LG Akıllı TV Jazı Skandalı: 2013'ten Günümüze Gizlilik Savaşı ve ACR Teknolojisi

İngiltere tabanlı bir güvenlik araştırmacısının ağ trafiği analiziyle başlayan ve İngiltere Bilgi Komisyonu (ICO) resmi soruşturmasıyla sonuçlanan LG akıllı TV veri sızıntı olayı, tüketici elektronik tarihindeki en kapsamlı gizlilik krizlerinden biri olarak tarihe geçti. Olay, akıllı cihazların "gizli göz" olma riskini kamuoyuna hatırlatarak günümüzdeki Otomatik İçerik Tanıma (ACR) teknolojilerinin hukuki zeminini şekillendirdi.

Olay nasıl ortaya çıktı?

Kasım 2013'te güvenlik araştırmacısı Jason Huntley (bilinen adıyla DoctorBeet), yeni aldığı LG akıllı TV'sinin ağ trafiğini mitmproxy aracılığıyla dinlerken, cihazın "Akıllı Reklam" ve "İzleme Bilgilerini Topla" ayarları kapalı olmasına rağmen, izlenen kanallar, USB portuna takılan sürücülerdeki dosya isimleri ve cihaz kimlik numaralarının şifrelenmemiş (HTTP) protokolle LG sunucularına gönderildiğini tespit etti. Araştırmacı, bulgularını blogunda paylaşırken LG'nin varsayılan ayarların kullanıcıyı nasıl kandırdığını ve veri kontrolünün kullanıcıdan alındığını belgelerle kanıtladı.

LG'nin resmi duruşu ve ICO süreci

Olay medyada yayıldığında LG Electronics, ilk başta bunu bir "hata" olarak nitelendirip yazılım güncellemesiyle çözüleceğini açıkladı. Güney Koreli devi, resmi blogunda yayınladığı açıklamada veri toplamanın "hizmet kalitesini artırmak" için yapıldığını, ancak kullanıcı tercihlerinin (opt-out) saygılanmadığını kabul etti. İngiltere Bilgi Komisyonu (ICO), 2014 yılında başlattığı resmi soruşturma kapsamında LG'den yazılı açıklama talep etti. ICO, LG'nin veri işleme faaliyetlerinin şeffaflık ilkesine aykırı olduğunu tespit ederek, şirketin Avrupa Veri Koruma Yönergesi'ne (o dönemdeki mevzuat) uyum sağlaması için zorunlu değişiklikler yapmasını sağladı.

Teknik arka plan: ACR ve "İkinci Ekran" Verisi

Skandalın çekirdeğinde yatan teknoloji, günümüzde neredeyse tüm büyük markalarda (Samsung, Sony, Vizio, TCL) standart olan Otomatik İçerik Tanıma (ACR) sistemidir. Bu sistem, ekrandaki piksel desenlerini veya ses parmak izlerini analiz ederek kullanıcının ne izlediğini (kanal, uygulama, hatta HDMI girişi üzerinden gelen konsol oyunu) anlık olarak tespit eder. 2013'te LG, bu veriyi Alphonso (sonradan LG Ads'a entegre edildi) ve Cognitive Networks gibi üçüncü taraf pazarlama ortaklarıyla paylaşıyordu. Günümüzde LG, bu veriyi "LG Channels" ve hedefli reklamcılık birimi üzerinden işlerken, kullanıcıya "Gizlilik Ayarları" menüsünden ACR'yi (genelde "Canlı Plus" veya "Akıllı Reklam" adıyla) kapatma imkânı sunuyor; ancak varsayılan ayarların yine "Açık" gelmesi ve menülerin derinlikte gizlenmesi eleştirilmeye devam ediyor.

KVKK ve GDPR perspektifinden bugünkü durum

Türkiye'de 2016'da yürürlüğe giren KVKK (Kişisel Verileri Koruma Kanunu) ve Avrupa'da 2018'den beri geçerli olan GDPR, bu tür veri işlemelerde "açık rıza" şartını getirdi. Mevzuata göre, kullanıcının hangi programı izlediği verisi "özellikleri belirli bir kişiyi tanımlayan veri" (özveri) sayılır. Bu nedenle LG dahil tüm üreticiler, kurulum sihirbazında (Out-of-Box Experience) ACR ve hedefli reklam için ayrı, ön işaretli olmayan onay kutucukları sunmak zorundadır. Ancak pratikte; uzun metinlerin içinde kaybolan, "Kabul Et" butonuna basılmadan ileri gidilemeyen arayüzler (dark patterns), KVKK Kurulu'nun 2023-2024 kararlarında da cezalandırılan yaygın bir sorun बना हुआ है.

Kullanıcı ne yapmalı?

Gizlilik odaklı kullanıcılar için teknik önlemler şunlardır: TV ayarlarından "Genel" -> "Gizlilik" yoluyla "Akıllı Reklam", "Canlı Plus", "Pazarlama İçin Veri Paylaşımı" seçeneklerinin kapatılması; ağ seviyesinde Pi-hole veya AdGuard Home gibi DNS engelleyicilerle LG telemetri alan adlarının (örn. lgad.cjpowercast.com, advertising.lge.com) engellenmesi; ve TV'in internete bağlanmaması (sadece HDMI kaynaklı kullanım) durumunda veri akışının tamamen kesilmesi. Unutulmamalıdır ki ACR kapatılsa bile cihaz tanıtım, yazılım güncellemesi ve saat senkronizasyonu için minimum seviyede telemetri göndermeye devam eder.