Norveç Veri Koruma Otoritesi (NDPA), Microsoft'un reklam teknolojisi iştiraki Xandr'a 92 milyon Norveç kronu, yani yaklaşık 9,6 milyon dolar tutarında idari para cezası verdi. Kurumun bugüne kadar kestiği en yüksek ceza olması, olaya ayrı bir ağırlık katıyor.

Otoriteye göre sorun, Xandr'ın Grindr kullanıcılarının hassas verilerini reklam amacıyla işlerken açık rıza almamasında yatıyor. Şirket, bu onayı zaten Grindr'ın aldığını varsaymış; NDPA ise bu varsayımın hukuken yeterli olmadığı sonucuna vardı.

Veri nasıl dolaşıyordu? Bir kullanıcı uygulamayı açtığında kişisel bilgileri çoğu zaman Xandr üzerinden reklam ekosistemindeki potansiyel olarak binlerce aktöre aktarılıyordu. Reklamverenler, kullanıcıya hiçbir şey hissettirmeden bu veriler üzerinden hedefli reklam alanı için birbirleriyle teklif yarışına giriyordu.

Dosyanın kökeni oldukça eski. Norveç Tüketici Konseyi 2020'de NDPA'ya şikâyette bulunmuş, ihlallerin Temmuz 2018 ile Nisan 2020 arasında yaşandığı belirtilmişti. O dönemde Xandr henüz Microsoft'un bir parçası değildi; yani ceza, sonradan satın alınan bir şirketin geçmişten gelen yükünü de gündeme getiriyor.

Ceza tutarı, Xandr'ın toplam yıllık cirosu esas alınarak hesaplandı. NDPA, verilerin kötüye kullanımını çok ciddi bulduğunu ve bu nedenle yüksek bir ceza gerektiğini vurguladı. Xandr'ın karara itiraz etmek için üç haftası var.

Grindr cephesi de rahat değil: Aynı kurum daha önce uygulamanın kendisine de benzer gerekçelerle 5,6 milyon euro üzerinde bir ceza kesmişti. 2024'te ise Londra'da Grindr aleyhine, kullanıcıların HIV durumu ve test tarihlerini reklam şirketleriyle paylaştığı iddiasıyla dava açılmıştı.

Türkiye açısından bakıldığında bu haber, KVKK kapsamındaki özel nitelikli kişisel veri tartışmalarını hatırlatıyor. Cinsel yönelim ve sağlık gibi hassas bilgilerin reklam zincirinde dolaşması, hangi ülkede olunursa olunsun açık ve bilinçli rıza gerektiren bir alan olarak öne çıkıyor.

Kaynak: Engadget