Seattle şehri, yanlışlıkla 40 dolara 32 milyon e-posta sağladı (2018)

• Yazar Matt Chapman, ABD genelindeki iletişimi haritalayan daha büyük bir projenin parçası olarak Seattle şehrinden e-posta metadata'sını talep etti.
• İlk başta şehir, her e-postayı incelemek için gereken süreyi gerekçe göstererek talebin maliyetini 33 milyon dolar olarak tahmin etti.
• Daha sonra şehir bu tahmini revize etti ve iki günlük kayıt için 1,25 dolar talep etti.
• Şehir, yazara yaklaşık 32 milyon e-postanın metadata'sını sağladı ancak yanlışlıkla her e-postanın ilk 256 karakterini de ekledi.
• Dahil edilen veriler arasında kullanıcı adları, parolalar, kredi kartı numaraları, sosyal güvenlik numaraları ve devam eden polis ile FBI soruşturmalarına ilişkin ayrıntılar gibi hassas bilgiler vardı.
• Yazar, veri sızıntısını şehre bildirdi ve tüm dosyaları silmesi istendi. Ayrıca şehir, silmenin doğrulanması için yazarın sabit diskini tarayacak bir şirket tutmayı önerdi.
• Yazar dosyaları sildi ve silmeyi doğrulayan yeminli bir beyan sundu.
• Daha sonra şehir, talep edilen e-posta metadata'sını göndermeye başladı; ancak polis departmanı ile insan hizmetleri departmanındaki veriler hariç tutuldu.
• Yazar, bu verileri kullanarak şehrin iletişim ağı modelini oluşturuyor.
• Yazar ayrıca Washington'da, e-posta yazışmaları da dahil birçok kaydın kamuya açıklanması zorunluluğunu kaldırmaya yönelik yasama girişimlerinden söz etti. Bu tasarı vali tarafından veto edildi.

[GN⁺]

Hacker News görüşü

• Seattle şehri, yanlışlıkla makalenin yazarına amaçlanandan daha fazla hassas bilgi açıkladı.
• Yazar, onların hatasını şehre bildirmemiş olsaydı, verileri istediği gibi kullanabilecekti.
• Fiziksel mülkiyet veya yanlışlıkla verilen para hakkındaki içtihatlara benzer şekilde, yazarın verileri elinde tutma hakkı olup olmadığına dair hukuki bir soru var.
• Yazar, bunun şehrin hatası olmasına rağmen, verileri sahiplenmeme yönündeki şehir talebine uymayı kabul etti.
• Kamu BT sistemleri çoğu zaman pahalı ve sorunludur; web formlarındaki farklı tarih biçimleri ve çalışmayan parola sıfırlama özelliği gibi problemler buna örnektir.
• Yazarın ilk veri talebi yanlış yorumlandı ve şehir, sabit kodlanmış değerlerden kesilmiş e-posta başlıklarını dışa aktardı.
• Şehir, ancak yazar onların hatasını işaret ettikten sonra onu ciddiye aldı.
• Bazı kamu kurumlarının, kamu verisi talep eden kişileri tehdit ettiği veya kayıtlar için aşırı ücret talep ettiği biliniyor.
• Yazara, Seattle'ın kendilerine gönderilen bilgiler nedeniyle ona Computer Fraud and Abuse Act (CFAA) suçlaması yöneltmeyi değerlendirdiği söylendi.
• Avrupa'da, kimin kiminle ne zaman iletişim kurduğu gibi kişilerle ilgili bilgileri depolamak veya işlemek yalnızca gerekli olduğunda izinlidir.
• Yazarın 2017'de Seattle'a ait e-posta adreslerine gönderilen veya bu adreslerden alınan tüm e-postaları talep etmesi, kamu çalışanları ve onların etkileşimde bulunduğu kişiler hakkında kişisel bilgileri açığa çıkarabilir.
• Yazarın blogu bir süredir güncellenmediği için, onun hâlâ FOIA ile ilgili çalışıp çalışmadığına dair soru işaretleri doğuyor.