Norveç Veri Koruma Kurumu (NDPA), Microsoft’un reklam teknolojileri alanında faaliyet gösteren iştiraki Xandr’a, Grindr kullanıcılarının hassas kişisel verilerini gerekli izinleri almadan reklam amacıyla kullandığı gerekçesiyle 92 milyon Norveç kronu (yaklaşık 9,6 milyon dolar) para cezası verdi. Kurum, Xandr’ın kullanıcıların açık rızasını doğrudan doğrulamak yerine flört uygulaması Grindr’ın gerekli izinleri daha önce aldığını varsaydığını belirtti. Söz konusu karar, Norveç Veri Koruma Kurumunun bugüne kadar verdiği en yüksek para cezası olarak kayıtlara geçti. İnceleme, kişisel verilerin dijital reklam ekosisteminde nasıl paylaşıldığına ve bu süreçte kullanıcıların ne ölçüde bilgilendirildiğine odaklanıyor. Karar, özellikle hassas kişisel bilgilerin hedefli reklamcılık amacıyla işlenmesinde açık rıza şartının uygulanmasına ilişkin dikkat çekici ayrıntılar içeriyor.
Norveç Veri Koruma Kurumunun açıklamasına göre Grindr uygulamasını açan kullanıcıların kişisel bilgileri, birçok durumda Xandr’ın reklam teknolojisi altyapısı üzerinden reklam ekosistemindeki potansiyel olarak binlerce farklı tarafa aktarılıyordu. Bu bilgiler sayesinde reklamverenler, kullanıcılara hedefli reklam gösterebilmek için birbirleriyle teklif yarışına girebiliyordu. Ne var ki söz konusu işlemler, kişisel verileri kullanılan kişilerin bilgisi dışında gerçekleştiriliyordu. Kurum, reklamların sunulması için yürütülen bu sürecin kullanıcılar açısından tamamen görünmez olduğunu vurguladı. Böylelikle kullanıcılar, verilerinin hangi şirketlere ulaştığını ve hangi reklam işlemlerinde değerlendirildiğini yeterince takip edemiyordu.
Xandr’ın Grindr verilerini kullanmasıyla ilgili soruşturma 2020’de başladı
Xandr hakkındaki incelemenin geçmişi 2020 yılına kadar uzanıyor. Norveç Tüketici Konseyi, şirketin Grindr kullanıcılarına ait kişisel verileri gerekli izinleri almadan ticari amaçlarla paylaştığı iddiasıyla Norveç Veri Koruma Kurumuna şikâyette bulundu. Soruşturmanın başladığı dönemde Xandr henüz Microsoft bünyesinde bulunmuyordu. Şikâyette, kullanıcı verilerinin reklam teknolojisi şirketleri arasında aktarılması sırasında açık rıza gerekliliklerinin karşılanmadığı ileri sürüldü. Kurumun daha sonra yürüttüğü inceleme, Temmuz 2018 ile Nisan 2020 arasındaki veri işleme faaliyetlerini kapsadı.
İLGİNİZİ ÇEKEBİLİR
Nadella, yapay zeka için insanın çekebileceği bir acil fren istiyor
PowerChina Çin’de 1 GW hibrit güneş santralini devreye aldı
Steam 43,5 milyon eş zamanlı kullanıcıyla rekor kırdı
TypeSafe AI, Jev için 870 milyon dolar yatırım aldı
Apple, ilk Apple TV 4K’yı klasik ürün listesine aldı, servis için ne değişiyor?
Norveç Veri Koruma Kurumu, Xandr’a verilen yüksek para cezasını ihlallerin ciddiyetiyle gerekçelendirdi. Kuruma göre kullanıcıların hassas kişisel bilgilerinin yeterli hukuki dayanak olmadan reklam amacıyla kullanılması, kişisel verilerin korunmasına ilişkin ciddi bir ihlal oluşturuyor. Para cezasının belirlenmesinde Xandr’ın yıllık toplam cirosu esas alındı. Bunun yanında şirketin, Grindr tarafından alınmış olduğu varsayılan kullanıcı izinlerine dayanması da değerlendirmede etkili oldu. Veri koruma düzenlemeleri kapsamında hassas kişisel verilerin işlenmesi için gereken açık rızanın geçerli biçimde alınması ve gerektiğinde kanıtlanabilmesi gerekiyor.
Dosyanın merkezinde, dijital reklam sektöründe yaygın biçimde kullanılan gerçek zamanlı teklif verme sistemi bulunuyor. Bu sistemde bir kullanıcı uygulamayı veya internet sitesini ziyaret ettiğinde reklam alanları için çok kısa sürede otomatik teklifler toplanabiliyor. Reklamverenler, sunulan kullanıcı bilgilerine ve hedefleme ölçütlerine göre hangi reklamın gösterileceğini belirlemek için teklif verebiliyor. Bununla birlikte kullanıcıya ait bilgilerin reklam sistemindeki farklı şirketler arasında aktarılması, kişisel verilerin korunması açısından çeşitli riskler doğurabiliyor. Özellikle cinsel yönelim gibi hassas bilgilerle ilişkilendirilebilecek uygulama kullanım verilerinin işlenmesi, sıradan reklam hedefleme verilerine göre daha sıkı hukuki koşullara tabi olabiliyor.
Günün Öne Çıkan Fırsatları
REKLAM — Bu içerikte satış ortaklığı bağlantıları bulunmaktadır. Bu bağlantılar üzerinden yapılan alışverişlerden Teknoblog komisyon kazanabilir.
Grindr da geçmişte kullanıcı verilerinin izinsiz paylaşılmasıyla ilgili yaptırımlarla karşılaşmıştı. Norveç Veri Koruma Kurumu, benzer gerekçelerle flört uygulamasına daha önce 5,6 milyon avroyu aşan, yaklaşık 6,2 milyon dolarlık para cezası vermişti. Bunun yanı sıra şirket, 2024 yılında Londra’da açılan bir davada kullanıcılarının HIV durumları ve test tarihleri dahil olmak üzere hassas sağlık bilgilerini paylaştığı iddialarıyla karşı karşıya kaldı. Bu davadaki iddialar ile Xandr hakkında Norveç’te yürütülen soruşturma ayrı hukuki süreçleri kapsıyor. Buna rağmen her iki dosya da flört uygulamalarında toplanan kişisel bilgilerin üçüncü taraflarla paylaşılması konusunda benzer gizlilik sorunlarını gündeme getiriyor.
Xandr hakkında verilen karar, reklam teknolojisi sağlayıcılarının yalnızca uygulama geliştiricilerinin kullanıcı izni aldığı yönündeki varsayımlarına dayanmasının yeterli olmayabileceğini ortaya koyuyor. Kullanıcıların açık rızasının hangi amaçlar için alındığı, verilerin kimlerle paylaşıldığı ve bu işlemlerin nasıl belgelendiği, veri koruma mevzuatına uyum açısından belirleyici unsurlar arasında bulunuyor. Öte yandan gerçek zamanlı reklam teklif sistemlerinde çok sayıda şirketin yer alması, kullanıcı bilgilerinin dolaşımını ve veri işleme sorumluluklarının takibini daha karmaşık hâle getiriyor. Norveç makamlarının değerlendirmesi de bu tür sistemlerde faaliyet gösteren şirketlerin veri işleme süreçlerindeki yükümlülüklerine odaklanıyor. Verilen ceza, özellikle hassas kişisel veriler söz konusu olduğunda reklam teknolojisi şirketlerinin geçerli kullanıcı iznini doğrulama sorumluluğunu öne çıkarıyor.
