Город под наблюдением: городские датчики, согласие и право решать

Города всегда пытались увидеть самих себя. До появления датчиков были гроссбухи, карты и переписчики, обходившие дома от двери до двери, — лучшая попытка каждого поколения сделать непослушную, полувидимую систему достаточно разборчивой, чтобы ею можно было управлять. Изменился не сам импульс, а разрешающая способность: переписчик девятнадцатого века мог сказать вам примерно, где живут люди; современная сенсорная сеть способна сказать, квартал за кварталом и минута за минутой, где они находятся прямо сейчас. Это эссе прослеживает эту дугу от доцифровых истоков через эпоху брендированного «умного города» до проекта, продвинувшего городское наблюдение дальше, чем любой другой, и упёршегося в стену, которую никакая точность преодолеть не смогла, — попытку Sidewalk Labs построить насыщенный датчиками квартал на набережной Торонто и её крах под грузом не измерительной, а легитимационной проблемы.

I. Введение: личная точка обзора

Я пришёл к этому вопросу изнутри самого инструмента, а не снаружи него. В Social Bicycles, а затем в Superpedestrian флоты, которые я помогал строить, функционально были городскими датчиками, которым просто случилось принять форму велосипедов и самокатов: каждое транспортное средство сообщало серверу своё местоположение, состояние замка и характер использования, а к этим данным в агрегированном виде всё активнее хотели получить доступ города — чтобы управлять бордюрным пространством, планировать транспорт и следить за лимитами флотов. Но самая чистая версия этой идеи, которую я реализовал, вообще не была флотовым транспортным средством. В Social Bicycles я запустил Social Cyclist — приложение, позволявшее обычным райдерам, а не только принадлежащим компании велосипедам, передавать городам тот же вид агрегированных инфраструктурных данных: предпочитаемые маршруты, дорожные опасности и голоса за то, где размещать новые станции и полосы велопроката. Приложение вошло в тройку финалистов, наряду с Djump и Peerby, конкурса AppMyCity! фонда New Cities Foundation 2014 года, который судили в партнёрстве с Guardian Cities и представили в июне того года на New Cities Summit в Далласе, штат Техас. Эта работа — и флотовый датчик, и приложение, обращённое к гражданам, — целиком укладывается в то, что это эссе называет городским наблюдением, и именно поэтому эссе рассматривает этот вопрос не как чисто академический: данные, которые город может увидеть о том, как люди реально по нему перемещаются, полезны для планирования, а условия, на которых частный оператор — будь то флотовая компания или независимое приложение — делится этими данными с государственным ведомством, это именно тот вопрос управления, которому посвящена оставшаяся часть эссе.

Далее рассуждение развивается в пяти частях. Часть II обрисовывает городские измерения до появления самой этикетки «умный город» — от карты холеры Джона Сноу 1854 года до системы управления трафиком эпохи Олимпиады 1984 года в Лос-Анджелесе. Часть III описывает брендированную эпоху умных городов 2010-х и доводы в пользу того, чего она добилась. Часть IV — подробное исследование проекта Sidewalk Labs Quayside в Торонто, самой амбициозной недавней попытки всеобъемлющего городского наблюдения и её краха под давлением общественных возражений. Часть V выносит ту же проблему управления полностью за пределы мэрии — в браузер, в мессенджер и к регуляторам защиты данных, сейчас закрепляющим её версии в законе, — и выводит четыре практических теста, которые продакт-менеджер или градостроитель может провести до строительства следующего Quayside, а не после его провала. Часть VI завершает статью различием, на котором держится вся эта серия эссе: в отличие от носимого устройства, которое человек сам решает надеть, городской датчик по замыслу вездесущ, и именно этот замысел — источник проблемы легитимности, которую преследует остальная часть серии.

