ABD Gümrük ve Sınır Koruma Kurumu (CBP), çevrim içi reklam ekosistemini kullanarak insanların hareket rotalarını izledi

• İç DHS belgeleri, CBP'nin çevrim içi reklam sektöründeki konum verilerini satın alarak bireylerin hareketlerini izlediğini ortaya koyuyor
• Bu veriler oyunlar, flört uygulamaları, fitness takipçileri gibi sıradan uygulamalardan toplanıyor ve kullanıcıların ayrıntılı konum değişimlerini uzun süre boyunca takip etmeyi mümkün kılıyor
• Belgeler, bu reklam verilerinin devlet kurumlarının gözetim aracı olarak kullanılmasına yönelik potansiyel riskleri gösteriyor
• Göçmenlik ve Gümrük Muhafaza Dairesi (ICE) de benzer araçlar satın alarak geniş bölgelerde cep telefonu hareketlerini izledi ve ek 'Ad Tech' verisi edinmeyi değerlendiriyor
• Yaklaşık 70 milletvekili, DHS müfettiş generalinden ICE'nin konum verisi satın alımına ilişkin soruşturma talep ederek devletin veri kullanımındaki şeffaflık sorununu gündeme taşıdı

---

CBP'nin reklam verisi kullanımı

• İç DHS belgelerine göre CBP, çevrim içi reklam ekosisteminden toplanan konum verilerini satın alarak insanların hareketlerini izliyor
  • Veriler video oyunları, flört servisleri, fitness takipçileri gibi sıradan uygulamalar üzerinden toplanıyor
  • Bu sayede kişilerin hassas konum değişimleri ve hareket rotaları zaman dilimlerine göre takip edilebiliyor
• Belgeler, bu verilerin devlet kurumlarının gözetim amaçları için kullanılabilecek güçlü bir araç olduğunu gösteriyor
  • Aynı zamanda kişisel mahremiyet ihlali riski taşıdığına da işaret ediyor

ICE'nin benzer veri satın alma örneği

• ICE (Göçmenlik ve Gümrük Muhafaza Dairesi) de geniş bölgelerde cep telefonu hareketlerini izleyebilen benzer bir araç satın aldı
  • ICE'nin yakın zamanda ek reklam teknolojisi (Ad Tech) verisi edinmeye de ilgi gösterdiği belirtildi
• 404 Media'nın haberinin ardından, ilgili durum kamu ihale belgeleri üzerinden ortaya çıktı

Kongre'nin tepkisi

• Yaklaşık 70 milletvekili DHS müfettiş generaline mektup göndererek, ICE'nin konum verisi satın almasına ilişkin yeni bir soruşturma başlatılmasını istedi
  • Mektupta veri satın alımının hukuka uygunluğu ve gözetimin kötüye kullanılma ihtimali sorgulandı

Uzman değerlendirmesi

• İrlanda Sivil Özgürlükler Konseyi (ICCL) üyesi Johnny Ryan, reklam verilerini “herkesin konumunu ve tüketim davranışlarını izleyebilen bir altın madeni” olarak tanımladı
  • Ryan, reklam verisi satışının kişisel veri gizliliği için ciddi bir tehdit oluşturabileceği uyarısında bulundu

Makaleye erişim kısıtı notu

• Metin yalnızca ücretli üyeler için sunulan bir gönderi ve tamamını okumak için abonelik gerekiyor
  • Bunun yanında ücretsiz üyelik veya giriş bağlantısı da sunuluyor

[GN⁺]

