World’coin, must let Europeans” comprehensively’ delete their data, under privacy order”

Başlangıçta planlanan birkaç haftadan çok daha uzun bir süre geçmesine rağmen, Sam Altman’ın World ( diğer adıyla Worldcoin ) için aylardır askıda kalan önemli bir gizlilik kararı sonunda Bavyera veri koruma otoritesinin, bloğun Genel Veri Koruma Yönetmeliği’ni (GDPR) yürürlüğe koyması yönündeki Aralık ayı sonunda aldığı bir kararla gerçekleşti. Bu, küresel yıllık cironun %4’üne kadar yaptırımlara izin veren kapsamlı bir gizlilik çerçevesidir.

Sonuç, göz bebeği taramalı kripto kimlik girişiminin umduğu gibi görünmüyor: Talep üzerine kullanıcı verilerinin kapsamlı bir şekilde silinmesini gerektiren bir düzeltici emir çıkarıldı.

Bavyera Eyalet Veri Koruma Denetim Ofisi’nden Michael Will, bir basın açıklamasında , “İris verilerini ‘Worldcoin’e veren tüm kullanıcılar, gelecekte silme haklarını kullanma konusunda kısıtlama olmaksızın bir fırsata sahip olacaklar” dedi.

Biyometrik girişimin, Bavyera yetkili makamının karar tarihinden itibaren “GDPR hükümlerine uygun” bir silme prosedürünü uygulaması için bir ay süre verildi; bu nedenle takviminizi 2025 yılının başına işaretleyin.

Bavyera emrinin bir diğer bileşeni, Worldcoin’in basın açıklamasında (muğlak bir şekilde) “gelecekteki belirli işlem adımları” olarak tanımlanan şey için açık onay almasını gerektiriyor.

Daha fazla ayrıntı istedik ancak bu, World’ün katılım sürecinin göz küresi taramaları yapılmadan önce AB kullanıcılarına daha fazla bilgi sağlaması gerekeceğini gösteriyor. Ayrıca, açıklamaya göre “yeterli yasal dayanak olmadan daha önce toplanmış belirli veri kayıtlarının” silinmesi emredildi.

Verilen kararın içeriğine ilişkin sorularımıza ek olarak, Bavyera makamlarına, GDPR’yi ihlal ettiği düşünülen bir dizi olay için neden herhangi bir ceza verilmediğini de sorduk.

Dünya, düzeltici karara itiraz edeceğini söyleyerek yanıt verdi.

Güncelleme: Bavyera yetkili makamı, Dünya’nın itirazı beklenirken uygulama takviminin askıya alındığını bildirdi.

DPA ayrıca silme emrinin, Dünya tarafından “normal bir veritabanında” saklanan ve bu nedenle silinebilen iris taramalarına bağlı “biyometrik şablonlara” ilişkin olduğunu doğruladı.

Will bize, “Veri setinin tamamını (henüz) anonim olarak görmediğimizden, silme gereksinimini karşılamak için işleme yapılarını nasıl değiştireceklerini göstermek artık World/coin’e kalmış – gerekirse birkaç veya tüm parçaları silerek bile,” dedi.  

Hukuki temele ilişkin olarak şunları ekledi: “Analizimizde bu özel hizmet/işlem faaliyetleri için açık rızadan başka olası bir hukuki temel bulunmamaktadır.”

Zor soru

Kullanıcıların verilerinin silinmesini talep etmelerine izin verme zorunluluğu, GDPR’nin bireysel veri erişim hakları paketinin bir parçası olarak Avrupa düzenlemesine dahil edilmiş bir hak, World[coin] için neden bu kadar zor görünüyor? İnsanlığın kanıtı blok zinciri projesinin sıkıntısı, kimliği uzaktan doğrulamak için değiştirilemez ve benzersiz kimliklerden oluşan bir sistem inşa etmesidir. Yani bir kişi sadece sorarak muhasebe defterinden kendisine ait tüm izleri düzenleyebiliyorsa, bu, insan doğrulaması konusunda dünya çapında bir otorite olma hırsına bir meydan okumadır.

Worldcoin’i geliştiren kuruluş adına iletişimi yürüten Tools for Humanity (TfH) sözcüsü Rebecca Hahn, itiraz gerekçelerinin World’ün teknik mimarisinin “gizliliği koruyan” olduğu ve bunun sonucunda kullanıcı verilerinin anonimleştirildiği iddialarına odaklanacağını söyledi.

Bunun anlamı, GDPR veri erişim haklarının (silinmesini talep edebilme gibi) uygulanmaması gerektiğidir, çünkü gerçekten anonim olan veriler yasa kapsamı dışında kalmaktadır.

Dünya’nın kullanıcıların verilerini silmesine neden bu kadar isteksiz olduğu sorusuna yanıt olarak TfH’nin gizlilik sorumlusu Damien Kieran, TechCrunch’a şunları söyledi: “Amacımız dijital etkileşimlere olan güveni artırmak. Bunu yapmak için, insanlığı kanıtlamak üzere Dünya’nın ilk anonim dijital pasaportunu oluşturduk. Bu, bir kişinin X gibi bir platformda [ Kieran’ın eski işvereni olan ] gerçek bir insan olduğunu anonim olarak doğrulayabileceği ve botlar gibi sorunları bir kez ve herkes için çözebileceği anlamına geliyor.