II. До «умного»: история городских измерений

Основополагающий пример городских измерений предшествует появлению вычислительной техники более чем на столетие. Во время вспышки холеры 1854 года в лондонском районе Сохо, унёсшей жизни 616 человек, врач Джон Сноу нанёс на карту адреса умерших вместе с водозаборными колонками, которые их обслуживали, и обнаружил, что смерти плотно группируются вокруг одной-единственной колонки на Брод-стрит. Местный совет снял ручку с этой колонки 8 сентября 1854 года; Сноу, не обученный картографии, сегодня считается основоположником дисциплины картирования болезней, а его карта остаётся хрестоматийным примером того, как пространственные данные, правильно собранные и правильно прочитанные, способны решить вопрос общественного здоровья, с которым не справилась чистая теория — господствовавшая тогда «миазматическая» версия винила зловонный воздух, а не воду.

Двадцатый век добавил непрерывное, механическое наблюдение вместо разового картографического реконструирования. Лос-Анджелес построил свою систему автоматического контроля и управления трафиком, ATSAC, к Олимпиаде 1984 года, изначально подключив 118 светофоров к индуктивным детекторам и камерам видеонаблюдения, передававшим данные в центральную диспетчерскую, которая в реальном времени корректировала циклы светофоров на основе измеренного трафика. Функционально это было именно то, что позже стали продавать под маркой «умный город», — развёрнуто за десятилетия до появления самого этого маркетингового термина, — и это работало: независимая оценка приписывает полностью развёрнутой системе, ныне охватывающей более 4500 светофоров, сокращение задержек на перекрёстках примерно на треть и выбросов транспорта на несколько процентов по всей сети. ATSAC — полезная поправка к идее, будто городское наблюдение — недавнее явление, просто одетое в новую лексику; лексика недавняя, практика — нет.

III. Приходит сенсорная сеть

В 2010-е изменилось не наличие городских датчиков, а их плотность, их связность в сеть и их брендинг. Кампания IBM «Smarter Cities» и такие проекты, как централизованный операционный центр Рио-де-Жанейро — единственная комната, агрегирующая потоки с дорожных камер, метеодатчиков и коммунальных систем в одну панель, — продавали видение, в котором всё операционное состояние города можно непрерывно наблюдать из одной точки, точно так же, как ATSAC наблюдал только за трафиком. Бездоковые мобильные флоты — сектор, в котором я работал, — добавили ещё один слой датчиков поверх фиксированной муниципальной сети: вместо индукционных детекторов, встроенных в дорожное покрытие, флот велосипедов и самокатов с GPS стал движущейся переписью точек отправления, назначения и спроса, обновляемой непрерывно, а не с периодическими выборками, как в традиционном опросе о поездках между пунктами отправления и назначения.

Довод в пользу такой плотности наблюдения — прямое продолжение довода в пользу ATSAC: более качественные данные дают более своевременные вмешательства; город, способный увидеть, где реально начинаются и заканчиваются поездки, может спланировать автобусный маршрут или велополосу исходя из реального спроса, а не из выводов опроса о поездках, проводимого раз в несколько лет. Этот довод не ошибочен, и именно поэтому транспортные ведомства и департаменты городского планирования были и остаются жадными покупателями именно таких данных. Проблема, как показывает следующий раздел, не в самом доводе в пользу наблюдения — она в вопросе согласия, на который фиксированной муниципальной инфраструктуре вроде ATSAC никогда не приходилось отвечать, потому что светофор не знает, чью машину он регулирует, тогда как всеобъемлющая районная сенсорная сеть, по самому своему замыслу, будет знать.

IV. Где всё сломалось: Sidewalk Labs и провал Quayside

В 2017 году Sidewalk Labs — дочерняя компания Alphabet, то есть корпоративная «сестра» Google, — выиграла тендер на застройку Quayside, участка восточной набережной Торонто, — как компания это описывала, — «первого в мире квартала, построенного с интернета вверх»: подогреваемых тротуаров, способных сообщать о собственном обледенении, управляемого датчиками вывоза мусора, адаптивных светофоров и вездесущей сети экологических датчиков и датчиков движения, питающих единый слой данных. По амбициям это было наиболее полное воплощение сенсорной сети умного города, описанной в Части III, — предложенное сразу для целого квартала, а не достроенное поверх уже существующего.

