ABD’de cep telefonu konum verilerinin satışını yasaklayan ilk yasa tasarısı gelebilir

 (wsj.com)
1 puan yazan GN⁺ 2023-07-11 | 1 yorum | WhatsApp'ta paylaş
  • Massachusetts eyalet meclisi, tüketicilerin mobil cihazlarından elde edilen konum verisi ticaretini neredeyse tamamen yasaklamayı değerlendiriyor; yürürlüğe girerse ABD’de ilk örnek olabilir
  • Location Shield Act, cep telefonu konum verilerinin toplanması ve satılması uygulamasını büyük ölçüde sınırlamayı amaçlayan kapsamlı bir yasa tasarısı
  • Geçen ay yapılan oturum ile birlikte, eyaletteki tüketicilerin konum bilgilerinin veri brokerları üzerinden nasıl alınıp satıldığı düzenleme kapsamına girdi
  • Tasarı, kolluk kuvvetlerinin konum verilerine erişirken çoğu durumda arama izni şartına tabi olmasını öngörüyor
  • Mahkeme izni olmadan konum bilgisinin sağlanması engellenirse, milyarlarca dolarlık konum verisi endüstrisi üzerinde de doğrudan kısıtlamalar oluşacak

Massachusetts’in Location Shield Act’i

  • Massachusetts eyalet meclisi, eyaletteki tüketicilerin mobil cihazlarından elde edilen konum verilerinin satın alınmasını ve satılmasını neredeyse tamamen yasaklamayı değerlendiriyor
  • Location Shield Act, cep telefonu konum verilerini toplama ve satma uygulamasını büyük ölçüde azaltmayı içeriyor
  • Eyalet meclisi geçen ay bu yasa tasarısı için bir oturum düzenledi
  • Bu girişim, milyarlarca dolarlık konum verisi endüstrisini denetim altına almaya yönelik ABD’de eyalet düzeyindeki ilk girişim olabilir

Kolluk kuvvetlerinin konum verilerine erişiminin sınırlandırılması

  • Location Shield Act, kolluk kuvvetlerinin konum verilerine erişimine arama izni şartı getiriyor
  • Veri brokerları, çoğu durumda mahkeme izni olmadan Massachusetts sakinlerinin konum bilgilerini sağlayamayacak
  • Tasarı, konum verisi ticaretine getirilen sınırlamalar ile kolluk amaçlı erişim kısıtlamalarını birlikte ele alıyor

İlgili okumalar

1 yorum

 
GN⁺ 2023-07-11
Hacker News görüşleri

  • Bu konuyla ilk kez, yalnızca cep telefonu numarasıyla herkesin konum takibi yapabildiği bir açığı keşfettiğimde ilgilenmeye başlamıştım: https://arstechnica.com/information-technology/2018/05/servi...
    Bu durumda site, operatörlerden gelen gerçek zamanlı konum verisini satıyordu; bu yüzden bireyin kendini korumasının pratikte tek yolu burner phone kullanmak ya da hiç cep telefonu kullanmamaktı
    Konum verisi satışına karşı güçlü adımlar atılmasını memnuniyetle karşılıyorum ve yasağın daha da genişlemesini umuyorum. Keşke Kanada’da da geçerli olsa

