- 23andMe, Ekim 2023’te açıklanan güvenlik ihlalinin etki kapsamının toplam 6,9 milyon kişi olduğunu doğruladıktan sonra, uyuşmazlıkları mahkemeden ziyade tahkime yönlendiren şart değişikliğini uygulamaya aldı
- Yeni süreçte kullanıcıların önce müşteri destek ekibiyle en az 60 gün boyunca gayriresmî müzakere yürütmesi gerekiyor; çözülmezse genellikle tahkime geçiliyor
- Tahkim maddesi, bazı istisnalar dışında toplu davaları ve toplu tahkimi engelliyor; bu da aynı zararı gören kullanıcıların ortak hareket etmesini zorlaştırıyor
- Kullanıcılar, yürürlük tarihi gibi referans tarihlerden itibaren 30 gün içinde arbitrationoptout@23andme.com adresine yazılı bildirim göndererek kapsam dışında kalabiliyor; ancak bilgilendirme e-postasında bu adres yer almıyor
- 30 Kasım 2023’te yürürlüğe giren değişiklik, ihlalden zaten etkilenen kullanıcıları da etkiliyor ve gelecekteki uyuşmazlıklarda mahkemede dava açma seçeneğini önemli ölçüde daraltıyor
Güvenlik ihlalinden sonra şartlar değişti
- 23andMe, kişisel genomik ve biyoteknoloji şirketi olarak, ilk kez 6 Ekim 2023’te açıklanan güvenlik ihlalini ele almaya çalışıyordu
- 19 Ekim’de, daha önce sorumluluğu üstlenen aynı hacker başka bir ihlal daha iddia etti ve bu kez 4 milyondan fazla genetik profil kaydına eriştiğini söyledi
- 4 Aralık’ta 23andMe, ihlalin toplam kapsamının 6,9 milyon kullanıcı olduğunu doğruladı
- 14 Ekim’e kadar birden fazla kişi 23andMe’ye karşı ihmal davaları açmıştı; kullanıcılar arasında şirketin tepkisinin çok yetersiz olduğu yönünde yaygın bir değerlendirme vardı
Yeni uyuşmazlık çözüm sürecinin özü
- 23andMe, Terms of Service güncellemesiyle kullanıcıları bağlayıcı tahkim sürecine yönlendiren bir değişiklik yapıyor
- Bağlayıcı tahkim, iki tarafın iddialarını tarafsız bir üçüncü kişi olan hakeme sunduğu, hakemin de delilleri inceleyerek karar verdiği bir yöntemdir
- Kritik nokta, hakemin kararının nihai ve hukuken uygulanabilir olmasıdır; taraflar kararı kabul etmek zorundadır ve normal mahkemeye itiraz edemez
- Bu yöntem tüketici sözleşmeleri, istihdam uyuşmazlıkları ve ticari uyuşmazlıklarda kullanılır; mahkeme sürecine kıyasla çoğu zaman daha hızlı ve daha az resmîdir
Şartlarda yer alan başlıca maddeler
-
İlk uyuşmazlık çözüm süresi
- Kullanıcıların 23andMe hizmetleriyle ilgili bir sorunu varsa önce müşteri destek ekibiyle iletişime geçmesi gerekiyor
- Bir sonraki hukuki aşamaya geçmeden önce en az 60 gün boyunca gayriresmî müzakere denenmeli
- Uyuşmazlığın içeriğini, ne zaman ortaya çıktığını, istenen çözümü ve iletişim bilgilerini içeren ayrıntılı bir e-posta gerekiyor
- Kullanıcının avukatı varsa avukatın da 23andMe ile görüşmelere katılması gerekiyor
-
Mahkeme yerine tahkim
- 60 gün içinde çözülmezse genellikle mahkemede dava yerine tahkime gidiliyor
- Tahkim süreci, tahkim hizmeti şirketi JAMS kurallarını izliyor
