LinkedIn, Tarayıcı Eklentilerini Taranma Uygulamasını Mahkemede Savunabildi: Durumun Teknik ve Hukuki Analizi

Amerika Birleşik Devletleri’nin Kuzey Kaliforniya Bölge Mahkemesi’nde görev yapan Yargıç Vince Chhabria, LinkedIn’in kullanıcıların tarayıcı eklentilerini tarama uygulamasına ilişkin iki ayrı dava talebini reddetme kararı (motion to dismiss) vererek Microsoft’un yanıtını onayladı. 2019 yılında ortaya konan ve “BrowserGate” olarak adlandırılan tartışmanın ardından açılan bu davalar, mahkemenin “davacıların somut bir zarara uğradıklarını yeterince iddia etmedikleri” gerekçesiyle reddedildi. Karar, yalnızca hukuki bir tekniklik değil, aynı zamanda tarayıcı mimarisinin veri akışını, eklenti yazılımının çalışma prensibini ve otomasyon tespit teknolojilerinin sınırlarını anlamayı da gerektiren derin bir konu.

Teknik Arka Plan ve Temel Sebepler

Bu olayı doğru biçimde kavramak için önce tarayıcı eklentisinin (browser extension) teknik doğasına bakmak gerekiyor. Bir Chrome eklentisi, tarayıcının JavaScript tabanlı bir ortamında çalışan, kullanıcıya belirli işlevler sunan yazılım bileşenidir. Eklenti yüklendiğinde, tarayıcı ona otomatik olarak “web siteyle etkileşime girmek için açıkça sağlanan” (openly provided) verileri aktarır — bu, eklentinin varlığına dair kimlik bilgisi, tıklama davranışları ve bağlam içi veri parçalarıdır. Bu veri alışverişi, eklentinin doğası gereği (by their nature) web sitelerine bilinçli biçimde açığa çıkar.

İşte LinkedIn’in savunmasının teknik temeli burada gizlidir: Eklentiler, üçüncü taraf sitelere zaten açıkça aktardıkları verileri paylaşmakla yükümlüdür. Bu nedenle bir eklentinin varlığını tespit etmek (detect), aslında tarayıcının standart protokolü üzerinden elde edilebilen ve herkesle paylaşılan (publicly available) bilgilerdir — gizli veya özel (private) veri değildir. LinkedIn, platformunun güvenliğini korumak amacıyla bu verileri analiz eden güvenlik odaklı tedarikçilerden (security-focused vendors) yararlanarak otomasyon, bot aktivitesi ve izinsiz veri kazıma (scraping) davranışlarını tespit ettiğini belirtiyor.

Davacıların iddiasının teknik zayıflığı ise şu noktada ortaya konuyor: Farrell ve Ganan, “tarayıcı eklentilerinin kullanıcılar hakkında hassas özel bilgi açıklayabileceği” kategorilerini teorik biçimde öne sürse de, kendi yükledikleri belirli bir eklentinin kendileriyle ilgili özel veriyi aktardığını iddia etmediler. Chhabria’nın vurguladığı gibi, “yalnızca davacının durumuna özgü (particularized) somut bir zarar görmiş olan kişiler, federal mahkemede o ihlali dava edebilir.” Kategori düzeyinde varsayımsal (hypothetical) bilgi sınıflarını saymak, bu somutlaştırmayı yerine getirmemektedir.

Karşılaştırma ve Donanım Parametreleri

Bu tartışmayı teknik bir perspektiften anlamak için, tarafların kullandığı teknolojilerin birbirine nasıl konumlandığını gösteren bir karşılaştırma tablosu faydalı olacaktır. Aşağıda davayı oluşturan aktörlerin teknolojik rolleri ve mahkemenin değerlendirmesi yer almaktadır.

Çözüm Adımları ve Teknik Analiz

Bu tür bir tartışmanın teknik tarafını kavrayan bir okuyucu için, tarafların izleyebileceği yol haritası şu şekilde özetlenebilir. Öncelikle, davacıların davanın temeli olan “somut zarar” (standing) iddiasını güçlendirmeleri gerekir — bu, yalnızca teorik bilgi kategorilerini değil, kendi özel durumlarına özgü gerçek bir veri aktarımını belgelemeyi gerektirir.

İkinci adım olarak, LinkedIn’in savunması teknik açıdan güçlüdür çünkü eklentinin tarayıcı üzerinden açıkça sağladığı verilerin gizli olmadığını, bunun platform üyelerinin kabul ettiği (agreed to) bir durum olduğunu vurgular. Üçüncü adım ise, Fairlinked ve Teamfluence arasındaki bağlantının — aynı kişilerin hem otomasyon yazılımını hem de “kişisel veri ihlali” iddiasını üretmesini — mahkemeye sunmak suretiyle tartışmanın asıl odağını otomasyon kazıma tarafına kaydırmaktır.