    • "Krebs ayrıca, Electronic Frontier Foundation’dan bir yetkiliyi alıntılayarak mobil operatörlerin, acil 911 hizmetleri gerektiğinde müşterilerin yaklaşık konumunu yasal olarak bilmek zorunda olduğunu söyledi. Ancak operatörlerin bu bilgiyi üçüncü taraflara satıp satamayacağı veya sağlayıp sağlayamayacağı daha belirsiz. Önümüzdeki haftalar ve aylarda bununla ilgili çok daha fazla inceleme göreceğiz."
      Aslında ön ödemeli mobil hizmet sunan MVNO’lara bakmak yeterli. Bazıları, müşteri gerçek bir E911 adresi vermedikçe belirli özellikleri devre dışı bırakıyor
      Belki de bu verinin kullanım biçimine sınırlamalar getirilmeli
    • Bunu ortaya çıkarmak gerçekten çok iyi olmuş. Kanadalı operatörlerin de bu tür bilgileri üçüncü taraflara verdiğini varsaymalı mıyız diye merak ediyorum
      Etik davranış veya tüketici savunuculuğu geçmişi nedeniyle bunun dışında kalabileceğini düşündüğünüz bir yer var mı, onu da merak ediyorum. Örneğin operatörler tarafındaki TekSavvy gibi
    • Cep telefonu taşımamak da işe yaramaz
      SIM’i çıkarmak da işe yaramaz
      Etrafınıza bakın, her yer kamera dolu. Sadece süpermarket tavanında açıkça "ben bir kamerayım" diyenler değil, çevredeki herkesin elindeki telefon kameraları da yüzünüz ve çeşitli biyometrik bilgileriniz üzerinden anında kimliğinizi ve metre düzeyinde konumunuzu tespit edebilir
      Konuştuğunuz anda ses örüntünüz hemen kimliğinizi açığa çıkarır
      Burner phone artık çoktan geçmişte kaldı. Konuştuğunuz ya da kameraya yakalandığınız anda burner phone’un IMEI’si çok hızlı biçimde kimliğinizle eşleştirilebilir
      Bugün kullanılan yöntemler, okuduğum teknolojilerden çok daha sofistike
      20 bin fit yüksekteki bir drone bile 2.000 kişilik bir kalabalığın içinde kalp sesi, nefes, kafa şekli, kulak, burun, yüz, yüz hatları, günün belli saatlerinde bedenin oluşturduğu gölge, yürüyüş biçiminin benzersizliği gibi unsurlardan kişiyi ayırt edebilir. Buna biraz da istatistiksel analiz eklendiğinde, saklanmak için uğraşsanız bile bunu gizlemek zor olur
      Karanlığın sizi saklayacağını düşünüyorsanız, öyle değil

  • "Massachusetts milletvekilleri, eyalet içindeki tüketici mobil cihazlarından gelen konum verisinin alım satımını neredeyse tamamen yasaklayacak bir öneriyi değerlendiriyor; bu, milyarlarca dolarlık bir sektörü düzenlemeye yönelik ABD’deki ilk girişim olabilir.
    Geçen ay eyalet meclisi, Location Shield Act adlı yasa tasarısı hakkında bir duruşma yaptı. Bu kapsamlı teklif, Massachusetts’te cep telefonlarından gelen konum verisinin toplanması ve satılması uygulamasını ciddi ölçüde sınırlandırıyor. Ayrıca kolluk kuvvetlerinin konum verisine erişmesi için arama emri şartı getiriyor ve çoğu durumda veri broker’larının eyalet sakinlerinin konum bilgisini mahkeme izni olmadan sağlamasını yasaklıyor.
    ...
    Sakinlerin konum verisinin satışını tamamen yasaklayan henüz hiçbir eyalet yok. Diğer eyaletlerde en yaygın yaklaşım, dijital hizmetler ve veri broker’larının veri toplayabilmek için tüketicinin açık rızasını almasını zorunlu kılmak ve aktarım ile satışa bazı sınırlamalar getirmek."

    • "Açık rıza" sonuçta kimsenin okumadığı kullanım şartları içine bir kabul ifadesi gömmekten farksız
    • Bence sadece rızaya dayanmanın zaten kusurlu bir model olduğu ortaya çıktı. GDPR’daki meşru/gerekli işleme şartı ileriye dönük yönü gösteriyor
      1. Bir site, gereksiz izin onaylarını kullanım şartı haline getirememeli
      2. Verilerim için verdiğim izni istediğim anda geri çekebilmeliyim ve sildirebilmeliyim; bu zincirleme biçimde uygulanmalı. Site, alt işleyicilerle paylaştığı tüm verileri de sildirmeli ve paylaşmadan önce onların bunu yerine getirebileceğine dair sözleşmesel güvenceye sahip olmalı
    • Kablosuz iletişimin çoğunu FCC düzenlediği için, bunu eyalet ya da yerel düzeyde yapmak zor olabilir
    • Eğer geçerse, Massachusetts’e gidip uyumlu cihaz edinerek bundan kazanç sağlamak mümkün mü diye düşünüyorum
    • ABD Anayasası’nda eyaletlerin eyaletler arası ticareti engellemesini ya da kısıtlamasını önleyen bir Interstate Commerce Clause var. Massachusetts içinde konum verisi satışını yasaklamak gerçekten yürürlükte kalabilir mi?

