Norveç, Grindr verilerini paylaşan Microsoft'a ait Xandr'a 9,6 milyon dolar ceza verdi

Norveç Veri Koruma Otoritesi Datatilsynet, Microsoft'a ait reklam şirketi Xandr'a, flört uygulaması Grindr'ın kullanıcılarına ait hassas verileri hukuka aykırı biçimde işlediği gerekçesiyle 92 milyon Norveç kronu (yaklaşık 9,6 milyon dolar) ceza verdi. BleepingComputer'ın 12 Ekim'de aktardığına göre bu, kurumun bugüne kadar verdiği en yüksek ceza. Karar, cinsel yönelimi ortaya koyan bilgiler dahil kişisel verilerin gerçek zamanlı reklam ihaleleri aracılığıyla reklamverenlerle paylaşılmasını hedef alıyor.

Neler oldu?

BleepingComputer'ın haberine göre Xandr, Temmuz 2018 ile Nisan 2020 arasında Grindr içindeki gerçek zamanlı reklam ihalelerini yönetti. Bu ihalelerde aracı rolü üstlenen Xandr, Grindr kullanıcılarına ilişkin profil bilgilerini reklamverenlere iletti; reklamverenler de bu bilgilere dayanarak kullanıcılara reklam gösterme hakkı için teklif verdi. Datatilsynet, bu yapının kullanıcı verilerini binlerce şirkete açabildiğini belirtti.

Kurum, Norveç'te binlerce kullanıcının etkilendiğini ve hem Norveç'teki hem de başka ülkelerdeki kullanıcılara ait hassas verilerin açığa çıktığını açıkladı. Kararda yer aldığı şekliyle, kullanıcıların bu paylaşımdan haberi yoktu ve açık rıza vermemişlerdi.

Datatilsynet Genel Müdürü Line Coll, cezanın yüksek tutulmasının nedenini tespit edilen ihlallerin "çok ciddi" olmasıyla açıkladı.

Hukuki tespitler

Datatilsynet, Xandr'ın o dönemde Grindr ile birlikte ortak veri sorumlusu olduğuna ve dolayısıyla verilerin nasıl kullanıldığından sorumlu tutulması gerektiğine hükmetti. Kuruma göre Xandr, bu tür verileri işlemeden önce kullanıcılardan açık rıza alınmasını şart koşmalı ve bu rızayı almalıydı. Oysa şirket, Grindr'ın geçerli rıza aldığını varsaydı ancak bunu doğrulamadı. Coll, Xandr'ın kendi veri işleme faaliyeti için hukuki bir dayanağı olduğundan emin olmak adına hiçbir şey yapmadığını söyledi.

Dava, Avusturyalı gizlilik kuruluşu noyb ile Norveç Tüketici Konseyi'nin (Forbrukerrådet) Ocak 2020'de birlikte yaptığı şikâyete dayanıyor. BleepingComputer'ın aktardığına göre noyb kararı, çevrim içi reklam teknolojisi sektörüne indirilmiş büyük bir darbe olarak nitelendirdi.

Microsoft'un yanıtı

Xandr bugün Microsoft Advertising adıyla faaliyet gösteriyor. Microsoft, BleepingComputer'a yaptığı açıklamada soruşturmanın şirketin Xandr'ı satın almasından önceki dönemi kapsadığını ve o zamandan bu yana hukuki çerçevenin ve uygulamanın değiştiğini belirtti. Şirket kararı incelediğini ve seçeneklerini değerlendirdiğini söyledi. Xandr'a itiraz için üç hafta süre tanındı; haberde itiraz edilip edilmediğine dair bilgi yer almıyor.

Neden önemli?

Karar, reklam tedarik zincirindeki şirketlerin cinsel yönelim gibi özel nitelikli verileri işlerken iş ortaklarının rıza konusundaki beyanlarına güvenip geçemeyeceğini açıkça ortaya koyuyor. Gerçek zamanlı ihaleler üzerinden kişisel veri alan veya aktaran kurumların kendi hukuki dayanaklarını belgelemesi, yayıncıların aldığı rızayı doğrulaması ve üçüncü taraflara aktarılan profil özelliklerini en aza indirmesi gerekiyor. Benzer ilkeler, 6698 sayılı Kanun kapsamında özel nitelikli verileri işleyen Türkiye'deki şirketler için de dikkate alınmaya değer.