AVRUPA VERİ KORUMA KURULU’NUN 15 MART 2022 TARİHLİ DUYURULARI

Hazırlayan: Zeynep Cemre Demirtaş

GENEL VERİ KORUMA TÜZÜĞÜ’NÜN 60. MADDESİNİN UYGULANMASINA YÖNELİK 02/2022 SAYILI KILAVUZ YAYIMLANDI [1]

Avrupa Veri Koruma Kurulu, EDPB Strategy and Work Programme 2021-2022 isimli programının bir parçası olarak ulusal denetim makamları arasındaki iş birliğinin etkili ve yeterli şekilde sürdürülmesi amacıyla Genel Veri Koruma Tüzüğü’nün (“GVKT”) baş denetim makamı ve diğer denetim makamları arasında iş birliği başlıklı 60. maddesinin uygulanmasına ilişkin 14 Mart 2022 tarihli bir kılavuz (“Kılavuz”) 15 Mart 2022 tarihinde yayımladı.

Kılavuz ile tek bir noktadan hizmet sunum mekanizmasına ilişkin hukuki düzenlemelerin sürekli şekilde uygulanmasının arttırılması amaçlanmış ve Kılavuz içerisinde ulusal denetim makamları arasındaki iş birliğinin tanımına ilişkin detaylara yer verilmiştir.

Kılavuz uyarınca; ilgili iş birliği prosedürü, tüm uluslararası veri işleme olaylarına kural olarak uygulanır. Baş denetim makamı, nihai olarak kendi başına karar verme yetkisi olmaksızın, bu tür vakaların ele alınmasından birincil derecede sorumludur ve iş birliği çerçevesinde kendi takdir yetkilerini elinde bulunduran denetim makamlarının bağımsızlığını etkilememektedir. Ek olarak; Kılavuz’da yerel mevzuat düzenlemelerinin GVKT kapsamındaki iş birliğini sınırlamaya veya engellemeye yol açmaması gerektiği de hatırlatılmaktadır.

Kılavuz; GVKT’ nin 60. maddesinde yer alan on bir fıkranın uygulanmasına ilişkin ayrı ayrı açıklamalara yer vermekte ve hatta avukatların yararlanması amacıyla da dokümanın sonunda bir hızlı başvuru kılavuzu yer almaktadır.

GVKT madde 60/1 bağlamında; tüm prosedür boyunca uyulması gereken ilkelere karşılıklı uyulması gerektiği belirtilmektedir. Taraflar arasında fikir birliğine varılmasının bir zorunluluk olmamasına rağmen, üzerinde anlaşmaya varılmış bir karara varma çabasının, ilgili tüm bilgilerin karşılıklı ve tutarlı bir şekilde değiş tokuş edilmesi yoluyla elde edilecek kapsamlı bir hedef olduğu vurgulanmaktadır. Ayrıca; tarafların fikir birliğine varmak için gayri resmi iletişim araçlarını kullanma imkânı olduğu da belirtilmiştir.

GVKT madde 60/2 bağlamında; 61. madde kapsamında karşılıklı yardımlaşma ve 62. madde kapsamında ortak süreçlerin yürütülmesi ve bu kılavuzlar doğrultusunda devam eden iş birliği süreçlerinin yönlendirilmesi hususu düzenlenmiştir.

GVKT madde 60/3 bağlamında; taslak kararın sunulma sürecini ele almaktadır.

GVKT madde 60/4, 60/5 ve 60/6 bağlamında ise; ilgili bölümler, baş denetim makamı tarafından bir taslak kararın sunulmasını izleyen farklı senaryoları ana hatlarıyla belirtmekte ve böylece (gözden geçirilmiş) bir taslak kararın sunulması ile bir taslak kararın sunulması arasındaki prosedüre tutarlı bir yaklaşım sağlamaktadır.

GVKT madde 60/7, 60/8 ve 60/9 bağlamında; taslak kararın baş denetim makamı ve ilgili denetim makamları üzerinde bağlayıcı hale gelmesinden sonra farklı senaryolar analiz edilmektedir. GVKT’nin madde 60/7 ve 60/9 uyarınca nihai ulusal kararı hangi denetim makamının bağlayıcı hale gelen taslak karar benimsemesi gerektiği ve hangi denetim makamının kontrolörü/işleyiciyi veya şikayetçiyi bilgilendirmesi gerektiği açıklığa kavuşturulmuştur. Bu kapsamda, ihbar ve bilgilendirme ayrımı da ele alınmaktadır.

