Dünya genelinde aylık 1 milyarın üzerinde aktif kullanıcısı bulunan sosyal medya platformu TikTok; Avrupa, İngiltere ve İsviçre bölgelerinde bulunan kullanıcılar için kişiselleştirilmiş reklam politikalarında değişikliğe gidildiğini duyurdu.
TikTok, kullanıcılarının: 1. uygulama içerisindeki aktivitelerine dayalı kişisel verilerini (takip edilen hesaplar, beğenilen içerikler ve profil bilgileri gibi) ve 2. uygulama dışındaki aktivitelerine dayalı kişisel verilerini (reklam, ölçüm ve veri ortaklarından elde edilen veriler) işleyerek kişisel veri işleme faaliyetini iki kategori altında yürütüyor.
Halihazırda, her iki grup veri işleme faaliyeti de kullanıcıların açık rızasına dayalı olarak gerçekleştirilirken; 13 Temmuz 2022 tarihinden itibaren Avrupa Ekonomik Bölgesi, İngiltere ve İsviçre kullanıcıları için uygulama içerisindeki kişisel verilerin işlenebilmesi kullanıcıların açık rızasına bağlı olmaktan çıkarılıyor.
Böylelikle, uygulama içerisindeki davranışlar ve profil bilgilerinden elde edilen kişisel veriler, ilgili kişinin rızasına bağlı olmaksızın “kişiselleştirme” kapsamında işlenecek. Uygulama dışındaki aktivitelere ilişkin kişisel verilerin işlenmesi için ise kullanıcıların açık rızaları alınmaya devam edilecek. Uygulama 13 Temmuz 2022 tarihinden itibaren başlatılacağı için, bu tarihten evvel işlenmesi için rıza bulunmayan veriler ileriye dönük olarak işlenmeyecek, ancak 3 Temmuz 2022 tarihi itibariyle oluşan kullanıma ilişkin kişisel veriler, ilgili kişinin açık rızası aranmaksızın işlenecek.
Bütün işleme faaliyetleri için 18 yaşın altındaki kullanıcılardan açık rıza alınmaya devam edilecek; işleme konusunda rızası bulunmayan 18 yaş altı kullanıcıların uygulama içi veya uygulama dışı kişisel verileri işlenmeyecek. 18 yaşını dolduran kullanıcıların ise, uygulama içi verileri 18 yaşını doldurdukları tarihten itibaren, açık rıza aranmaksızın ileriye dönük olarak işlenmeye başlayacak.
TikTok’un konu hakkında yayımlamış olduğu duyuru ile, açık rıza alınmaksızın yapılacak işlemelerin veri sorumlusunun meşru menfaatine, yani GDPR’ın 6.1. maddesinin f bendine dayandırıldığı anlaşılıyor. Ancak veri sorumlusu TikTok’un kişiselleştirme konusundaki meşru menfaatinin söz konusu duyuruda veya güncellenmiş gizlilik politikasında açıklanmadığı görülüyor.
GDPR’ın 6. maddesi uyarınca hukuka uygun bir işlemenin söz konusu olabilmesi için veri sorumlusunun hukuki sebep olarak dayandığı meşru menfaatin veri konusu kişilerin temel hak ve özgürlükleri ile kıyaslandığında oluşacak dengede daha ağır basıyor olması gerekiyor; ancak TikTok’un meşru menfaatlerine ve bunların kullanıcıların temel haklarına kıyasla nasıl bir yerde bulunduğuna ilişkin herhangi bir gerekçelendirmeye yer verilmemesi nedeniyle, yeni uygulamanın hukuka uygunluğu konusunda soru işaretlerinin ortaya çıktığını belirtmeliyiz.
Diğer taraftan, internet sitesinin kişisel verilerin işlenmesine ilişkin haklar bölümünde, GDPR’ın 21. maddesi uyarınca kullanıcıların veri işlemeye itiraz etme hakları bulunduğu belirtiliyor. Kullanıcıların bu bölümde yer alan formu doldurarak gerekçelerini belirtmeleri ve konuyu TikTok’un değerlendirmelerine sunmaları gerekecek. Elbette bu hakkın kullanımı rızanın geri alınması mekanizmasından farklı olarak TikTok tarafından makul görülmesi halinde gerçekleşecek. Bu açıdan, kullanıcıların özgürlük alanlarının daraldığını söylemek mümkün.
Yeni uygulamanın çeşitli şikayetlere ve uyuşmazlıklara konu edileceği öngörüsü ile, veri otoritelerinin meşru menfaat kavramına olan yaklaşımını hukuki aydınlatma ve uygulama kullanımı bağlamında yeniden ortaya koyduğu kararlar göreceğimizi düşünüyoruz.