Alman mahkemesi, Meta'nın takip teknolojisinin Avrupa gizlilik yasalarını ihlal ettiğine hükmetti

• Alman mahkemesi, Meta'nın takip pikseli ve ilgili teknolojilerinin GDPR'yi ihlal ettiğine hükmetti
• Bu karar, diğer kullanıcıların da bireysel zararı ayrı ayrı kanıtlamadan tazminat davası açabilmesinin önünü açtı
• Mahkeme, Meta'nın kişileri tanımlayıp profilleyerek büyük kazanç elde ettiğini belirtti
• Uzmanlar, bu kararın takip teknolojisi kullanan tüm web siteleri ve uygulamalar için büyük çaplı dava riski anlamına geldiğini söylüyor
• Kişi başına 5.000 avroluk zarar söz konusu olduğundan, ziyaretçi sayısı arttıkça toplam tutar hızla büyüyebilir

---

Alman mahkemesi, Meta'nın takip teknolojisinin Avrupa gizlilik yasalarını ihlal ettiğine hükmetti

Kararın ana noktaları

• Leipzig Bölge Mahkemesi, Meta'nın üçüncü taraf web siteleri ve uygulamalara takip pikseli ile yazılım geliştirme kiti (SDK) yerleştirerek kullanıcı onayı olmadan kişisel veri topladığına hükmetti
• Karar, söz konusu teknolojinin Avrupa Genel Veri Koruma Tüzüğü'nü (GDPR) ihlal ettiğini açık biçimde ortaya koyuyor
• Mahkeme heyeti, Meta'nın kullanıcıların bireysel onayı olmadan kişisel verilere dayalı profilleme faaliyetleri üzerinden büyük gelir elde ettiğine dikkat çekti
• Basın açıklamasında, Facebook veya Instagram hesabına giriş yapılmamış olsa bile üçüncü taraf siteler ziyaret edildiğinde Meta'nın kişiyi tanımlayabildiği vurgulandı

Kararın etkileri

• Bu karar, bir Alman Facebook kullanıcısının açtığı davada Meta'nın 5.000 avro (yaklaşık 5.900 dolar) tazminat ödemesi sonucunu doğurdu
• Mahkeme heyeti, bu kararın bireysel zararın somut olarak kanıtlanmasını gerektirmeden çok sayıda kullanıcının benzer davalar açabilmesine emsal teşkil ettiğini belirtti
• Uzmanlar, kararın Meta takip teknolojisini kullanan tüm web sitesi ve uygulama işletmecileri için risk oluşturabileceğini değerlendiriyor
• Danışmanlık şirketi AesirX'in CEO'su, bu vakanın toplu dava (class action) olasılığı ve "iş için ölümcül etki" yaratma potansiyeli taşıdığını söyledi

Geleceğe dönük görünüm

• Meta'nın takip teknolojisine onay vermemiş tüm Alman ziyaretçiler olası toplu davaya dahil edilebilir
• Ziyaretçi sayısı yüksek olduğunda, tazminat tutarı geometrik olarak büyüyebilir
• Uzmanlar, bu davayı bu yıl Avrupa'da verilen en önemli kararlardan biri olarak görüyor

İlgili bağlantı

• Leipzig Bölge Mahkemesi resmi basın açıklaması

Sonuç

• Bu karar, gizliliğin güçlendirilmesi ve buna bağlı olarak teknoloji şirketleri ile web sitesi işletmecilerinin hukuki sorumluluğu açısından önemli bir değişim sinyali veriyor
• Sektörde, GDPR uyumu için teknik önlemler ve kullanıcı onayının sağlanması konusunun yeniden gözden geçirilmesi ihtiyacı artıyor

[GN⁺]

