Coinbase’e yüz tanıma davası: Kullanıcı biyometrik verileri izinsiz işlendi

ABD’nin Illinois eyaletinde yaşayan bazı vatandaşlar, kripto para borsası Coinbase’e karşı ‘biyometrik veri’ ihlali gerekçesiyle toplu dava açtı. Dava dilekçesinde, şirketin kimlik doğrulama sürecinde kullanıcıların rızası olmadan yüz verilerini topladığı ve üçüncü taraflarla paylaştığı öne sürülüyor.

13 Mayıs’ta federal mahkemeye sunulan belgelerde, Coinbase’in yeni kullanıcı kayıt aşamasında kimlik belgesi ve özçekim fotoğrafı talep ettiği bilgisi yer alıyor. Bu görsellerin daha sonra yüz tanıma algoritması kullanan üçüncü parti sistemlere yönlendirilerek analiz edildiği, ancak bu süreçte Illinois Biyometrik Bilgi Koruma Yasası(BIPA) hükümlerinin ihlal edildiği iddia edildi.

Davacılar, kullanıcıların biyometrik veri toplanmasına dair açık bir onay vermediklerini ve üçüncü partilerin bu verileri işlediğinden de haberdar olmadıklarını belirtiyor. Coinbase’in Jumio, Onfido, Au10tix ve Solaris gibi dış firmalara bu verileri aktardığı, ancak bu paylaşım için kullanıcılardan izin almadığı da dava dosyasında yer aldı. Şirketin kullanıcılarla yaptığı tahkime yönlendirme çabasının ise gerekli ücretlerin ödenmemesi nedeniyle mahkeme tarafından reddedildiği aktarıldı.

Bu durum sonucunda, davacılar Illinois Eyalet Biyometrik Bilgi Koruma Yasası kapsamında üç ayrı ihlal ve Tüketici Dolandırıcılığı Koruma Yasası uyarınca bir ihlal gerekçesiyle tazminat talebinde bulundu. İddialar kapsamında, ‘kasten yapılmış ihlaller’ için olay başına 5.000 dolar, ‘ihmal sonucu’ yaşanmış ihlaller içinse olay başına 1.000 dolarlık tazminat isteniyor. Buna ek olarak, şirketin bu veri toplama uygulamasını sonlandırması ve dava masraflarını karşılaması da talep ediliyor.

Bu, Coinbase’in yüz tanıma süreci nedeniyle karşılaştığı ilk dava değil. 2023 Mayıs ayında da benzer bir şikayet gündeme gelmişti. Öte yandan, bu son dava dalgası yalnızca yüz tanıma ile sınırlı değil. 15 ve 16 Mayıs tarihlerinde, Coinbase müşteri hizmetleri personelinin rüşvet alarak hassas kullanıcı bilgilerini sızdırması sonucu altı ayrı toplu dava daha açıldı.

Mahremiyet odaklı kimlik doğrulama şirketi Holonym’in kurucu ortağı Nanak Nihal Kalsa, bu olayın, ‘sıfır bilgi’ (zero-knowledge) temelli doğrulama mekanizmalarının henüz yerleşmediği durumlarda KYC süreçlerinin ciddi bir güvenlik riski oluşturduğunu gösterdiğini ifade etti. Kalsa, milyonlarca kullanıcının kimlik bilgilerinin merkezi şekilde saklanmasının, şirketleri hem hedef hem de sorumluluk sahibi haline getirdiğini söyledi.

Ayrıca, kripto hizmetleri kullanabilmek için mahremiyetin feda edilmek zorunda olmadığını vurgulayan Kalsa, gelecekte kişisel veriler depolanmaksızın, sıfır bilgi ispatları gibi araçlarla kimliğin doğrulanabileceği bir yönteme geçileceğini öngördüğünü belirtti.