Güncel Adalet Divanı Kararı: Sosyal Medya Platformları, Elde Edilen Verilerin Tamamını Hedefli Reklamcılık Amacıyla Kullanamaz

Avrupa Birliği Adalet Divanı (ABAD) tarafından alınan bazı güncel kararlar 4 Ekim 2024’te basın bülteninde yayımladı. Kararlar, kişisel veriler bakımından son derece önem arz ediyor.  Yayımlanan kararlar arasında en dikkat çekeni, Meta platformlarının kişisel verileri ihlal eden eylemlerine karşı ABAD’ın duruşunu belirleyen C-446/21 numaralı karar.

Kararda, Facebook gibi bir sosyal medya ağının, elde ettiği kişisel verilerin tamamını, zaman kısıtlaması olmaksızın ve veri türü ayrımı yapmaksızın hedefli reklam amacıyla kullanamayacağı vurgulanıyor. Davaya konu olayı özetlemek gerekirse; her şey bir aktivist olan Maximilian Schrems’in kamuya açık bir panelde cinsel yönelimiyle ilgili bir açıklamada bulunmasıyla başlıyor. Schrems, böyle bir verisini Facebook’ta paylaşmıyor, yalnızca konuşmacı olarak katıldığı bir panelde sözlü olarak açıklıyor. Ardından, Meta platformlarından olan Facebook üzerinden düzenli olarak eşcinsellere yönelik reklamlar ve ilgili etkinliklere davetiyeler almaya başlıyor. Bu noktada Meta platformlarından biri olan Facebook’un; kullanıcılarının Facebook dışı verilerini de toplayıp işlediği anlaşılıyor.

İlgili davadaki asıl tartışma konusu, Schrems'in kamuya açık bir panel tartışması vesilesiyle eşcinsel olduğunu açıklayarak kendisi hakkındaki özel nitelikli kişisel verileri açıkça kamuya açıklaması dolayısıyla bu verilerin GDPR kapsamında işlenmesine izin verip vermediği. İlgili veriler, kişinin kendisi tarafından kamuya açık bir panel ortamında sözlü olarak açıklamışsa da; herhangi bir sosyal medya platformunda duyurulmamış; bu tip bir bilginin herhangi bir sosyal medya platformunca işlenmesine rıza gösterilmemiş durumda.

İlgili kişi tarafından kamuya açık ortamda duyurulmuş bu tip kişisel verilerin rıza dışı işlenmesi ve hedefli reklamcılık amaçlarıyla kullanılması bakımından ABAD, kararda, iki ana soru yönelterek ilgili GDPR hükümlerini değerlendiriyor:

·      GDPR madde 5(1)(c), ana davadaki gibi bir platform tarafından tutulan tüm kişisel verilerin zaman veya veri türü kısıtlaması olmaksızın hedefli reklamcılık kullanılabileceği şeklinde mi yorumlanmalı?

GDPR m. 5/1-c veri minimizasyonu ilkesini düzenler. GDPR’ın ilgili maddesine göre kişisel veriler yeterli, ilgili ve işlendikleri amaç için gerekli olanla sınırlı olmalıdır. ABAD, veri minimizasyonu ilkesinin ilgili kişiden/ üçüncü kişilerden elde edilen ve sosyal medya platformunda veya bu platform dışından toplanan tüm kişisel verilerin hedefli reklamcılık amacını bertaraf ettiğini belirtmiştir. Verinin toplanması, analiz edilmesi ve işlenmesi bakımından söz konusu engellemenin zaman kısıtlamasına, veri türüne göre ayrıma tabi olmadığı da belirtilmiştir.

·      GDPR madde 5(1)(b), madde 9(2)(e) ile değerlendirildiğinde, bir panel tartışması sırasında kişi tarafından cinsel yönelimi hakkında yapılan bir açıklamanın, kişiselleştirilmiş reklam amacıyla verilerin toplanması/analiz edilmesi maksadıyla cinsel yönelimle ilgili diğer verilerin işlenmesine izin verdiği şeklinde mi yorumlanmalı?

GDPR m. 9 özel nitelikli kişisel verilerin işlenmesini düzenler. Mahkemenin atıf yaptığı hüküm olan GDPR m. 9(2) (e) ise, işlenen verinin, ilgili kişinin açıkça kamuya duyurduğu hususlar hakkında olmasını düzenler. Nihayetinde ABAD, bu soruyu “…ilgili kişinin kamuya açık bir panel sırasında kendi cinsel yönelimi hakkında yaptığı bir açıklama, ilgili kişinin GDPR madde 9(2)(e) kapsamında bu verileri açıkça kamuya açıkladığı bir eylem teşkil edebilir. Ancak bu durum, kişiselleştirilmiş reklam amacıyla verilerin bir araya getirilmesi ve analiz edilmesi amacıyla bu verilerin işlenmesine tek başına izin vermez.” şeklinde yanıtlamıştır. Bundan hareketle, kamuya yapılan açıklamaların, sosyal medya platformuna, bu açıklama konusu üzerinden hedefli reklamcılık yapma hakkı sağlamayacağı karara bağlanmıştır.

Tüm bunlara ek, karara göre Meta, kullanıcılar reklama izin verse bile, veri havuzunun sadece küçük bir bölümünü reklam amaçlı kullanabilir.

Karar, kişinin kamuya açık alanda duyurduğu kişisel verisinin ve bu veriyle bağlantılı olabilecek diğer verilerinin sosyal medya platformlarınca kendiliğinden işlemeye alınmasının önüne set çektiği için kritik.

İlgili ABAD basın bültenine buradan (yalnızca AB dillerinde mevcut); ABAD kararına ise buradan  (yalnızca AB dillerinde mevcut) ulaşabilirsiniz.