  • Merak edenler için, hava durumu uygulamaları bu konuda çoğu zaman en kötü ve en yaygın suçlulardan biri oluyor. İnsanların bulundukları yerde hava durumu widget’ının güncel kalmasını istemesi doğal ama arka planda bu hava durumu uygulamaları, herkese açık NWS verisini size sunarken kullanıcı hakkında satabilecekleri her şeyi satıyor

    • Bence Apple’ın DarkSky uygulamasını satın almasının büyük nedenlerinden biri buydu. Dış uygulamalardaki güvenlik açıklarını kapatmak için teknolojiyi varsayılan hava durumu uygulamasına entegre etti
    • Norveç Meteoroloji Enstitüsü’nün Yr hizmetine bakabilirsiniz. Hiç reklam yok ve dünyanın neredeyse her yerinde çalışıyor
    • Android hava durumu widget’ı, NWS web sitesinden daha yerel tahmin verileri sağlıyor. NWS web sitesi neredeyse her zaman sizi en yakın bölgesel havaalanına sabitliyor
      Büyük bir göl yakınında yaşıyorsanız, havaalanı nispeten yakın olsa bile yerel hava durumu oldukça farklı olabilir. Verinin tamamı elbette NWS’den geliyor ama NWS tüm bilgilere kolay erişim sağlayacak şekilde sunmuyor
    • https://www.nwsnow.net/
      Reklam yok
      Kullanıcı takibi yok
      GPS gerekmiyor
      Tahmin tartışmaları dahil filtrelenmemiş NWS verisi sunuyor
    • Sürekli seyahat etmiyorsanız, hava durumu uygulaması için sabit bir şehir, semt ya da posta kodu yeterlidir. İşiniz evinizden çok uzaktaysa iki tane olabilir, ama çoğu insan sürekli seyahat etmiyor

  • Kulağa saçma bir fikir gibi gelebilir ama bir dinleyin. Herhangi bir düzeydeki devlet kurumu, verimi bir üçüncü taraftan almadan önce, makul gerekçe göstermeli ve bir yargıcın imzaladığı bir arama emri almalı; üçüncü taraf da veriyi teslim etmeden önce bana yasal olarak haber vermeli ki avukat tutup emre itiraz edebileyim desek nasıl olurdu?
    Çılgınca geliyor, değil mi? Sanki Dördüncü Değişiklik'e gerçekten saygı göstermeyi öneriyormuşuz gibi

    • Yeterince uzun bir süre boyunca tüm milletvekillerinin konum verilerini satın alıp yayımlarsanız, istediğinizi elde edebilirsiniz gibi geliyor
    • "Halkın kişi, konut, evrak ve eşyalarının makul olmayan arama ve el koymalara karşı güvende olma hakkı ihlal edilemez ve arama emri, yemin veya beyanla desteklenen makul gerekçeye dayanmadıkça ve aranacak yer ile el konulacak kişi ya da şeyleri özellikle belirtmedikçe verilemez."
      Bu durumda hükümet Dördüncü Değişiklik'in tam olarak hangi kısmını ihlal ediyor?

  • Kişisel araştırma amacıyla böyle bir veri setini nereden satın alabileceğimi merak ediyorum. Bir şirket hedefli outbound satış yapmak istese bu tür veri setlerini satın alabilir mi?
    Başlıkları gördüm ve bunu kolluk kuvvetlerine hizmet olarak sunan şirketler olduğunu da anlıyorum. Faydalı olması için verinin anonim olmaması gerekir gibi görünüyor
    Bu tür veriler kimden ve nereden temin edilebilir?