- Çok sayıda benzer uyuşmazlık ortaya çıkarsa NAM üzerinden Mass Arbitration süreci kullanılabilir
-
Hakemin kararı
- Hakemin kararı nihaidir
- Hakem hukuka uymak zorundadır ve bir mahkemenin verebileceği kararları verebilir
-
Tahkim istisnaları
- Fikri mülkiyet uyuşmazlıkları ve küçük alacak davaları gibi bazı konular kullanıcı veya 23andMe tarafından mahkemeye taşınabilir
-
Toplu dava yasağı
- Kullanıcılar, başkalarıyla birlikte 23andMe’ye karşı toplu dava veya toplu tahkim başlatamaz
- Her uyuşmazlık bireysel olarak ele alınır
-
Bölünebilirlik
- Uyuşmazlık çözümü maddelerinin bir kısmı hukuken uygulanamaz olsa bile kalan maddeler uygulanmaya devam eder
Güvenlik ihlali uyuşmazlıklarına etkisi
- Siber güvenlik ihlaliyle bağlantılı olarak 23andMe ile bir uyuşmazlık yaşanırsa kullanıcıların önce müşteri destek ekibiyle çözüm araması gerekiyor
- Çözülmezse, istisna kapsamına girmediği sürece mahkemede dava yerine tahkime gidiliyor
- Aynı sorunu yaşayan kullanıcılarla birlikte toplu dava açma imkânı olmadığından ortak hareket alanı azalıyor
- Şart değişikliği 30 Kasım 2023’te yürürlüğe girdi ve güvenlik ihlalinden etkilenen kullanıcıları da etkiliyor
30 günlük opt-out süreci
- 23andMe, kullanıcılara hizmet şartlarındaki değişikliği e-posta ile bildirmeye başladı
- Kullanıcılar, yeni maddelerin referans tarihinden itibaren 30 gün içinde tahkim ve toplu dava feragat hükümlerinin dışında kalabiliyor
- Bilgilendirme e-postasında, güncellenen şartlarda belirtilen opt-out adresi olan arbitrationoptout@23andme.com’a e-posta gönderilmesi gerektiği bilgisi yer almıyor
- Güncellenen şartların önizlemesine göre, kullanıcıların tahkim ve toplu dava feragat hükümlerine bağlı kalmak istemiyorsa bu adrese yazılı bildirim göndermesi gerekiyor
- Bildirim, hizmetin ilk kullanım tarihi veya tahkim, toplu dava ve toplu tahkim feragat maddelerini içeren şartların yürürlük tarihinden itibaren 30 gün içinde gönderilmeli
- Kullanıcı tahkim maddesinden opt-out yaparsa 23andMe de söz konusu maddeye bağlı olmaz
Tahkim tüketiciler için neden dezavantajlı olabilir?
- Stanford Graduate School of Business, tahkimin tüketicilerin aleyhine işleyebileceğine dair bir yazı ve araştırma yayımladı
- Söz konusu yazı, menkul kıymetler sektöründeki yaklaşık 9.000 tahkim vakasının analizine dayanarak tahkim sisteminin tüketiciler için dezavantajlı olduğu görüşünde
- Şirketler, kendileri lehine karar verme olasılığı bulunan hakemleri bulma konusunda bilgi avantajına sahip
- Hakemler de bir davada şirket yanlısı davranırlarsa gelecekteki davalarda seçilme ihtimallerinin önemli ölçüde artacağını biliyor
- Bu şart değişikliği, tüketicilerden çok 23andMe’nin kendisini koruma etkisi yaratıyor ve benzer ölçekte bir güvenlik ihlali tekrar yaşanırsa büyük ölçekli kullanıcı şikâyetlerine karşı bir kalkan olabilir
Opt-out e-postası nasıl yazılır?
