Bir Gizlilik Politikasını Kabul Ettiğinizde Aslında Neleri Kabul Etmiş Olursunuz?

İnternete bağlanan hemen hemen her yeni uygulama veya ürün, onu kullanmak için sizi uzun, anlaşılmaz bir gizlilik politikasını kabul etmeye zorlar. Bu belgeler, şirketin veri toplama uygulamalarını özetlemektedir. Ama kabul ettiğinizde tam olarak neyi kabul ediyorsunuz?

Elektronik Gizlilik Bilgi Merkezi (EPIC) dava müdürü John Davisson, “Gizlilik politikaları, temelde size bir ürün veya hizmet sağlayan bir şirketin verilerinizi nasıl toplayabileceği, kullanabileceği ve aktarabileceğine dair bir duyurudur” dedi. “Bu farklı faaliyet kategorileri hakkında ne kadar spesifik oldukları, şirketin ne kadarını ifşa etmek istediğine bağlı olacak.” Davisson, bir gizlilik politikası yargı alanına göre biraz değişebilir, ancak nihayetinde “orada ne olduğu büyük ölçüde şirkete bağlıdır” dedi. Bir şirketin verilerinizi paylaşabileceğini veya paylaşabileceğini söylemek için bir gizlilik politikası vardır. Bundan hoşlanıp hoşlanmadığını sormana gerek yok.

“Gizlilik politikası” ifadesi, bir şirketin gizliliğinizi koruma politikasına sahip olduğu anlamına gelecek şekilde kolayca yanlış anlaşılabilir. Ancak Stanford İnsan Merkezli Yapay Zeka Enstitüsü’nde bir gizlilik ve veri politikası görevlisi olan Jennifer King’e göre durum böyle değil. King, “Size ne yaptıklarını söylemek zorundalar,” dedi, “ama onlar hakkında herhangi bir mahremiyet vaat eden hiçbir şey yok.” Bazı şirketler bu beyanları “gizlilik bildirimleri” veya “gizlilik bildirimleri” olarak adlandırmaya başladı.

Amerika Birleşik Devletleri’nin ulusal bir gizlilik yasası yoktur, bu nedenle eyaletlerin çoğunda bir gizlilik politikasının neleri içermesi gerektiğini özetleyen herhangi bir gereklilik yoktur. Ayrıca, bir şirketin toplayabileceği veri miktarı konusunda herhangi bir sınırlama yoktur ve şirketin bu verileri nasıl kullandığına dair bir kural yoktur, tabii önce size bildirimde bulunduğu sürece. Verilerin nasıl toplandığını, kullanıldığını ve paylaşıldığını açıklayan bu tür bildirimler, çoğu gizlilik politikasının büyük bölümünü oluşturur.

Dünya çapında faaliyet gösteren büyük şirketler, Genel Veri Koruma Yönetmeliği (GDPR) kapsamında Avrupa’da oluşturulan standartlara uymak zorundadır. Ancak bu, ABD’de gizlilik politikalarının nasıl yapılandırıldığına mutlaka önemli bir engel oluşturmadı. Çoğu insan için okunabilir veya anlaşılabilir diyeceğimiz şeyler değiller, çünkü bunlar avukatlar tarafından ve avukatlar için yazılıyor.

Bu, ABD’deki gizlilik politikalarının tamamen dişsiz olduğu anlamına gelmez. Bu bildirimlerin doğru olması gerekiyor, 2022 Federal Ticaret Komisyonu’nun Twitter’a verdiği para cezası gibi davalar böyle ortaya çıkıyor: Sosyal medya şirketi, iki faktörlü kimlik doğrulama için toplanan telefon numaralarını reklam amacıyla, gizlilik politikasına aykırı bir şekilde kullanırken yakalandı ve bunu yapmak zorunda kaldı. 150 milyon dolar ceza ödeyecek Yine de FTC’nin çok fazla kaynağı var ve özellikle küçük şirketler çok fazla incelemeye tabi tutulmuyor.

Tüm bunlar, gizlilik politikalarını ellerinden geldiğince anlamaya çalışmanın hala çoğunlukla bireylere bağlı olduğu anlamına geliyor.

Gizlilik politikalarıyla ilgili büyük sorun

Gizlilik politikaları, hukuk derecesi olmayan herkes için anlaşılmaz olan aşılmaz metin duvarları olma eğilimindedir.

Davisson, “Şirketler sizden hangi bilgileri topladıklarını, bunları nasıl kullandıklarını veya aktarıp aktarmayacaklarını açık bir şekilde açıklamakla ilgilenmiyorlar” dedi. “Bir tüketici olarak bunun sizin yararınıza olduğunu makul bir şekilde düşünebilirsiniz, ancak genellikle bir şirket bunu böyle görmez. Bu, bilgilerinizle neler yapabileceklerini mümkün olan en geniş terimlerle tanımlamanın bir yoludur.”

