FBI Direktörü, FBI’ın ABD vatandaşlarını takip etmek için konum verisi satın aldığını doğruladı

• FBI’ın ticari olarak satılan konum verilerini satın alarak ABD vatandaşlarını takip ettiği resmen doğrulandı
• Bu veriler, yaygın akıllı telefon uygulamaları ve oyunları üzerinden toplanan bilgilerden oluşuyor ve veri brokerları aracılığıyla sağlanıyor
• FBI bunun arama kararı olmadan da yasal olduğunu savunuyor; Anayasa ve Electronic Communications Privacy Act (ECPA) ile uyumlu olduğunu belirtiyor
• Senatör Ron Wyden bunu Anayasa’nın Dördüncü Değişikliği’nin ihlali olarak eleştiriyor ve arama kararı olmadan bilgi satın alınmasının yasaklanmasını istiyor
• Kongre’de, veri brokerı denetimindeki boşlukların kapatılmasını da içeren Government Surveillance Reform Act adlı yasa teklifi sunuldu

---

FBI’ın veri satın alımını yeniden başlatması

• Kongre’deki ifadelerde, FBI’ın Amerikalıların veri ve konum geçmişini yeniden satın almaya başladığı doğrulandı
  • Bu, 2023’ten bu yana ilk resmi kabul anlamına geliyor
  • Eski direktör Christopher Wray geçmişte satın alma yapıldığını kabul etmiş, ancak o dönemde “şu anda satın almıyoruz” demişti
• Veriler veri brokerlarından geliyor; bu şirketler çoğunlukla tüketici uygulamaları ve oyunlarından toplanan bilgileri satıyor

FBI’ın tutumu ve hukuki dayanağı

• Direktör Kash Patel, FBI’ın “Anayasa ve Electronic Communications Privacy Act (ECPA) ile uyumlu ticari bilgileri” satın aldığını söyledi
  • Bu tür bilgilerin “yararlı istihbarat toplama” sonuçları doğurduğunu ifade etti
• FBI sözcüsü, ek sorular karşısında Patel’in açıklamalarının ötesinde yorum yapmayı reddetti
  • Verilerin ne sıklıkla satın alındığına ya da hangi brokerlarla çalışıldığına dair ayrıntılar açıklanmadı

Arama kararı olmadan veri satın alınması tartışması

• Senatör Ron Wyden, FBI’ın bu uygulamasını “Anayasa’nın Dördüncü Değişikliği’ni dolanmak” olarak eleştirdi
  • Dördüncü Değişiklik, devletin bir kişinin cihazını ya da verilerini arayıp el koyabilmesi için hakim kararı gerektiğini öngörüyor
• Son yıllarda ABD’deki devlet kurumları, mahkeme arama kararı süreçlerinden kaçınmak için ticari veri satın alma yönteminden yararlanıyor

Diğer devlet kurumlarındaki benzer örnekler

• U.S. Customs and Border Protection (CBP) kurumunun da gerçek zamanlı teklif verme (RTB) hizmetlerinden toplanan verileri satın aldığı doğrulandı
  • RTB, reklam sektörünün temel teknolojilerinden biri ve konum ile kimlik bilgilerini toplayarak reklam hedeflemede kullanıyor
  • Gözetim şirketleri bu süreç üzerinden kullanıcıların konumunu tespit edip bunu veri brokerlarına veya devlet kurumlarına satabiliyor

Hukuki boşluk ve yasama yanıtı

• FBI, bu tür verilerin kullanımında arama kararı gerekmediğini savunuyor; ancak bu hukuki dayanak mahkemelerde hiç test edilmedi
• Wyden ve bazı senatörler, iki partili Government Surveillance Reform Act yasa teklifini sundu
  • Teklif, federal kurumların veri brokerlarından Amerikalılara ait bilgi satın alırken mahkeme kararı zorunluluğu getirilmesini de içeriyor

[GN⁺]

Hacker News yorumları

• Veriyi kimin sattığı çok daha ciddi sorun
  Tüketici uygulamaları reklam SDK'ları içeriyor → SDK konum sinyallerini RTB reklam borsalarına gönderiyor → gözetim amaçlı şirketler ihale sürecinde bu verileri topluyor → ardından veriler tüketiciyle doğrudan ilişkisi olmayan veri brokerlarına akıyor ve devlet kurumları gibi alıcılara satılıyor
  Her aşamada sorumluluk dağıldığı için hiç kimse gerçek rızayı fiilen doğrulamıyor. Sonuçta asıl sorun, bu verinin herkesin satın alabileceği bir ürüne dönüşmüş olması

  • Apple ve Google da bu veri satışını teşvik ediyor
    Ücretsiz uygulamalar üzerinden kişisel verilerin paraya çevrildiği bu yapıda, iki şirket yüksek komisyonlar alırken güvenlik incelemesi yaptıklarını iddia ediyor ama gerçekte bunu bilerek görmezden geliyorlar
    OS düzeyinde hangi uygulamaların bunu yaptığını tespit etmek zor değil
  • Veri ticaretinin her iki ucunu da engellemek gerekiyor
    Açık rıza olmadan veri satışını yasaklamak ve hükümetin bu verileri satın almasını da Anayasa'nın 4. Ek Maddesi uyarınca engellemek gerekiyor
    Devlet kullanımına özel onay gerekse bile, pratikte kimse böyle bir onay vermeyecektir
  • Ben sadece kesinlikle gerekli uygulamaları tutup geri kalanların hepsini siliyorum
    Zaman geçtikçe ne kadar çok işe yaramaz uygulama biriktiğine şaşırıyor insan
  • RTB yapısı zaten 10 yıldan uzun süredir var
    Otomobil şirketlerinin veriyi sigorta şirketlerine sattığını biliyorum ama hükümetin o veriyi ticari olarak satın alıp alamayacağını merak ediyorum
  • Özet doğru
    Sorun, 1 yıl önce yüklediğiniz tek bir oyunla başlamış olabilir
    Akıllı telefondaki konum servisleri ayarlarını her zaman kontrol etmek önemli; bu pil tasarrufuna da yardımcı olur

