Washington Post’un yürüttüğü soruşturma, ABD’deki otomatik plakalı okuyucu (ALPR) sistemlerinin başını çekilen Flock Safety şirketinin mimarisindeki yapısal açıkları ortaya koydu. Araştırma, Georgia’lı anne Marci Bakely’nin eski sevgilisinin, Braselton Polis Şefi Michael Steffman aracılığıyla kendi ve ergen kızıının plakalarını yaklaşık 600 kez sorguladığını belgeledi. Steffman, Kasım 2025’te takip, taciz ve bir ALPR sisteminin kötüye kullanım suçlamalarıyla tutuklandı ancak duruşma öncesinde öldü bulundu. Bakely’nin durumu yalnızca kişisel bir istisna değil; soruşturma, Flock kameralarını güncel veya eski eşlerini ya da tanışmayı umduğu kişilerle gözetlemekle suçlanan 26 polis memoru dahil en az 50 polisin kötüye kullanımı ortaya çıkardı ve bu sayının ardından 100’den fazla polis departmanı çalışanına kadar genişledi.
Flock, bu kişilerin kendi 140.000’in üzerinde aylık kullanıcısının çok küçük bir kısmını oluşturduğunu ve kalıcı denetim kayıtlarının kötüye kullanımı ortaya çıkarmaya yardımcı olduğunu savunuyor. Ancak bu suistimaller hiçbir hacking ya da çalıntı kimlik bilgisi gerektirmedi; her kullanıcı kapıdan normal şekilde içeri girdi.
Hareketlerin arama motoru
Flock kameraları bir aracın plakasını, konumunu ve damga izlerini çentiklerden ya da cam bariyerine yapıştırılmış çıkartmalara kadar kaydediyor. Yapay zeka, plakalı araç fotoğraflarını çekildikleri tarihe göre sıralayabiliyor. Ağındaki polis departmanları ardından izin belgesi (warrant) veya amir onayı olmadan aramalar gerçekleştirebiliyor.
Eylül 2026’da Wired ve 404 Media, bir Flock kameradan kopyalanan verileri analiz etti. Yaklaşık 21 günlük kayıtlar yaklaşık 50.200 araçtan ve 1,6 milyon görüntüden oluşuyordu. Yazılım kişiler ve bisikletleri tespit ediyor hatta bir motosikletlinin çantasındaki Amerikan bayrağı yamasını bile izole edebiliyordu. Flock, kameradaki güvenlik açıklarıyla ilgili hackerların teknik iddialarını değerlendirmek için yeterli bilgiye sahip olmadığını belirtti.
Bu suistimaller hiçbir hacking ya da çalıntı kimlik bilgisi gerektirmedi. Her kullanıcı kapıdan normal şekilde içeri girdi.
Soruşturma metni
Flock, müşterilerin kendi verilerini kontrol ettiğini söylüyor; ancak paylaşımı açık bırak bir departman kimin izlediğini bilmeyebilir. 2025 yılında ABD Gümrük ve Sınır Koruması (CBP), açıklanmayan ulusal araç takip pilotu kapsamında 80.000’den fazla kameraya erişti, bunlar arasında kendi bilgisinin bile olmadan bir polis departmanının kameraları da vardı.
Kayıtlar yalnızca olaydan sonra
Kayıtlar kötüye kullanımı ancak olduktan sonra ve ancak biri okuduğunda belgeiyor. Indianapolis polisi, Washington Post binlerce şüpheli sorgulamayı bir memurdan işaret edene kadar Flock aramalarını düzenli biçimde denetlemedi. Ağıntısı genelinde yapılan bir denetim, dört daha fazla memurun iddia edilen kötüye kullanımını ortaya çıkardı. Diğer polis departmanları da benzer şekilde memurların kötüye kullanımı hakkında muhabirlerden haberdar oldu.
Flock’un Ağustos 2026’daki değişiklikleri, önerilen veri saklama süresini 30 günden yedi güne kısaltıyor ve aramaları belgelemek için kötüye kullanım tespiti ile vaka kodları gerektiriyor. Ancak müşteriler veriyi daha uzun süre saklayabilir, acil durumlar vaka kodlarını atlayabilir ve bir vaka numarası girmek mahkeme onayı olmadan yapılabiliyor.
Kullanıcı aşırılıklarına örnekler
Flock’un mimarisi yerel kameraları, kameraları hiç satın almayan ajansların sorgulayabildiği yargı yetkisini aşan bir gözetim ağına dönüştürüyor. Illinois’in Danville şehrindeki kamusal kayıtlar, federal ajanslardan gelen 4.000’den fazla aramayı ortaya çıkardı; bunlar arasında potansiyel olarak göçmenlik uygulamasına odaklanan bazıları da vardı, oysa ABD Göçmenlik ve Gümrük Uygulama Dairesinin (ICE) bir Flock sözleşmesi yoktu.