Bu uygulama her zaman hain değildir—özellikle birçok şirketin faaliyet gösterdiği yargı alanlarının çeşitliliğini ve bir şirketin topladığı çok büyük miktarda veriyi hesaba kattığınızda (ki bu ayrı ama farklı bir sorundur), gizlilik politikaları yazmak oldukça zordur.

Gizlilik avukatı Whitney Merrill’e göre politikalar aynı zamanda şirketi davadan korumakla da ilgili. Merrill, “Ne kadar spesifik olursanız, bir kazanın bir FTC davasına dönüşme riski o kadar artar” dedi. “Yani, potansiyel olarak aşırı kapsayıcı ve geniş olmak isteyeceğiniz bir fikir var.”

Gizlilik politikaları, ürünler, pazarlama web sitesi, uygulamalar ve hatta bazen şirketin iş başvurusunda bulunanlardan topladığı veriler dahil olmak üzere bir şirketin yaptığı her şeyi kapsayabilir. Bu geniş kapsam, örneğin akıllı ölçeğinizden topladığı verilerle ne yaptığını anlamaya çalışıyorsanız, şirketin gizlilik politikasını değersiz hale getirir.

Elbette bazı istisnalarla karşılaşacaksınız. Örneğin, Garmin, çeşitli ürün gizlilik politikalarını farklılaştırma konusunda iyi bir iş çıkarıyor; bu, şirketin deniz navigasyon ekipmanından spor takip cihazlarına kadar her şeyi satması nedeniyle önemlidir.

Ve şirketleri gizlilik politikalarını daha okunabilir hale getirmekten alıkoyan hiçbir şey yok. Örneğin, Malwarebytes’in gizlilik politikası hem yasal hem de daha basit bir dil içermeyi başarıyor ve Automattic en önemli ayrıntıları en üste koyarak her şeyin bir bakışta anlaşılmasını kolaylaştırıyor.

nelere dikkat etmeli

Gizlilik politikaları o kadar yoğun ki, çoğu insanın bunlara göz gezdirmesi şaşırtıcı değil. Bununla birlikte, bir politikayı incelerken, özellikle dikkat edilmesi gereken birkaç husus vardır, yani beklenmeyen sonuçlara yol açabilecek verilerin paylaşılması veya satılması (özel grupların konum verilerini satın alması gibi); sağlık verileri veya fotoğraflar gibi biyometrik bilgilerin toplanması; ve kolluk kuvvetleri ifşaları. Neredeyse her şirketin gizlilik politikası, geçerli mahkeme celbi taleplerine yanıt vereceğini ve muhtemelen bilginiz olmadan verilerinizi devredeceğini belirten bir not içerir. Tüm bu ayrıntılar önemlidir, ancak veri satışı söz konusu olduğunda, bir politikanın yalnızca pazarlama amacıyla oluşturulmuş olan ve politikayı okuduğunuz web sitesi hakkında mı yoksa ürünün (veya uygulamanın) kendisi.

Dikkatinizi çekmesi gereken iki özel tehlike işareti ifadesi: “ürünleri ve hizmetleri iyileştirin” ve “birleşmeler veya satın almalar”.

Merrill, herhangi bir özel ayrıntı olmaksızın, “ürünleri ve hizmetleri iyileştirin” ifadesinin temelde herhangi bir anlama gelebileceğini söyledi. Bu terim, hata raporları veya herhangi birinin belirli bir düğmeyi tıklayıp tıklamadığına ilişkin ölçümler gibi çoğunlukla zararsız bilgileri kapsar. Ancak “ürünleri ve hizmetleri iyileştirme”, yapay zeka veya makine öğrenimi eğitimini de içerebilir. Örneğin, bir hizmete gönderdiğiniz fotoğraflar bir yüz tanıma programını eğitebilir veya bir güvenlik kamerasından alınan video görüntüleri, yazılımı bir karton kutu ile bir kişiyi daha iyi ayırt edecek şekilde eğitmek için kullanılabilir. Bir şirketin verileri yapay zeka veya makine öğrenimi eğitimi için kullandığını açıkça belirten iyi bir gizlilik politikası örneği bulamadık. Bunun yerine, Stanford’dan Jennifer King, bunun yerine, “bu kullanımı her şeyi nasıl daha iyi hale getirdiğimizin bu sonsuza dek gelişen döngüsü olarak resmetmenin bir yolu” olarak “geliştirici ürün ve hizmetler” içinde bir araya getiriliyor.

