Mahkemede Hedefli Reklamcılık ve Profil Oluşturma

Dijital pazarlama çağında, hedefli reklamcılık ve kullanıcı profilleme, platformlar, yayıncılar ve reklamcılar için kilit araçlar haline gelmiştir. Ancak, bu veri odaklı teknikler, özellikle Genel Veri Koruma Yönetmeliği (GDPR) ve ePrivacy Direktifi altında yoğun yasal incelemeye tabidir. Avrupa mahkemeleri ve veri koruma otoriteleri (DPA'lar), davranışsal reklamcılığın arkasındaki yasalılık, şeffaflık ve onay mekanizmalarını giderek daha fazla incelemekte olup, reklam teknolojisi ekosistemi için önemli sonuçlar taşıyan kararlar vermektedir.

Bu makale, AB genelinde yüksek profilli vaka çalışmalarını ve yaptırım eylemlerini incelemekte olup, reklam amaçlı profillemenin gizlilik yasaları altında nasıl meydan okunduğuna odaklanmakta – ve platformlar ile pazarlamacıların ne gibi dersler çıkarması gerektiğine.

1. CNIL v Google (Fransa, 2020): Çerez Onayı ve İzleme

2020 yılında, Fransız Veri Koruma Otoritesi (CNIL), Google'ı Fransız alan adlarında kullanıcı onayı alınmadan reklam çerezleri yerleştirdiği için 100 milyon € para cezasına çarptırdı. Çerezler, kişiselleştirilmiş reklamlar için izlemeyi etkinleştiriyordu ancak kullanıcılar anlamlı bir seçim yapmadan önce etkinleştirilmişti.

Ana Sorunlar:

• ePrivacy Direktifi altında geçerli onay eksikliği.
• Kullanıcılar, çerezlerin amacı veya bunları reddetme yöntemi hakkında yeterince bilgilendirilmemişti.
• Çerez bildirimi yalnızca "Kabul Et" seçeneği sunuyordu, eşdeğer bir "Reddet" seçeneği olmadan.

Yasal Dayanaklar:

• Fransız hukukunda uygulanan ePrivacy Direktifi (2002/58/EC).
• ePrivacy Direktifi'nin 5(3) Maddesi, kullanıcının cihazında bilgi depolama veya erişimden önce ön onay gerektirir.

Sonuç:
Google para cezasına çarptırıldı ve ardından onay bildirimlerini ayrıntılı seçimler ve kabul ile ret için simetrik seçenekler sağlayacak şekilde güncelledi.

Ders:
Profilleme ve hedefli reklamcılık için onay, özgürce verilmiş, belirli, bilgilendirilmiş ve kesin olmalı – ve herhangi bir izleme başlamadan önce uygulanmalıdır.

2. Bundeskartellamt v Meta (Almanya, devam eden): Hizmetler Arası Veri Birleştirme

Alman Rekabet Otoritesi (Bundeskartellamt), Meta'ya (eski adıyla Facebook) Facebook, Instagram, WhatsApp ve üçüncü taraf web sitelerinden kullanıcı verilerini uygun onay olmadan birleştirdiği için soruşturma başlattı.

Ana Yasal Dönemeç:
Dava rekabet hukuku altında başlamış olsa da, otorite GDPR ihlallerine büyük ölçüde dayanarak Meta'nın geçerli onay elde edememesinin reklam pazarında haksız avantaj sağladığını savundu.

Mahkeme Gelişmeleri:

• Alman Federal Adalet Mahkemesi, veri işleme uygulamalarını kısıtlama kararını onayladı.
• CJEU'dan veri koruma ve rekabet hukukunun kesişimini netleştirmek için ön karar istendi (Dava C-252/21, 2025 itibarıyla beklemede).

Yasal Sorular:

• Hizmetler arası veri birleştirmenin onaysız olarak GDPR Madde 6 ve 9'u ihlal edip etmediği.
• Kullanıcıya gerçek bir seçim sunulup sunulmadığı yoksa zorla kabul ettirilip ettirilmediği, hizmetlerin paketlenmesi yoluyla.

Ders:
Çapraz platform verilerine dayalı profilleme, genellikle opt-in onayı ile geçerli bir yasal dayanakla desteklenmeli ve temel hizmet kullanımının bir koşulu olmamalıdır.

3. NOYB Şikayetleri IAB Europe’un TCF’sine Karşı (AB genelinde): Gerçek Zamanlı Teklif Verme İncelemesi

Kar amacı gütmeyen NOYB (None of Your Business), hedefli reklamlar için gerçek zamanlı teklif verme (RTB)'de yaygın olarak kullanılan IAB Europe’un Şeffaflık ve Onay Çerçevesi (TCF) aleyhine birden fazla şikayette bulundu.