Hacker News yorumları

• Makalenin arşiv bağlantısı

• İşim gereği reklam verileri ile sık sık uğraşıyorum ve gazetecilerin yanlış anladığı çok nokta var
  Konum verisi aslında çok hatalıdır. İşletim sistemi veya tarayıcı konum erişimini oldukça iyi engellediği için, reklam ağlarının sağladığı konum bilgisi çoğunlukla IP tabanlı kaba bir tahmindir
  Reklam ağlarının veri kalitesini abartmak için teşviki vardır. Ayrıca kullanıcı bazında takip sanıldığından çok daha zordur. Her uygulamanın SDK'sı sinyal gönderse bile, uygulamalar arasında kullanıcıyı bağlayacak bir anahtar yoksa bunların hepsi ayrı veri olarak ele alınır
  Bu yüzden bazen aynı IP'deki başka birinin arama geçmişine dayanarak reklam gösterilir
  Özellikle Bidstream verisi, gerçek zamanlı reklam gösterimi anındaki parçalı bilgilerden ibarettir; bir kişiyi takip etmek için uygun değildir. Mobilewalla gibi veriler kişisel takipten çok örüntü analizi içindir
  Devlet kurumları da bu veriyi pratikte ancak sınırlı ölçüde kullanıyor — örneğin CBP sınır bölgesinde olağandışı telefon etkinliğini tespit etmeye çalıştı ve IRS Venntel verisini denedi ama başarısız oldu
  Sonuçta çözümün yalnızca kişiselleştirilmiş reklamcılığın kademeli olarak kaldırılması olduğunu düşünüyorum. Şu anki durumda devletin bu verilerle bireyleri teşhis edecek seviyede olduğunu sanmıyorum

  • Eskiden ad-tech sektöründe çalışıyordum, sonra ayrıldım. Factual adlı bir şirket kendi politikalarının izin verdiğinden çok daha küçük bir geofence kullanıyordu ve bizim şirket de bunu bildiği halde kullanmaya devam etti
    CEO, “Bunu doğrudan biz yapmadık, o yüzden sorun yok” dedi ama sonuçta insanları yüksek çözünürlükte takip eden bir sistemin aracısı olduk. Sektörün neyi mahvettiğiyle yüzleşmek gerekiyor
  • Veri kaynaklarını birleştirirseniz (fusion) sanıldığından çok daha fazlasını yapabilirsiniz
    İlgili çalışmalar: Large-Scale Online Deanonymization with LLMs ve Robust De-anonymization of Large Sparse Datasets
  • İster devlet olsun ister reklam şirketi, konumumu bilmelerine gerek yok. Veri “kabaca” olsa bile bu mahremiyet ihlalidir
  • Buna tamamen katılıyorum

• Privacy Act'in kolluk kuvvetleri amaçları için istisna tanıması üzücü. O dönemde her devlet eyleminin “kolluk” diye adlandırılacağı öngörülmemişti herhalde
  ABD hükümetinin kişisel veri işlemesi için Fair Information Practice Principles adlı etik bir çerçeve var
  Ama pratikte devletin standardı “yasal bir amaç varsa yeter” düzeyinde; kamusal yarardan çok hukuki asgari sınırda kalıyor

  • Sorun yasa değil, verinin bizzat var olması. Veri varsa devlet de içeriden biri de eninde sonunda onu kötüye kullanır

• Son zamanlarda mahremiyet koruması hakkındaki düşüncem değişiyor. Artık sadece savunma düzeyinde değil, aktif olarak saldırı altında hissettiriyor
  İnsanlar mahremiyet ihlalleri yüzünden geçimlerini ya da itibarlarını kaybediyor. Benim yapabileceğim neredeyse hiçbir şey yok ve şirketler ne zaman tuvalete gittiğimi bile biliyor
  Bunu reklamlarla gösteriyorlar ve verileri satıp yozlaşmış kurumların bunu yasal biçimde kötüye kullanmasına izin veriyorlar
  Sonunda geriye sadece “otur ve dayağı ye” seçeneğinin kaldığı bir durumda, bizi kimin koruyacağını bilmiyorum

  • Yine de az da olsa iyileşebilir. Hâlihazırda yayılmış verileri yönetmeye yardımcı olan kişisel veri silme hizmetleri de var

• Vergi mükelleflerinin parasıyla vergi mükelleflerini takip edip reklam sektörünü desteklemek ironik

• Telefonumda sadece 26 uygulama yüklü. Bunların 4'ü Safari uzantısı, 1'i PWA, 1'i de bizzat benim yaptığım bir uygulama
  NextDNS ile takibi mümkün olduğunca engelliyorum ve sosyal medya kullanmıyorum. Gerçekçi olarak yapılabilecek en iyi şeyin bu olduğunu düşünüyorum