Hacker News görüşleri

• Bu Leipzig kararının dikkat çekici yönleri olsa da, fiili etkisi €5.000 tutarı kadar büyük olmayabilir; mahkeme mağdurun bireysel zararını ayrıca kanıtlamadan dava açabileceğini belirtmiş olsa da Avrupa’daki toplu dava modeli hâlâ ABD tarzı davalardan farklı. Almanya’da ABD’den farklı olarak başarıya bağlı ücret sistemi yok, davayı kaybedince yargılama giderlerini üstlenme gibi farklı teşvik yapıları var ve toplu giderim mekanizmaları da sınırlı. Alman tüketicilerin çoğu bir takip pikseli için tek tek €5.000’luk dava açmayacaktır; bunun zaman ve maliyeti az değil. Kişisel olarak böyle davalara tüketici koruma örgütlerinin ya da maddi gücü olan dava uzmanı kuruluşların öncülük etmesini umuyorum. Almanya toplu dava çerçevesini genişletiyor olsa da sistem hâlâ bireysel davacılardan çok yetkili kuruluşlar etrafında dönüyor.
  • Almanya’da sistem tüm tüketicilerin otomatik olarak dahil edilmesi şeklinde işliyor. Diğer Avrupa ülkelerinden farklı olarak tüketicilerin ayrıca dava başvurusu yapması gerekmiyor; varsayılan olarak kapsama giriyorlar. Bu nedenle Almanya’da X’e karşı EUR 500, Tiktok’a karşı da EUR 2000 tazminat talepli toplu davalar sürüyor.
  • Birisi bunu ürünleştirip “Size ücretsiz 2500 avro veriyoruz! Burayı imzalayın!” gibi bir modele dönüştürebilir.
• Bu kararın temyizde aynen korunmayabileceğine dikkat etmek gerek. Kararın tam metni henüz yayımlanmadı ve şu anda sadece basın bülteninden bilgi sahibiyiz. Örneğin mahkeme, davacının somut zarar beyanını bile dinlemeden tazmin sorumluluğunu kabul ettiyse, bunun gerekçeli kararda nasıl ele alındığını görmek ilginç olacak. Bu yaklaşım bana Meta’nın rahatlıkla temyize götürebileceği bir konu gibi geliyor. AB hukukunda çözülmemiş noktalar bulunduğundan konunun ECJ’ye (Avrupa Adalet Divanı) taşınması da mümkün. Her hâlükârda bu karar kısa vadede hukuki belirsizlik yarattı ve birçok kişi dava açmaya çalışacaktır. Ancak temyiz ve ECJ sürecine giderse bunun yıllar alabileceğini de unutmamak gerekir.
  • Sorumluluğun Facebook’ta mı yoksa fiili takibin gerçekleştiği web sitesinin işletmecisinde mi olduğu konusunda kafam karışık. GDPR kapsamında, bilgiyi reklam ağına aktarmadan önce onay alma yükümlülüğünün web sitesinde olduğunu düşünüyordum.
• Şu ana kadar, bu tür vakalarda ilgili kullanıcıyla aynı durumda olan kişileri bulup dava takibi yapan ve bunun bir kısmını (%10 gibi) komisyon olarak alan biraz şüpheli hukuk firmalarının çoktan harekete geçmiş olmasını beklerdim; onlar dava açacaksa ben de verirdim. Ama bu tür meselelerde asıl gereken bireysel davalar değil, şirketlere doğrudan küresel yıllık cironun %4’üne kadar gerçek para cezaları kesilmesi gibi sert düzenlemeler; ancak o zaman şirketler hukuku bir tavsiye metninden fazlası olarak ciddiye alır.
  • Uçak bileti tazminatı gibi başka alanlarda da bu tür hizmetleri sunan (meşru) şirketler zaten var. Alman avukatlık mevzuatında başarıya bağlı ücrete bazı sınırlamalar olsa da bu €5.000’luk tazminat talebi basit bir “alacak tahsili” olarak değerlendirilebilir ve bu yüzden izin verilebilir. Daha büyük risk, kararın temyizde bozulması ya da başka bölge mahkemelerinde farklı içtihatların ortaya çıkması. Bu nedenle Federal Yüksek Mahkeme veya ECJ tarafından kesinleştirilene kadar, bu karara dayanarak davaları sürükleyebilecek olanlar ancak ciddi sermayesi bulunan taraflar olacaktır.
  • ABD tarzı class action ile tamamen aynı yapıda bir mekanizma Avrupa’da yok. Avrupa’da bir AB direktifi kapsamında “temsil davaları” var, ancak kapsamı ABD tarzı toplu davalara göre çok daha dar.
  • Bu içtihatla birlikte artık class action tarzı davaların ortaya çıkacağını düşünüyorum.
• Daha 5 yıl önce böyle bir haber HN’de çıktığında Amerikalı kullanıcılar “Avrupa sadece Amerikan şirketlerinden para koparmak için bahane arıyor” diye ortalığı ayağa kaldırırdı; şimdi ise hava tamamen değişti. Avrupa yaklaşımının bazı eksikleri olsa da sonuçta doğru olduğunun kanıtlandığını görmek sevindirici.
  • Bu tür iddialar aslında gerçeklerin tersine. Cezaların çoğu pratikte Avrupa içindeki şirketlere kesiliyor. Sadece Big Tech kuralları ihlal etmiyor; Avrupalı şirketler de sık sık ihlal ediyor. Sadece Amerikalı kullanıcılar bu ceza vakalarından pek haberdar olmuyor. Ayrıca bugünkü veri koruma hukuku rejimi, köken olarak 1990’lardaki Alman Bundesdatenschutzgesetz’e dayanıyor; yani FAANG ortaya çıkmadan çok önce gelişmeye başlamış bir geçmişe sahip. Ceza takip sitesine de bakılabilir.
  • 5 yıl ne ki, sanki bu tür yorumlar geçen hafta da yapılmış gibiydi.
  • Ben Amerikalıyım ama Avrupa gizlilik hukuku konusunda tek kaygım yetki alanı meselesiydi; bu vakada o sorun olmadığı için karara gerçekten katılıyorum.
  • ABD’de reklam pazarı Google, Meta gibi aşırı büyük şirketlere çoktan bırakılmış durumda; küçük ve orta ölçekli işletmeler ise abonelik modeline kayıyor. Sonuçta AB abonelik modelini de engellemediği sürece yapılabilecek fazla bir şey kalmıyor.
• Umarım bu gerçekten toplu davalara dönüşür; ben de kesinlikle katılmak isterim.
• Artık bu tür kararların fiilen hayata geçtiğini görmeyi umuyorum; ilgili blog analizi de okunmaya değer.
• Her zamanki gibi, sonunda anlamlı bir değişim olmayacağını düşünen bir yanım var.
• Mahkemenin, oturum açılmamış olsa bile kişisel olarak tanımlanabilirliği vurgulaması ilginç. Bu, şirketlerin sık kullandığı “anonim takip” savunmasını doğrudan deliyor.
• Linkedin’deki detaylı analizde daha fazlası var; ayrıca Almanya’da tüketicilerin ayrıca dava başvurusu yapmadan otomatik olarak kapsam içine alınması, Avrupa’daki diğer ülkelerden ciddi biçimde ayrışıyor.
• Bu meselenin sonunda Avrupa ile ABD arasında jeopolitik ve ticari bir gerilim başlığına dönüşebileceğini düşünüyorum; iş tarifelere kadar gidebilir. Temelde mesele, Avrupa’nın kendi vatandaşlarını korumak için yetkisini kullanıp kullanamayacağı; açıkçası bunu ne kadar başarabileceğinden emin değilim.