Odak Noktası Avrupa Birliği Adalet Divanı’nın, dijital reklamcılıkta kullanılan “TC String” (Tercih Dizisi) verilerini “kişisel veri” olarak tanımlaması, rıza mimarisinde teknik bir devrim başlatmıştır. Bu karar, Türkiye’deki veri sorumlularının yurt dışı kaynaklı reklam teknolojilerini kullanımındaki hukuki risk profilini kökten değiştirmektedir.
Hukuki ve Analitik İnceleme Uyuşmazlığın özü, “Şeffaflık ve Rıza Çerçevesi” (TCF) dahilinde kullanıcı tercihlerini kodlayan dijital dizilerin, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilip ilişkilendirilemeyeceği noktasında düğümlenmektedir. ABAD, teknik bir kod dizisinin tek başına doğrudan kimlik tespiti yapmasa dahi, ek verilerle birleştirildiğinde kişiyi profilleme gücüne sahip olması nedeniyle GDPR (ve paralelinde 6694 sayılı KVKK) kapsamında kişisel veri sayılması gerektiğine hükmetmiştir.
Hukuki teşhisimiz şudur: Bu karar, veri sorumlusu (data controller) tanımını genişleterek, teknik standart belirleyici kuruluşları da hukuki sorumluluk şemsiyesi altına almaktadır. Artık sadece veriyi işleyen değil, verinin işlenme standartlarını (protokollerini) belirleyen yapılar da müteselsil sorumluluk riskiyle karşı karşıyadır. Bu durum, “Privacy by Design” (Tasarım Yoluyla Mahremiyet) ilkesinin bir temenni olmaktan çıkıp, yargı eliyle zorunlu bir teknik standart haline dönüştüğünü tescil etmiştir.
Projeksiyon Kısa vadede, Türk KVKK Kurulu’nun benzer bir içtihat geliştirerek çerez politikaları ve SDK (Yazılım Geliştirme Kitleri) üzerinden toplanan teknik verilere yönelik denetimlerini sıkılaştırması beklenmektedir. Şirketler için bu durum, sadece bir metin değişikliği değil, dijital varlıklarının yazılım mimarisini “hukuki uyum” filtresinden geçirme zorunluluğu anlamına gelmektedir. Gelecekte, algoritmik rızanın hukuki geçerliliği, bu teknik dizilerin şeffaflığına bağlı olacaktır.
Kaynak ve Teyit
- Court of Justice of the European Union (CJEU) – Case C-604/22 (IAB Europe v Gegevensbeschermingsautoriteit)
- Official Journal of the European Union (OJEU)