GVKT’ nin madde 60/10 bağlamında; tüm kuruluşlarda işleme faaliyetlerinin nihai karara uygun olmasını sağlamak için kontrolör veya işleyicinin görevleri açıklanmıştır.

Son olarak; GVKT madde 60/11 bağlamında ise devam eden prosedür sırasında GVKT’nin 66. maddesinin uygulanmasının özel gereklilikleri ele alınmaktadır.

SOSYAL MEDYA PLATFORMLARININ ARA YÜZLERİNDE BULUNAN DARK PATTERNS HUSUSUNA İLİŞKİN 3/2022 SAYILI KILAVUZ YAYIMLANDI[2]

Dark Patterns kavramı genel anlamda web sitesi ziyaretçilerini kasten saklayan, yanlış yönlendiren, zorlayan ve/veya aldatan, istenmeyen ve muhtemelen zararlı seçimler yapmaya yönlendiren tasarım öğelerini ifade etmektedir.[3] Kılavuz kapsamında ise Dark Patterns kavramı sosyal medya platformlarında uygulanan ve kullanıcıları kişisel verilerinin işlenmesine ilişkin istenmeyen, isteksiz ve potansiyel olarak zararlı kararlar almaya yönlendiren ara yüzler ve kullanıcı deneyimleri olarak kabul edilmektedir. Dark Patterns kullanıcıların davranışlarını etkilemeyi amaçlamakta ve kullanıcıların kişisel verilerini etkili bir şekilde koruma ve bilinçli seçimler yapma yeteneklerini engelleyebilmektedir. Veri koruma yetkilileri, GVKT hükümlerini ihlal etmesi durumunda Dark Patterns kullanımına yaptırım uygulamakla sorumludur. Bu Kılavuz İlkelerde ele alınan Dark Patterns şu şekilde kategorize edilebilmektedir: aşırı yükleme (overloading), atlama(skipping), karıştırma (stirring), engelleme (hindering), fickle, haberdar etmemek (left in the dark).

Sosyal medya platformlarının ara yüzlerinde bulunan ve GVKT düzenlenen hükümleri ihlal eden Dark Patterns olarak adlandırılan öğelerin tasarımcılar ve kullanıcılar tarafından değerlendirilmesi ve bunlardan nasıl kaçınılabileceğine ilişkin pratik tavsiyeler önerilmesi amacıyla ilgili genel hususları içeren bahsi geçen kılavuz hazırlanmıştır. Ancak; böyle bir kılavuzun hazırlanmasının ilgili sosyal medya sağlayıcılarının GVKT’den doğan yükümlülüklerini ve hesap verilebilirliklerini etkilemediği de unutulmamalıdır.

Sosyal medya sektöründeki çevrimiçi uygulamaların kullanıcı ara yüzlerinin veri koruma uyumluluğu ile ilgili olarak, geçerli veri koruma ilkeleri GVKT’nin 5. maddesinde belirtilmiştir. Madde 5/1(a) ‘da belirtilen adil işleme ilkesi, bir tasarım modelinin gerçekten bir “Dark Patterns” oluşturup oluşturmadığını değerlendirmek için bir başlangıç noktası görevi görür. Bu değerlendirmede rol oynayan diğer ilkeler, GVKT madde 5/1(a), 5/1(c) ve 5/2 kapsamındaki şeffaflık, veri minimizasyonu ve hesap verebilirliğin yanı sıra, bazı durumlarda, 5. madde kapsamındaki amaç sınırlamalarıdır. Ayrıca; GVKT’nin 4/11. ve 7. maddeleri kapsamındaki rıza koşullarına veya GVKT’nin 12. maddesi gibi diğer özel yükümlülükler de değerlendirmede rol oynamaktadır. Ek olarak; veri sahibi hakları bağlamında, GVKT’nin üçüncü bölümünün de dikkate alınması gerekmektedir. Son olarak, GVKT’nin 25. maddesi kapsamındaki tasarım ve varsayılan veri koruma gereksinimleri, bir ara yüz tasarımı başlatmadan önce uygulanması sosyal medya sağlayıcılarının ilk etapta karanlık kalıplardan kaçınmasına yardımcı olacağından, hayati bir rol oynamaktadır.