- Güvenlik ihlalinden etkilendiyseniz ve zorunlu tahkimden çıkmak istiyorsanız aşağıdaki adreslere e-posta gönderebilirsiniz
- legal@23andme.com
- customercare@23andme.com
- arbitrationoptout@23andme.com
- Konu örneği
Request to Opt-Out of Updated TOSşeklindedir - E-postada şu bilgiler yer almalı
- 30 Kasım 2023 tarihli 23andMe hizmet şartları değişikliğiyle ilgili iletişim olduğu
- 23andMe’ye kayıtlı ad
- 23andMe hesabına bağlı e-posta adresi
- Güncellenen hizmet şartlarından resmî olarak opt-out talep edildiğine dair ifade
- Son güncellemede belirtilen maddeleri kabul etmediğinize dair ifade
- Kullanıcılar yanıtları saklamalı ve opt-out işleminin tamamlandığına dair açık bir onay istemeli
- Gelecekte başka bir ihlal yaşanırsa bu yanıt, kullanıcının şart değişikliğiyle bağlı olmadığına dair kanıt olur
1 yorum
Hacker News yorumları
Hizmet şartlarını okudukça common law tarzı bir çözümün gerekli olduğu anlaşılıyor
Burada common law ifadesini gevşek anlamda kullanıyorum; örneğin yazılım hizmetlerini bilgi sağlayıcı, sosyal ağ, gerçek dünya arayüzü gibi önceden tanımlanmış birkaç kategoriye ayırıp her kategori için varsayılan kurallar koyan bir yaklaşım olabilir
Çevrimdışı perakendede buna benzer bir çerçeve zaten var; her mağaza kendi kurallarını kafasına göre yazmak yerine toplumsal normlar içinde faaliyet göstermek zorunda
Mevcut yapı, tüm şirketleri hizmet şartlarında mümkün olduğunca fazla hukuki pay talep etmeye teşvik ediyor ve sonuçta fiili bir şirket devleti yaratıyor. Mahkemede itiraz edilse uygulanamayacak pek çok madde de var; bu da kültürel olarak hukuk devletini zayıflatıyor ve kullanıcıyı her zaman pazarlıkta ciddi biçimde dezavantajlı bir konuma itiyor
Avrupa'daki birçok ülkede buna benzer yasalar zaten epeyce var. İnternetten bir şey satın alırsanız ve memnun kalmazsanız 14 gün içinde iade edebilirsiniz, makul bir garantiye sahip olursunuz ve şirketler açık rızanız olmadan kişisel verileri kötüye kullanamaz. Zorunlu bağlayıcı tahkime de izin verilmez
Hizmet şartları şablonlarını zorunlu kılmaya gerek yok; temel tüketici koruma yasaları yeterli olur
Bu yüzden gereken şeyin common law değil, gerçek yasalar olduğunu düşünüyorum
Sorun, yasanın çok spesifik olmak zorunda olması. Şirketlerin “benim verimi” satmasını engellemek istiyorsanız önce neyin benim verim, neyin şirketin verisi olduğunu tanımlamanız gerekir; bu da sanıldığından zor. Sosyal güvenlik numarası bana mı aittir, yoksa devlet tarafından mı ödünç verilmiştir; kamu kayıtları kamu verisi midir gibi sorular ortaya çıkar
Kişisel veriler bunun yalnızca bir parçası. Finans ne olacak, hizmet kullanıcıyı kesebilir mi, hiç para ödemediyseniz ne olur, gönderiler silinebilir mi, silinmiş gönderilerin alıntıları kalabilir mi, reklamverenler belirli demografik grupları hedefleyebilir mi gibi konuların da ele alınması gerekir
Bunları gerçek yasa metnine dökmek zordur ve çoğunluğu tatmin edecek bir yasa yapmak neredeyse imkansızdır. Bu talebi anlıyorum ama yasa gerçekten çıktığında muhtemelen hoşunuza gitmeyecektir
Ev satın alırken iş tek bir imzayla bitmez; fiilen her sayfayı ve hatta aynı sayfadaki birkaç yeri imzalarsınız. Hizmet şartlarının neden farklı olması gerektiğini anlamıyorum
Genelde henüz sahip olmadığınız haklardan feragat edemezsiniz; dolayısıyla ortada henüz bir zarar yokken bağlayıcı tahkim maddesine imza atamazsınız
Buna ek olarak, çok sayıda kişiye sunulan genel sözleşme şartlarının sınırlarını belirleyen yasalarla şartlar sıkı biçimde kısıtlanır ve tüketicinin şirketle uğraşmasını kolaylaştıran tüketici tahkim kurulları da vardır
arbitrationoptout@23andme.comadresine gönderilebilecek şart değişikliği ret talebi taslağıKonu: Request to Opt-Out of Updated TOS
23andMe Team,
I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
Thank you for processing my request promptly.
