BELÇİKA VERİ KORUMA OTORİTESİ’NİN, ESKİ MÜŞTERİLERE BELİRLİ DURUMLARDA MEŞRU MENFAAT KAPSAMINDA DOĞRUDAN PAZARLAMA İLETİLERİNİN GÖNDERİLEBİLECEĞİNE İLİŞKİN KARARI  

Yazan: Aslı Rabia Savaş

1. UYUŞMAZLIK ÖZETİ

Belçika Veri Koruma Otoritesi (“Belçika VKO) 26 Temmuz 2022 tarihli ve 117/2022 numaralı kararında, veri sorumlularının eski müşterilerine doğrudan pazarlama yapmak için meşru menfaat hukuki sebebine dayanabileceğini belirtmiştir. Ancak bunun için müşteri ilişkisinin “uzun süre önce bitmemiş” olması ve ilgili kişinin bu işlemeye itiraz etmemiş olması şartı aranmaktadır.

2. OLAYLAR

2.1. Uyuşmazlığın Başlangıcı

İlgili kişi, kimliği belirtilmemiş olan veri sorumlusunun eski bir müşterisidir. Söz konusu olayda, veri sorumlusunca ilgili kişiye doğrudan pazarlama iletisi gönderilmiştir. İlgili kişi kişisel verilerinin başka amaçlarla işlenmesine itiraz etmiş; aynı zamanda veri sorumlusu tarafından işlenen tüm kişisel verilerine erişim ve doğrudan pazarlama amaçları için hangi hukuki sebebe dayanıldığı hakkında bilgi talep etmiştir.

2.2. Veri Sorumlusunun Cevabı

Veri sorumlusu, bu talebe istinaden 30 gün içinde ilettiği cevabında ilgili kişinin artık doğrudan pazarlama iletisi almayacağını teyit etmiş ve söz konusu işleme bakımından uygulanabilir olan tüm hukuki sebepler ile birlikte ilgili kişiye ilişkin işlenen bütün kişisel verileri bildirmiştir.

İlgili kişi sonradan Veri Koruma Otoritesi’ne şikâyette bulunarak, kendisinin veri sorumlusunun mevcut müşterisi değil, eski bir müşterisi olmasından ötürü veri sorumlusunun e-posta adresini pazarlama amaçlarıyla işlemek için meşru menfaat hukuki sebebine dayanamayacağını iddia etmiştir.

3. BELÇİKA VKO’NUN DEĞERLENDİRMESİ

Belçika VKO, Genel Veri Koruma Tüzüğü (“GVKT”) Resital 47[1] ve kendisinin yayımlamış olduğu 01/2020 Doğrudan Pazarlama (nr. 168) rehberi[2] (“Rehber”) uyarınca, bir veri sorumlusunun belirli koşullar altında eski müşterilerine dahi doğrudan pazarlama iletisi göndermek için meşru menfaat hukuki sebebine dayanabileceğine karar vermiştir.

Resital 47’nin ilgili bölümleri uyarınca, ilgili kişinin veri sorumlusunun müşterisi olması ya da veri sorumlusundan hizmet alması gibi, ilgili kişi ile veri sorumlusu arasında konuyla bağlantılı ve uygun bir ilişkinin mevcut olduğu durumlarda meşru menfaatin söz konusu olabileceği belirtilmektedir. Ancak, her halükârda, meşru menfaatin var olup olmadığı belirlenirken kişisel verilerin toplanma anında ve bağlamında ilgili kişilerin kişisel verilerinin bu tür bir amaçla işlenebileceğini makul olarak öngörüp öngöremeyeceğinin değerlendirilmesi gerekmektedir.

Rehber’de ise, veri sorumlusu ile ilgili kişi arasında hiçbir ilişki olmadığı veya bir ilişki mevcut olsa bile bu ilişkinin çok eski tarihe dayandığı durumlarda, doğrudan pazarlama yapılması ilgili kişinin makul beklentileri kapsamında olmayacağından ötürü veri sorumlusunun hukuki sebep olarak meşru menfaate dayanamayacağı belirtilmiştir.

Söz konusu olayda, veri sorumlusu ile ilgili kişi arasındaki ilişki Belçika VKO’ya göre uzun sayılmayacak bir süre önce (yaklaşık 2 sene önce) sona ermiştir. Bu süre göz önüne alındığında olayda ilgili kişi, kişisel verilerinin hala doğrudan pazarlama iletisi gönderme amacıyla kullanılabileceğini makul olarak öngörebilecektir. Veri sorumlusu, ayrıca, doğrudan pazarlama amaçlı işlemenin yalnızca sunulan hizmetin iptalinden sonra 2 sene boyunca yapılacağını da teyit etmiştir. Dolayısıyla, Rehber’de izah edilen durumların aksine, söz konusu olayda doğrudan pazarlama amacıyla gerçekleştirilen işleme faaliyeti için veri sorumlusu meşru menfaat hukuki sebebine dayanabilecektir.

4. KARAR VE ÖNERİLER

Yapılan değerlendirmeler sonucunda, Belçika VKO veri sorumlusunun GVKT’yi ihlal etmediğine hükmetmiş ve şikâyeti reddetmiştir.

***

Karara aşağıdaki link üzerinden erişebilirsiniz:

https://gdprhub.eu/index.php?title=APD/GBA_(Belgium)_-_117/2022&mtc=today

[1] GVKT Resital 47’nin ilgili bölümü şu şekildedir: “(…) Such legitimate interest could exist for example where there is a relevant and appropriate relationship between the data subject and the controller in situations such as where the data subject is a client or in the service of the controller. At any rate the existence of a legitimate interest would need careful assessment including whether a data subject can reasonably expect at the time and in the context of the collection of the personal data that processing for that purpose may take place. (…)”

[2] Rehber (yalnızca Fransızca ve Flemenkçe dillerinde olmak üzere) şu adreste yer almaktadır: https://www.autoriteprotectiondonnees.be/publications/recommandation-n-01-2020.pdf