I. Olay
Interactive Advertising Bureaus Europe ('IAB'), reklam ve pazarlama sektöründe faaliyet gösteren üyelerinin menfaatlerini temsil eden bir kuruluştur. IAB, Transparency & Consent Framework ('TCF') olarak nitelendirdiği ve talimat, yönerge, sözleşme ve teknik tedbirlerden oluşan, bir taraftan web sitesi sunucularına, diğer yandan veri brokerları ve reklam platformlarına pazarlama ve reklam süreçleri esnasında ilgili kişi kişisel verilerini hukuka uygun şekilde işleme imkânı sağlayan bir çerçeve sunmaktadır.
Web sitesinde sunulan reklamların doğru kişilere ulaştırılmasını mümkün kılan ve arka planda gerçek zamanlı olarak farklı reklam sunucuların bir açık artırma sürecinde reklamlarını sunabildikleri "Real Time Bidding" ('RTB') yöntemini mümkün kılan OpenRTB protokollerinde TCF, süreçlerin GVKT'ye uygun şekilde yürütülmesini temin etmeyi amaçlamaktadır.
Bu bağlamda reklam sunmak isteyen veri brokerları ve reklam platformları, web sitelerinde reklam için ayırılan yerlere reklam yerleştirebilmek için gerçek zamanlı açık artırma sürecine girmekte, ancak bunun için bir taraftan mevcut müşteri profillerini oluşturmak, diğer yandan da söz konusu profile uygun düşen müşterinin web sitesini ya da uygulamayı açtığı esnada ona uygun düşecek reklamı ilgili reklam alanına yerleştirmesi gerekmektedir.
Açık Rıza Yönetim Platformu (CMP)
Bu sürecin hukuki açıdan gerçekleştirilebilmesi için ilgili kişilerin açık rızası temin edilmelidir. İlgili kişinin açık rıza verip vermediği, hangi kapsamda açık rıza verdiği, meşru menfaat kapsamında hangi işleme süreçlerine itiraz ettiği gibi bilgilerin bütün katılımcılarla paylaşılması gerekmektedir. Ancak bu sayede ilgili kişiye hangi kapsamda reklam ve pazarlama yapılabileceği Framework katılımcıları açısından tespit edilebilecektir.
İşte bu amaçla IAB tarafından bir Açık Rıza Yönetim Platformu (Consent Management Platform – 'CMP') kurgulanmıştır. İlgili kişi web sitesi ya da uygulamayı açtığında pop-up şeklinde beliren pencerede kişiye açık rızasını verme, meşru menfaate dayalı süreçlere itiraz etme, açık rızasını geri alma gibi imkanlar sunulmaktadır.
TC-String ve Euconsent-v2 Çerezi
Kişinin bu tercihlerini tespit edebilmek, kaydedebilmek ve Framework katılımcılarıyla paylaşabilmek adına öncelikle bir şeffaflık ve rıza dizini (Transparency and Consent String – 'TC-String') oluşturulmaktadır. Söz konusu dizin, harf ve rakamlardan oluşmakta, kişinin açık rıza ile meşru menfaate ilişkin tercihlerini içermekte ve Framework katılımcılarıyla paylaşılmaktadır.
TC-String ile birlikte ayrıca kullanıcı cihazına Euconsent-v2 adında bir çerez yerleştirilmekte, CMP bu çerezi de kaydetmektedir. Çerez ile TC-String birleştirildiğinde kullanıcının IP-adresine tanımlama yapmak mümkün hale gelmekte, bu sayede kişinin tercihlerine göre kendisine reklam sunulabilmektedir.
II. Tartışılan Konular
IAB, kendisinin değil, TCF-katılımcılarının TC-String'i IP adresiyle eşleştirme ve dolayısıyla kişisel veriye dönüştürme imkanına sahip olduklarını, TC-String'in kullanıcıya mahsus olmadığını ve kendisinin diğer katılımcılar tarafından işlenen verilere erişiminin söz konusu olmadığını belirtmiştir.
Buna karşılık Belçika Veri Koruma Otoritesi, CMP'nin TC-String'leri IP adresleriyle eşleştirebildiğini, TCF katılımcılarının diğer veriler vesilesiyle de kullanıcıları belirli kılabildiklerini, IAB'nin kişileri belirlenebilir kılmak için ihtiyaç duyduğu bilgilere erişme imkanının mevcut olduğunu, ayrıca IAB'nin önemli bir konuma sahip olması sebebiyle veri sorumlusu olarak nitelendirilmesi gerektiğini savunmaktadır.
