Norveç'in veri koruma otoritesi, Grindr kullanıcılarının kişisel verilerinin, cinsel yönelime ilişkin hassas bilgiler de dahil olmak üzere, işlenmesi nedeniyle Microsoft'un Xandr şirketine yaklaşık 8,5 milyon € ceza verdi. Xandr Grindr veri cezası dikkat çekicidir çünkü yalnızca veriyi ilk toplayan uygulamayı değil, reklam zincirinde daha ileride yer alan bir şirketi hedef almaktadır.

Karara ilişkin elimizdeki özet kısa olduğundan bu yazı, doğrulanmış bilgilerle sınırlı kalmakta ve okuyucular için daha geniş bağlamı açıklamaktadır.

Norveç'in Düzenleyicisi Xandr'a Neden Ceza Verdi

Haberlere göre, yaklaşık 8,5 milyon € tutarındaki ceza, Microsoft'a ait bir reklam işletmesi olan Xandr'ın Grindr kullanıcılarına ait kişisel verileri nasıl işlediğiyle ilgilidir. Bu veriler cinsel yönelime ilişkin hassas bilgileri içeriyordu.

Grindr'ın veri uygulamalarının Norveç'in incelemesine takılması ilk kez değil. Ülkenin veri koruma otoritesi daha önce Grindr'a, özel nitelikli kişisel verilerin işlenmesini kısıtlayan GDPR'nin 9. Maddesini ihlal ettiği için 65 milyon Norveç kronu (yaklaşık 5,5 milyon €) ceza vermişti. Bu ceza daha sonra Borgarting Temyiz Mahkemesi tarafından onandı. Xandr'a yönelik yeni işlem, odağı uygulamadan, veriyi zincirin ilerisinde işleyen bir şirkete doğru genişletmektedir.

Hassas Uygulama Verileri Reklam Platformlarına Nasıl Ulaşır

Çoğu ücretsiz uygulama para kazanmak için reklamcılıktan yararlanır. İlgili reklamlar göstermek için bir uygulama, kullanıcıya ilişkin bilgileri (cihaz tanımlayıcısı, yaklaşık konum veya profil ayrıntıları gibi) reklam ortaklarına aktarabilir. Bu ortaklar arasında, genellikle bir uygulama açıldıktan sonraki milisaniyeler içinde reklamları hedef kitlelerle eşleştiren reklam borsaları ve platformları yer alabilir.

Sorun, söz konusu bilgiler hassas olduğunda ortaya çıkar. GDPR kapsamında cinsel yönelimi açığa çıkaran veriler korunan bir kategoriye girer. Belirli uygulamaların kullanıcısı olmak bile başlı başına hassas bir şeyi açığa çıkarabilir. Bu sinyal bir reklam teknolojisi hattına girdiğinde kopyalanabilir, diğer tanımlayıcılarla birleştirilebilir ve birkaç şirket arasında aktarılabilir; bu da kullanıcıların verinin nereye gittiğini bilmesini veya geri çekmesini zorlaştırır.

Bu nedenle düzenleyiciler tüm zincire bakmaktadır. Bu tür verileri alan veya işleyen bir şirket, veriyi ilk toplayan kendisi olmasa bile kendi yasal sorumluluklarını üstlenir.

GDPR Uygulaması Kullanıcılar İçin Ne Anlama Gelir

Bu ceza, Avrupalı düzenleyicilerin büyük teknoloji gruplarına ait olanlar da dahil olmak üzere reklam ekosistemindeki şirketlerin peşine düşmeye istekli olduğunun bir işaretidir. Kullanıcılar için birkaç pratik çıkarım vardır.

  • Özel nitelikli veriler daha katı kurallara tabidir. Cinsel yönelim, sağlık, din ve benzeri konulara ilişkin bilgiler, GDPR kapsamında geçerli bir hukuki dayanak olmadan genellikle işlenemez.
  • Uygulama yavaş olabilir. Önceki Grindr davası bir ceza, bir temyiz ve bir mahkeme kararından geçti. Düzenleyici işlem, hâlihazırda gerçekleşmiş olan maruziyeti geri almaz.
  • Cezalar, telafi ile aynı şey değildir. Bir ceza bir şirketi cezalandırır, ancak bireylerin bundan sonrası için kendi maruziyetlerini yönetmeleri gerekir.

Bu büyüklükteki şirketler başka bağlamlarda da büyük hacimlerde veri tutar ve ekosistemin başka yerlerindeki güvenlik olayları, merkezî olarak tutulan verinin bir hedef olduğunu hatırlatır. Örneğin, Microsoft'un dahili Titan analiz hizmetine yönetici düzeyinde erişim sağladığı bildirilen bir genç hata avcısı ve Microsoft Azure altyapısından çalışan veritabanlarının çalındığı iddiaları hakkında haber yapmıştık. Bunlar Xandr kararından ayrı konulardır, ancak baştan ne paylaştığınızı sınırlamanın neden önemli olduğunu göstermektedir.

Bu Sizin İçin Ne Anlama Gelir

Bir uygulamanın hangi reklam ortaklarına veri gönderdiğini göremezsiniz, bu nedenle en güvenilir yaklaşım uygulamanın gönderebileceğini azaltmaktır. Başlanacak yerler şunlardır:

  • Uygulama izinlerini gözden geçirin. Telefonunuzdaki konum, kişiler, fotoğraflar ve izleme izinlerini kontrol edin. Bir uygulamanın açıkça ihtiyaç duymadığı her şeyi geri alın.
  • Reklam kimliğinizi sıfırlayın veya devre dışı bırakın. Hem Android hem de iOS, reklam tanımlayıcınızı silmenize veya sıfırlamanıza ya da reklam izlemeyi sınırlamanıza olanak tanır; bu da reklam platformlarının uygulamalar arasındaki etkinliği ilişkilendirmesini zorlaştırır.
  • Uygulama içi gizlilik ayarlarına bakın. Birçok uygulama, kişiselleştirilmiş reklamlar veya ortaklarla veri paylaşımı için anahtarlar içerir. Yapabildiklerinizi kapatın.
  • Hassas profil ayrıntılarında seçici olun. Bir uygulama paylaşılmasını istemeyeceğiniz bilgiler istiyorsa, bunu boş bırakmayı düşünün.
  • Artık kullanmadığınız hesapları silin. Kullanılmayan hesaplar hâlâ veri tutabilir.

VPN nereye uyar

Bir VPN, IP adresinizi maskeleyebilir ve cihazınız ile VPN sunucusu arasındaki trafiğinizi şifreleyebilir; bu, genel Wi-Fi'da ve internet sağlayıcınızın gördüklerini sınırlamak için yararlıdır. Ancak bir uygulamanın, ona verdiğiniz verileri (profil ayrıntıları veya reklam kimliği gibi) ortaklarına göndermesini engellemez. Bir VPN'i kısmi bir katman olarak görün, uygulama içi veri paylaşımı için bir çözüm olarak değil.

Önemli Çıkarımlar

Xandr Grindr veri cezası, düzenleyicilerin hassas bilgileri toplayan uygulamaların ötesine, bunları işleyen reklam teknolojisi şirketlerine baktığını göstermektedir. Günlük kullanıcılar için en etkili adımlar sizin kontrolünüzdedir: uygulama izinlerini denetleyin, reklam kimliğinizi sıfırlayın veya devre dışı bırakın, uygulama içi gizlilik ayarlarını düzenleyin ve bir VPN'i yalnızca iyi yaptığı işler için kullanın. Bu hafta on dakika ayırıp telefonunuzdaki uygulamaları, en çok kişisel bilgi tutanlardan başlayarak gözden geçirin.