Ardından, başka bir şirket satın aldığında bir şirketin veri aktarımlarını nasıl ele aldığı meselesi var. Tipik olarak yeni sahip, satın alınan şirketin yıllar boyunca topladığı tüm verileri alır; bu da, aniden bir şirketin beğenmeyebileceğiniz veya rahat hissetmeyeceğiniz bir ürününü kullandığınız anlamına gelir. Örneğin, Bluetooth izleyici üreticisi Life360 tarafından satın alındığında Tile sahipleri tedirgin olmuş olabilir ve Fitbit kullanıcıları Google tarafından üretilen bir cihaza sahip olmak istememiş olabilir.

Bu tür gizlilik sorunları, Amazon’un satın alma sürecinde olduğu robot vakum şirketi iRobot’ta en açık şekilde görülüyor. Son zamanlarda, MIT Technology Review, iRobot’un, yapay zekasını eğitmek için üçüncü taraf yüklenicilerle (robot elektrik süpürgesinin kamerası tarafından çekilen görüntüler dahil) beta testçilerinin verilerini paylaştığını tespit etti. Anlaşma gerçekleşirse, bu veriler yakında Amazon’a ait olabilir.

Bir şirketin gizlilik politikası dışında ne söylediği önemlidir (bir nevi)

Şirketler ayrıca gizlilik veya güvenlik uygulamalarını ayrı sayfalarda basit bir dille vurgulamayı seçebilirler ki bu tercih edilir.

Anlaşılması kolay gizlilik açıklamaları sunan önemli şirketler arasında Apple, Arlo ve Zoom bulunur. Tüm bu şirketler hala geleneksel gizlilik bildirimlerine sahip olsa da, şirketin gizliliğe ve verilerinize nasıl yaklaştığına dair genel vizyonu açıklayan açılış sayfalarını çoğu politikadan çok daha okunabilir bir şekilde içerirler. Bu beyanlar, herhangi bir politika kadar bağlayıcıdır: “Bir tüketiciye, resmi bir gizlilik politikasının dışında bile olsa, verilerinizi üçüncü şahıslara satmayacaklarını veya biyometrik bilgi toplamayacaklarını beyan ederlerse ve Davisson, “bunu yaptılar, bu klasik bir aldatıcı ticaret uygulamasıdır” dedi.

Bu kavram aynı zamanda gazetecilerle yapılan röportajlar için de geçerlidir – indirimtopla.com şirketlere veri uygulamalarıyla ilgili bir Soru-Cevap anketi göndermesinin nedeni budur – ayrıca şirket blog gönderileri veya bir şirketin Apple App Store gizlilik etiketi veya Google Play veri güvenliği etiketinde ( ancak yakın zamanda yapılan bir Mozilla araştırması, Google Play Store’daki çok az uygulamanın, şirketin gizlilik politikasındaki bilgileri doğru bir şekilde yansıtan veri güvenliği etiketlerine sahip olduğunu gösterdi).

Ne yapabilirsin

Veri toplamayı devre dışı bırakmanın yolları size sunulduğunda, bunları kabul edin. Örneğin, iPhone’unuzda, uygulamalardan telefonunuzdaki etkinliğinizi izlememesini isteyebilirsiniz. Android, benzer ancak daha az güçlü bir yerleşik özellik sunar, ancak DuckDuckGo’nun üçüncü taraf bir Android uygulamasını kullanarak Apple’ın sunduğundan daha güçlü gizlilik korumaları elde edebilirsiniz. Masaüstü web tarayıcınızda da gizliliği korumaya yönelik ipuçlarımız var. İnternete bağlanan cihazlarda, mümkünse herhangi bir veri toplamayı devre dışı bırakmak için ayarları karıştırmak için biraz zaman ayırın. Tamamlayıcı uygulamalara sahip cihazlar için, uygulama izinlerini gözden geçirin ve gerekirse bunları, özellikle de uygulamaların sıklıkla istediği ancak nadiren ihtiyaç duyduğu konumu devre dışı bırakın. California, Colorado, Connecticut, Virginia veya Utah’taysanız, şirketlerden (PDF) bilgilerinizi silmelerini veya paylaşmamalarını isteme hakkınız vardır, ancak bunun çalışma şekli eyaletten eyalete değişir. Veri simsarı listelerinden de çıkabilirsiniz ve bu sürecin bir kısmını ücretsiz olarak otomatikleştirebilen Tüketici Raporları’nın İzin Fişi uygulaması gibi araçlara göz atmanız faydalı olacaktır. Gizlilik politikası hakkında soru sormak için herhangi bir şirketle e-posta yoluyla da iletişime geçebilirsiniz.

Şirketlerin veri toplama, kullanma ve paylaşma yöntemlerine korkuluklar koyan bir gizlilik yasası olmadan, gizlilik politikalarında kırmızı bayraklar aramak ve mümkün olan her yerde veri toplamayı devre dışı bırakmak, gizliliğinizi korumanın mümkün olan en iyi (kusursuz olsa da) yollarıdır.

Bu makale Arthur Gies ve Caitlin McGarry tarafından düzenlendi.