GVKT hükümleri gerek sosyal medya platformlarının işleyişlerinin bir parçası olarak kişisel veri işleme süreçlerinde gerekse sosyal medya kullanıcılarının hesaplarını kullanımı sürecinde uygulanmaktadır. Kılavuz içerisinde her iki konuya da örnekler verilerek değinilmiştir.

Kılavuz, Dark Patterns örneklerinin yanı sıra her kullanım durumu sonunda en iyi uygulamaları da sunmakta ve böylece GVKT’ nin etkili şekilde uygulanmasını kolaylaştırıcı ara yüzler geliştirilmesine yönelik öneriler de içermektedir. Zira, yönergenin son kısmında bir Dark Pattern Kontrol Listesine yer verilmiş ve okuyucuların başlangıç noktası olarak bu listeden faydalanması amaçlanmıştır.

ECA VERİ KORUMA OTORİTELERİ İLE 3. ÜLKELERİN VERİ KORUMA OTORİTELERİ ARASINDAKİ İŞ BİRLİĞİNİN UYGULANMASI İÇİN TEMEL VERİ KORUMA TEDBİRLERİNE İLİŞKİN ARAÇ ÇUBUKLARI YAYIMLANDI[4]

Bu Yönerge’nin amacı; GVKT’nin uygun güvencelere tabi olarak yapılan aktarımlar başlıklı 46. maddesinin 3. fıkrasına, Avrupa Sayıştayı’na ve işbu Yönergeye uygun olarak kişisel verilerin aktarımında ve gizliliğin korunmasında gerekli tedbirlerin alınmasını sağlamaktır. Bu amaç doğrultusunda; yönerge içerisinde verilerin işlenmesine ilişkin şu ilkeler ortaya konmuştur:

1.Amaç sınırlaması (purpose limitation): Taraflar arasında aktarılan kişisel veriler sadece veriyi veren tarafça GVKT, veriyi alan taraf ise 3. ülkenin mevzuatına uygun şekilde işlenebilir.

Verinin niteliği ve orantılılığı (data quality and proportionality): Aralarında kişisel veri aktarımı yapan taraflar arasında aktarılan kişisel veriler doğru olmalı ve aktarıldıkları ve daha sonra işlendikleri amaçlarla ilgili olarak yeterli, ilgili ve aşırı olmamalıdır. Yetkili bir makam, daha önce iletilen veya alınan bilgilerin doğru olmadığını (yanlış veya güncelliğini yitirdiğini) ve/veya güncellenmesi gerektiğini fark ederse diğer yetkili makamı bilgilendirecektir.
Şeffaflık (transparency): Aralarında kişisel veri aktarımı yapan taraflar bu enstrümanı web sitelerinde yayınlayarak genel bildirimde bulunacaklardır. Taraflar, kişisel verilerin aktarımı ve daha fazla İşlenmesi ile ilgili olarak ilgili kişilere bilgi verecektir. Hem veriyi alan hem de veriyi paylaşan taraf ilke olarak ilgili kişilere aşağıdakiler hakkında genel bildirimde bulunacaktır: (a) kişisel verilerin nasıl ve neden işleyebileceği ve aktarabileceği; (b) bu tür verilerin aktarılabileceği kuruluşların türü, (c) bu hakların nasıl kullanılacağı da dahil olmak üzere geçerli yasal gereklilikler kapsamında ilgili kişilere sağlanan haklar; (d) kişisel verilerin aktarılması durumunda geçerli olan kısıtlamalar da dahil olmak üzere, bu hakların kullanılmasına ilişkin herhangi bir geçerli gecikme veya kısıtlama hakkında bilgi; ve (e) bir anlaşmazlık veya hak talebinde bulunmak için iletişim bilgileri. Bu bildirim, bu bilgilerin her iki taraf tarafından bu araçla birlikte web sitelerinde yayınlanmasıyla yürürlüğe girecektir.

