Инструментальная граница: когда личные устройства становятся городскими датчиками

Два предыдущих эссе этой серии проводили чёткое различие: носимое устройство — это датчик, который человек сам решает надеть, а городской датчик — это датчик, просто присутствующий в среде, которую человек занимает, по выбору или нет. Это различие аналитически полезно и институционально наивно. На практике всё больше схем привлекают датчик первого типа для работы второго типа — берут устройство, которое человек носит по личным причинам, и превращают его данные во вводную для гражданского или институционального решения, — и тем самым стирают границу, на которую опирались два предыдущих эссе. Это эссе рассматривает три случая, где эта граница уже рухнула: приложения для отслеживания контактов, превратившие личный телефон в эпидемиологический датчик для всего населения; носимые устройства и телематику, привязанные к страховке, превратившие личную привычку в оцененный финансовый сигнал; и плату за въезд в перегруженные районы, превращающую обычный автомобиль в облагаемую налогом точку данных в муниципальной транспортной системе в тот момент, когда он пересекает линию на карте. Общее у всех трёх — паттерн важнее любого из них по отдельности: граница между «моими данными» и «данными города» определяется не тем, что представляет собой датчик, а тем, какая организация в данный момент получила право его считывать.

I. Введение: граница, которая не держится

Отслеживание контактов, страхование, привязанное к оздоровительным программам, и плата за въезд в перегруженные районы обычно не обсуждают вместе, потому что они относятся к разным регуляторным областям — соответственно, общественному здравоохранению, страховому праву и транспортной политике, — и потому что предыдущие эссе рассматривали «личное» и «городское» наблюдение как разные категории с разной структурой согласия. Но каждый из трёх разбираемых ниже случаев берёт устройство, созданное и продаваемое для личного использования, — смартфон, фитнес-трекер, автомобиль, — и при определённых институциональных условиях превращает его в инструмент измерения на уровне населения. Ни один из трёх случаев не потребовал изобретения нового сенсорного оборудования. Каждому потребовалась лишь новая институциональная схема для считывания данных, которые уже существующее личное устройство и так генерировало. Такова подлинная форма этой конвергенции: не новые датчики, а новые притязания на старые.

II. Случай первый: отслеживание контактов и тело как городской датчик

В мае 2020 года Apple и Google совместно выпустили Exposure Notification API — общий фреймворк, позволявший органам здравоохранения создавать приложения для отслеживания контактов и для iOS, и для Android вообще без сбора данных о местоположении. Система работала так: каждый телефон транслировал сменяющийся анонимный Bluetooth-идентификатор и записывал идентификаторы, оказавшиеся рядом; если пользователь позже получал положительный тест и соглашался поделиться своими недавними ключами, другие телефоны, зафиксировавшие совпадающий идентификатор, получали уведомление о возможном контакте — и всё это без того, чтобы какой-либо центральный сервер когда-либо узнавал, кто был рядом с кем. Дизайн системы был явно выстроен так, чтобы сохранить границу между личным и городским, на которую опирались два предыдущих эссе: компании ограничили каждую страну одним авторизованным приложением, ограничили доступ к API исключительно органами здравоохранения и выстроили систему так, чтобы она не могла передавать исходные данные о близости в центральную базу данных, — дизайн, который регулятор защиты данных Великобритании признал соответствующим принципам privacy-by-design, требуемым европейским законодательством.

И всё же даже эта тщательно спроектированная, децентрализованная, добровольная система делала именно то, о чём это эссе: она превращала личное устройство, которое носят по личным причинам, в элемент гражданской эпидемиологической инфраструктуры в тот самый момент, когда на него устанавливалось приложение органа здравоохранения. Телефон не менялся; менялось то, какие притязания предъявлялись на то, что телефон способен увидеть. То, что разработчики системы пошли на необычные меры ради сохранения контроля пользователя, не отменяет базового структурного факта: граница между личным устройством связи и узлом сенсорной сети общественного здравоохранения на время пандемии стала вопросом того, какое приложение установлено, а не фиксированным свойством самого оборудования.

