Cambridge Analytica: Ne ders çıkartılmalı?

Seçim verisi analitiği ve seçmen verileri üzerinden veri madenciliği hizmeti sunan yüzlerce şirket bulunmakta.

Seçim kampanyası yürütecek olan partiler ya da adaylar, bu şirketlerden de uzun bir süredir danışmanlık hizmeti almaktalar. Dikkat çekici nokta ise bu şirketlerin tamamen veri işleme ve veri analizindeki yetkinlikleri sebebiyle tercih ediliyor olmaları. Bu şirketler genellikle aracı kurumlar ya da taşeron şirketler olarak çalışmaktalar.

İş modelleri ise, seçmenlerin kişisel verilerini analiz ederek seçmenlerin düşünce ve yaşayış şekillerine ilişkin profilleme ve çıkarımlar yapılmasını sağlıyorlar. Bu şirketlerin müşterileri ise bu bilgilere dayalı olarak seçim kampanyası vaatlerini daha çok karşılık bulacak şekilde planlayabiliyorlar.

Bu sektördeki şirketlerin nasıl çalıştığını anlamak, günümüz dijital politik kampanyalarının nasıl yürütüldüğüne ışık tutması sebebiyle oldukça önemli. Örneğin 2007 yılında Aristotle isimli veri analitiği şirketi seçmenlere ilişkin psikografik analizler yaparak, kişilerin tutumları, arzuları, değerleri, yaşam tarzları ve kişilikleri gibi psikolojik kriterlere göre analiz edilmiş verilerini satması sebebiyle soruşturmalar geçirdi. Aristotle ve 300 kadar benzer şirketin çoğu kar amaçlı kurulan şirketler olup, seçmen verilerini analiz ederek seçmenlere ilişkin detaylı profilleme çalışmaları yapıp bunları sattıkları bir iş modeli üzerinden kar etmekteler.

Bu şirketler müşteri segmentlerini siyasi figürler olarak konumlandırmaktalar. Müşterilerinin seçim kampanyalarını veri temelli hale getirme değer önerisi üzerinden satışlarını gerçekleştirmekteler. Bu şirketler belirli bir coğrafyada hizmet veriyor ya da birden çok fazla kıtada operasyon yürüten çok uluslu şirketler olabilmekteler. Dikkat çekmek istediğim noktalardan biri ise bu şirketlerden bazılarının on seneden fazla bir süredir faaliyette olmaları.

Uygulamadan bazı örnekler üzerinden gidersek i360 isimli şirketin birden fazla kaynaktan topladığı kişisel verileri, abonelikler, satın alma geçmişi ve takip çerezleri vasıtasıyla otomatik yöntemler ile topladığı kişisel veriler ile bireylere ilişkin detaylı profilleme çalışmaları yaptığı ortaya çıktı. Toplanmakta olan kişisel veriler kişilerin kimliğinin tespit edilmesi, detaylı profilleme çalışmalarının yapılması, hangi partiye oy vereceklerinin tahmin edilmesi, hangi web sitelerinde gezindikleri ve hangi cihazları kullandıklarının verilerinin tespit edilmesine imkan sağlamakta.

Bazı şirketler ise veri istihbaratı hizmeti sunarak daha da detaylı profilleme hizmetleri sunmaktalar. Kişilerin mevcut profilleme çalışmalarına ek olarak hangi ideolojilere inandıkları ve Trump’a oy verip vermeyeceklerine ilişkin detaylı modellemeler yapabiliyorlar.

Bu yazımızda Cambridge Analytica skandalı nedir, ortaya çıktıktan sonraki geçtiğimiz iki yılda neler oldu bunları inceliyor olacağız. Bu skandal medyanın ve kamuoyunun, kişisel verilerin gücünü ve verilerin nasıl insanları manipüle etmek için kullanılabildiğini anlamasını sağladı. Bu noktada aslında kişisel verilerin korunmaması ve hatta kötüye kullanılması durumunda demokrasiye nasıl darbe vurabildiğini kanıtlamış oldu. Bu nedenle kanun koyucular ve politikacılar bu skandal ile mevcut veri güvenliği kanunları ve düzenlemelerinin vatandaşların kişisel verilerinin yeterli önlemler alınarak korunmadığı gösterdi.

Veri analitiği ve danışmanlık şirketi olan Cambridge Analytica, Trump’ın 2016 yılında seçim kampanyasını yürütmek için şirketten ayrılan Robert Mercer tarafından kuruldu. Cambridge Analytica skandalı dışında, Nigel Farage’a veri analizi hizmetleri vererek İngiltere’nin Avrupa Birliği’nden ayrılma kampanyasında da (“BREXIT”) önemli bir rol oynadı. Ayrıca Kenya seçimlerinde de seçmenler üzerinde benzer veri analizi hizmetleri yaptığı bildirilmişti. Bu da aslında başka hangi ülkelerin demokrasilerine darbe vurdukları konusunda soru işaretleri doğuruyor. Özellikle gelişmemiş ülkelerde ya da bizim gibi gelişmekte olan ülkelerde de haberimiz olmadan bu senaryoların kurbanı olmuş olabilir miyiz?

