« Nasıl olsa Kıbrıs merkezliler, GDPR onlara işlemez. » Bütün forumlarda okuduğunuz cümle bu ve yanlış. Size Fransızca bir arayüz sunan, Fransız ziyaretçileri kabul eden ve Fransa'da hedefli reklam gösteren bir chatroulette, sunucuları hangi ülkede olursa olsun Avrupa tüzüğünün kapsamına girer.
Burada daha önce anonimlik ve özel hayatın korunmasını pratik anlamda ele almıştık — arka planı gizlemek, kimliğinizi ele veren ayrıntılardan kaçınmak — ve moderasyonun gerçekte nasıl işlediğini de. Bu rehber ise başka bir alana giriyor: hukuki alan. Bu platformlar gerçekte neyi topluyor, ne kadar süre saklıyor ve en önemlisi: bir e-posta ve bir formla somut olarak neyi talep edebilirsiniz?
Bir chatroulette gerçekte neleri topluyor
Rastgele görüntülü sohbetin yarattığı yanılsama, geçicilik hissidir. Hesap açmadınız, ad vermediniz, « sonraki »ne tıklıyorsunuz ve her şey kayboluyor. Teknik olarak bu doğru değil. İşte büyük rastgele görüntülü sohbet platformlarının gizlilik politikalarında bizzat andığı veri kategorileri.
Farkında olmadan verdiğiniz veriler
- IP adresi. Bağlantının kurulması için zorunludur. Aynı zamanda Avrupa hukukunda kişisel veri sayılır: Avrupa Birliği Adalet Divanı, dinamik IP adresleri için Breyer kararında (C-582/14, 19 Ekim 2016), yayıncının kişiyi tanımlamak için hukuki araçlara sahip olması koşuluyla bunu kabul etmiştir. Birçok sitede gösterilen yaklaşık konum bilgisini (« Fransa'dan kullanıcı ») besleyen de budur.
- Tarayıcı parmak izi (fingerprinting): ekran çözünürlüğü, yüklü yazı tipleri, sistem sürümü, WebGL üzerinden açığa çıkan grafik kartı bilgileri. Bir araya geldiklerinde, çerez olmadan ve hatta gizli sekmede bile bir ziyaretçiyi oturumdan oturuma tanımaya çoğu zaman yeter.
- Cihazlarınızın donanım tanımlayıcıları. Tarayıcı, kullanılabilir kamera ve mikrofonların listesini açığa çıkarır; bazı uygulamalar ayrıntılı etiketleri de iletir.
- Oturum meta verileri: zaman damgası, süre, « sonraki » sayısı, dil, cihaz.
İçerik verileri
Kullanıcıların çoğunun hafife aldığı nokta burası. Birçok rastgele görüntülü sohbet platformu, otomatik moderasyon sistemlerini beslemek için video akışından düzenli aralıklarla sabit görüntü yakalama uygular — çıplaklık, görünürde reşit olmayan kişi veya şiddet tespiti için. Bu görüntüler kişisel veridir ve bir yüzü tanımlamaya hizmet ettiklerinde, işlenmesi kural olarak yasak olan (dar istisnalar dışında) GDPR'ın 9. maddesi anlamında biyometrik veri kapsamına girebilirler.
Metin sohbeti ise, tam da ihbarların işlenebilmesi için çoğu zaman günlerce ya da haftalarca saklanır. Bu saklamayı bir platforma yüklemek zordur: geçmiş kayıt olmadan hiçbir ihbar doğrulanamaz. Ama bu saklama duyurulmuş, süreyle sınırlı ve gerekçelendirilmiş olmalıdır.
Şu basit ilkeyi aklınızda tutun: sonradan moderasyona imkân veren her şey, zorunlu olarak bir izin saklandığı anlamına gelir. Size hem « sıfır saklama » hem de « ihbarlar işleniyor » diyen bir platform, bu ikisinden biri konusunda yalan söylüyordur.