Ana İddialar:

• TCF, gerçek, bilgilendirilmiş onay sağlamada başarısız oldu.
• RTB altındaki profilleme, kullanıcı farkındalığı olmadan yüzlerce satıcıyla kullanıcı verilerini gerçek zamanlı olarak paylaştı.
• Çerçeve, GDPR'nin veri minimizasyonu, amaç sınırlaması ve yasal dayanak ilkeleriyle uyumlu olmayan olarak kabul edildi.

Belçika DPA Kararı (2022):

• IAB Europe'u TCF'deki veri işleme için ortak denetçi olarak sorumlu buldu.
• Onay mekanizması ve veri paylaşım uygulamalarında önemli değişiklikler emretti.

Sonuç:
IAB Europe, TCF'yi yeniden tasarlamaya, daha güçlü korumalar getirmeye ve satıcılar tarafından veri kullanımını daha iyi kontrol etmeye zorlandı.

Ders:
Programatik reklamcılık için kullanılan onay çerçeveleri, yalnızca GDPR standartlarını karşılamakla kalmamalı, aynı zamanda reklam teknolojisi zinciri genelinde uygulanabilir yönetişimi sağlamalıdır.

4. Planet49 Davası (CJEU, C-673/17): Önceden İşaretlenmiş Kutular ve Onay Geçerliliği

Avrupa Adalet Divanı (CJEU) önündeki Planet49 davası, promosyonel oyunlar ve davranışsal reklamcılıkta kullanılan çerezler için önceden işaretlenmiş kutuların geçerli onay oluşturup oluşturmadığını inceledi.

CJEU Kararı:

• Onay aktif olmalıdır, yani önceden işaretlenmiş kutular yeterli değildir.
• Çerezlerin süresi ve üçüncü taraf erişimi de kullanıcıya önceden açıklanmalıdır.

Yasal Etkiler:

• Yasal profilleme için GDPR ve ePrivacy'nin her ikisi de olumlu eylem ve açık açıklama gerektirdiğini onayladı.

Ders:
Platformlar, pasif veya ima edilen anlaşma yerine açık kullanıcı katılımını sağlayan onay arayüzleri tasarlamalıdır.

Platformlar ve Reklam Teknolojisi Operatörleri İçin Ana Çıkarımlar

Onay merkezidir – ve ayrıntılı, bilgilendirilmiş ve geri alınabilir olmalıdır.
Hedefli reklamlar için profilleme, tipik olarak GDPR Madde 6(1)(a) gibi geçerli bir yasal dayanak gerektirir.
Şeffaflık kapsamlı olmalıdır: veriyi kim işliyor, hangi amaçlar için ve ne kadar süreyle.
Ortak denetçilik uygulanabilir – platformlar ve reklam ortakları GDPR uyumu için sorumluluğu paylaşabilir.
Onay çerçeveleri (ör. CMP'ler, TCF'ler), kullanıcı verilerinin tüm alıcıları genelinde denetlenebilir ve uygulanabilir olmalıdır.

İleriye Bakış: ePrivacy Yönetmeliği ve DSA'nın Rolü

GDPR altında yaptırım yoğunlaşırken, profilleme düzenlemesinin geleceği ayrıca şu unsurlardan etkilenecektir:

• Uzun süredir geciken ePrivacy Yönetmeliği, AB genelinde onay kurallarını standartlaştırabilir.
• Dijital Hizmetler Yasası (DSA), çevrimiçi reklamcılık ve öneri sistemlerinin şeffaflığı konusunda yükümlülükler getirir – özellikle Çok Büyük Çevrimiçi Platformlar (VLOP'lar) için.

Bu çerçeveler birlikte, özellikle gerçek zamanlı teklif verme, veri aracılık veya opak kişiselleştirmeye dayalı hedefli reklam modellerini önemli ölçüde etkileyecektir.

Sonuç

Profilleme ve hedefli reklamcılık, AB gizlilik hukukunda artık gri alanlar değildir. Mahkemeler ve düzenleyiciler, kullanıcı verilerinin nasıl kullanılacağı, paylaşılacağı ve para kazandırılacağı konusunda – özellikle davranışsal hedefleme söz konusu olduğunda – net sınırlar koymaktadır. GDPR ve ePrivacy standartlarına uyum sağlamayan platformlar ve reklam teknolojisi sağlayıcıları, artan yasal, mali ve itibar riskleriyle karşı karşıyadır.