Mobil uygulamalar kişisel verileri yasa dışı olarak nasıl paylaşıyor

• Fransa'nın en büyük elektronik perakendecisi Fnac, emlak uygulaması SeLoger ve Under Armour iştiraki MyFitnessPal, kullanıcıların kişisel bilgilerine yasa dışı şekilde erişip bunları paylaşmakla suçlanıyor.
• Bu şikayetler, gizliliğe odaklanan Avrupa merkezli kâr amacı gütmeyen kuruluş noyb tarafından yapıldı.
• Suçlamalara konu olan uygulamaların, kullanıcı onayı olmadan uygulama açılır açılmaz veri toplamaya ve paylaşmaya başladığı bildirildi.
• Toplanan veriler arasında Google'ın benzersiz reklam kimliği (AdID), cihazın modeli ve markası ile yerel IP adresi yer alıyor ve bunlar üçüncü taraflarla paylaşılıyor.
• Bu kadar kapsamlı veri toplama, kullanıcıların profillenmesini mümkün kılıyor; böylece kişiselleştirilmiş reklamlar ve pazarlama kampanyaları gösterilerek şirket gelirleri artırılıyor.
• ePrivacy Direktifi'ne göre, kullanıcının cihazındaki verilere erişmek veya veri depolamak yalnızca kullanıcının özgürce verilmiş, açık, belirli ve belirsizlik içermeyen rızası varsa mümkündür. Ancak üç uygulamadan ikisi çalıştırıldığında herhangi bir rıza banner'ı göstermedi.
• Üçüncü uygulama bir rıza banner'ı sundu, ancak kişisel verilerin aktarımı kullanıcı hiçbir etkileşimde bulunmadan başladı.
• AdID benzersizdir ve belirli bir kişinin cihazına bağlıdır; bu nedenle reklamverenler ve diğer üçüncü taraflar bunu hedef kullanıcıları seçmek için kullanabilir.
• Bazı uygulama sağlayıcıları, hatta uygulama dışında kullanıcı davranışlarını da izleyerek toplanan verilere kullanıcının yaşamına dair daha fazla bilgi ekliyor.
• Bu sorun, mobil uygulama ekosistemindeki daha geniş bir probleme işaret ediyor; birçok uygulama AB gizlilik yasalarına uymuyor.
• Araştırmaya göre, tüm uygulamaların yalnızca %3,5'i kullanıcılara rızayı reddetme konusunda gerçek bir seçim hakkı sundu.
• noyb, CNIL'den (Fransa veri koruma kurumu) suçlanan uygulamaların yasa dışı işlenen tüm verileri silmesini sağlamasını ve para cezası uygulamasını talep etti.
• Ağ trafiği yakalama ve analiz işlemleri, Defensive Lab Agency tarafından geliştirilen PiRogue Tool Suite kullanılarak gerçekleştirildi.
• noyb, önümüzdeki dönemde mobil uygulama şirketlerine karşı daha fazla şikayette bulunmayı ve kullanıcı verilerinin yasa dışı paylaşımını durdurmak için çalışmayı planlıyor.

[GN⁺]

Hacker News yorumu

• Mobil uygulamaların kişisel verileri yasa dışı biçimde paylaşması sorunu; bazı uygulamalar kullanıcı onayı için bir banner bile sunmuyor
• Bir kullanıcı, reklamsız çalışsın diye seçtiği bir widget'ın telefonunu bir proxy ağının parçası haline getirdiğini ve konum verilerini rızası olmadan gönderdiğini vurguluyor
• Uygulamaların kullanıcı onayı olmadan verilere neden erişebildiğine dair tartışma; sorunun kullanıcı değil teknoloji olduğu savunuluyor
• Yüklü uygulamaların tüm verileri toplamasını gerçekte engelleyen hiçbir şey olmadığı belirtilirken, Progressive Web Apps'in tarayıcı sandbox'ı tarafından sınırlandığı ve bu yüzden gizlilik açısından tercih edilen bir çözüm olduğu ifade ediliyor
• Kâr amacı gütmeyen noyb'un kişisel verilerin korunması yasalarının uygulanmasındaki çalışmaları övülüyor ve kullanıcıların, kişisel verileri kötüye kullanan şirketlere karşı gelecekte atacakları adımları desteklemesi teşvik ediliyor
• Dijital gizlilik savunucularının süregelen mücadelesi tartışılıyor ve hükümetlerin yetersiz adımları eleştiriliyor
• Hedefli reklamcılık üzerine tartışmada, bir kullanıcı, insanlar kendi davranışları üzerinde söz sahibi olursa bunun bir kazan-kazan durumu olabileceğini öne sürüyor
• Kişisel verilerin korunmasına dair yasalar olmasına rağmen bu kuralların sık sık ihlal edildiği belirtiliyor; büyük web siteleri ve uygulamaların aktif biçimde denetlenmesinin sorunun çözümüne yardımcı olabileceği öneriliyor
• Otomobiller gibi kritik altyapılarda büyüyen gizlilik sorunları, daha fazla dikkat gerektiren bir alan olarak vurgulanıyor
• Verileri yalnızca müşterileri adına işleyen üçüncü taraf şirketlerle, bu verileri kendi amaçları için kullanan şirketler arasındaki fark tartışılıyor
• Sorunun, verileri kötüye kullanan kuruluşları yargılamak için hukuki tartışmalara odaklanmak olduğu savunuluyor; bir kullanıcı, insanların verilerinin nasıl kullanıldığını anlayıp anlamadıklarına odaklanılması gerektiğini öneriyor