  • Ama telefonun kendisi operatöre sürekli konum bilgisi gönderiyor. Devlet bu veriyi mahkeme kararı olmadan da alabiliyor. Sonuçta bu tür çabalar sadece bir “mahremiyet tiyatrosu”ndan ibaret
  • Üstelik telefon 24 saat boyunca baz istasyonlarına hassas konumunu yayınlıyor

• Cory Doctorow'un kısa öyküsü “Scroogled (2007)” sanki gerçeğe dönüşmüş gibi
  Orijinal bağlantı

  • 2007'de kulağa komplo teorisi gibi geliyordu ama bu, Snowden ifşalarından (2013) önceydi. NSA direktörünün “İnsanları metadata ile öldürürüz” demesiyse bundan 7 yıl sonra geldi
    Mahremiyet ihlali yavaş ama istikrarlı biçimde ilerledi ve sonunda ‘Turnkey Tyrant (anında devreye alınabilecek tiranlık)’ kapısını aralıyor
  • Bu artık “taklit” değil, “uygulama” aşaması
  • Güzel bir hikâyeydi

• Silinmiş yorumun (octoclaw) bir LLM olduğunu öğrenince şaşırdım. Her hâlükârda sorun verinin ne kadar ucuz ve kolay erişilebilir olduğu. Sadece devlet değil, herkes erişebilir
  Bu yüzden telefonu sadece gerçekten gerektiğinde taşımak lazım

  • O yorumun silinme nedeni LLM olmasıydı
  • Ama sıradan tüketici açısından bu veri o kadar da ucuz değil

• Avrupa tarzı veri koruma yasalarının bunu engelleyip engelleyemeyeceğini merak ediyorum. Ama ABD'nin siyasi durumu düşünüldüğünde böyle yasaların çıkma ihtimali düşük

  • Yasa yapılsa bile devlet görmezden gelirse bir anlamı olmaz
  • Teorik olarak açılan pencerelerde onayı reddedip, gizli “meşru menfaat” maddelerine kadar hepsini reddedersen veri toplanmaması gerekir; ama pratikte dark pattern'lar ve şeffaf olmayan denetim yapıları yüzünden çoğu insanın verisi hâlâ toplanıyor
    Ayrıca böyle verileri satın alan bir devlet varsa, şirketlerin ihlallerini denetlemesi de beklenmez
  • “Avrupa tarzı yasalar bunu durdurur mu?” sorusu fazla basit kalıyor. Sorun yalnızca yasanın yokluğu değil,
    1. uygulamaların hassas konum verisi toplaması,
    2. reklam altyapısının bunu RTB üzerinden yayınlaması,
    3. brokerların yeniden satması,
    4. devletin doğrudan toplamak yerine satın alarak etrafından dolaşması,
    5. düzenleyici kurumların bunu engelleyememesi yapısıdır
       GDPR daha katı olsa da, uygulamadaki yaptırım sınırları nedeniyle adtech ekosistemi hâlâ varlığını sürdürüyor
       Sonuçta asıl mesele “Avrupa tarzı yasa” değil; toplamayı sınırlama, yeniden satışı yasaklama, devletin satın almasını yasaklama ve denetim zorunluluğunu birlikte içeren gerçek bir kurumsal tasarım

• Bu tür veri sistemlerine yakın çalıştım. İç politika olarak ABD vatandaşlarını izlemezler deniyordu ama gerçekte veri yeniden satış ağı aşırı açgözlüydü. Daha çok sattıkça daha çok para kazanıyorlardı

  • Peki o zaman vatandaş olup olmadığına nasıl karar veriyorlar? Mesela ben ABD vatandaşıyım ama Gmail hesabımı Avustralya'da açtım ve bağlanırken bazen Avustralya alan adına yönlendiriliyorum. Böyle bir durumda verim yabancı diye sınıflandırılıp gözetim kapsamına alınabilir mi?