Mozilla raporu: akıllı otomobiller gizlilik için tehdit oluşturuyor

Mozilla'nın 2017-2026 yılları arasında farklı ürün kategorilerinin gizlilik durumunu inceleyen raporlarına göre, internete bağlı modern otomobiller "tekerlekli akıllı telefonlar" olarak tanımlanıyor. 2023'te yayımlanan raporda 25 otomobil markası mercek altına alındı. Raportörlerin değerlendirmesi sert oldu: "Tüm yeni otomobiller, devasa miktarda kişisel veri toplayan, tekerlekli gizlilik kâbusları."

Araştırmaya göre markaların tamamı sensörlerden otomobilin mobil uygulamasına kadar farklı kaynaklardan aşırı veri topluyor.

Vin numarası e-posta adresiyle eşleştiriliyor

Otomobil üreticilerinin topladığı veriler arasında VIN kodu (araç şasi numarası) ve hesap oluşturmak için paylaşılan bilgiler öne çıkıyor. Kullanıcı izniyle otomobile bağlı akıllı cihazlardan alınabilecek her şey alınıyor. Sürücü profillemesi için uygulama kullanımı ve sürüş tarzı da doğal olarak izleniyor.

Rapora göre bazı üreticiler bununla yetinmiyor. Nissan, kullanıcının sağlık ve cinsel yaşamına ilişkin verileri de topladığını belirtiyor; aynı verilere Kia da ilgi gösteriyor. Nissan verilerin toplanma yöntemleri konusunda ağzını açmazken, hakkınızda bildiği her şeyi paylaşma ve satma hakkını saklı tutuyor.

Veriler kimlerle paylaşılıyor? Elbette internet reklamcılığı zincirindeki şirketlerle. Talep etmeleri hâlinde kolluk kuvvetleri ve hükümetlerle de. Kia, paylaşımda hem yasayı hem de kendi "iyi kanaatini" esas aldığını belirtiyor. Otomobil ve reklam sektörlerinde veri sızıntıları yaşandığı için veriler zaman zaman suçlularla da paylaşılıyor.

Araştırma meta verilere dayanıyor

Mozilla raporu üreticilerin gizlilik politikası belgelerine dayanıyordu; otomobillerin ve uygulamaların gerçekte hangi verileri topladığı ise denetlenmedi. Nicole Zagson ve arkadaşlarının yakın tarihli araştırması bu boşluğu ampirik verilerle dolduruyor.

Çalışmada 19 markanın son üç yılda piyasaya çıkan 21 modeli test edildi. Araştırmacılar otomobillerin hangi kişisel verileri topladığını ve kimlerle paylaştığını inceledi. Bunun için hem araç içi hem de uygulama üzerinden ağ trafiği farklı koşullarda izlendi.

Aktarılan veriler şifreli olduğu için içerikleri görülemedi. Bunun yerine araçların ve uygulamaların hangi alan adlarıyla konuştuğu, bu alan adlarının kime ait olduğu ve ne tür verilerin iletildiği gibi meta veriler toplandı.

Araçların verileri pazarlama ve izleme hizmeti sağlayan şirketlere de gönderdiği ortaya çıktı. Daha karmaşık bilgi sistemine sahip araçlarda bu sağlayıcı sayısı daha yüksek, basit sistemlerde daha düşüktü. Veriler en sık Google ve Amazon'a iletildi. En cömert paylaşımcılar ise 20-30 farklı pazarlama alan adıyla konuşan Tesla'lar oldu.

Otomobil üreticinin uygulamasıyla birlikte kullanıldığında izleme, çoğu zaman iki katına kadar çıkıyor. VIN kodu gibi araç verileri e-posta adresi gibi kullanıcı verileriyle eşleştiriliyor. Böylece pazarlamacılar araç sahibinin diğer uygulamalardan toplanan davranış verileri ve web geçmişiyle bağlantı kuruyor. Tüm bunların konum verisiyle zenginleştirilmesi, bugüne kadarkinden çok daha kapsamlı bir profillemeye olanak tanıyor.

Araştırmacılar bulguları hakkında yorum yapmaları için otomobil üreticilerine başvurdu. Genel olarak verilerin sorumluluğu son kullanıcıya yüklendi. Araştırmacılara göre kullanıcılar böylece adil olmayan bir seçimle karşı karşıya bırakılıyor: ya veri toplanmasını kabul etmek ya da otomobilin işlevlerinden veya aracın kendisinden vazgeçmek.