GDPR neden Avrupa dışında da uygulanır
(AB) 2016/679 sayılı tüzüğün 3.2 maddesi açıktır: metin, Birlik toprakları üzerinde bulunan kişilerin verilerinin işlenmesine, veri sorumlusu başka bir yerde yerleşik olsa dahi, bu kişilere mal veya hizmet sunması ya da Birlik içindeki davranışlarını izlemesi halinde uygulanır.
İki ölçüt var ve Fransızca bir chatroulette genellikle ikisini birden karşılar:
| 3.2 maddesindeki ölçüt | Bir chatroulette'te somut gösterge |
|---|---|
| Hedefli hizmet sunumu | Fransızcaya çevrilmiş arayüz, « Fransa » filtresi, ücretli seçeneklerde euro para birimi |
| Davranış izleme | Reklam amaçlı profilleme, IP üzerinden konum belirleme, kullanıcıların itibar puanlaması |
Avrupa Veri Koruma Kurulu'nun (EDPB) ülkesel uygulama alanına ilişkin 3/2018 sayılı kılavuz ilkeleri, bir sitenin yalnızca Avrupa'dan erişilebilir olmasının yeterli olmadığını, ancak dil çevirisi, Avrupalı müşterilerden söz edilmesi veya hedefli reklamın belirleyici karine demetleri oluşturduğunu ayrıca açıklığa kavuşturuyor.
Pratikte bu şu anlama geliyor: yayıncı Seyşeller'de kayıtlı olsa bile CNIL'e başvurabilirsiniz. Etkililiği değişir, buna aşağıda döneceğiz, ama hak mevcuttur.
Bugünden itibaren kullanabileceğiniz beş hak
1. Erişim hakkı (15. madde)
Platformdan sizinle ilgili tüm verilerin bir kopyasını, ayrıca işleme amaçlarını, alıcıları ve saklama süresini talep edebilirsiniz. Kayıt gerektirmeyen bir chatroulette'te temel engel açıktır: filanca oturumun size ait olduğunu nasıl kanıtlarsınız?
Pratik yanıt: zaman damgası ve ağ unsurlarına dayanın. Tarihi, kesin saati ve kullandığınız genel IP adresini not edin. Fransız bir operatörde paylaşımlı IPv4 (CGNAT) kullanıyorsanız bunu belirtin. Bazı yayıncılar URL'de ya da konsolda görünen bir oturum kimliği sağlar — onu kaydedin.
Veri sorumlusunun yanıt vermek için bir ayı vardır, karmaşık durumlarda iki ay uzatılabilir (12.3 maddesi). Sessizlik ret anlamına gelir ve şikâyet yolunu açar.
2. Silme hakkı (17. madde)
Meşhur « unutulma hakkı ». Özellikle web kamerası ekran görüntüleri açısından son derece yerindedir. Şunları ileri sürebilirsiniz:
- verilerin işleme amaçları bakımından artık gerekli olmaması;
- hukuki dayanak buysa, rızanızı geri çekmeniz;
- meşru menfaate dayalı işlemeye itiraz etmeniz ve üstün gelen zorlayıcı bir gerekçenin bulunmaması.
Silme mutlak değildir: bir platform, suçların tespiti için gerekli unsurları ya da yasal bir yükümlülüğün gereğini meşru şekilde saklayabilir.
3. İtiraz hakkı (21. madde)
Reklam amaçlı profillemeye karşı en etkilisi. Veriler doğrudan pazarlama amacıyla kullanıldığında gerekçe göstermeden kullanılır. Reklamla finanse edilen ücretsiz bir chatroulette'te çoğu zaman en verimli koz budur: teknik günlük kayıtlarının silinmesini elde edemezsiniz, ama hedeflemeyi durdurabilirsiniz.
4. İşlemenin kısıtlanması hakkı (18. madde)
Daha az bilinir, uyuşmazlık halinde çok işe yarar: bir itiraz sonuçlanana kadar verilerin dondurulmasını sağlar. Hatalı bulduğunuz bir görüntüye dayanan bir yasaklamaya itiraz ederken kullanışlıdır.