4.Güvenlik ve gizlilik (security and confidentiality): Her iki taraf da GVKT uyarınca teknik ve organizasyonel önlemlerini açıklayan bilgileri sağlayacaktır. Veriyi alan taraf işbu yönerge doğrultusunda ile kişisel veriler için sağlanan koruma düzeyini olumsuz yönde etkileyecek teknik ve organizasyonel güvenlik önlemlerinde yapılan herhangi bir değişikliği veriyi veren tarafa bildirmekle ve bu tür değişiklikler yapılması durumunda bilgileri güncellemekle yükümlüdür. Böyle bir durumda veriyi alan taraf, yürürlüğe girmesinden en az iki ay önce veriyi veren tarafa bildirimde bulunacaktır. Taraflar; kişisel veri ihlalini, söz konusu kişisel veri ihlalinin gerçek kişinin haklarına ve özgürlüklerine yönelik yüksek bir riskle sonuçlanmasının muhtemel olduğu durumlarda, kişisel veri ihlalini gecikmeksizin ilgili kişiye bildirecek ve gerekli önlemleri alacaktır. Yetkili makam uygun teknik ve organizasyonel koruma önlemleri almadıkça ve bu önlemler kişisel veri ihlalinden etkilenen kişisel verilere uygulanmadıkça veya daha sonraki önlemleri almadıkça, ilgili kişiyle en kısa sürede iletişime geçilecektir.

İlgili kişinin hakları (data subject right): İlgili kişi doğrudan veriyi alan ve veriyi veren tarafların iletişim bilgilerini talep edebilir, veriyi veren taraftan hangi kişisel bilgilerin paylaşıldığının ve paylaşılan verinin doğru, tam ve güncel olduğunun teyidini ve mevzuata uygun şekilde işlendiğinin teyidini talep edebilir. Diğer yandan, ilgili kişinin hakları kamu menfaati ve yetkili makamların görevlerini icrası amacıyla sınırlandırılabilir. 6. Özel nitelikli kişisel veriler/ hassas veriler (special categories of personal data/ sensitive data): Şikayetleri ele almak, veri koruma kurallarının olası ihlallerini araştırmak ve gerektiğinde düzeltici önlemler uygulamak için gerekli olmadıkça bu tür kişisel veriler veri veren tarafından veri alana aktarılamaz. Bu tür verilerin aktarılması durumunda ise örneğin erişim kısıtlamaları, bilgilerin işlenebileceği amaçların kısıtlamaları, ileriye dönük kısıtlamalar gibi duruma göre belirlenmek üzere veriyi alan tarafından transferler veya özel güvenceler, örneğin bilgilere erişmesine izin verilen personel için özel eğitim gerektiren ek güvenlik önlemler vb. ek güvenlik önlemleri alınacaktır.

7.Kişisel verilerin devamlı paylaşımı (onward sharing of personal data): Veri alan taraf veriyi sadece ECA da belirtilen kurumlar ile belirli bir amaç doğrultusunda veriyi paylaşabilir. Bu durumda da öncesinde veriyi verenden kural olarak yazılı şekilde izin alacaktır. İstisnai olarak ise kamu menfaatinin olduğu veya kanunun gerektirdiği durumlarda önceden yazılı izin alınmadan da veriyi alan taraf kişisel veriyi 3. kişiler ile paylaşabilir.

Kişisel verilerin devamlı aktarımı (onward transfers of personal data): Kişisel veriyi alan taraf, kişisel veriyi sadece 3. ülkedeki yetkili makama ve sadece kendisine veri aktarım amacı doğrultusunda veri aktarabilir. Veriyi alan tarafın veriyi 3. ülkedeki bir 3. kişiye aktarma niyeti varsa bu durumda veriyi veren kişiden öncesinde yazılı izin almalı ve sadece yeterli korumanın olması durumunda veriyi aktarabilecektir. Bahsi geçen bu izin talebinde ise hangi tür kişisel verinin aktarılmak istendiği ve veri aktarımının amacının bulunması gerekmektedir. Bu yazılı izin makul süre içerisinde (10 günü geçmemek üzere) sağlanmaması durumunda ise veri aktarılan taraf veri veren tarafa görüşerek itirazları değerlendirebilecektir.
Etkili tazmin (effective redress): Kişisel bilgiyi alan ve veren taraflar birbirlerini ilgili kişilerin tazminine ilişkin uygulanacak mevzuatına ilişkin bilgilendirme yapılacaktır.
Gözetim (oversight): Kişisel veriyi alan ve veren taraflar periyodik aralıklarla kişisel verilere ilişkin politikalarını kişisel verilere yönelik tedbirlerin uygulamalarını gözden geçirerek revize etmeleri gerekmektedir. Ayrıca; diğer yetkili tarafın talebi bulunması durumunda, tedbirlerin uygulanmasına yönelik çalışma yapmak ve etkili şekilde uygulanıp uygulanmadığına ilişkin bilgilendirme yapmak durumundadır.