2026 yılında yapılan benzer bir çalışma, sekiz üniversite polisinin kısmi kayıtlarında 11.935 göçmenlikle ilgili aramayı tespit etti. Federal göçmenlik ajansları bazen kampüs yetkililerinin haberi olmadan kampüs kameralarına erişti.
Ağı, ayrıca yasal açıdan tartışmalı diğer alanlarda aramaları da mümkün kılıyor. Mayıs 2025’te Texas’ta bir şerif dairesi, kendiliğinden kürtaj yapan bir kadın için 83.000’den fazla kameraya erişti. Kayıtlı neden “kürtaj yaptı, kadın ara” şeklindeydi. Arama, başka bir eyaletin kürtaj yasağını uygulamak için plakalı veri paylaşımını yasaklayan Illinois’e ulaştı. Şerif bunu bir refah kontrolü (welfare check) olarak nitelendirdi.
Bu örnekler yalnızca bireysel kötüye kullanımı yansıtmıyor. Platform, kameraları ikinci bir tarafın kolay kullanmasını, izlemeyi zorlaştırmasını ve yerel kameralar bağlandıktan sonra kontrol etmeyi zorlaştıran bir yapı sunuyor.
Soruşturma metni
Dördünci Değişiklik neden önemli
Hukuk, ALPR kullanımında hâlâ belirsizliğini koruyor. Ekim 2025’te Virginia bir istinaf mahkemesi, polis memurlarının Norfolk’ın 172 kameralık ağından yedi dakikayı kapsayan üç görüntüyü geri almak için izin belgesine ihtiyaç olmadığına hükmetti çünkü bunlar kişiler değil araçları gösteriyordu. Ancak Flock’un kişi tespit yetenekleriyle ilgili sonraki buluşlar bu ayrımı zayıflatıyor. Hacklenen kameranın analizi, yazılımının bir kişiyi tanımlayabileceğini ve o kişinin konumunu görüntü içinde kaydedebileceğini ortaya koydu.
Ocak 2026’da federal bir hakim, Norfolk’un o zamanki 176 kameralık ağının Dördünci Değişiklik korumalarını ihlal etmediğine hükmetti. Sistem anyoneın tamamında hareketlerini kaydetmedi; mahkeme, dört buçuk aylık dönemde iki davanın araçlarını sırasıyla 475 ve 325 kez fotoğrafladığını belirtti. Karar üst mahkemeye taşındı.
2018 yılında Yargıtay, Carpenter v. United States davasında, yedi günlük tarihsel cep telefonu konum kayıtlarının genellikle bir kişinin geçmiş hareketlerini yeniden inşa edebileceği için bir izin belgesini gerektirdiğine hükmetti. Flock’un mimarisi buna benzer ancak çözülmemiş bir soru ortaya koyuyor: Veritabanı aynı şekilde hareketleri yeniden inşa edebilir, oysa polis memurları onu izin belgesi olmadan sorgulayabiliyor.
Norfolk kararlari
Her iki Norfolk kararı da Yargıtay’ın Haziran 2026’daki Chatrie v. United States davasındaki kararına öncelik etti; bu kararda mahkeme, polislerin iki saatlik depolanmış Google konum geçmişini edinirken Dördünci Değişiklik kapsamında bir arama yaptısına hükmetti. Mahkemeye aramanın meşru olup olmadığını izlemedi; bunun yerine davayı alt mahkemeye iade etti ve izin belgesinin Dördünci Değişikliğin şartlarını karşılayıp karşılamadığını belirlemesini istedi.
Bu, erişimi otomatik olarak anayasaya aykırı yapmadı: Dördünci Değişiklik, usulsüz aramaları yasaklar, tüm aramaları değil. Ancak polis davranışı bir arama olarak sınıflandırıldığında genellikle muhtemel gerekçeye dayanan bir izin belgesine ihtiyaçları vardır.
Chatrie kararı, halka açık alanda görülen araçları, biri ev ya da başka hassas bir yere kadar takip edebilecek telefon konum verilerinden ayırdı. Ancak geriye dönük aranamayan kapsamlı arşivlere ilişkin endişeyi de dile getirdi. Bir plakalı okuyucu ağı, sürücünün kamuya açık hareketlerinin benzer bir arşivini oluşturabilir.
Bu nedenle Norfolk davasındaki anayasal soru yalnızca geri alınan yedi dakikaya değil, aynı zamanda 172 kameralık ağın gözetim gücüne de bağlıdır.
Soruşturma metni
Uygulanabilir sınırlar
Indianapolis’teki olaylar, Flock sistemindeki iç kontrollerin sınırlarını ortaya koyuyor. Marion County savcısı Ryan Mears, önerilen birçok güvenlik önleminin bu davranışı engelleyemeyeceğini söyledi ve bağımsız ya da mahkeme gözetimine ihtiyaç olduğunu vurguladı.
Flock’un yeni önlemleri, şirketin tasarımın önemli olduğunu kabul ettiğini gösteriyor; ancak özel ayarlar yasaların yerini alamaz. Mesele memurların kurallara uymasını sağlamak değil; uygulanabilir sınırlar yaratmak.