[Your Name]
arbitrationoptout@23andme.comadresinin nereden çıktığını merak ediyorumBana gelen e-postada “please notify us” yazıyordu ve bağlantı
legal@23andme.comadresine e-posta gönderen bir bağlantıydıDün yeni şartları kabul etmediğimi bildirirken o adresi kullandım
Yalnızca e-posta göndermeyin; gönderdiğinizi kanıtlayabileceğiniz bir iletim yöntemi gerekli
“Bildirmezlerse kabul etmiş sayılır” gibi bir yaklaşım söz konusu ama, kullanıcıdan onay ya da açık kabul almadan hizmet sözleşmesi şartlarını değiştirmek gerçekten yasal ya da uygulanabilir mi?
“Amazon EU ve Amazon Digital UK, yeni abonelik döneminden itibaren fiyatı tek taraflı olarak değiştirebilecekleri bir prosedüre sahipti. Bu tür şartlar, ödeme kartının hesaba bağlı olduğu ve işletmenin bir sonraki abonelik döneminde yeni tutarı otomatik olarak tahsil etme hakkını kendine tanıdığı durumlarda tüketiciler için özellikle zararlıdır.”
“Yıllardır, sözleşme şartlarının sözleşme taraflarının yükümlülüklerini adil biçimde düzenlemesi gerektiğini savunuyoruz. Giderek daha popüler hale gelen abonelik hizmetlerinde tüketici, hizmet sağlayıcıya güvenir ve düzenli yükümlülüklerin yerine getirilebilmesi için ödeme kartı bilgilerini emanet eder. Bu, işletmenin artık tüketicinin onayı olmadan daha önce kabul edilen tutardan daha fazlasını tahsil edebileceği anlamına gelmez.”
“Bağlı ödeme kartındaki fonları bloke edercesine değiştirilen fiyat listesine göre otomatik tahsilat yapmak ya da sözleşme şartlarında tek taraflı olarak önemli değişiklikler getirmek kabul edilemez.”
https://uokik.gov.pl/aktualnosci.php?news_id=20132 — Lehçe duyuru metni
Burada konu Amazon olsa da, ilgili kurum başka şirketlerin abonelik hizmetlerini de soruşturuyor. Amazon EU ve Amazon Digital UK kurumla iş birliği yaptı; bundan sonra müşterilere planlanan değişiklikleri bildirecek ve müşterilerin bunları reddedip herhangi bir ceza ödemeden sözleşmeyi feshedebilmesini sağlayacaklar.
İnternet servis sağlayıcıları için bu uygulama zaten geçerli; sözleşmeleri keyfi biçimde değiştiremiyorlar. Yine de sizi telefonla arayıp “size tam uygun, yepyeni bir tarife” diye rahatsız edebiliyorlar.
Şirketlerin davranışlarını değiştirmeleri için baskı kurmak mümkün, ancak bunun 23andMe gibi belirli bir hizmete birebir uygulanıp uygulanamayacağı belirsiz. Yine de bu veri sızıntısı nedeniyle çeşitli ülkelerdeki veri koruma kurumları, 23andMe’nin ne yaptığını daha yakından incelemeye başlayabilir.
