Çoğu akıllı saat, yüzük ve bileklikte önemli gizlilik özellikleri bulunmuyor

Bileğimizde taşıdığımız minik teknolojik asistanlar; günlük adımlarımızı, uyku kalitemizi, nabız dalgalanmalarımızı ve hatta kanımızdaki oksijen seviyesini saniye saniye kaydediyor. Apple Watch, Garmin, Oura Ring, Google Fitbit veya Xiaomi gibi cihazlar hayatımızın ayrılmaz birer parçası haline geldi. Ancak bu giyilebilir teknolojiler sağlık hedeflerimize ulaşmamıza yardımcı olurken, en mahrem biyometrik verilerimizi kime ve nasıl teslim ediyor?

dijital haklar savunucusu Electronic Frontier Foundation (EFF) tarafından yayımlanan kapsamlı araştırma raporu, giyilebilir teknoloji pazarındaki devasa gizlilik ve güvenlik açıklarını bir kez daha gözler önüne serdi. İncelemeye göre pazarın önde gelen üreticilerinin büyük çoğunluğu, kullanıcı verilerinin resmi makamlarla ne sıklıkla paylaşıldığına dair şeffaflık raporu yayımlamıyor ve verileri uçtan uca şifreleme (E2EE) ile korumaktan kaçınıyor.

Biyometrik Verileriniz Gerçekte Ne Kadar Güvende?

Dünya genelinde ve özellikle ABD’de yetişkin nüfusun yaklaşık %40’ı en az bir akıllı saat veya fitness takipçisi kullanıyor. Bu cihazlar piyasaya “sağlık ve yaşam kalitesi” araçları olarak sunulsa da yasal açıdan hastanelerin uymak zorunda olduğu sıkı tıbbi veri gizliliği yasalarının (örneğin ABD’deki HIPAA) dışında kalıyor.

Üretici firmalar topladıkları devasa veri havuzunu yalnızca kendi ürünlerini geliştirmek veya yapay zeka modellerini eğitmek için kullanmıyor; aynı zamanda reklam ortaklarıyla ve üçüncü taraf sigorta şirketleriyle de paylaşabiliyor. Daha da kritik olanı, bu verilerin adli soruşturmalarda ve kolluk kuvvetlerinin incelemelerinde giderek daha sık bir delil kaynağı haline gelmesi.

Cybernews’in EFF raporuna dayandırdığı analizinde vurgulandığı üzere; dijital gözetim teknolojileri geliştiren Penlink firması, fitness takipçilerini kolluk kuvvetleri için “ihmal edilmiş altın değerinde bir veri kaynağı” olarak nitelendiriyor. Şüphelilerin hareket kalıpları, anlık nabız değişimleri ve konum verileri, mahkeme kararları veya adli taleplerle şirketlerden kolayca talep edilebiliyor.

Şeffaflık Raporlarında Sınıfta Kalan Devler

EFF araştırmacıları, pazardaki en popüler 10 giyilebilir teknoloji markasını mercek altına aldı: Apple, Google (Fitbit dâhil), Garmin, Oura, Whoop, Amazfit, Coros, Hume, Polar ve Suunto.

İnceleme sonucunda ortaya çıkan tablo oldukça kaygı verici:

• Yalnızca İki Şirket Şeffaflık Raporu Yayımlıyor: İncelenen 10 markadan sadece Apple ve Google, devletlerden ve emniyet güçlerinden gelen veri taleplerini içeren resmi şeffaflık raporlarını düzenli olarak kamuoyuyla paylaşıyor.
• Kullanıcı Bilgilendirme Sözü: Apple, Google ve Whoop, resmi bir veri talebi geldiğinde yasal engel bulunmadığı sürece kullanıcıyı bilgilendireceğini taahhüt ediyor.
• Baskı Sonrası Atılan Adımlar: Basın ve kamuoyu baskısının ardından Oura, gizlilik politikasını güncelleyerek gelecekte şeffaflık raporu yayımlama seçeneğini değerlendirdiğini açıkladı. Suunto da benzer bir açık kapı bıraktı.
• Tamamen Sessiz Kalanlar: Amazfit, Coros, Garmin, Polar ve Hume gibi markalar ise veri talepleri konusunda kullanıcılarına hiçbir şeffaflık güvencesi sunmuyor ve EFF’in sorularını yanıtlamaktan kaçındı.