Davacı avukatı J.R. Howell, Ganan davasında LinkedIn’in kullanıcıların rızası olmadan iç hesaplama ortamlarını gözetlemek (surveil), bilgi toplamak ve verileri üçüncü taraflara yönlendirmek için kod kullandığını iddia etmektedir. Ancak Chhabria’nın notunda yer alan kritik uyarı şudur: “Tarayıcı eklentilerinin izlenmesinden teorik olarak ortaya çıkabilecek özel bilgi kategorilerini saymak, davacının durumuna özgü somutlaştırmayı yerine getirmek için yeterli değildir.” Howell, iddialarını davanın özünü (on their merits) çözebileceği bir forumda takip etme niyetini açıkça beyan etti.

Tüm bu gelişmeler ışığında, kararın aslında “kütle düzeyinde gözetim programının” yasal olup olmadığına dair bir hüküm vermediğini dikkate almak gerekir. Howell’in ifadeleri bunu net biçimde ortaya koyuyor: Bu karar, şikayetlerde öne sürülen kütle düzeyi gözetimin bir onayı değil, yalnızca federal mahkemenin bu konuda yetki (jurisdiction) eksikliğini belirlemesidir.

Sıkça Sorulan Sorular

Soru: Bu karar LinkedIn’in eklentileri tarama uygulamasını yasal olarak onaylıyor mu?

Cevap: Hayır. Karar, LinkedIn’in izinsiz gözetim programının yasal olduğunu belirlemez; yalnızca federal mahkemenin davacıların somut zarar iddiasında bulunamadığından dolayı dava üzerinde yetki sahibi olmadığını tespit eder. İddialar California 9. Dairesi Mahkemesi’ne (Ninth Circuit) itiraz edilebilir.

Soru: Tarayıcı eklentileri gerçekten gizli veri aktarıyor mu?

Cevap: Eklentiler, tarayıcının standart protokolü üzerinden üçüncü taraflara açıkça sağladıkları bağlam içi verileri paylaşırlar. LinkedIn’in savunmasına göre bu bilgiler herkesle paylaşılan (publicly available) niteliktedir ve gizli/özel veri değildir.

Soru: “BrowserGate” tartışması nereden başladı?

Cevap: Almanya merkezli Fairlinked kuruluşu tarafından yayımlanan bir raporla ortaya çıktı. Bu rapor, Teamfluence adlı Estonya yazılım firmasıyla bağlantılıdır; firma CEO’su Steven Morell, LinkedIn’in Münih’teki yasaklamasından sonra uluslararası düzeyde bir tartışma üretmiştir.

Soru: Howell avukatı dava sürecini nasıl sürdüreceğini planlıyor?

Cevap: Howell, davanın federal mahkeme kararını itiraz (appeal) yoluyla California 9. Dairesi Mahkemesi’ne taşıyabileceğini ya da farklı somut zarar kurallarına sahip bir California devlet mahkemesinde yeniden açabileceğini belirtiyor.

Önemli Teknik Kavramlar

Motion to Dismiss (Reddetme Talebi): Bir davanın başlangıcında, dava dilekçesinin yasal ve yeterli olmadığını iddia ederek mahkemenin davayı incelenmeden reddetmesini isteyen hukuki prosedürdür. Bu aşamada olayın özünü değerlendirmek yerine, iddianın biçimsel yeterliliği sorgulanır.

Standing (Yetki): Bir davacının dava açma hakkını belirleyen hukuki kavramdır; yalnızca “somutlaştırılmış” ve “meşru” bir zarara uğramış kişilerin, federal mahkemelerde özel bir tanımlı davayı açabilmesi gerekir. Kategori düzeyinde varsayımsal iddialar yeterli değildir.

Browser Extension (Tarayıcı Eklentisi): Tarayıcının JavaScript ortamında çalışan, kullanıcıya işlevsellik sunan yazılım bileşenidir; yüklendiğinde sitelere otomatik olarak bağlam içi verileri aktarır ve bu veri alışverişi eklentinin doğası gereğidir.

Data Scraping (Veri Kazıma): Web sitelerinden büyük ölçekli biçimde, genellikle kullanıcı sözleşmesine aykırı biçimde otomatik olarak veri toplama sürecidir; bot aktivitesi ve izinsiz veri aktarımı tartışmalarının merkezinde yer alır.