Bu, “iyiniyet gerekliliğine aykırı olarak, sözleşme taraflarının hak ve yükümlülüklerinde tüketicinin aleyhine önemli bir dengesizlik doğurması” şeklinde tanımlanır.
https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
“Benzer taleplerin birden fazla kez ileri sürüldüğü durumlarda uyuşmazlıkları hızla çözmek ve tahkim sürecini sadeleştirmek için” ifadesi, birilerinin veri sızıntısının artçı etkilerine hazırlandığını düşündürüyor.
Hack olayı yaşandıktan sonra, yetersiz güvenliğin yol açtığı zararı azaltmak için şartları sonradan değiştirebilmek bana pek mantıklı gelmiyor.
Bu mümkünse neden güvenliği ciddiye alasın ki? Sonra şartları değiştirirsin olur biter. İyi avukatlar bununla gayet mücadele edebilir gibi görünüyor.
Şartlardan bağımsız olarak, bu şartları hiç kabul etmemiş aile üyeleri hâlâ dava açma ehliyetine sahip olabilir.
Veri sızıntısından etkilenen ve şartları imzalamamış akrabalar, milyarlarca dolarlık bir toplu davaya öncülük eder mi?
Burada kastedilen toplu dava, sadece birkaç avukatı zengin edip haksız davranan şirketin elde ettiği haksız kazancın küçük bir kısmını ödeyerek sorumluluktan sıyrıldığı türden değil; suistimale yatkın bir sektörün halktan korkmasını sağlamayı amaçlayan bir dava.
Annem bu hizmeti pek düşünmeden kullandı ve forma tüm akrabaların isimlerini yazdı
Aldığı sonuçlar hiç faydalı değildi ve artık DNA’mın %50’si onların şüpheli veritabanında; benimse buna itiraz etmenin hiçbir yolu yok
Bu organizasyondan gerçekten nefret ediyorum
Dünya nüfusunun şaşırtıcı derecede küçük bir bölümünün bile dizilenmiş olması, örnekleri dizilenmemiş insanlarla eşleştirmeye yetiyor. Yazının ifadesiyle, “genetik şecere araştırması evrensel bir anonimlik bozma aracı gibi işleyebiliyordu”
Bu yüzden annemin kayıt olmasına fazla kızmak gerekmiyor olabilir. DNA’mızın, sabit diskteki belgeler gibi bize ait olduğunu söylemek zor; baştan beri de zaten reddetme hakkımız hiç olmamış olabilir
“Aile ağaçları, doğum günleri ve yaklaşık coğrafi konumlarla bağlantılı hassas kişisel bilgiler açığa çıktı. Şirket, bazı durumlarda, esas olarak ihlal edilen hesaplar üzerinden, aynı hizmeti kullanan bağlantılı aile üyelerinin fotoğrafları ve görünen adlarının da açığa çıkmış olabileceğini söyledi. 23andMe, gerçek genetik materyalin ya da DNA kayıtlarının açığa çıkmadığını vurguluyor”
“23andMe sözcüsü Engadget’a, bilgisayar korsanlarının bu yöntemle yaklaşık 5,5 milyon müşterinin DNAR profiline eriştiğini ve ayrıca 1,4 milyon DNA Relative katılımcısının Family Tree profil bilgilerine de eriştiğini söyledi”
“DNAR profilleri; görünen adlar ve konum gibi kullanıcının kendi bildirdiği bilgilerin yanı sıra, DNA Relatives eşleşmelerindeki paylaşılan DNA yüzdesi, aile isimleri, tahmini akrabalık ilişkileri ve soy raporları gibi hassas ayrıntılar içeriyor. Family Tree profilleri ise görünen adlar, ilişki etiketleri ve kullanıcının isteğe bağlı eklediği doğum yılı ile konum gibi bilgileri içeriyor. İhlal ilk kez ekim ayında açıklandığında şirket, soruşturmasının ‘genetik test sonuçlarının sızdırılmadığını’ gösterdiğini söylemişti”
https://www.engadget.com/23andme-hack-now-estimated-to-affec...