5. CNIL'e şikâyet (77. madde)
Ücretsiz, çevrimiçi, cnil.fr üzerinden. CNIL 2023'te 16 000'den fazla şikâyet kaydetti; bu hacim, mekanizmanın kamuoyu tarafından gerçekten benimsendiğini gösteriyor. Beklenen ön koşul, kuruluşla en az bir kez iletişime geçmiş olmanızdır — ilk talebinizin yazılı bir izini saklamanın önemi de buradan gelir.
Birliğin başka bir ülkesinde yerleşik bir platform için CNIL, tek durak mekanizması kapsamında dosyayı öncü denetim makamına iletir (56. madde). AB dışında, Avrupa'da temsilcisi bulunmayan bir yayıncı için icra daha belirsizdir, ancak CNIL emir kararları verebilir ve muadilleriyle iş birliği yapabilir.
İşe yarayan örnek form
Roman yazmanın gereği yok. Etkili bir GDPR talebi on satıra sığar ve kesin tanımlayıcı unsurlar içermelidir. Talebi alan adının dpo@ veya privacy@ adresine ya da gizlilik politikasında belirtilen adrese gönderin.
Konu: Erişim ve silme talebi — GDPR 15. ve 17. maddeler
Sayın Yetkili,
Aşağıdaki oturumlara ilişkin, video akışından elde edilen görüntüler, bağlantı günlük kayıtları ve ilgili metin sohbetleri dâhil olmak üzere hakkımdaki tüm kişisel verilerin tarafıma iletilmesini talep ediyorum: [tarih, saat, saat dilimi, IP adresi, oturum kimliği].
Ayrıca işleme amaçlarının, hukuki dayanağın, saklama sürelerinin ve Avrupa Birliği dışına yapılan olası aktarımların belirtilmesini talep ediyorum.
Son olarak, bu verilerin 17. madde uyarınca silinmesini talep ediyorum.
12.3 maddesi uyarınca yanıt vermek için bir aylık süreniz olduğunu hatırlatırım. Aksi halde CNIL'e başvuracağım.
Ana adresinizden değil, bu iş için ayrılmış bir e-posta adresinden gönderin: burada bir parola yöneticisi gerekli değil, ama tek kullanımlık bir takma adres, gerçek kimliğinizi bu süreçle ilişkilendirmenizi önler. Alındı bildirimini saklayın.
Veri toplamayı kaynağında azaltmak: gerçekten işe yarayanlar
Haklarınızı kullanmak, iş işten geçtikten sonra onarmaktır. En verimlisi, en baştan neyi açığa çıkardığınızı sınırlamaktır.
Görsel açıdan
Kameranın gördüğü şey, verdiğiniz en zengin veridir. Nötr bir oda, hareket ettiğinizde düzenli olarak kopan yazılımsal bulanıklaştırmadan daha iyidir. Sandalyenin arkasına yerleştirilen katlanabilir yeşil fon sorunu kalıcı olarak çözer ve iyi bir kameradan daha ucuza gelir. Bu mümkün değilse masayı çevirin: kitaplığınızı, diplomalarınızı ya da tanınabilir bir binaya bakan pencereyi değil, çıplak bir duvarı görüntüleyin.
Kadraj dışı sese de dikkat edin: yan odadaki bir konuşma, bir gar anonsu, arka planda bir okul zili çok şey ele verebilir. Kardioid yönlü bir mikrofonlu kulaklık esas olarak önden geleni alır ve gerisini zayıflatır.
Son olarak merceğin kendisi: yapışkanlı web kamerası kapağı, ne bir sürücüye, ne bir işletim sistemine, ne de bir güncellemeye bağlı olan tek fiziksel korumadır. Kapalıyken dünyadaki hiçbir yazılım hiçbir şey göremez.
Ağ açısından
IP adresi, tüm oturumlarınızı birbirine bağlayan iptir. İki dürüst not:
- Kullanıcıya yönelik bir VPN güveni yer değiştirir, ortadan kaldırmaz: internet servis sağlayıcınıza güvenmeyi bırakıp özel bir operatöre güvenmeye başlarsınız. Kayıt tutmama politikası için bağımsız denetim raporları yayımlayan birini seçin.