Atlas21 tarafından paylaşılan sektör değerlendirmesine göre; kullanıcı verilerini işleyen her şirketin, kolluk kuvvetleriyle ne sıklıkla veri paylaştığını açıkça raporlaması bir tercih değil, dijital çağda hesap verilebilirliğin temel şartıdır.

Uçtan Uca Şifreleme (E2EE) Neden Bir Lüks Değil?

Uçtan uca şifreleme (E2EE) denildiğinde akla ilk olarak Signal veya WhatsApp gibi mesajlaşma uygulamaları gelse de bu teknoloji bulutta saklanan hassas kişisel veriler için de kritik önem taşır. E2EE kullanıldığında, veriniz bulut sunucularında öyle bir şifrelenir ki cihazın üreticisi veya sunucu sahibi dahi verinin içeriğini okuyamaz.

EFF’in incelediği 10 dev markadan **yalnızca Apple Watch** (Apple Sağlık uygulamasında saklanan veriler için) varsayılan olarak uçtan uca şifreleme sunuyor. Ancak bu koruma da verilerinizi Strava gibi üçüncü taraf uygulamalarla paylaştığınız an geçerliliğini yitiriyor.

“Apple haricindeki Google, Garmin, Oura veya Polar gibi hiçbir popüler giyilebilir cihaz üreticisi, bulutta depolanan biyometrik veriler için uçtan uca şifreleme sunmuyor. Veriler transit (aktarım) ve at-rest (depolama) esnasında şifrelense de anahtarlar şirketlerin elinde olduğu için olası bir mahkeme kararında verileriniz okunabilir şekilde yetkililere teslim edilebiliyor.”

Sınır Ötesi Veri Transferleri ve Türkiye (KVKK) Açısı

Sorunun bir diğer boyutu ise verilerin uluslararası sunuculardaki dolaşımı. ETH Zurich bünyesinde yapılan bir araştırmaya göre, akıllı saat üreticilerinin gizlilik politikaları kullanıcı verilerinin hangi ülkelere aktarıldığı ve nasıl korunduğu konusunda muğlak ve yetersiz ifadelerle dolu.

Türkiye açısından konuyu ele aldığımızda durum daha da belirginleşiyor. Hukuk uzmanlarının akıllı saatler ve KVKK analizi çalışmasında vurgulandığı üzere, nabız, uyku düzeni, EKG ve konum gibi veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca “özel nitelikli kişisel veri” veya hassas veri kategorisine giriyor.

Yurt dışı merkezli sunucularda depolanan bu verilerin açık rıza olmaksızın veya yeterli koruma taahhüdü bulunmayan ülkelere aktarılması, kullanıcılar açısından hem yasal hem de kişisel güvenlik riskleri barındırıyor.

Kullanıcılar Olarak Ne Yapabiliriz?

Giyilebilir teknoloji üreticilerinin gizlilik standartlarını yükseltmesi zaman alabilir; ancak kendi veri güvenliğinizi artırmak için alabileceğiniz bazı somut önlemler mevcut:

1. Bulut Senkronizasyonunu Kısıtlayın: Mümkünse verilerinizin yalnızca telefonunuzda saklanmasını sağlayın (örneğin Apple Sağlık uygulamasında iCloud senkronizasyonunu kapatmak gibi).
2. Üçüncü Taraf Uygulama İzinlerini Gözden Geçirin: Akıllı saatinizden veri çeken spor, sosyal medya veya diyet uygulamalarının erişim izinlerini kısıtlayın.
3. Geri Bildirim Formlarını Kullanın: Garmin, Polar, Whoop veya Oura gibi markaların destek ve talep kanallarından “Şeffaflık Raporu” ve “Uçtan Uca Şifreleme” talep ettiğinizi iletin.

Sağlığımızı korumak adına bileğimize taktığımız cihazların, dijital mahremiyetimizi tehdit eden birer gözetim aracına dönüşmesine izin vermemek bizim elimizde. Üretici şirketlerin daha fazla şeffaflık ve daha güçlü şifreleme standartlarını benimsemesi için tüketici talebi en büyük güçtür.