“Bunun anahtarı, anonim bir kişinin bir platformun politikalarını kötüye kullanması ve platformun onu askıya alması durumunda, o kişinin Dünya Kimliğini silmesi, yeni bir kimlik oluşturması ve X’e geri dönüp kendisini yeni bir insan olarak sunması mümkün olmamasıdır. Bu nedenle, istihbarat çağında çevrimiçi güveni artırma hedeflerimize ulaşmak için, bunu altta yatan verileri anonimleştirecek şekilde yapmamız gerekiyordu, yani silinemez ve kötü niyetli kişilerin Dünya ağını ve diğer platformları kötüye kullanamayacağından emin olmalıydık.” 

Kieran, World ID sahiplerinin “sadece telefonlarında bulunan kişisel verilerini istedikleri zaman silebileceklerini” de sözlerine ekledi.

Ancak temel hesap verileri bu GDPR savaşının odaklandığı yer değil. Bir bireyi benzersiz bir şekilde tanımlamak için kullanılabilecek bilgilerle ilgilidir.

Bu yılın başlarında World, “iris kodlarının gizli paylaşımlar olarak şifrelenmesine ve birden fazla katılımcıya dağıtılmasına olanak tanıdığını” iddia ettiği açık kaynaklı Güvenli Çok Taraflı Hesaplama sistemini tanıttı ; kimlik kontrollerinin yapılabilmesi için kodların şifresinin çözülmesine gerek kalmıyor.

Bu teknik mimarinin, şifreleme ve parçalama gibi sonraki işlemler yoluyla iris kodlarını, bireysel gizlilik risklerini sınırlayacak şekilde dönüştürdüğü öne sürülüyor.

Bu değişikliklerin bir parçası olarak Worldcoin, kullanıcıların iris kodlarının silinmesini talep etmelerine olanak tanıyan bir özellik de tanıttı . Ancak, kullanıcılara verdiği kontrol düzeyi — açıkça — bireylerin bilgileri üzerinde kontrol sahibi olmasını gerektiren GDPR standardını karşılamadığı şeklinde değerlendirildi.

Ve GDPR’nin yalnızca insanların mahremiyetini korumak için kurallar koymadığını vurgulamak önemlidir; çerçeve ayrıca bireylerin kendileri hakkında tutulan bilgiler üzerinde özerkliğe sahip olmalarını sağlamayı da amaçlamaktadır. Bu son unsur, Dünya’nın insan olma kanıtı misyonuna en büyük zorlukları oluşturmaktadır çünkü bu düzeyde bireysel özerkliği desteklemeyi hesaba katmamaktadır.

Temel haklar

Bavyera Veri Koruma Ajansı, Worldcoin’in biyometrik tabanlı bireysel doğrulama prosedürünün “en azından çok sayıda veri sahibi için bir dizi temel veri koruma riski” içerdiğini söyledi. Ve otoritenin açıklaması girişimin veri işlemesinde yapılan “iyileştirmelere” atıfta bulunurken “hâlâ ayarlamalar yapılması gerektiğini” vurguluyor.

Yetkili, uzun süren soruşturmanın, “rızanın geri çekilmesinin ardından kapsamlı bir silme” ihtiyacına ve “rıza sürecinin ilgili incelemesine” odaklandığını sözlerine ekledi.

Will, “Bugünkü kararla, teknolojik olarak zorlu ve hukuksal olarak oldukça karmaşık bir davada, veri sahipleri lehine Avrupa temel haklar standartlarını uygulamaya koyuyoruz” dedi.

Dünyanın Bavyera eyaletinin düzeltici kararına karşı yaptığı itiraz, temel veri erişimi sorununu doğrudan ele almıyor.

Bunun yerine, meseleyi Avrupa hukukunun anonim verileri nasıl tanımlaması gerektiği gibi teknik bir soru olarak çerçevelendirmeye çalışıyor. Bu nedenle, düzeltici emir hakkındaki blog yazısı “Dünya Kimliği tasarımı gereği anonimdir” cümlesiyle başlıyor. Ancak Avrupalıların daha az bireysel hak hak ettiği yönündeki bir lobi için ivme yaratmaya çalışmanın bölgesel olarak popüler olması pek olası değil.

Worldcoin, bölgede kanatlarının kırpıldığını gördü. Portekiz ve İspanya’dakiler de dahil olmak üzere diğer veri koruma otoritelerinin yaptırım eylemi , piyasalarındaki göz küresi tarama operasyonlarını kapatan acil eyleme tabi tutulmasına neden oldu. İki DPA, çocukların verilerinin silinmez bir şekilde yakalanması riskleri konusunda özellikle endişelerini dile getirdi.

Aynı zamanda Worldcoin (ya da yakın zamanda yeniden markalanan ismiyle World) Avusturya’da faaliyete başladı.