Ответная реакция пришла быстро и вовсе не касалась того, заработают ли датчики. Жители, защитники приватности и члены собственной консультативной группы проекта возражали именно против вопроса управления: кому будут принадлежать данные, которые генерирует всеобъемлющая районная сенсорная сеть, кто получит к ним доступ и что помешает этой схеме стать шаблоном для приватно управляемого гражданского наблюдения где-то ещё. Sidewalk Labs ответила предложением независимого «гражданского фонда данных» (civic data trust), который распоряжался бы данными от имени публики, а не компании, — структурная уступка, равносильная признанию, что исходный план изначально не дал адекватного ответа на вопрос согласия. Waterfront Toronto, государственный орган, курировавший проект, позже прямо заявил, что поднятые опасения по поводу управления данными были обоснованными. Alphabet полностью отменила проект в мае 2020 года, назвав ближайшей причиной экономическую неопределённость, вызванную пандемией, но к тому моменту проект уже почти три года вёл битву за легитимность, которую пандемия не создавала.

Quayside — самый чистый из доступных примеров общей закономерности: городская сенсорная система может быть технически безупречной и всё равно провалиться — не на вопросе измерения, а на вопросе согласия, у которого нет эквивалента в эссе о носимых устройствах из этой серии. Человек, которого тревожит его показатель сна, может просто снять кольцо. У жителя полностью инструментированного квартала нет эквивалентного выхода, кроме как не жить там, — именно поэтому вездесущий, недобровольный характер гражданского наблюдения порождает более сложную проблему управления, чем личный, добровольный характер носимого устройства.

V. За пределами мэрии: та же проблема в браузере и приложении

Различие, которое Quayside вынес на поверхность, — датчик, от которого человек может просто уйти, и датчик, встроенный в саму землю, по которой он ходит, — не остаётся внутри городского управления. Оно проявляется всюду, где какая-то организация контролирует вездесущий слой, через который измеряется население, и два самых ясных сегодняшних случая вообще не муниципальные: браузер и мессенджер. Здесь короткой истории городского наблюдения приходится перестать быть историей только о городах, потому что описываемая ею проблема управления уже перекочевала туда, о чём большинству градостроителей никогда не приходится задумываться, а большинство продакт-менеджеров, строящих её, не узнают в ней ту же самую проблему, которую они немедленно пометили бы как таковую на заседании городского совета.

Веб-браузер функционально представляет собой элемент гражданской инфраструктуры интернета: это улица, по которой каждый пользователь идёт к любому другому пункту назначения, и тот, кто её контролирует, по умолчанию видит колоссальный объём информации о том, кто куда идёт. На Chrome от Google приходится примерно две трети мирового браузерного трафика, и при этом Google — компания с крупнейшей единичной долей в рекламном бизнесе, который питают эти вездесущие данные о браузинге. В 2019 году Google предложила Privacy Sandbox — инициативу, призванную заменить сторонние отслеживающие куки якобы более приватными API измерения на устройстве. После шести лет разработки, слабого внедрения и постоянного антимонопольного давления из-за того, что компания, получающая наибольшую выгоду от отслеживания, была той же компанией, что проектировала его замену, Google свернула большую часть Privacy Sandbox в октябре 2025 года и оставила сторонние куки на месте, без объявленной даты их удаления. Это версия того же самого конфликта в масштабе браузера, в который упёрлась Sidewalk Labs как дочерняя компания Alphabet, предложившая одновременно строить и сенсорную сеть, и гражданский фонд, призванный её регулировать: организация, извлекающая прибыль из вездесущего измерения, не может легко быть ещё и судьёй, определяющим собственные границы, — и регуляторы, конкуренты и публика, как правило, это замечают, когда она пытается.