İlgili yönergenin imza tarihi ile yürürlüğe gireceği ve ECA yürürlükte olduğu sürece geçerli olacaktır. Diğer yandan ise; yönerge taraflarca diledikleri zaman sona erdirilebilecektir.

DİJİTAL KORONA SERTİFİKASININ UZATILMASINA İLİŞKİN AVRUPA VERİ KORUNMA KURULU VE AVRUPA VERİ KORUMA DENETÇİSİNİN MÜŞTEREK GÖRÜŞÜ YAYIMLANDI[5]

Avrupa Veri Koruma Kurulu (The European Data Protection Board (EDOB)) (“Kurul”) ve Avrupa Veri Koruma Denetçisi (The European Data Protection Supervisor (EDPS)) (“Denetçi”); Avrupa Parlamentosu ve Konsey’in AB Dijital Covid Sertifikası olarak adlandırılan ve Covid-19 Pandemisi süresince serbestçe seyahat edebilmeyi kolaylaştıran 2021/953 sayılı düzenlemenin revize edilmesine ilişkin 14 Mart 2022 tarihli görüşlerini 15 Mart 2022 tarihinde yayımlamıştır.

Kurul ve Denetçi 23 Ekim 2018 tarihli 2018/1725 sayılı düzenlemenin 42/2 maddesini, EEA anlaşması ve 3. ülke vatandaşlarının Pandemi sürecinde üye devlet sınırları içerisinde bulunması veya ikamet etmesine ilişkin olarak AB Dijital Covid-19 sertifikasına ilişkin kurumdan ve denetçiden talep edilen müşterek görüşler göz önünde bulundurularak işbu müşterek görüşü sunmuştur.

3 Şubat 2022 tarihinde Komisyon hem AB üye devletlerin vatandaşlarının AB sınırları içerisinde etme antlaşmalarda belirtilen sınırlamalara ve koşullara ve bunları yürürlüğe koymak için alınan önlemlere tabi olarak, üye devletlerin topraklarında serbestçe hareket etme ve ikamet etme hakkına sahip olmasına göre AB Dijital Covid-19 Sertifikası’nın revizesine ilişkin teklifi hem de 3. ülke vatandaşı olup da Pandemi süresince üye devletlerin sınırları içerisinde hukuka uygun şekilde bulunan veya ikamet eden kişiler ile ilgili AB Dijital Covid-19 Sertifikası’nın revizesine ilişkin teklifi kabul etmiştir.

Kurul ve Denetçi, yukarıda bahsi geçen tekliflerin AB Dijital Covid Sertifikası’na ilişkin 2021/953 sayılı düzenlemenin uygulama alanını genişlettiğini ve buna bağlı olarak da konuyla ilgili olarak Komisyona verilen yetkilerin süresinin de uzatıldığını belirtmiştir.

Ayrıca; yukarıda bahsi geçen tekliflerin AB Dijital Covid-19 Sertifikası uygulamasının süresinin uzatmak haricinde sertifika içerisinde sertifika sahibine uygulanan aşı dozlarının da belirtilmesi, korona testi tanımının genişletilerek hızlı antijen testleri haricinde laboratuvar ortamında yapılan testlerin eklenmesi ve aşı sertifikalarında dahil edilmesi amaçlanmıştır.

3 Şubat 2022 tarihinde Komisyon; Kurul ve Denetçiden yukarıda bahsi geçen tekliflere ilişkin (AB) 2018/1725 Yönetmeliğinin (“EUDPR”) 42(2) Maddesi temelinde EDPB ve EDPS’den müşterek görüşlerini talep etmiştir.