• Konum verileri telefon dinleme yasaları seviyesinde düzenlenmeli diye düşünüyorum
  Konum bilgilerimin üçüncü taraflara aktarılması için açık rıza gerekir; genel kapsamlı bir onay yeterli olmamalı
  Özellikle gerçek zamanlı olarak kişiyi tanımlayabilen veriler daha da sıkı ele alınmalı

  • “Makul iyi niyetli rıza varsayımı” gibi açıklar yaratılmamalı

• Carpenter v. United States (2018) kararında, hükümetin telekom şirketlerinden konum bilgisi alabilmesi için arama kararı gerektiği söylendi
  Ancak kullanıcı bir uygulamada konum takibine izin verdiyse, şirketin bu veriyi satması ayrı bir mesele
  Asıl neden, teknoloji kullanmak uğruna mahremiyetten çok kolay vazgeçilmesi

  • Açık kapı her zaman “ulusal güvenlik” oluyor. Yüksek Mahkeme de bunu düzgün biçimde uygulamıyor
  • Trump yönetimi, hoşuna gitmeyen kararları görmezden gelerek etrafından dolaştı

• Eskiden Chaos Computer Conference'ta Alman bir araştırmacının siyasetçilerin hareket kalıplarını izlediği bir DIY sunumu vardı
  Şimdi araması zor olduğu için bulmak güç

  • İlgili Ars Technica yazısını ve YouTube videosunu paylaşıyor

• Third Party Doctrine'in (üçüncü taraf doktrini) kaldırılması gerekiyor
  Veri toplama ve paylaşımının temel sorununu yasama yoluyla çözmek gerek

  • Geliştiriciler baştan kullanıcı verisine hiç dokunmayan ürünler yapmalı ve bunu şeffaf biçimde açıklamalı
    Kalite benzerse insanlar mahremiyet odaklı ürünleri seçecektir

• FBI'ın görevi ülke içindeki suçları soruşturmak
  Ama özel şirketlerin bu takip ekosistemine neden bu kadar hevesle katıldığı soru işareti
  “Yasadışı değilse endişelenecek bir şey yok” türü düşünce sorunlu

  • Bu basitçe para kazanma işi. Veriyi ucuza alıp pahalıya satıyorlar; çoğu veri brokerının itibarı zaten kötü
  • Tüm vatandaşları gözetlemek FBI'ın görevi değil
  • Şirketlerin katılmasının tek nedeni para. Karlıysa her şeyi yaparlar
  • Yasadışıyken kötü olan bir eylem, yasal hale gelirse daha kötüdür; zorunlu hale gelirse en kötüsüdür
  • Kâr amaçlı şirketlerin hissedar çıkarlarını en üst düzeye çıkarması yasal yükümlülüktür
    FBI, üçüncü taraf doktrinini kullanarak 4. Ek Maddenin ruhunu dolanıyor
    Kongre ise sorumluluktan kaçmak için bunu yasaya dönüştürmüyor

• iOS'ta GUID kaldırılmışken reklam SDK'larının kullanıcıları nasıl izlediğini merak ediyorum

  • Sadece konum verisiyle bile kişi tespit edilebilir
    Örneğin geceleri belirli bir apartman kompleksinde, gündüzleri belirli bir ofiste bulunma kalıbı neredeyse benzersizdir
  • Uygulamanın kurulu olduğu cihazı parmak iziyle tanımak (fingerprinting) de web tarayıcı düzeyinde kolay
    IP, konum, uygulama kullanım kalıpları, ekran boyutu, OS sürümü gibi verilerle yeterli düzeyde olasılıksal kimlik tespiti yapılabilir

• Yazı iyi yazılmış ama sonuca katılmıyorum
  Veriler birden çok şekilde yorumlanabilir

• Bu, Anayasa'nın 4. Ek Maddesini dolanmak demek

  • Evet. Ama anayasa dışı değil
    Senatör Wyden da “Amerikalıların bilgilerini arama kararı olmadan satın almak, 4. Ek Maddeyi dolanan öfke verici bir durum” demişti
    Bu yüzden ABD'nin güçlü mahremiyet yasalarına ihtiyacı var. Seçimlerde bunu destekleyen adayları bulmak gerekiyor

• ABD'nin devlet ve şirketler hakkında ikili bir beklentisi var
  Devletin hukuka uyması ve şeffaf olması beklenirken, şirketler sadece kâr peşinde koşan yapılar olarak görülüyor
  Bu yüzden FBI doğrudan gözetim yapmak yerine, “zaten açgözlü olduğu kabul edilen” şirketler üzerinden veri satın almayı seçiyor
  Bu yapı, sorumluluktan kaçmanın mükemmel bir örneği