Apple пошла другим, односторонним путём к тому же вопросу управления. Её политика App Tracking Transparency 2021 года потребовала от приложений спрашивать явное, добровольное разрешение перед тем, как отслеживать пользователя в других приложениях и на сайтах, превратив прежде вездесущую, невидимую практику измерения во что-то более близкое к заброшенной модели гражданского фонда данных Quayside — только навязанное декретом единственной компании, контролирующей операционную систему, а не согласованное с теми, кого измеряют. Примерно три четверти пользователей, когда их реально спросили, отказались от отслеживания. В феврале 2022 года Meta прогнозировала, что совокупные изменения iOS станут для её выручки за 2022 год сдерживающим фактором в размере примерно 10 миллиардов долларов — оценка, о которой её финансовый директор сказал, что её нельзя сделать точной, и которая охватывала все изменения iOS, а не только App Tracking Transparency. Meta — компания, для которой я сегодня занимаюсь тем же видом измерений, в направлении роста рекламы, что отчасти и объясняет, почему я предпочитаю честно диагностировать эту проблему управления, а не вставать на сторону той или иной компании. Правильнее ли понимать шаг Apple как производителя устройств, наконец собравшего согласие, которое на самом деле никто не спрашивал, или как платформу, использующую свою хватку на операционной системе, чтобы под прикрытием приватности навредить рекламному бизнесу конкурента, — вопрос по-настоящему открытый, и это тот же самый вопрос, который эпизод с Sidewalk Labs поднял о том, кому доверить гражданский фонд данных. Легитимность требует, чтобы кто-то занимал эту позицию. Контроль над трубой сам по себе не делает компанию — какой бы она ни была — достойной того, чтобы держать её хорошо.

Мессенджеры дополнительно усложняют картину, потому что для многих пользователей они не так же необязательны, как был необязателен умный квартал Quayside. WhatsApp установлен примерно на 99 процентах бразильских смартфонов, а используют его примерно 96 процентов бразильских интернет-пользователей и 81 процент индийских интернет-пользователей, и на обоих рынках он функционирует скорее как коммунальная услуга, чем как продукт, от которого отдельный потребитель может просто отказаться. Тот выход, отсутствие которого у жителя полностью инструментированного квартала критики Quayside справедливо указывали, — возможность просто не жить там, — здесь имеет реальный аналог: человек в принципе может удалить WhatsApp так же, как житель в принципе мог бы уехать из Quayside, но для значительной доли пользователей этот выбор обходится ближе к отъезду из города, чем к закрытию приложения.

Регуляторы начали закреплять версию этого же вопроса прямо в законе — под заголовками ограничения цели и переносимости данных. Общий регламент по защите данных ЕС (GDPR) уже требовал, чтобы персональные данные, собранные для одной цели, не использовались для другой, не связанной с ней, без новых правовых оснований; его аналог 2022 года, Закон о цифровых рынках (DMA), заостряет это требование до чего-то более похожего на явный тест. Статья 5(2) DMA запрещает платформе-«привратнику» объединять персональные данные между собственными ключевыми сервисами или использовать данные, собранные одним сервисом, в пользу другого, если только пользователю не был предложен конкретный, симметричный выбор и он действительно на это согласился, — а не был по умолчанию включён во внутреннюю политику компании. По сути, это превращает внутренний архитектурный вопрос — должен ли сигнал, который генерирует одна бизнес-линия, разрешаться улучшать другую, и на каких условиях этот же сигнал предложили бы внешнему партнёру, — в то, на что регуляторы теперь ждут реального, отзываемого ответа, а не решение, которое компании доверяют принимать тихо и самостоятельно.

