Teknoloji
Veri Ne Zaman Sizi Tanımaya Başlar?
Coğrafi konum, satın alma geçmişi, tarama alışkanlığı — bunların her biri tek başına masum görünür. Ama birleştirildiğinde ne kadar özgün bir profil oluşturduklarını çoğu kişi hafife alıyor.
2000'li yılların başında AOL, araştırma amaçlı anonimleştirilmiş arama verilerini yayımladı. İsimler kaldırılmış, kullanıcılar ID numarasıyla temsil edilmişti. Gazeteciler, bir kullanıcının arama geçmişini inceleyerek Georgia eyaletinde yaşayan 62 yaşında dul bir kadını birkaç günde tespit etti. Araştırıcı faktörler: arama terimleri arasında yakın çevresinin isimleri, yerel köpek terbiyecisi aramaları ve sağlık sorunlarıyla ilgili sorgular. Hiçbiri tek başına tanımlayıcı değildi. Birleşik olarak benzersizdi.
Parmak İzi Değil, Kombinasyon
Dijital mahremiyetin temel sorunu, veri noktalarının tek tek değil birleşik olarak anlam kazanmasında yatıyor. MIT araştırmacıları 2013'te yayımladıkları bir çalışmada, kredi kartı işlemlerinden oluşan anonimleştirilmiş büyük bir veri setinde, yalnızca dört mekân-zaman çiftinin kişilerin %90'ından fazlasını yeniden tanımlamaya yettiğini gösterdi. Konum bilgisi, alışveriş geçmişi, tarama verisi ve sosyal ağ aktivitesi ayrı ayrı tutulduğunda zaten çok şey ortaya çıkıyor. Bunlar çapraz referanslandığında tablo dramatik biçimde değişiyor.
Browser fingerprinting bunun canlı bir örneği. Bir web sitesi, tarayıcınızın kullandığı fontlara, yüklü eklentilere, ekran çözünürlüğüne, saat dilimine ve onlarca başka parametreye bakarak küçük bir JavaScript kodu çalıştırabilir. Bu parametrelerin kombinasyonu, çerez olmadan bile tarayıcınızı tanımlamaya yetebilir. EFF'in 'Cover Your Tracks' aracı, bu parmak izini görünür kılıyor ve testlerde büyük çoğunluğu 'nadiren görülen benzersiz bir yapılandırma' olarak işaretliyor.
GDPR ve Gerçek Dünya Uygulaması
Avrupa Genel Veri Koruma Yönetmeliği (GDPR), kişisel veri işleme standartlarını yükseltti. Açık rıza, işleme amacı sınırlılığı, veri minimizasyonu gibi ilkeler kâğıt üzerinde güçlü. Ama yönetmeliğin uygulanması tutarsız; küçük şirketler için denetim neredeyse yok, büyük şirketler ise ciddi cezalara rağmen ihlallerini sürdürebiliyor. Türkiye'nin KVKK'sı da benzer bir tablo çiziyor: çerçeve mevcut, uygulama sınırlı. Mevzuatın varlığı, pratikte mahremiyet sağlandığının garantisi değil.
Bir şirketin veri politikasını okuduğunuzda neye onay verdiğinizi tam olarak anlamanız bekleniyor. Bu belgeleri hukuk doktoraları bile zorlanarak anlıyor.
Kimler Ne Topluyor: Görünmeyen Aktörler
Veri toplayan aktörler yalnızca büyük platform şirketleri değil. Üçüncü taraf izleme scriptleri — reklam ağları, analitik servisleri, sosyal medya düğmeleri — ziyaret ettiğiniz sitelerde arka planda çalışıyor. Bir web sitesi açtığınızda, çoğunlukla aynı anda onlarca farklı şirketin sunucusuna istek gönderiliyor. Bu scriptlerin büyük çoğunluğunu kullandığınız sitenin kendisi kontrol etmiyor. Data broker şirketleri, bu dağınık verileri satın alıyor, birleştiriyor ve satıyor. Bu zincirin son halkasında ne olduğu çoğu kullanıcı için görünmez.
Pratik Yaklaşımlar: Her Şeyi Kapatmak Değil
Dijital mahremiyeti tamamen sağlamak için pratik adımlar var ama bu adımların hiçbiri tam güvence sunmuyor. uBlock Origin gibi içerik engelleyiciler, üçüncü taraf scriptlerin önemli bir kısmını durdurur. DNS üzerinden şifreli sorgular (DoH), ağ düzeyinde izlemeyi güçleştirir. VPN kullanımı, İSS düzeyindeki izlemeyi azaltır ama VPN sağlayıcısına yeni bir güven ilişkisi gerektirir. Password manager ve iki faktörlü kimlik doğrulama ise veri mahremiyeti değil hesap güvenliği için gerekli ama çoğu zaman karıştırılan iki ayrı alan. Riskleri tamamen sıfırlamak yerine anlayarak azaltmak, daha gerçekçi bir hedef.
Dijital mahremiyet bir varış noktası değil, bir kalibre etme pratiği. Sıfır risk mümkün değil; ama bilinçsiz risk ile kabul edilmiş risk arasındaki fark büyük.