1. TC-String kişisel veri midir?
TC-String'in kişisel veri niteliğini haiz olup olmadığı noktasında Mahkeme öncelikle söz konusu dizinin harf ve rakamlardan oluştuğunu, bu dizinin oluşturulması, kaydedilmesi ve işlenmesine ilişkin esasların IAB tarafından belirlendiğini tespit etmiştir. Söz konusu dizin, web sitesi sunucuları ile reklam ve pazarlama şirketleri tarafından gerçekleştirilen veri işleme süreçlerine ilişkin ilgili kişilerin açık rıza tercihlerini içermekte, bu bilgiler, üye kuruluşların erişimine sunulmaktadır.
Kişisel veri niteliği açısından Mahkeme, kişisel veri kavramının geniş yorumlanması gerektiğine ilişkin içtihatlarını tekrarlamış, özellikle verinin içeriği, amacı ve etkileri açısından belirlenebilir bir gerçek kişiyle bağdaştırılabildiği takdirde kişisel veri niteliğini haiz olduğuna ilişkin içtihadına atıfta bulunmuştur.
TC-String ilgili kişinin açık rıza ve meşru menfaat itirazlarına ilişkin veriler içermektedir. Bu veriler ile ilgili kişinin doğrudan belirlenebilir kılınması mümkün olmasa dahi, ilgili kişinin tercihlerine ilişkin bilgi içermekte ve dolayısıyla GVKT md. 4 Nr. 1 bağlamında gerçek kişiyle ilgili veri barındırmaktadır.
Diğer yandan TC-String IP adresi ile eşleştirildiğinde kullanıcının profili oluşturulabilmekte ve dolayısıyla fiilen gerçek kişi belirli kılınmaktadır. Dolayısıyla Divan'a göre TC-String, IP adresi ile birleştirildiğinde ilgili kişiyi belirlenebilir kıldığı için kişisel veri niteliğini haizdir.
Mahkeme bu bağlamda özellikle IAB'nin TC-String'i IP adresiyle eşleştirme imkanının olmadığı savunmasını reddetmektedir. Bu bağlamda çerçeve sözleşmeye dahil olan katılımcıların, IAB'nin talebi üzerine TC-String'in konusu olan kullanıcı verilerini aktarmakla yükümlü oldukları gerçeğine işaret etmiştir. Dolayısıyla IAB, ilgili kişiyi belirli kılabilecek ek bilgilere erişme ve bunları elde etme yetkisini haizdir.
2. IAB Europe Veri sorumlusu mudur?
TCF'nin amacı, internetteki reklam alanlarının alınması ve satılması işlemelerinin farklı aktörler arasında teşvik edilmesi ve mümkün kılınmasıdır. Dolayısıyla IAB, TC-String'in oluşturulması vs. gibi ihtilaf konusu süreçler açısından kendi menfaatleri doğrultusunda da faaliyet göstermekte ve katılımcılar ile birlikte veri işleme amaçlarını belirlemektedir.
Ayrıca Divan, ilerleyen kısımlarda IAB'nin teknik koşulları da belirlediğine işaret etmekte ve dolayısıyla IAB'nin diğer katılımcılarla ortak veri sorumlusu sıfatını haiz olduğuna hükmetmektedir. Ancak Divan, özellikle Planet49 kararında olduğu gibi söz konusu sorumluluğun bütün süreçlere ilişkin değil, sadece tarafların ortak amaçlarla hareket ettikleri süreçlere ilişkin olduğunu da tekrar etmiştir.
III. Değerlendirme
TC-String başlı başına kişisel veri midir? Divan, harf ve rakamlardan oluşan bu dizinin gerçek kişinin açık rıza ve meşru menfaate ilişkin tercihleri hakkında bilgi içerdiğini, bu durumun başlı başına dizine kişisel veri niteliği kazandırdığını savunmaktadır. Aksinin kabul edilmesi halinde dahi dizinin salt kişinin tercihlerine ilişkin bilgi içermesi, Divan tarafından gerçek kişiyle ilgili bir bilgi olarak değerlendirilmektedir.
Son olarak Divana göre dizinin IP adresi ile eşleştirilmesi sayesinde kişi hakkında artık profil oluşturulması mümkün hale geldiği için kişi hakkında profil oluşturulabilmekte ve dolayısıyla kişi belirlenebilir hale gelmektedir.
Kanaatimizce bu değerlendirme eksik ve hatalıdır. Şöyle ki TC-String içerisinde bulunan tercihler her ne kadar gerçek kişilere ilişkin olsa da, bir verinin salt gerçek kişiye ait bilgiler içermesi yeterli değildir. Veri sorumlusunun bu bilgiler ve ek bilgiler vesilesiyle kişiyi tespit edebilmesi gerekmektedir.
Ancak bu noktada da yine bir eksiklik söz konusudur. Nitekim Adalet Divanı, IP adresiyle eşleştirilmesi halinde dahi kişinin kimliğinin nasıl belirlenebilir kılınacağına dair herhangi bir açıklamaya yer vermemiştir. Yine de karar özellikle pazarlama sektörü açısından büyük önem arz etmektedir.