Sertel Şıracı - Mobil Uygulama Güvenligi ve Hukuk OWASP-TR Mobil Güvenlik Çalıştayı 2015 (14 Ekim 2015)

1. MOBİL UYGULAMA GÜVENLİĞİ
ve
HUKUK
AV. SERTEL ŞIRACI

2. Veri Koruma Hukuku
Açısından Mobil
Uygulamalar

3. Veri Koruma Hukuku Açısından
Mobil Uygulamalar
• Kural olarak rıza olmadan veri işlenemez.
• Toplanan veri uygulama için gerekli mi?
• Saklama süreniz var mı?
• Irk, etnik unsur, sağlık bilgileri hassas veridir.
İşlenmesi için açık rıza gerekir.
• Kullanıcının hakları: Bilgi edinme hakkı, verilerin
düzeltilmesi – silinmesi, ilgilinin itiraz hakkı

4. Lokasyon Bilgilerinin
Toplanması ve
Ticari Kullanımı

5. LOKASYON BİLGİLERİNİN
TOPLANMASI
• Uygulamadan beklenen faydanın gerçekleşmesi için lokasyon verisi
önemli mi?
• Lokasyon verisi alınması gerektiğinde kullanıcı bilgilendiriliyor mu?
• Lokasyon verisinin toplanacağını, paylaşılacağını, işleneceğini kullanıcı
onayladı mı?
• Uygulama Toplanan lokasyon bilgileri anonim mi?
• Lokasyon ile birlikte toplanan veriler kişinin tespitine neden oluyor mu?
• Çocuklarla ilgili önlemleriniz var mı?

6. LOKASYON BİLGİLERİNİN TİCARİ
KULLANIMI
• Toplanan veri reklam ajansları ile paylaşılacak mı?
• Foursquare doğası gereği kapalı da olsa konum
bilginizi istiyor, peki Fruit Ninja neden istiyor?
• Nokta atışı reklam = Daha çok para
• Bazen sorun kullanılan kütüphanelerden kaynaklanıyor.
• Uygulama konum almıyor olabilir ama reklam için
kullanılan reklam ağı bu verileri topluyor.

7. Reklam Engelleme
Uygulamalarının
Getirdiği Hukuksal
Sorunlar

8. iBeacon ve Hukuk

10. iBeacon ve Hukuk
• iBeacon ile reklam iletmek için izin gerekiyor
mu?
• Uygulama mı? Mekan mı sorumlu? Markaya ait
uygulamayı indirirken bu izni alıyor mu?
• Saldırgan reklam olarak kabul edilir mi?
• Tüketiciyi yanıltıcı kabul edilir mi?
• Fiziken toplanan lokasyon verisine dikkat.

11. Hukuka Uygun Bir
Uygulama İçin
Sorulması Gereken
Sorular

12. Hukuka Uygun Bir Uygulama İçin
Sorulması Gereken Sorular
1. Uygulama daha önce belirtilmeyen sürpriz bir
ödeme talep ediyor mu?
2. Uygulama hangi kullanıcı verilerini topluyor,
kiminle paylaşıyor, topladığı veriler hassas mı,
gerekli mi?
3. Bütün bunlar için kullanıcı rızası açık şekilde
alınmış mı?

13. Toplandığınız
Veriler
Hakkında
Sorulması
Gereken
Sorular
1.Uygulamanın topladığı veriler kullanıcının adını,
telefon numarasını, kişi listesini içeriyor mu?
2.Uygulama kullanıcının lokasyonunu, kimlik
bilgilerini, yüklendiği cihaza ait benzersiz numaraları
topluyor mu?
3.Toplanan veriler ile ilgili süre var mı ve uzun mu?
4.Toplanan verileri üçüncü şahıslarla paylaşmanız
gerekiyor mu? Üçüncü şahıslar aldıkları veri ile
kullanıcının kimliğini tespit edebilirler mi?
5.Kullanıcı kendi verilerini yönetebiliyor mu?

14. Verinin Sahibi kim?
Devlet - Şirket - Kullanıcı
Bu bilgilere sahip olmak için devletlerin neler yaptığını hatırlayın
Veri, artık paraya benziyor.
Nesnelerin interneti ile toplanan verilere paha biçilemez.
Şirketler, devletlerden daha çok kişisel veriye, ticari sırra sahipler. Sağlık, lokasyon,
davranış, tercihlerimiz.
Şirketlerin sözleşmeleri anayasalardan, yerel mevzuattan daha üstün
Sektör verisi toplanan kişi lehine düzenlenmeli
Depolamayı şirketler, bankalar değil, veri sahibinin yönetiminde depolanmalı
Şirketler, kullanıcı ile şeffaf bir anlaşma yapmalı, kurallara uymalı ve güven inşaa etmeli,
gelecekte bu şirketler kazanacak.
İnsanlar daha çok veri paylaşacak.

15. Uygulama Geliştiricilerin
ve Güvenlik Yazılımı
Geliştirenlerin
Sorumluluğu

16. Güvenlik
Yazılımlarının Getirdiği
Sorumluluk

17. Uygulamalarda Açık Tespit
Etmenin Hukuksal
Değerlendirmesi

18. Uygulamalarda Açık Tespit Etmenin
Hukuksal Değerlendirmesi
1. Responsible Disclosure
2. Limited Disclosure
3. Full Disclosure
4. No Disclosure

19. Uygulamalarda Açık Tespit Etmenin
Hukuksal Değerlendirmesi
•Ülkemizde ifşa modellerinin kabul edildiğine
dair düzenleme yoktur.
•Haksız rekabet davası ile karşılaşabilirsiniz.
•TCK 243 gereği yargılanabilirsiniz.
•Kullanıcı sözleşmesine aykırılık da gündeme
getirilebilir. FSEK devreye girebilir.
•Rakip bir şirketse daha da sıkıntılı olacaktır.
•Bedel istenmesi halinde şantaj gündeme
gelecektir.

20. AV. SERTEL ŞIRACI