Şirketin 2014 -2016 yılları arasında, Dr. Alexandr Kogan tarafından “thisisyourdigitallife” isimli kişilik testine ilişkin akademik çalışmasını bahane göstererek 87 milyon Facebook kullanıcısının verilerine erişim sağladığı ortaya çıktı. Şirketin Trump’a destek vermek ve başkanlık seçimlerinde seçmenlerin detaylı profillerini oluşturarak, kime oy vereceklerini tahmin ederek seçimlerini manipüle ettiğini biliyoruz. İşin korkutucu boyutu sadece testi alan Facebook kullanıcılarının değil, ayrıca bu kişilerin tüm Facebook arkadaşlarının da beğenilerini ve profillerini analiz etmelerini sağlamasıydı.

Dr. Kogan, Facebook’un kullanıcı sözleşmesini ihlal ederek akademik çalışma bahanesiyle Facebook kullanıcılarından topladığı tüm kişisel verileri onların haberi ya da rızası olmaksızın Cambridge Analytica şirketi ile paylaştı.

2015 senesinde Facebook üçüncü taraf uygulamaların Facebook kullanıcılarının arkadaşlarının verilerine ulaşmasını engelledi. Ancak bu güncelleme, üçüncü taraf uygulamaların bu tarihe kadar Facebook kullanıcılarından toplamış oldukları kişisel verilerin silinmesi için yeterli değildi.

Facebook skandalın ortaya çıkmasını takiben, platform üzerinde yer alan şüpheli tüm üçüncü parti uygulamalarına ilişkin detaylı bir denetim geçirdi. Ayrıca son üç ayda herhangi bir aktif kullanım gerçekleşmeyen profillerin üçüncü parti yazılımlar tarafından erişilmesini engelledi. En büyük güncelleme ise Facebook kullanıcılarının Facebook ana sayfalarında hangi üçünü taraf yazılımların kişisel verilerine erişim sağladığını öğrenmelerine imkan sağlaması oldu.

Facebook’un Cambridge Analytica’nın kullanıcı verilerini kötüye kullandığının farkında olduğu fakat kullanıcıları bu konuda bilgilendirmediği de sonradan ortaya çıktı. Facebook CEO’su Mark Zuckerberg, Amerikan kongresine iki farklı oturumda ifade vermesi gerekti. Bunun üzerine İngiliz Veri Koruma Kurumu (ICO) Cambridge Analytica’ya karşı soruşturma başlattı ve şirketin merkezine yerinde denetim başlattı. Bu da durumun aslında ne kadar ciddiye alındığına ilişkin büyük bir ibare aslında. Çünkü veri koruma kurumları veri güvenliği ihlallerinde genelde dokümantasyon üzerinden inceleme yapmayı tercih etmekteler. Fakat bu denli büyük bir ihlalde yerinde denetim seçeneği gündeme gelmekte. Hatta sadece bununla kalmadı ve İngiliz Veri Koruma Kurumu’nun yetkileri mevzuat değişikliği yapılarak genişletildi.

David Carroll adlı akademisyenin Cambridge Analytica’nın üst şirketi olan SCL Elections’a kişisel verilerine erişim talebinin zamanında yerine getirilmemesi sebebiyle ICO tarafından ceza hukuku kapsamında da işlemler başlatıldı. Ekim 2018’de Facebook £ 500.000 idari para cezasına çarptırıldı. Bu ceza 1998 yılında yürürlüğe girmiş olan ve veri koruma yasasına dayanılarak verilebilecek en yüksek ceza miktarına eşit oluyor. ICO gerekçesinde bir milyondan fazla Birleşik Krallık vatandaşının verilerinin ihlale uğraması nedeniyle azami miktarda ceza kestiklerini belirtti. GDPR’ın yürürlükte olması durumunda bu cezanın miktarı Facebook’un global cirosunun %4’üne tekabül edecekti. Yani Facebook’un bir milyar sterlinin üzerinde bir ceza ödemesi gerekecekti.

87 milyon kişi arasında 214.000 İtalyan vatandaşının ve 300.000 Alma vatandaşının verileri bulunması sebebiyle İtalyan ve Alman veri koruma kurumları da Facebook’a ilişkin yaptırımları olacağını açıkladılar. Kanada veri koruma kurumu da Facebook’a yönelik federal mahkemeler üzerinden dava açılacağını belirtti. Benzer yaptırımların ABD tarafından da uygulanması bekleniyor. Ticaret Komisyonu tarafından Facebook aleyhine 5 milyar dolarlık bir ceza öngörülüyor. Bu da Facebook’un veri ihlali sebebiyle rekor bir cezaya daha imza atmasına sebep oldu.

Skandalın ortaya çıkmasından kısa bir süre sonra Cambridge Analytica şirketin iflas ettiğini ve tasfiyesine yönelik aksiyon alındığını duyurdu. Amerika Ticaret Komisyonu, Cambridge Analytica’nın herhangi bir soruşturmaya ilişkin cevap vermediğini belirtti. Ayrıca Cambridge Analytica’nın Facebook kullanıcılarına ilişkin topladığı tüm verileri silmesini ve kişisel verileri nasıl topladığı hakkında kamuoyunu yanıltmaması gerektiğine ilişkin karar verdi.