- Bir VPN, parmak izi çıkarmaya karşı da, kameranızın gösterdiklerine karşı da hiçbir şey yapmaz. Bu bir katmandır, bir zırh değil.
Not: birçok chatroulette, VPN'lere ve barındırma sağlayıcılarına ait IP aralıklarını engeller, çünkü botların kullandığı aralıklar tam olarak bunlardır. Asıl riskiniz erişiminizin reddedilmesidir.
Yerel izler açısından
Hesaplarınıza bağlanan hiçbir eklentinin bulunmadığı, ayrı ve yalnızca bu işe adanmış bir tarayıcı profili kullanın. Kullanımdan sonra temizleyin. Paylaşımlı bir bilgisayarda, gizlilik filtreli bir dizüstü bilgisayar ayrıca omuz üstünden ekranın okunmasını da sınırlar — sıradan görünen ama ev arkadaşlığı ya da ortak çalışma alanı durumlarında çok gerçek bir maruz kalma vektörü.
Bilinmesi gereken yanıltıcı kanaatler
« Site hiçbir şey saklamadığını söylüyor. » Bu ifade çoğu zaman aynı gizlilik politikasının birkaç paragraf altındaki « teknik günlük kayıtları » bölümünde çürütülür. Pazarlama sloganını değil, saklama sürelerine ilişkin bölümü okuyun.
« Çerezleri kabul ettim, artık çok geç. » Hayır. Rıza her an geri çekilebilir (7.3 maddesi) ve geri çekilmesi, alınması kadar kolay olmalıdır. CNIL zaten, reddetmeyi kabul etmekten daha zor hale getirme konusunda büyük aktörlere birçok kez yaptırım uygulamıştır.
« Bana ait bir görüntü dolaşıyor, elimden bir şey gelmez. » Çok şey gelir. İçişleri Bakanlığı'nın resmî portalı Pharos (internet-signalement.gouv.fr) üzerinden ihbar edin. Rıza olmadan yayılan mahrem içerik durumunda, e-Enfance / 3018 derneği reşit olmayanlara ve genç yetişkinlere destek verir; Avrupa çapındaki StopNCII.org mekanizması ise, yerel olarak hesaplanan bir dijital parmak izi sayesinde fotoğrafın kendisini hiç yüklemeden, büyük ortak platformlarda bir görüntünün önleyici olarak engellenmesini sağlar.
« Avukat gerekir. » Erişim talebi için hayır. CNIL şikâyeti için de hayır. Maddi ve manevi zararın tazminine hak veren 82. madde kapsamında bir tazminat davası açacaksanız avukat işe yarar hale gelir.
Özetle
Rastgele görüntülü sohbet, hukukun geçerli olmadığı bir alan değil; arayüzünün ima ettiği gibi geçici bir alan da değil. İkisinin arasında, size ileri sürülebilir haklar tanıyan bir Avrupa hukuk rejimi ve baştan tedbirli olmanızı gerektiren teknik bir gerçeklik var.
İşe yarayan öncelik sırası:
- Veri toplamayı sınırlayın: web kamerası kapağı, nötr arka plan, adanmış tarayıcı profili, konuşurken kimlik belirtici hiçbir ayrıntı vermemek.
- Belgeleyin: tarihler, saatler, IP, bir olay yaşanırsa kendi oturumlarınızın görüntüleri.
- Talep edin: DPO'ya e-posta, 15. ve 17. maddeler, bir aylık süre.
- Üst mercie taşıyın: çevrimiçi CNIL şikâyeti, ihlal cezai nitelikteyse Pharos, mahrem bir görüntü dolaşıyorsa StopNCII.
Bu adımların hiçbiri özel teknik beceri gerektirmiyor. En zoru yine de birincisi — çünkü her « sonraki » tıklamasının arkasında bir yerlere gerçekten bir şeylerin yazıldığını kabul etmeyi gerektiriyor.