Muhtemelen Stackdiary muhabiri “DNAR profile” ifadesini “genetic profile” olarak aktardı, ancak bu terimin standart bir tanımı yok. Yine de bir tanımı varsa, en azından bir miktar DNA bilgisini kastettiğini varsayardım
23andMe yalan söylüyor olabilir ya da gerçekte ne olduğunu bilmiyor olabilir, ama öyleyse ek açıklama zorunlu olduğunda bu bir kez daha haber olacaktır
Diyelim ki yarın, diferansiyel gizlilik gibi yöntemler kullanarak mahremiyeti belli ölçüde korurken DNA paylaşımı yapıp akraba bulunmasını sağlayan sorumlu bir DNA hizmeti çıktı
Yine de başlayamazdı. Çünkü akrabalar zaten bu hizmette ya da Ancestry, MyHeritage, FamilyTreeDNA’dadır. Bu şirketlerin hepsi de pis Amerikan ya da İsrailli büyük şirketler ve güvenilirlikleri, fırlatabileceğiniz mesafe kadar; yani bir inç bile değil
Kuzeniniz yapsa bile kolayca tanımlanabilirsiniz. Temelde, kan bağınız olan herhangi biri bu tür bir hizmeti kullanırsa kullanıcı kolayca tanımlanabilir hale gelir
Bir avantajı olabilir
Zorunlu bağlayıcı tahkim uygulanırsa, tam da bu şirketler bireysel olarak açılan binlerce vakayı kaldıramayıp kendi ayağına kurşun sıkabilir
https://www.nytimes.com/2020/04/06/business/arbitration-over...
“Aynı veya benzer konulara ilişkin ve ortak hukuk ya da olgu meselelerini paylaşan 25 veya daha fazla tahkim talebi sunulursa ve talepleri sunan tarafların avukatları aynıysa ya da eşgüdüm içindeyse” bu durum “Mass Arbitration” sayılıyor
Tüm toplu tahkim uyuşmazlıkları, “ulusal düzeyde tanınan bir tahkim sağlayıcısı” olan National Arbitration and Mediation tarafından çözülecek
[1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...
Bunu birinin doğrulamasını isterim. AB/AEA/EFTA'da zorunlu bağlayıcı tahkim kabul ediliyor mu?
Değilse Fransa veya Almanya'daki müşteriler için durum ne oluyor? Bu sözleşme tamamen uygulanamaz görünüyor.
Dahası, kasıtlı olarak uygulanamaz sözleşmeler hazırlamanın yasa dışı olması iyi olurdu. Fazlasıyla çok şirket, sıradan insanların ne anlayabildiği ne de uygulanamaz olup olmadığını bilebildiği korkunç sözleşmeler hazırlıyor.
Directive 2013/11/EU Madde 10, “Üye devletler, bir tüketici ile bir tacir arasında uyuşmazlığın bir ADR kuruluşuna sunulmasına ilişkin anlaşmanın, uyuşmazlık ortaya çıkmadan önce yapılmış olması ve tüketiciyi uyuşmazlığın çözümü için mahkemeye başvurma hakkından mahrum bırakma sonucunu doğurması halinde, tüketici açısından bağlayıcı olmamasını güvence altına almalıdır” der.
https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
Ancak bu, uyuşmazlık ortaya çıktıktan sonra, örneğin bir uzlaşmanın parçası olarak müşterinin haklarından feragat etmesini engellemez.
Çünkü burada mahkeme kararı olmadan DNA testi yaptırmak yasa dışı.