje, že organizace „si mohou ponechat vaše jméno na černé listině“.

Pokud je vaše žádost ignorována, dalším krokem je podání stížnosti u ICO.

Je však třeba počítat s čekacími dobami. Úřad vysvětluje, že stížnosti vyžadující podrobnější prošetření jsou „v současné době přidělovány pracovníkovi pověřenému vyřizováním přibližně deset měsíců po jejich podání“.

ICO dodává: „ICO nemůže přiznat náhradu škody.“

To není zrovna uklidňující, vzhledem k tomu, že ICO již v roce 2020 podnikla kroky proti společnosti Experian kvůli „významnému „neviditelnému“ zpracování“ ovlivňujícímu „miliony dospělých ve Spojeném království“ – a případ byl ve prospěch společnosti Experian uzavřen až v roce 2024.

Ti, kteří to nechtějí dělat sami, si mohou za to zaplatit firmám.

Mezi nejznámější patří DeleteMe, Incogni a Optery.

DeleteMe vysvětluje: „Odstraňujeme soukromé informace od 969 zprostředkovatelů dat.“

Incogni pokrývá „více než 420 webových stránek zprostředkovatelů dat“ a stojí 7,99 dolarů měsíčně s roční fakturací.

Optery zase uvádí, že její rozsáhlejší plány pokrývají „více než 625 webových stránek“.

Ale měl by člověk za takové služby platit?

Test z roku 2024, který provedly společnosti Consumer Reports a Tall Poppy, zkoumal sedm služeb s 32 dobrovolníky a dospěl k závěru, že „služby pro odstraňování lidí z vyhledávačů lidí jsou celkově do značné míry neúčinné“.

Z 332 záznamů „bylo do čtyř měsíců odstraněno pouze 117, tedy 35 procent“.

Stejný test ukázal, že ruční odstranění bylo úspěšnější – v 70 procentech případů. Podle Consumer Reports však tato metoda také „zdaleka nebyla dokonalá“.

Nejúspěšnějšími testovanými službami byly Optery a EasyOptOuts, které během čtyř měsíců odstranily 68, respektive 65 procent dat.

DeleteMe se ve stejném období podařilo dosáhnout pouze 27 procent. Incogni nebyl součástí testu.

EasyOptOuts stojí 19,99 dolarů ročně.

Zprávy spotřebitelů zjistily, že informace „někdy nejsou ve skutečnosti odstraněny, někdy zmizí až po týdnech nebo měsících a někdy jsou odstraněny, ale později se znovu objeví“.

Tyto služby jsme sami netestovali a toto hodnocení je založeno na testu provedeném společností Consumer Reports.

Existují také věci, které takové formuláře nezachycují – bez ohledu na to, zda jsou odesílány ručně nebo prostřednictvím placené služby.

Například staré fotografie nemovitostí.

Coin Center píše, že k určení vaší přesné adresy může stačit i obrázek, který má realitní web Zillow stále uložen z předchozího prodeje vašeho domu.

Airbnb mezitím uvedlo, že z fotografií odstraní metadata o poloze, hostitelům bude zobrazovat pouze přibližnou polohu a přesnou adresu bude sdílet až „po potvrzené rezervaci“.

Samotné fotografie však na platformě zůstávají.

Zprávy spotřebitelů zjistily, že vyhledávací weby reagovaly na ruční žádosti o smazání nejrychleji – 70 procent záznamů zmizelo do týdne.

Některé se však později znovu objevily.

V Kalifornii úřady také varují obyvatele, že „obchody s potravinami, prodejci oblečení nebo jiné aplikace mohou shromažďovat historii vašich nákupů“.

Doporučuje se pokud možno neuvádět celé jméno a adresu bydliště, „zejména v případě bonusových a věrnostních programů“.

Totéž platí pro aplikace pro automobily a pojištění, které monitorují chování řidiče.

V lednu 2025 Texas zažaloval společnosti Allstate a Arity za „tajně vložený software do mobilních aplikací, jako je Life360“, který shromažďoval data, jež byla podle státu použita ke zvýšení pojistného.

Shromážděná data zahrnovala polohu, styl řízení a osobní údaje.

Texaský generální prokurátor Ken Paxton uvedl, že společnost Arity „vybudovala největší světovou databázi chování řidičů“ a že obě společnosti tato data použily „k ospravedlnění vyšších pojistných prémií pro Texaňany“.

Paxtonova kancelář popsala žalobu jako první svého druhu podanou generálním prokurátorem státu s cílem prosadit komplexní zákon o ochraně soukromí.

DROP však nedosáhne všech dat.

V Kalifornii „informace, které poskytnete přímo společnosti, například když se přihlásíte k odběru nové služby nebo si založíte účet pro novou službu, nepodléhají smazání prostřednictvím služby DROP.“

Vyloučeny jsou také „veřejné registry, jako jsou záznamy o vlastnictví vozidel nebo nemovitostí a seznamy voličů“.

DROP také neshromažďuje zdravotní údaje, na které se vztahuje zákon o přenositelnosti a odpovědnosti zdravotního pojištění (HIPAA), úvěrové údaje podle zákona o spravedlivém reportování úvěrů a finanční údaje podle zákona Gramm-Leach-Bliley.

Cílem veškerého úsilí o využití nových pravidel by mělo být od dnešního dne zeštíhlení vašeho souboru.

Od Kena Macona