Avusturya Postası'na Yasadışı Veri Ticareti Nedeniyle Milyonluk Cezada Son Nokta Konuldu

Avusturya'nın köklü posta ve lojistik kurumu Österreichische Post, milyonlarca vatandaşın hassas kişisel verilerini izinsiz olarak pazarlaması nedeniyle uzun süredir devam eden hukuki sürecin sonunda rekor bir cezayla karşı karşıya kaldı. Avusturya Yüksek İdare Mahkemesi (VwGH) tarafından alınan nihai karara göre, şirket yasadışı veri ticareti faaliyetleri dolayısıyla 13 milyon euro idari para cezası ve 100 bin euro yargılama masrafı ödemek zorunda bırakıldı. Bu karar, aynı davanın en üst yargı mercileri tarafından üçüncü kez ele alınmasının ardından nihai bir hukuki statü kazandı ve Avrupa genelindeki veri gizliliği uygulamaları açısından emsal niteliği taşıyan bir dönüm noktası oluşturdu.

Kronolojik Gelişmeler ve Hukuki Mücadelenin Arka Planı

Skandalın temelleri, Österreichische Post'un Mayıs 2018 ile Şubat 2019 tarihleri arasında gerçekleştirdiği ticari hamlelere dayanıyor. Bu dönemde şirket, yaklaşık 2,2 milyon Avusturya vatandaşının siyasi partilere olan tahmini yakınlık derecelerini ve eğilimlerini, ilgili kişilerin açık rızası olmaksızın topladı ve üçüncü taraflara pazarladı. Durumun ortaya çıkmasının ardından Avusturya Veri Koruma Kurumu (DSB), 2019 yılında hızlı bir aksiyon alarak hem veri işleme faaliyetlerini durdurdu hem de kuruma toplam 18 milyon euro para cezası ile birlikte 1,8 milyon euro tutarında ek masraf cezası kesti.

Ancak süreç bununla sınırlı kalmadı. Österreichische Post yönetimi, cezaya karşı hukuki yollara başvurarak kararı federal idari mahkemeye taşıdı. İlk aşamada mahkeme, söz konusu politik eğilim verilerinin yalnızca sıradan kişisel veri olmadığını, aksine çok daha katı kurallarla korunan özel nitelikli (hassas) veriler kategorisinde yer aldığını tescilledi. Bu durum daha sonra VwGH tarafından da onaylandı. Buna karşın, davanın ilerleyen aşamalarında posta kurumu kısmi bir başarı elde etti. Federal idari mahkeme, ceza kararında yasayı ihlal eden somut gerçek kişilerin isimlerinin belirtilmemiş olmasını bir usul hatası olarak değerlendirerek cezayı tamamen iptal etti.

Bu gelişme üzerine veri koruma kurumu konuyu tekrar yüksek mahkemeye taşıdı. Süreç devam ederken Avrupa Adalet Divanı (ECJ), tüzel kişilerin işlediği veri ihlallerinde, kurum içinde doğrudan sorumluluğu bulunan bireylerin isimlerinin tek tek bildirilmesinin zorunlu olmadığına hükmetti. Bu emsal karar ışığında VwGH dosyayı yeniden incelemesi için alt mahkemeye geri gönderdi. Hafifletici sebepleri dikkate alan alt mahkeme cezayı bu kez 16 milyon euro olarak yeniden düzenledi.

Şirketin Savunmaları ve Yüksek Mahkemenin Kesin Reddi

Kararın ardından pes etmeyen Österreichische Post, dosyayı bir kez daha Yüksek İdare Mahkemesi'ne taşıdı. Şirket avukatları, kasıtlı bir suç işlemediklerini, bünyelerinde bir uyumluluk (compliance) sisteminin bulunduğunu ve hem iç değerlendirmeler hem de dış uzman görüşleri doğrultusunda istatistiksel olasılık hesaplamalarının kişisel veri olarak kabul edilmediğini savundu.

Ancak VwGH bu savunmaları tamamen reddetti. Mahkeme gerekçesinde, şirketin ürettiği pazarlama sınıflandırmalarını ve tahminleri doğrudan somut bireylerle eşleştirdiğine dikkat çekti. Yüksek mahkeme heyeti, politik reklamcılık amacıyla veri işleme faaliyetlerinin bireyler açısından hiçbir risk taşımadığı yönündeki kurumsal iddianın hukuki açıdan savunulamaz ve mantıksız olduğunu vurguladı. Ayrıca, posta kurumunun hukuki meseleleri derinlemesine inceleyecek ve denetleyecek çok ciddi kurumsal ve finansal kaynaklara sahip olduğu, bu nedenle durumun hafif ihmal olarak değerlendirilemeyeceği hükme bağlandı.

Şirketin ceza miktarının hesaplanmasında grup genelindeki ciromlu oranların dikkate alınmasına yönelik itirazları da mahkeme tarafından geri çevrildi. Yüksek mahkeme, Avrupa Veri Koruma Kurulu'nun 2022 yılında yayımladığı kılavuz ilkeleri baz alarak 13 milyon euro tutarındaki nihai cezayı haklı buldu. Yalnızca idari masraf kaleminde indirime giden mahkeme, toplam cezanın orantısız bir yük oluşturmaması adına yüzde onluk ek oran yerine 100 bin euro masraf ödenmesini kararlaştırdı.

Dijital Pazarlama, Veri Brokerliği ve Gelecekteki Etkiler

Bu dava, modern dijital ekonomide veri brokerliği (data brokering) faaliyetlerinin sınırlarını çizen en önemli hukuki süreçlerden biri olarak kayıtlara geçti. Şirketlerin tüketicilerin dijital ayak izlerini, alışveriş alışkanlıklarını ve hatta siyasi eğilimlerini algoritmik modellerle tahmin ederek ticari meta haline getirmesi, uzun süredir dijital hak savunucularının tepkisini çekiyordu. Österreichische Post, bu skandal nedeniyle 2019 yılında kamuoyunda "Big Brother Award" (Büyük Birader Ödülü) gibi ironik ve olumsuz bir üne de sahip olmuştu.

Avrupa Birliği genelinde uygulanan Genel Veri Koruma Yönetmeliği'nin (GDPR) gücünü ve etkinliğini kanıtlayan bu karar, kurumsal veri işleme süreçlerinde "istatistiksel tahmin" kılıfının arkasına sığınarak rızasız veri ticareti yapma devrinin kapandığını net bir şekilde gösteriyor. Şirketler artık yapay zeka ve büyük veri analitiği araçlarıyla elde ettikleri profilleme verilerinin gizlilik sınırlarını zorlayamayacak ve olası ihlallerde çok uluslu ciro bazlı devasa cezalarla yüzleşmek zorunda kalacaklar.