“Öde ya da Tamam” yaklaşımı

Peki  “Öde ya da Tamam” yaklaşımı nedir ? Özellikle haber sitelerinin okuyuculara çerezler vasıtasıyla kişisel verilerinin işlenmesine izin vermeleri ya da okuyucuların kişisel verilerinin işlenmesine izin vermek istememeleri halinde bir ücret ödemek zorunda olduğu sistemdir.  Yani okuyucu bir haber sitesine giriş yaptığında çerez duvarında karşısına iki seçenek çıkıyor; kişisel verilerin işlenmesine ilişkin onay kutucuğu ve veri işlenmemesi karşılığında ücret ödenmesi gereken bir abonelik kutucuğu.

Sizce de bu veri mahremiyetinizi parayla satın almak değil mi?  İşte bu sebeple Noyb, Almanya ve Avusturya’daki  yedi haber sitesine ilişkin şikayette bulunmuştu. Geçtiğimiz aylarda Avusturya Veri Koruma Otoritesi (DSB) der Standart gazetesi hakkında kararını verdi ve bu uygulamayı hukuka aykırı buldu.  GDPR’a göre veri işlemeye ilişkin rızanın özgür iradeyle, bilgilendirmeye dayanarak verilmesi ve her veri işleme faaliyeti için ayrı rıza verilmesi  gerekiyor.  Ancak bu uygulamada kişinin verilerinin işlenmemesi için ücret ödemesinin rızaya ilişkin şartı sağlamayarak hukuka aykırı oluyor.  

DSB’den sonra Almanya Aşağı Saksonya Veri Koruma Otoritesi LfD de; Almanca teknoloji haber sitesi heise.de adlı şirketin haber sitesinde kişisel veriler için uyguladığı “Öde ya da Tamam (Pay or Okay) “ yaklaşımının hukuka aykırı olduğuna karar verdi ve kınama cezası verdi. LfD de rızaya ilişkin şartların sağlanmadığı gerekçesiyle hukuka aykırılık kararı verdi.

Noyb’ un kararlara ilişkin yorumu:

• Veri koruma otoriteleri konuyu tüm yönleriyle ele alarak incelemedikleri için kararlar sonrası uygulamanın nasıl olacağı henüz belirli değil.
• LfD’nin verdiği kınama cezası bu uygulamayı sona erdirmek için yeterince caydırıcı değil.
• “ Öde ya da Tamam” yaklaşımının makul ücretlerle uygulanabileceğine kabul edilirse sadece medya şirketleri değil hizmet aldığımız diğer tüm şirketler bu modele geçebilir ve temel bir hak olan mahremiyet hakkı yeterli düzeyde korunamaz.

Avusturya ve Fransız  Veri Koruma Otoritelerinin “ Öde ya da Tamam” uygulamasının tamamen yasak olmadığı ve hangi durumlarda ve şartlarda bu uygulamanın hukuka uygun olduğunu belirten açıklamaları bulunuluyor. Kısaca bu şartlara bakarsak:

Avusturya Veri Koruma Otoritesi  (DSB):

• Tüm veri koruma düzenlemelerine uyumlu olmalıdır.
• Kamu kuruluşları ve piyasada tekel durumunda olan şirketler uygulayamaz.
• Makul ve adil bir fiyat seçeneği olmalıdır ve ödeme yapıldığında reklam amaçlı hiçbir kişisel veri işlenmemelidir.

Fransız Veri Koruma Otoritesi (CNIL):

• Ücret ödenmediğinde içeriğe erişmek için gerçek ve adil bir alternatifin olduğu gösterilmelidir.
• Ücretin makul olması gerekir ve kullanıcı bu ücreti kullanıcı hesabı oluşturmadan ve kart bilgilerini kaydetmeden yapabilmelidir.
• Veri koruma düzenlemelerine uygun olarak gerekli bilgilendirmeler yapılarak ve sınırlı olarak veri işlenmelidir.

Türkiye’de böyle bir uygulama olsa hukuka aykırı olur muydu? Her olayın farklı şekilde değerlendirilmesi gerekmekle birlikte genel olarak cevabımız evet olurdu, diğer veri koruma otoritelerinin kararlarına benzer şekilde rıza yönünden hukuka aykırılık olurdu. Çünkü KVKK’ya göre rızanın belirli bir konuya ilişkin olması, bilgilendirilmeye dayanması ve özgür iradeyle verilmesi gerekiyor ancak “ Öde ya da Tamam” yaklaşımında kişisel verilerimizin korunması için ücret ödememizin gerekmesi özgür iradeyle rıza vermemizi engelliyor. Yine Kanuna göre bu uygulama ölçülülük ilkesine de aykırı olabilir. Ayrıca Anayasamızda kişisel verilerin korunması hakkı temel bir hak olarak düzenleniyor, bu şekilde ücret karşılığı bir temel hakkın korunması Anayasa’ya da aykırılık oluşturabilir.

Medya sektöründe genel olarak reklamlardan gelir elde edilmesi ve kişisel verilerin işlenmesi yoluyla hedefli reklamcılık yapılması şirketlerin hizmeti ücretsiz sunmasını sağladığı için bu uygulamayı doğru bulanlar olmakla birlikte Noyb’un görüşüne benzer şekilde temel bir hak olan mahremiyet hakkının ücret karşılığı satılması ve önlem alınmadığında medya şirketleri dışında diğer şirketlerin de benzer uygulamaya geçme riskini barındırması sebebiyle kabul edilemez olduğu yönünde görüşler bulunuyor. Şimdilik durum, -bu alanda düzenlemeler yapılana kadar- veri koruma otoritelerinin hakkın özüne zarar vermeyecek kararlar vermesine ve uygulamalarda bulunmasını gerektiriyor. Elbette veri mahremiyeti alanında farkındalığımız olması her zaman çok önemli :)

^{Bu yazı Verini Koru gönüllüsü Şerife Atik tarafından hazırlanarak, 24.07.2023 tarihli bültenimizde yayınlanmıştır.}