ABD federal yargıcı, Flock'un çalışan takibini ayrım gözetmeyen kitlesel gözetim olarak değerlendirdi

Karar ne diyor

dev.to'da yayımlanan, biri İngilizce biri Portekizce iki rehber, bir ABD federal yargıcının, varsayılan yapılandırmada çalıştırıldığında çalışan etkinlik takip platformu Flock'un "ayrım gözetmeyen kitlesel gözetim" oluşturduğuna hükmettiğini bildiriyor. İngilizce yazı davayı Kaliforniya Kuzey Bölgesi'ndeki Doe v. Flock Corp. olarak tanımlıyor ve mahkemenin, bilgilendirilmiş onay veya meşru bir iş amacı olmadan Flock'un dağıtımının Dördüncü Değişiklik'i ve Saklı İletişimler Yasası'nı ihlal ettiğine karar verdiğini söylüyor. Portekizce yazı ise aynı kararı New York'taki bir federal bölge mahkemesine atfediyor ve 12 Eylül 2026 olarak tarihlendiriyor. İki anlatı temel bulgu konusunda hemfikir; yer ve tarih konusunda ayrışıyorlar, bu yüzden ayrıntılar harekete geçilmeden önce birincil karardan doğrulanmalı.

İngilizce yazıya göre karar, "kitlesel gözetim" etiketini ticari bir ürüne yapıştıran ilk ABD kararı ve Avrupa veri koruma otoriteleri kararı şimdiden referans gösteriyor. Aynı anlatı, kararın genel bir yasak olmadığını vurguluyor: dağıtım açık onay, veri minimizasyonu ve amaç sınırlaması etrafında yeniden tasarlandığında kullanımın sürdürülmesi mümkün görünüyor.

Flock'un topladığı söylenen veriler

Her iki yazı da Flock'u hizmet olarak sunulan bir takip araç olarak tanımlıyor: Windows, macOS ve Linux için hafif bir agent'ın bulut arka ucuna veri gönderdiği, davranışı puanlayan tescilli bir yapay zekâ katmanı — yazılar sızıntı riski ve verimsiz etkinlik gibi kategoriler örnek veriyor — ve Slack, Teams ve ServiceNow entegrasyonlarına sahip bir web dashboard'dan oluşan bir yapı.

Toplama kapsamı ise anlatıların ayrıştığı nokta. İngilizce yazı, varsayılan yapılandırmanın tuş vuruşlarını, ekran görüntülerini, fare hareketini, etkin pencere başlıklarını, uygulama kullanımını ve ziyaret edilen URL'leri sürekli yakaladığını ve — en iddialı savı olarak — web kamerası videosu ile ortam sesini de toplayıp hepsini merkezî bir "data lake"e aktardığını öne sürüyor. Portekizce yazı ise beş saniyelik ekran görüntüsü aralıklarını, keylogging'i, uygulama ve URL kayıtlarını ile mobil cihazlarda GPS'i sayıyor; bulut deposunda varsayılan 90 günlük saklama süresinden bahsediyor ama kamera veya mikrofon yakalamasından hiç söz etmiyor. Satıcının, açık onay yerine GDPR kapsamındaki "meşru menfaat"e ve CCPA kapsamındaki "iş amacı"na yaslandığını not ediyor — kararın tam da reddettiği söylenen duruş bu.

Ağ ortamında bulunması

dev.to rehberleri ürün değil tarif usulü: Windows, macOS ve Linux genelinde çalışan süreçlerde flock adlı binary'leri tarayın; Windows kayıt defteri kaldırma anahtarlarını ve yaygın kurulum yollarını kontrol edin; kurulan ağ bağlantılarında Flock uç noktalarını veya AWS us-east-1 arka ucunu inceleyin; ve flock markalı yapılandırma dosyalarını arayın. Kaldırma da aynı deseni izliyor — servisi durdurun, satıcının kaldırıcısını çalıştırın, artık dizinleri silin — Portekizce yazı, kaldırmanın uninstall log'ları ve envanter denetimleriyle kanıtlanması gerektiği konusunda uyarıyor. Ayrıca ters riski de işaret ediyor: çalışanların onaylanmamış takip agent'ları kurması; bu da tek seferlik taramalar yerine sürekli endpoint taraması gerektirdiğini gösteriyor.

Şimdi IT'nin önündeki uyum işi

Yazılar pratik bir kontrol listesinde buluşuyor. Her endpoint'te takip agent'ları için envanter çıkarın; neyin toplandığını, nerede saklandığını ve kimin erişebildiğini haritalandırın. Hukuki dayanağı yeniden kurun — veri türü başına açık, ayrıntılı onay ya da belgelenmiş bir meşru menfaat dengesi testi. Minimizasyon uygulayın: kamera ve ses yakalamayı kapatın, ekran görüntüsü sıklığını düşürün veya yalnızca oturum açma takibine geçin. Kısa saklama süreleri dayatın — ham kayıtlar için 30 gün öneriliyor — ve onay kayıtları ile yapılandırma değişikliklerini denetim kanıtı olarak loglayın. Sürekli çalışan takibi için bir veri koruma etki değerlendirmesi zorunlu olarak tanımlanıyor ve eyalet bazlı riskler için — Illinois biyometrik gizlilik yasası gibi — hukuk müşavirinin incelemesi gerekiyor. Portekizce SSS'ye göre agent'ları şirkete ait donanımla sınırlamak, geçerli bir hukuki dayanak ihtiyacını ortadan kaldırmıyor. Her iki yazı da daha düşük riskli alternatiflere işaret ediyor: ActivTrak, Teramind, Hubstaff, Harvest, Microsoft Viva Insights ve açık kaynaklı, yalnızca yerel çalışan ActivityWatch.

Kaynakların ayrıştığı noktalar

Yer ve tarihin ötesinde, yazılar çelişen arama ilgi rakamları sunuyor — yüzde 250'ye karşı yüzde 340 büyüme — ve kamera ile ortam sesi yakalamanın ürünün parçası olup olmadığı konusunda ayrışıyor. İkisi de saniyeler arayla dev.to'da yayımlanmış uygulayıcı rehberleri ve ikisi de kararın birincil metnine bağlantı vermiyor. Uyum tavsiyesi kendi başına geçerli; hukuki ayrıntılar ise bağımsız doğrulamayı hak ediyor.

Neden önemli

Bildirilen hüküm doğruysa, işyeri takibinin varsayılan duruşunu "her şeyi topla, sonra gerekçelendir"den "onay al, minimize et, belgele"ye çeviriyor. Portekizce yazı, kararın 27 ABD eyaletinde davaların önünü açtığını öne sürüyor ve okurlara GDPR cezalarının küresel yıllık ciroların yüzde 4'üne veya 20 milyon avroya kadar çıkabileceğini hatırlatıyor; İngilizce yazı ise AB düzenleyicilerinin kararı şimdiden dayanak yapmaya başladığını söylüyor. IT liderleri için acil görev dar ve teknik: agent'ları bulun, veri akışlarını belgeleyin ve hukuki dayanağı onarın ya da aracı değiştirin — yoksa denetimi bir düzenleyici ya da çalışan davası sizden önce yapar.