CNIL, Bir Oyun Yayıncısı Şirketi Olan Voodoo’ya 3 Milyon Avro Para Cezası Vermiştir

Fransız Veri Koruma Otoritesi olan CNIL misyonunu; özel ve kamu kuruluşlarının Avrupa Genel Veri Koruma Yönetmeliği’ne (General Data Protection Regulation- “GDPR”) uyum sağlamalarına yardımcı olmak ve büyüklüklerine ve ihtiyaçlarına göre uyarlanmış eksiksiz bir araç kutusu sunmak olarak belirlemiştir. Bu kapsamda CNIL özel ve kamu kuruluşlarının GDPR’a uyumluluğu hususunda çeşitli incelemelerde bulunmaktadır.

CNIL, bir süredir Voodoo şirketi tarafından yayınlanan oyunlar hakkında çeşitli incelemelerde bulunmuştur. Bu incelemeler sadece IOS işletim sistemine sahip Apple marka iPhone ürünü üzerinden indirilen ve çalıştırılan oyunlar özelinde gerçekleştirilmiştir. Söz konusu incelemenin zaman aralığı Ağustos 2021- Temmuz 2022 olarak belirlenmiştir.

Bir yayıncı App Store’da bir uygulama sunduğunda, Apple “IDentifier For Vendors” (“IDFV”) teknik tanımlayıcısını sağlayarak bu yayıncının uygulamalarının kullanıcılar tarafından kullanımını izlemesine olanak tanımaktadır. Bir IDFV her kullanıcıya atanmaktadır ve bir yayıncı tarafından dağıtılan tüm uygulamalar için ve dolayısıyla Voodoo’nun da tüm uygulamaları için aynı şekilde atanmıştır.

IDFV, akıllı telefondan alınan diğer bilgileri birleştirerek, her biri kullanıcı tarafından görülen reklamları kişiselleştirmek için- tercih ettikleri oyun kategorileri de dahil olmak üzere- kişilerin tarama alışkanlıklarını izlemeye olanak tanımaktadır. Bu bir çeşit kişisel verilerin işlenmesi faaliyetidir.

Bu kişisel verinin işlenmesi için Apple tarafından tasarlanmış bir App Tracking Transparency veya ATT (Uygulama İzleme Şeffaflığı) adı verilen ilk pencere kullanıcılara sunulmaktadır. Bu pencere ile video oyunu ilk açıldığında faaliyetlerinin izlenmesi onayını almak hedeflenmiştir. Böylece aydınlatma yükümlülüğü yerine getirilmiş olacak ve veri işlenmesi için ilgili kişinin açık rızası alınmış olacaktır.

Kullanıcı söz konusu ATT talebini reddettiğinde şirket tarafından reklam takibinin devre dışı bırakıldığını açıklayan ve kişiselleştirilmemiş reklamların sunulmaya devam edeceğini belirten bir ikinci pencere görüntülenmiştir.

Ancak CNIL’in yapmış olduğu incelemeler reklam sunumunun hiç de belirtildiği şekilde yapılmadığını ortaya çıkarmıştır. İnceleme sonucunda bir kullanıcının reklam takibini reddetmesine rağmen Voodoo şirketi tarafından kullanıcının ilişkili olduğu IDFV’nin yine de verileri okuduğu görülmüştür. CNIL, arama alışkanlıklarıyla bağlantılı bilgileri reklam amacıyla, dolayısıyla rıza olmadan ve görüntülediği bilgi ekranında belirttiğiyle çelişkili olarak işlemeye devam ettiğini gözlemlemiştir.

CNIL kullanıcı rızası olmaksızın IDFV’nin reklam amacıyla kullanılmasının Fransız Veri Koruma Kanunu’nun “Tazminat ve Sorumluluk Hakkı” başlıklı 82. Maddesinin ihlali teşkil ettiğine karar vermiştir.

CNIL’in yaptırımdan sorumlu olan komitesi, Voodoo şirketine 3 milyon Avro para cezası verilmesine karar vermiş ve bu kararı kamuoyuna açıklamıştır. Para cezası miktarı ilgili kişi sayısı, ihlal sonucunda elde edilen mali faydalar ve şirketin 2020 ve 2021 ciroları değerlendirilerek belirlenmiştir.

Söz konusu Karar’a ilişkin daha fazla bilgiye buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr