Avrupa Birliği Adalet Divanı (ABAD), 2 Aralık 2025 tarihinde verdiği Russmedia (C-492/23) kararıyla, "yer sağlayıcı" (hosting provider) konumundaki platformların GDPR kapsamındaki sorumluluklarına dair önemli tespitlerde bulundu. Bu karar, kullanıcı türevli içerik barındıran (ilan siteleri, sosyal medya vb.) platformların iş modellerini ve uyum süreçlerini yakından ilgilendiriyor.
Olay
Bir çevrimiçi ilan platformunda, üçüncü bir kişi tarafından mağdura ait "uygun olmayan" fotoğraflar izinsiz kullanılarak sahte bir ilan oluşturuluyor. İlan platformdan kaldırılsa da başka mecralarda yayılmaya devam ediyor. Platform, "yer sağlayıcı" olduğunu ve içerikten sorumlu tutulamayacağını savunuyor.
Mahkemenin Hukuki Değerlendirmesi
➡️ Veri Sorumlusu Sıfatı
Mahkeme, platformun ilanları kendi ticari amaçları doğrultusunda tasnif etmesi ve yayınlaması nedeniyle, sadece teknik bir aracı değil, aynı zamanda Veri Sorumlusu olduğuna hükmetti. Bu tespitte ayrıca platformun kullanım şartlarını da değerlendirdi. Dolayısıyla E-Ticaret Direktifi'ndeki sorumsuzluk halleri, veri koruma yükümlülüklerini ortadan kaldırmıyor. Ayrıca platform işleticisi ile kullanıcının ortak veri sorumlusu olduğu da belirtildi.
➡️ Anonimlik ve Özel Nitelikli Veri
Mahkeme, cinsel hayat gibi özel nitelikli kişisel verilerin işlendiği durumlarda, ilanı veren kişinin anonim kalmasının risk oluşturduğuna dikkat çekti. "Tasarım İtibariyle Gizlilik" (Privacy by Design) ilkesi gereği, platformun bu tür riskli içeriklerde ilanı verenin kimliğini doğrulama ve açık rızayı teyit etme yükümlülüğü olduğuna işaret edildi.
➡️ Veri Güvenliği Tedbirleri
Platformun sorumluluğu sadece içeriği kaldırmakla sınırlı görülmedi. GDPR Madde 32 kapsamında, verinin kopyalanmasını ve başka platformlara dağılmasını engelleyici teknik tedbirlerin de alınması gerektiği belirtildi.
Türk Hukuku Açısından Değerlendirme
➡️ KVKK
Platformların, kullanıcılar tarafından yüklenen içerikler bakımından "Veri Sorumlusu" sıfatını taşıyıp taşımadığı tartışmasında, "işleme amacı ve vasıtalarını belirleme" kriteri daha geniş yorumlanabilir. Ortak veri sorumluluğu hususunu ise Türk Hukuku açısından son derece muğlak bir konu.
➡️ 5651 Sayılı Kanun
Yer sağlayıcıların içerikten sorumlu olmama kuralı ile veri sorumlusunun veri güvenliğini sağlama yükümlülüğü arasındaki denge, bu kararla birlikte veri güvenliği lehine değişebilir.
➡️ Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
Md. 9 f. 1'de belirtilen "diğer kanunlarda aksine hüküm bulunmadıkça" ibaresine göre KVKK "aksine hüküm bulunan diğer kanun" olarak değerlendirilebilir mi?
Sonuç olarak ABAD, dijital platformların "pasif aracı" rolünden, veri güvenliğini aktif olarak gözeten bir yapıya geçmesi gerektiğini vurguluyor. Bu durum, platformların anonimlik politikalarını ve güvenlik mimarilerini yeniden gözden geçirmelerini zorunlu kılabilir.