III. Случай второй: страхование и оценённое тело

Второй случай обходится без тщательной анонимизации, встроенной в систему уведомлений о контактах. Когда в 2018 году компания John Hancock объявила, что будет продавать только «интерактивные» полисы страхования жизни, привязанные к данным об активности с носимых устройств, в обмен на скидки к премии до 15 процентов, она создала прямую финансовую связь между устройством, созданным для личного любопытства к собственному благополучию, и актуарной оценкой компанией стоимости жизни клиента. Та же схема существует и в автостраховании: программа Snapshot компании Progressive, работающая с 2008 года, использует подключаемое устройство или приложение на телефоне для отслеживания скорости, торможений и часов вождения и соответственно определяет цену полиса — доступ к данным, которые собственная политика конфиденциальности компании описывает как хранимые «бессрочно».

Слово «добровольно» выполняет в обеих программах реальную работу, и стоит всерьёз разобраться, какую нагрузку оно способно выдержать. Корпоративные оздоровительные программы дают самую ясную юридическую проверку этого вопроса, потому что американское законодательство об инвалидности и генетической конфиденциальности требует, чтобы участие в любой оздоровительной программе, связанной со сбором медицинских данных, было по-настоящему добровольным. В 2016 году Комиссия по соблюдению равноправия при трудоустройстве (EEOC) установила предел финансовых стимулов на уровне до 30 процентов от стоимости индивидуального медицинского покрытия; в 2017 году федеральный суд, рассматривая иск, поданный AARP, постановил, что стимул такого размера делает участие недобровольным по существу, если не по названию, потому что у работника, который не мог позволить себе повышение премии такого масштаба, не было реального выбора, кроме как раскрыть защищённую медицинскую информацию. Суд отменил это правило о стимулах с января 2019 года, а последующие предложенные правила EEOC разрешали бы лишь «минимальные» вознаграждения — подарочную карту, а не скидку, — по той же причине.

Это решение — самое ясное из доступных юридических признаний того, что граница между добровольным личным датчиком и принудительным институциональным проходит не там, есть ли галочка согласия, а там, каков размер числа, к ней привязанного. Носимое устройство, которое человек надевает из собственного любопытства, — это личное наблюдение в том смысле, который описывало эссе о носимых устройствах; носимое устройство, которое человек надевает потому, что отказ обойдётся ему в 15 процентов страховой премии, или потому что связанная с работой оздоровительная надбавка настолько велика, что федеральный суд назвал её принудительной, — перешло в нечто более близкое к вездесущему, недобровольному городскому наблюдению, которое описывало эссе о городских датчиках, — добровольному по названию, принудительному по сути.

IV. Случай третий: плата за въезд в перегруженные районы и автомобиль как городской датчик

Программа платы за въезд в перегруженные районы Нью-Йорка, с 5 января 2025 года взимающая с большинства водителей пиковый тариф за въезд на Манхэттен южнее 61-й улицы, работает через сеть камер считывания номерных знаков, установленных на въездах в зону, — фиксированную, вездесущую городскую сенсорную систему прямо в традиции разобранного в предыдущем эссе случая ATSAC. Но та же программа иллюстрирует и ту конвергенцию, которую прослеживает это эссе, потому что значительная часть данных о транспортном потоке, используемых для проектирования, мониторинга и защиты эффективности программы, поступает не от самих камер на пунктах оплаты, а из агрегированных данных о местоположении смартфонов и телематики подключённых автомобилей — того же самого личного сигнала о местоположении, который приложение для райдшеринга, картографическое приложение или программа страховой телематики собирает по совершенно другим, личным или коммерческим причинам, теперь перепрофилированного как вводная для вопроса общественной транспортной политики.

Это зеркальное отражение случая с отслеживанием контактов. Там личное устройство привлекли, с необычно тщательной инженерией приватности, к явно обозначенной роли в общественном здравоохранении. Здесь же обычный коммерческий «выхлоп» личного устройства — след местоположения, который телефон оставляет просто потому, что на нём работает навигационное приложение или приложение райдшеринга, — становится городской инфраструктурой с гораздо меньшим трением и гораздо меньшим публичным обсуждением, потому что никакого отдельного, видимого политического решения, аналогичного «установите это приложение», вообще не происходит. Водитель, у которого при въезде в зону платного въезда работает картографическое приложение, безо всякого конкретного выбора на этот счёт стал точкой данных именно в той агрегированной сети гражданского наблюдения, которую, как описывало эссе о городских датчиках, Sidewalk Labs не удалось построить с общественного согласия. Плата за въезд в перегруженные районы политически преуспела там, где Quayside провалился, отчасти потому, что её вездесущий сбор данных более рассредоточен, более привычен и гораздо менее заметно связан с брендом какой-либо одной компании.

V. Что общего у этих трёх случаев

Ни один из трёх случаев не потребовал технологического прорыва. Отслеживание контактов перепрофилировало Bluetooth-модуль, уже стоявший в каждом смартфоне. Страховая телематика перепрофилировала GPS-чип и акселерометр, уже стоявшие в каждом телефоне и каждом фитнес-трекере. Плата за въезд в перегруженные районы перепрофилировала данные о местоположении, которые каждое навигационное приложение и так генерировало для совершенно другой коммерческой цели. В каждом случае датчик был личным, уже существовавшим и изначально развёрнутым ради удобства или любопытства самого человека; менялось притязание на него со стороны какого-то института — внезапно ставшее видимым из-за пандемии, актуарного аппетита страховщика или потребности транспортного ведомства в данных о трафике, которые иначе оно не могло себе позволить собрать.

Это переосмысливает вопрос, оставленный открытым первыми двумя эссе этой серии. Разделительная линия проходит не там, где казалось поначалу, — не между датчиками, которые человек сам решает носить, и датчиками, просто присутствующими в его среде. Она проходит между данными, которые генерирует человек, и данными, которые какой-то институт получил право считывать, — и это право может измениться без каких-либо изменений в самом датчике. Sidewalk Labs предложила, а затем отказалась от идеи «гражданского фонда данных», который формализовал бы именно такое право для проекта Quayside; решение суда по иску AARP против правил EEOC об оздоровительных программах — по сути, тот же самый труд, проделанный судом для случая страхования: установление предела того, какое финансовое давление институт может оказывать, прежде чем «добровольный» обмен данными становится принудительным по существу.

VI. Заключение

Методологическая сквозная линия всех текстов этого сайта об измерении — опросов, носимых устройств, городских датчиков — состояла в том, что точность инструмента и его нормативный эффект — разные вопросы, и что более трудные, более значимые споры почти всегда идут именно о втором. Три случая этого эссе подтверждают тот же паттерн на уровень выше: отслеживание контактов, страховая телематика и плата за въезд в перегруженные районы — на самом деле не споры о том, работает ли Bluetooth-модуль телефона или GPS-чип автомобиля. Это споры о том, кто получает право считывать уже существующий датчик, как только его данные пересекают институциональный порог — ведомство здравоохранения, страховщика, транспортное управление. Довод Бурдьё, поднятый в эссе этого сайта об опросах, о том, что опрос не просто находит агрегат, а конструирует его, имеет здесь точный аналог: личный датчик не просто генерирует данные о человеке, а данные о населении в тот момент, когда какой-то институт получает право считывать их в агрегированном виде, — и главный вопрос на следующее десятилетие этой конвергенции не в том, будет ли заявлено это право, а в том, кто получит право его предоставлять и на каких условиях человек всё ещё сможет сказать «нет».