Kurul ve Denetçi’nin konuya ilişkin genel görüşü

Kurul ve Denetçi, AB vatandaşları ile ilgili olan ilk teklife odaklanmış ve bu doğrultuda yorum yapmış olsa da işbu bahsi geçen müşterek görüş her iki teklif içinde geçerli olmaktadır. Kurul ve Denetçi öncelikle tekliflerin temel haklara etkisi olabileceğinden tekliflerin Genel Veri Koruma Tüzüğü’ne ve AB Temel Haklar Bildirgesi’ne uygun olması gerektiğinin altını çizmiştir. Bu doğrultuda; Kurul ve Denetçi, veri koruma kurallarına uygun hareket etmenin Pandemi ile mücadelede bir engel teşkil etmediğini ve genel olarak üye devletlerin veya AB kurumlarının tedbirlere karar verirken etkililik, gereklilik ve orantılılık prensiplerini dikkate almaları gerektiğini, GVKT’nin kişisel verilerin işlenmesine ilişkin 5. maddesini hatırlatmıştır. Her ne kadar ortaya çıkan Omicron varyantı enfekte olma riskini arttırmış, 2022’nin ikinci yarısındaki hasta artışının tahmin edilemez olsa ve Pandeminin süresinin uzatma riski olsa da ilgili kişilerin AB sınırları içerisindeki hareket özgürlüğünü sınırlayan sınırlamaların, AB Dijital Covid-19 Sertifikası da dahil olmak üzere, epidemiyolojik durum izin verir vermez kaldırılması gerektiğini vurgulamıştır. Ayrıca; Kurul ve Denetçi Covid-19 un evrimine ve özelikle de kullanılan kişisel verilerin kullanımına özel olarak dikkat edeceklerini eklemiştir.

Kurul ve Denetçi’nin konuya ilişkin spesifik görüşleri

Kurul ve Denetçi, Komisyon’un tekliflerin etki değerlendirmesini yapmadığını ki bu durum teklifin gerekliliği ve orantılılığının değerlendirilmesi için kanıta dayalı bir gerekçenin bulunmasını engellemiştir ki Komisyon’a göre tekliflerin kendi kapsamlarını sınırlaması ve durumun aciliyeti nedeniyle böyle bir etki değerlendirmesi yapılmamıştır. Ancak Kurul ve Denetçi, her ne kadar düzenlemenin uygulanmasının 30 Haziran 2022 tarihinde sona ereceği için durumun acil olduğunu kabul etse de son aylarda Pandemiye ilişkin meydana gelen gelişmeler göz önünde bulundurulduğunda hem AB vatandaşları için hem de 3. ülke vatandaşları için olan tekliflere ilişkin olarak veri koruma hakkı dahil olmak üzere temel haklara etkilerine ilişkin değerlendirme yapılması gerektiğini belirtmiştir.

Sonuç olarak; Kurul ve Denetçi, Covid-19 salgınıyla mücadelenin amacı açısından hangi önlemlerin etkili, gerekli ve orantılı kaldığını sürekli olarak değerlendirme ihtiyacını vurgulamaktadır. Ayrıca Kurul ve Denetçi, GVKT’nin 5. maddesi kapsamındaki veri koruma ilkelerinin sürekli olarak uygulanması ve herhangi bir kişisel veri işleme operasyonuna entegre edilmesi için yasal zorunluluğu hatırlatmaktadır.

Diğer yandan, ilgili müşterek görüşte AB Dijital Covid-19 Sertifikası içerisinde uygulanan doz sayısının bulunmasına ilişkin kurala ilişkin olarak da veri alanlarındaki herhangi bir değişikliğin temel haklara yönelik risklerin yeniden değerlendirilmesini gerektirebileceği ve yalnızca önceden tanımlanmış veri kategorilerine giren daha ayrıntılı veri alanlarının (veri alt kategorileri) kullanılması gerektiği konusundaki önceki konumlarını hatırlatılmıştır. Bu doğrultuda; Kurul ve Denetçi, bir veri sahibinin bir klinik araştırmaya katıldığına dair bilgilerin, GVKT’ nin 5/2 maddesinde listelenen veri kategorilerine eklenip eklenmeyeceğini netleştirmesi gerektiğini düşünmektedir ve bu nedenle Komisyonu üye devletlere bu tür teknik şartnamelerin geliştirilmesinde yardımcı olmaya davet etmektedir.

[1] https://edpb.europa.eu/system/files/2022-03/guidelines_202202_on_the_application_of_article_60_gdpr_en.pdf

[2] https://edpb.europa.eu/our-work-tools/documents/public-consultations/2022/guidelines-32022-dark-patterns-social-media_en

[3] https://www.jou.ufl.edu/insights/what-are-dark-patterns-an-online-media-expert-explains/

[4] https://edpb.europa.eu/our-work-tools/our-documents/toolbox-essential-data-protection-safeguards-enforcement-cooperation_en

[5] https://edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-12022-extension-covid_en