Amerykańska Komisja Papierów Wartościowych i Giełd (SEC) kupiła dostęp do globalnej bazy danych biletów lotniczych zawierającej ponad miliard rekordów — wynika z dokumentów SEC uzyskanych przez 404 Media na mocy ustawy o wolności informacji (Freedom of Information Act).

Dane zostały dostarczone przez Airlines Reporting Corporation (ARC), rozliczeniowe przedsiębiorstwo współposiadane przez American Airlines, Delta Air Lines i United Airlines. ARC działa jako pośrednik między przewoźnikami a biurami podróży, przetwarzając i sprzedając rezerwacje dokonywane za pośrednictwem platform takich jak Expedia i Kayak.

Rekordy dostępne dla SEC obejmowały pełne imiona i nazwiska pasażerów, numery kart kredytowych użytych do zakupu biletów, miasta wylotu i przylotu oraz numery lotów. Subskrypcja SEC obejmowała również system alertów w czasie rzeczywistym, który porównywał nowe rezerwacje z listą osób monitorowanych przez agencję. System oflagowywał podróże z poprzednich 24 godzin, a SEC zgłaszała zapotrzebowanie na od jednego do 25 takich alertów dziennie. Nie był wymagany żaden nakaz sądowy — rząd po prostu kupił dane, najprawdopodobniej bez nakazu.

Program Travel Intelligence Program (TIP) prowadzony przez ARC wcześniej udostępniał tę samą infrastrukturę nadzoru powstałą po 11 września agencjom FBI, IRS oraz Departamentowi Bezpieczeństwa Wewnętrznego. Udział SEC ilustruje, w jaki sposób praktyka ta rozszerzyła się poza agencje ds. bezpieczeństwa narodowego i ochrony granic na cywilne organy nadzoru finansowego. Nowo udostępnione dokumenty ujawniają, że zasięg programu był szerszy, niż wcześniej wiadomo — w systemie rejestrowano również podróże międzynarodowe (między państwami obcymi), a nie tylko loty krajowe. Nacisk ze strony prawodawców ostatecznie wymusił zamknięcie programu TIP w 2025 roku.

ARC broniło programu w oświadczeniu przekazanym 404 Media, stwierdzając, że TIP „został utworzony po zamachach terrorystycznych z 11 września 2001 roku" i „prawdopodobnie przyczynił się do zapobiegania i ujęcia przestępców zaangażowanych w... pranie pieniędzy" oraz terroryzm.

SEC jest organem regulacyjnym rynku finansowego, którego zadaniem jest ochrona amerykańskich konsumentów przed wykorzystywaniem informacji poufnych, oszustwami i manipulacjami rynkowymi — a nie agencją wywiadowczą. Niemniej jednak dane podróżne i płatnicze zakupione przez SEC wprost pokrywają się ze śladami finansowymi zostawianymi przez użytkowników kryptowalut: karta kredytowa powiązana z kontem na giełdzie, lot na konferencję krypto, przekroczenie granicy.

Podczas drugiej administracji Trumpa SEC ograniczyła główne działania egzekwowania prawa w obszarze kryptowalut (Decrypt), mimo że obejście z użyciem brokera danych pozwala agencjom federalnym ominąć procedurę nakazów, którą musiałyby zastosować, gdyby żądały rejestrów wprost. IRS w podobny sposób rozszerzał nadzór nad inwestorami kryptowalut przy użyciu porównywalnych metod. Śledztwo SEC przeciwko Coinbase w roku poprzednim wykazało ten sam apetyt na dane użytkowników.

Obrońcy prywatności i organizacje ds. praw obywatelskich określają tę praktykę mianem „luki brokera danych" — agencje kupują komercyjnie dostępne dane, do których w innym przypadku potrzebowałyby uprawnień prawnych w postaci wezwania do sądu (subpoena) lub nakazu. Podejście to funkcjonuje w nierozstrzygniętej prawnie szarej strefie: orzeczenie Sądu Najwyższego z 2018 roku w sprawie Carpenter v. United States stanowiło, że dostęp do pewnych cyfrowych rejestrów stron trzecich stanowi przeszukanie w rozumieniu Czwartej Poprawki wymagające nakazu, jednak agencje twierdzą, że dane kupione na wolnym rynku wykraczają poza ten schemat. Choć sam program TIP został zamknięty, komercyjny rynek danych podróżnych, na którym opierał się jego funkcjonowanie, pozostaje aktywny, a inni brokerzy nadal oferują podobne produkty klientom federalnym. Pranie pieniędzy — zarzut najczęściej stawiany w postępowaniach dotyczących kryptowalut — było jednym z rodzajów przestępczości, na który ARC powoływało się w obronie programu.