Veri Koruma : Lüksemburg Ulusal Veri Koruma Komisyonu’ndan Amazon’a 888 Milyon Dolar Para Cezası

Lüksemburg Ulusal Veri Koruma Komisyonu (“CNPD”), 16 Temmuz 2021 tarihinde verdiği kararla Amazon.com Inc (“Amazon”) teknoloji şirketine yönelik Avrupa Birliği (“AB”) Genel Veri Koruma Tüzüğü’nü (“GDPR”) ihlal ettiği gerekçesiyle 888 Milyon Dolar para cezasına hükmetmiştir.

La Quadrature du Net tarafından, Amazon’a verilen bu tarihi cezanın, vatandaşların dijital ortamdaki temel özgürlüklerini savunma misyonunu üstlenen Fransız La Quadrature du Net derneğinin Mayıs 2018’de Fransa Ulusal Veri Koruma Komisyonu’na (“CNIL”) yaptığı toplu şikâyet ile başlayan soruşturma sürecinin bir sonucu olduğu belirtilmiştir.

Yapılan şikâyette La Quadrature du Net, Amazon’un GDPR’ın 4(11) maddesi kapsamında veri sahibinin açık rızasının alınması zorunluluğuna uyulmadığı ve yine GDPR’ın 5(1) maddesinde yer alan “hukuka uygunluk, adalet ve şeffaflık ilkelerine aykırı davranıldığını iddia etmiştir.

Amazon’un kullandığı hedefli reklamcılıkta amaç, her bir tüketiciyi tanımlamak ve onlara uygun reklam içeriği sunmak için onlara bir profil atamaktır. E-ticaret ile bu uygulama, kullanıcıların ve/veya tüketicilerin, sitenin sunduğu hizmetten yararlanırken paylaştığı bilgilerin toplanması ve daha sonrasında bu amaçta kullanılması yoluyla sağlanmaktadır. Buna ek olarak La Quadrature du Net, şikâyet raporunda Amazon’un hangi amaçla bu bilgileri topladığını açık bir şekilde kamuoyuna açıklamadığını, ticari faaliyetinin yürütülmesi kapsamında tüketicilerle arasında bir mesafeli satış sözleşmesi olduğunu ve bu sözleşmenin ifası için hedefli reklamcılığa ihtiyacın bulunmadığını vurgulamıştır.

Bu iddialarla CNIL, merkezi Lüksemburg’ta bulunan Amazon’a yönelik şikayeti CNPD’ye yönlendirmiştir.

Toplamda üç yıl süren soruşturmanın sonunda CNPD tarafından, kişisel verileri kullanmadan önce gerçek kişilerin onayını almadığı gerekçesiyle, Amazon’un GDPR’ı ihlal ettiğine karar verilmiştir.

CNPD’nin kararına karşılık Amazon, 30 Temmuz 2021 tarihinde CNPD’nin kararın detaylarını da içeren yılın ikinci çeyrek raporlarını (“Rapor”) paylaşmıştır. Amazon, Rapor’da, CNPD’nin kararının haksız olduğuna inandıklarını ve bu konuda kendilerini şiddetle savunmayı amaçladıklarını belirterek kararı temyiz edecekleri yönünde beyanda bulunmuştur. Buna ek olarak Amazon, bir veri ihlali olmadığını ve hiçbir kullanıcının verisinin üçüncü bir kişiye aktarılmadığını, uyguladıkları veri toplama politikasıyla amaçlananın müşterilerin müşteri deneyimini iyileştirmek olduğunu bildirmekle beraber çalışanlarının toplanan verileri nasıl kullanacağı ile ilgili yönergeler belirlediklerini de belirtmiştir.

Son olarak verilen cezanın bedeli değerlendirildiğinde GDPR’ın 83(5) maddesi uyarınca ihlal halinde bir teşebbüs olması halinde, bir önceki mali yılın yıllık dünya çapındaki cirosunun %4’üne kadar idari para cezalarına tabi olacağı şeklinde düzenleme yapılmıştır. Bu noktada CNPD’nin verdiği kararın ileride tekrar gündeme gelebileceği yönünde görüşler söz konusudur.

Esra Temur, Meryem Özbek