Два незавершённых дела показывают, как выглядит применение этого принципа на практике, независимо от того, чем каждое из них в итоге закончится в апелляции. Европейская комиссия оштрафовала Meta на 200 миллионов евро в апреле 2025 года, заключив, что её рекламная модель «плати или соглашайся» не предлагала пользователям по-настоящему равноценной, менее персонализированной альтернативы согласию на объединение данных между сервисами, — вывод по Статье 5(2), опирающийся именно на то, был ли предложенный выбор реальным, а не номинальным. В отдельном антимонопольном деле федеральный суд США в апреле 2025 года постановил, что Google связала свой сервер рекламы для издателей с собственной рекламной биржей так, что это ставило инструменты закупки рекламы Google в более выгодное положение по сравнению с конкурентами, лишёнными равных условий конкуренции, — вывод, к которому Европейская комиссия независимо пришла в сентябре 2025 года, наложив штраф в 2,95 миллиарда евро; оба дела остаются на стадии определения санкций, и ожидается, что их будут обжаловать ещё годами, прежде чем они окончательно разрешатся. Каким бы ни был их итог, в основе обоих лежит тот же вопрос, что это эссе задаёт о сенсорных сетях с момента разбора случая Quayside: вправе ли организация, построившая трубу, в одностороннем порядке решать, как её собственные нижестоящие направления бизнеса могут использовать то, что через эту трубу течёт?

Ничто из этого не абстрактно для тех, кто реально строит в этом масштабе, и разобранные выше случаи дают четыре теста, которые стоит прогонять до запуска, а не после провала или штрафа. Первый — тест на закреплённость назначения: ограничены ли данные конкретным, поимённо названным использованием — ATSAC считывает только транспортный поток, и только для управления светофорами, — или это универсальный актив, который позже можно тихо перепрофилировать, как это произошло со «всеобъемлющей районной сенсорной сетью» Quayside и как до сих пор происходит со сторонними рекламными куки? Второй — тест на легитимность полномочий: у кого есть институциональное право предоставлять или отзывать доступ к данным, и независимо ли это право от того, кто получает прибыль от их сбора? Предложение Sidewalk Labs самой управлять собственным гражданским фондом данных провалило этот тест по той же структурной причине, что и предложение Google самой управлять заменой собственного отслеживания. Третий — тест на выход: способна ли измеряемая сторона реально отказаться, ценой, соразмерной обычному потребительскому выбору, или отказ близок к невозможному — как для жителя полностью оснащённого датчиками квартала, водителя на дороге, чьи светофоры зависят от системы, или пользователя WhatsApp на рынке, где это дефолтная коммунальная услуга? Четвёртый, теперь отчасти закреплённый ограничением цели в GDPR и Статьёй 5(2) DMA, — тест на паритет: предложили бы этот сигнал независимому партнёру на тех же условиях, на которых он используется внутри компании, с тем же реальным, отзываемым выбором для человека, которого он описывает? Компания, готовая приводить довод о внутреннем использовании только регулятору, но никогда — конкуренту, просящему идентичных условий, уже ответила на этот вопрос. Система, построенная на инфраструктуре без реалистичного выхода, нуждается в существенно более высоком стандарте легитимности, чем функция, которую человек может просто не включать, и именно те продакт-менеджеры и градостроители, что задают все четыре вопроса до запуска, а не после отставки консультативной группы или прихода штрафа, в итоге строят ATSAC своей области, а не её Quayside.

VI. Заключение

Города инструментировали себя задолго до появления самого словосочетания «умный город», и довод в пользу этого весом: карта Джона Сноу выявила источник конкретной вспышки; ATSAC измеримо сократил задержки и выбросы по всей дорожной сети; хорошо управляемый поток данных мобильного флота способен направить велополосу туда, где люди реально ездят, а не туда, где планировщики предполагают, что они могли бы ездить. Что продемонстрировал Quayside, так это то, что довод в пользу точности и довод в пользу легитимности — разные аргументы, и проект может решительно выиграть первый, полностью проиграв второй, — паттерн, который, как показал предыдущий раздел, больше не ограничивается городским управлением. Различие, которое отсюда следует, — между датчиком, который человек сам решает носить, и датчиком, который просто присутствует в среде, которую он занимает, по выбору или нет, — это та разделительная линия, которую призвано размыть третье эссе этой серии, поскольку отслеживание контактов, страховая телематика и плата за въезд в перегруженные зоны — каждое по-своему показывают, как личное устройство привлекают, часто без особого настоящего выбора, именно в тот вид вездесущего гражданского наблюдения, который только что описало это эссе.