    • Başlangıç noktası olarak California data broker registry listesindeki şirketlere bakardım
      https://www.oag.ca.gov/data-brokers
      Biraz örtüşen birkaç veri seti satın alacak paranız varsa, anonimliği kaldırmak o kadar da zor olmayacaktır
    • Bunu bireylere satan yer yok. Sprint, müşteri konum verilerini Pinsight adlı iştiraki üzerinden satıyordu. Şu anda konum verisi satan şirketler arasında Advan Research, Placer.ai, SafeGraph ve diğerleri var
    • Birey düzeyinde konum verisi satan bir yer bilmiyorum. Ekosistemdeki herkes bunu yapmaktan fazla korkuyor ve açıkçası bundan nasıl para kazanılacağı da net değil
      Benim deneyimime göre asıl mesele yaya trafiği kalıpları, demografik tahminler, insanların başka hangi sektörleri ziyaret ettiğini görmek vb. Yani genel olarak konum tabanlı iş analitiği
    • Yalnızca birkaç kişiyi izlemek istiyorsanız, o veriye sahip tüm tarafları listelemek yeterli. Sonra onların iş yaptığı veri brokerlarını bulup bunu özyinelemeli şekilde takip edersiniz. İlgili tüm şirketlerin çalışanlarını bulun, piyasa fiyatı gibi görünen birkaç yüz doları hazırlayın, iş tamamdır[0]
      Araştırma amacı için emin değilim. Muhtemelen bir şekilde bu şirketlerden biriyle doğrudan iş yapmanız gerekecek, bu yüzden onlarla konuşarak başlardım
      [0] - https://www.vice.com/en/article/nepxbz/i-gave-a-bounty-hunte...
    • Güzel soru. Bunun sürekli olduğuna dair şeyler duyuyorum ama gerçekten yaşandığını hiç görmedim

  • Bu bana Massachusetts'in 2020'de tamir hakkı yasasını geçirmesini hatırlattı. Bakınca NHTSA'nın bu yasayı etkisiz hale getirdiği anlaşılıyor [1] :/
    Eyaletlerin dijital haklar konusunda sınırları zorlaması iyi bir şey. Umarım bunun geleceği daha parlak olur. Bunu geçersiz kılacak yetkiye sahip, sektör tarafından ele geçirilmiş bir federal kurum şu an aklıma gelmiyor
    [1]: https://www.thedrive.com/news/feds-tell-automakers-to-ignore...

    • İşte buna demokrasinin laboratuvarı denir. Eyaletler kendi başlarına yasalar çıkarır ve bu yasalar mahkemelerde tartışılır. Yasalar değiştirilir ve süreç tekrarlanır. Sonunda yeterince şey anlaşıldığında benzer yasaları her yerde ya da ülke çapında geçirmek mümkün olur
    • Geçersiz kılmadılar, sadece insanlara o yasaya uymamalarını söylediler
      Bu yüzden iş sonunda mahkemede çözülmesi gereken garip bir duruma dönüştü

  • Bir yeri ziyaret ettiğinizde o yerin alan kodundan spam aramaları gelmeye başlaması ürkütücü. Şirketlerin, hem de şüpheli şirketlerin, evde olmadığımı ve nerede bulunduğumu bildiği çok açık

    • Bu gerçekten oluyor mu? Ben Seattle'da yaşıyorum ama hâlâ Idaho numarası kullanıyorum. Spam aramalarımın neredeyse tamamı Idaho'dan geliyor
      Özellikle komik olan, iPhone'un arayan numaranın yaklaşık bölgesini göstermesi ve Idaho'da yalnızca tek bir alan kodu olması. Bu yüzden beni hayatımda hiç gitmediğim kasabalardan arıyorlar

  • https://archive.is/M7quL

    • Bu bağlantı SSL hatası veriyor

  • Satışı yasaklamak sorunu sadece başka yere taşır. Operatörler zaten çoğunlukla veriyi "satmayı" bırakıp reklam analitiği ve diğer madenciliği içselleştirdi, sonra da ham verinin kendisi yerine ona erişimi satmaya başladı
    Muhtemelen analizden, yalnızca ham veriyi satmaktan daha fazla para kazanıyorlar; yani onlar için iki taraflı kazanç

  • Anlamıyorum. Konum verisi satışı fazla açık bir mahremiyet ihlali. "Anonimleştirme" gibi saçmalıkları hiç gündeme getirmeyelim. Hem satış hem de satın alma doğrudan federal suç olmalı

    • Çünkü böyle verilerin genel olarak erişilebilir olması hükümetin işine geliyor. Veri yasal olarak "sokakta" duruyorsa neden mahkeme izni gereksin ki?
    • Yasalar eski. Telefon dinleme suç ama web gezinme geçmişi toplamak değil. ABD postası yasal olarak korunuyor ama e-posta korunmuyor
      Bir yasa çıkana kadar veri brokerları iş yapmaya devam edecek, çıktıktan sonra da yasal sınırın hemen dibine kadar zorlayacaklar