Oura, hükümet veri taleplerini onayladı; raporlama düzeyi sorgulanıyor
Akıllı yüzük üreticisi Finlandiya merkezli Oura, hükümetlerden kullanıcı verisi talepleri aldığını ilk kez resmi olarak doğruladı. Şirket, geçtiğimiz hafta TechCrunch yan yayın platformu This Week in Security'ye gönderdiği yanıtta bunu açıkladı. Ancak şirketin bu talepleri sayısal bir şeffaflık raporu olarak yayımlayıp yayımlamayacağı henüz belirsiz.
Oura, biyometrik veri toplayan akıllı yüzük ürünüyle tanınıyor. Sağlık ve uyku metriği takibi yapan yüzükler, vücut ısısı, kalp atış hızı, kan oksijen seviyesi, hareket ve uyku örüntüsü verilerini sürekli olarak topluyor. Şirketin küresel kullanıcı tabanı 2.5 milyondan fazla.
This Week in Security'nin sorularını yanıtlayan Oura sözcüsü, 'Şirketimiz, geçerli yasal çerçevelerde sunulan veri taleplerine yanıt verme yükümlülüğüne sahiptir. Bu süreç içinde, gizlilik ve kullanıcı haklarını en üst düzeyde tutmak öncelikli hedefimizdir' yorumunu yaptı. Ancak sözcü, alınan talep sayısı veya bunlardan kaçının onaylandığı konusunda spesifik bir veri paylaşmadı.
Şirketin gizlilik politikasında daha önce 'Geçerli yasal süreç gereği veri paylaşımı yapılabilir' ifadesi yer alıyordu, ancak hükümet taleplerinin alındığına dair açık bir doğrulama bulunmuyordu. Oura'nın bu hafta yaptığı açıklama, ilk açık beyandır.
Konu, Oura'nın halka arz dosyalama haberinin ardından gündeme geldi. Şirket, 22 Mayıs'ta SEC'e halka arz başvurusunda bulundu ve 6 milyar dolar değerleme bekleniyor. SEC dosyaları, kullanıcı verisi politikalarını risk faktörleri arasında listeliyor.
Elektronik Sınır Vakfı (Electronic Frontier Foundation - EFF) sözcüsü Eva Galperin, açıklamayı 'önemli bir adım' olarak nitelendirdi. 'Ancak gerçek şeffaflık, sayısal raporlamayı içerir. Apple, Google, Meta, Twitter — sektördeki büyük oyuncuların hepsi yarıyıllık raporlarda hükümet taleplerinin sayısını ve onaylanma oranlarını yayımlıyor. Oura'nın aynı standartı benimsemesi gerekiyor.'
Bu sektörel pratik, 2010-2014 dönemi 'şeffaflık raporu' hareketiyle birlikte gelişti. Google, ilk şeffaflık raporunu 2010'da yayımlamıştı; Apple, Microsoft, Meta gibi büyük şirketler sonraki yıllarda izledi. Yarıyıllık olarak yayımlanan bu raporlar, hangi ülke hükümetlerinden ne sayıda talep alındığını, içerik kaldırma talepleri sayısını ve onaylanma oranlarını içeriyor.
Oura'nın spesifik durumda dikkat çekici olan, topladığı verinin sağlık-biyometrik karakteridir. Uyku örüntüleri, kalp atış hızı değişkenliği, vücut ısısı verisi, sıradan iletişim metaverisinden daha hassas bilgi içerir. Yale Tıp Fakültesi Sağlık Bilişim Profesörü Dr. Karandeep Singh, 'Biyometrik veri, kişinin tıbbi durumuna ilişkin çıkarımlar yapılmasına olanak sağlar; bu da hukuki ve ahlaki olarak daha yüksek standartlarda korunması gereken bir kategori' yorumunu yaptı.
ABD ve AB veri koruma çerçevelerinde biyometrik veri, 'özel kategoriler' altında düzenleniyor. AB Genel Veri Koruma Tüzüğü (GDPR) Madde 9, biyometrik verinin işlenmesini özel onaya bağlıyor. ABD'de ise federal bir biyometrik veri yasası bulunmuyor; eyalet bazında düzenlemeler (Illinois BIPA gibi) farklılık gösteriyor.
Oura'nın halka arz öncesinde gizlilik açıklamalarının daha kapsamlı hale getirmesi bekleniyor. SEC sürecinin S-1 belge dosyalamasının ardından yatırımcılar daha detaylı bilgi alabilecek. Bu içerik genel bilgi amaçlıdır; bireysel veri gizliliği kararları için bağımsız kaynaklara başvurulması önerilir.