Avrupa Birliği Adalet Divanı’na Salt Ticari Olan Menfaatlerin Meşru Menfaat Sayılıp Sayılamayacağı Soruldu!

Hazırlayan: Merve AYDIN

9 Ocak 2023 Tarihli Avrupa Birliği Resmi Gazetesinde yayımlanan bilgiye göre[1], Amsterdam Mahkemesi, Koninklijke Nederlandse Lawn Tennisbond (KNLTB) [Hollanda Kraliyet Çim Tenisi Derneği] ile Autoriteit Persoonsgegevens (AP) [Hollanda’nın Şimdiki Veri Koruma Otoritesi] arasında görülen bir davada 29 Eylül 2022 tarihinde ön karar verilmesi talebi ile Avrupa Birliği Adalet Divanı’na başvurdu ve şu soruların yanıtlanmasını istedi:

* “Meşru menfaat” kavramı Bölge Mahkemesi tarafından ne şekilde yorumlamalıdır?

* Meşru Menfaat kavramı, davalının [AP] yorumladığı şekilde değerlendirilebilir mi? Bu menfaatler münhasıran kanuna özgü olan, kanunu meydana getiren, bir kanunda yer alan menfaatler midir? Yoksa;

* Herhangi bir menfaat, bu menfaat kanuna aykırı olmamak kaydı ile meşru menfaat sayılabilir mi? Daha spesifik olmak gerekir ise, somut olayda -ilgili kişinin açık rızası olmaksızın kişisel verilerin bir ödeme karşılığında sağlanması- olduğu gibi tamamen ticari olan bir menfaat, belirli şartlar altında “meşru menfaat” olarak kabul edilebilir mi? Kabul edilebilir ise tamamen ticari olan bir menfaatin meşru bir menfaat olup olmadığını hangi koşullar belirler?

Olayın Arka Planı:

KNLTB, -soruşturma tarihinde Hollanda’nın en büyük ikinci spor derneğidir- üyelerinin bazı kişisel verilerini (kampanya kodu, ad-soyadı, adres, telefon numarası, e-posta adresi, cinsiyet gibi) üyelerine tenis sporu ile ilgili tekliflerin sunulması amacıyla, sponsorlarına aktaracağını açıkladı.

Üyelerden bir tanesi konuyu kamuoyu bilgisine duyurdu ve böyle bir aktarımın Avrupa Genel Veri Koruma Tüzüğü’ne (GVKT) uygun olup olmadığını sorgulamaya açtı. Gelen baskılar üzerine KNLTB bu aktarımı askıya aldığını duyurdu. Konunun kamuoyuna yansıması ve bazı üyelerin şikayetleri üzerine AP, 22 Ekim 2019 tarihinde konuya ilişkin olarak bir soruşturma başlattı.

AP’nin 20 Aralık 2019 Tarihli Kararı[2]:

Her ne kadar KNLTB, AP’nin selefi olan Hollanda Veri Koruma Otoritesi’nin internet sitesinde yer alan Eylül 2010 tarihli bir bilgi notuna dayandığını, o bilgi notuna göre “Dernek için olağan faaliyetlerle veya dernek kurulu tarafından onaylanmış faaliyetlerle ilgili olması koşuluyla doğrudan pazarlama yapılması amacıyla sponsorlar gibi dernek dışındaki üçüncü kişilere kişisel veri aktarılması için üyelerin rızasının aranmasına gerek olmadığını, üyelere makul bir süre boyunca itiraz etme imkanının tanınmış olmasının yeterli olduğunu” iddia etmiş ise de AP’ye göre, söz konusu içeriğin çok uzun süre önce yayından kaldırılmış olması nedeniyle KNLTB’nin açıklama yaptığı Haziran 2018’de bu bilgiye dayandığını ileri sürmesi mümkün değildir. Kaldı ki 24 Mayıs 2016 tarihinde GVKT’nin yürürlüğe girmesi ile birlikte geçerli hale gelen mevzuat hükümlerini (yeniden) tespit etmek de KNLTP’nin yükümlülüğündedir.

KNLTB bu aktarımı meşru menfaat temeline dayandırmakta ise de, 29. Madde Çalışma Grubu, Nisan 2014’te (o dönemde yürürlükte olan) 95/46/AB sayılı Direktif’in 7(f) bendindeki “veri sorumlusunun meşru menfaati” kavramı ile ilgili bir rehber yayınlanmıştır. Bu görüş, GVKT’nin 6(1)(f) bendinin uygulaması için de rehberlik etme vasfını sürdürmektedir. Dolayısıyla KNLTB’nin , bahsettiği bilgi notuna dayanması mümkün değildir.

Bu nedenle AP’nin kararına göre, pazarlama amacıyla verilerin paylaşılması yalnızca üyelerin rızasının alınmış olması şartıyla mümkündür. Bu aktarım için meşru menfaat şartına dayanılamaz.

[1] https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.C_.2023.007.01.0015.01.ENG&toc=OJ%3AC%3A2023%3A007%3AFULL

[2] Karara konu olayda Veri Koruma Otoritesi’nin verdiği karar: https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/boetebesluit_knltb.pdf