Ercüment Erdem Av. Ecem Süsoy Uygun

Almanya Federal Kartel Ofisi Facebook’un Farklı Kaynaklardan Kullanıcı Verisi Toplamasını Engelledi

Şubat 2019

Giriş

Almanya Federal Kartel Ofisi (Bundeskartellamt) (“Alman Rekabet Kurumu” veya “Kurum”), 06.02.2019 tarihli kararında (“Karar”)[1] Facebook’un, veri işleme politikası doğrultusunda kullanıcı verilerini işlemesi faaliyetine bazı kısıtlamalar getirdi ve bu bağlamda Facebook’un[2] bazı davranışlarına son vermesine karar verdi[3]. İlgili Karar doğrultusunda Facebook, Almanya’daki kullanıcılarına uyguladığı hizmet koşullarını değiştirmek zorunda bırakıldı. Kurum’un bu Kararı, Facebook’un kişisel verileri kapsamlı bir şekilde işlemesini hem kişisel verilerin korunması hem de rekabet hukuku açısından ele alması nedeniyle büyük önem taşır.

Alman Rekabet Kurumu’nun Facebook Hakkındaki Şüpheleri, Hikâyenin Başlangıcı

Facebook kullanıcıları, Facebook'un internet sitesi veya akıllı telefon uygulamaları haricinde de veri toplayabileceğini ve bu verileri ilgili Facebook kullanıcılarının hesabına aktarabileceğini öngören hizmet şartlarını kabul etmek kaydıyla Facebook'un sosyal ağını bugüne kadar kullanmaktaydılar[4]. Bu bağlamda, yalnızca Facebook’un web sitesinde toplanan veriler değil, aynı zamanda Facebook’un sahip olduğu web sitelerinde, uygulamalarında (apps), üçüncü tarafların web sitelerinde ve akıllı telefonlarında toplanan veriler de birleştirilip kullanıcının Facebook hesabına aktarılabilmektedir[5].

Üçüncü taraf kaynakları, Facebook'un sahip olduğu WhatsApp, Oculus, Masquerade ve Instagram'ın kurumsal hizmetlerini ve üçüncü taraf web sitelerini ve uygulamalarını kullanarak veri toplamaktadır[6]. Eğer, bir üçüncü taraf web sitesine ilk kez giriş yapıldığında “Beğen” tuşu, “Facebook girişi” veya “Facebook Analytics” gibi analitik hizmetleri içeren "Facebook Business Tools" araçları gömülü ise, veriler uygulama programlama ara yüzleri (API) aracılığıyla Facebook’a iletilmektedir[7].

Kullanıcılar tarayıcı veya cihaz ayarlarında web izlemesini (web tracking) engellemiş olsalar bile, Facebook’un şart ve koşullarına göre, bu veriler kullanıcının Facebook hesabındaki verilerle birleştirilip Facebook tarafından kullanılabilmektedir[8]. Kurum’a göre, söz konusu şartlar ve koşullar ne veri koruma prensipleri altında gerekçelendirilebilir ne de rekabet hukuku standartlarına uygundur[9].

Yukarıda belirtildiği şekilde veri kaynaklarının birleştirilmesi ve Facebook’un her bir kullanıcı için benzersiz bir veri tabanı oluşturması[10] Alman Rekabet Kurumu’nun dikkatini çekmiştir. Bunun üzerine Kurum, Amerikan asıllı Facebook Inc., şirketin İrlandalı iştiraki ve merkezi Hamburg’da bulunan Facebook Germany GmbH aleyhine Mart 2016'da bir soruşturma başlattı[11]. İlk olarak, Facebook'un kullanım koşullarının veri koruma hükümlerini ihlal etme şüphesi üzerinde duruldu. Ancak söz konusu olayda, Facebook’un kullanım koşullarının kullanıcılarına haksız koşullar dayatan bir kötüye kullanım hali teşkil edebileceği tespit edildi[12]. Bu nedenle Kurum, Facebook’un sosyal ağlar pazarındaki muhtemel hâkim durumunu kullanıcı verilerinin kullanımına ilişkin özel hizmet koşulları vasıtasıyla kötüye kullanıp kullanmadığını inceledi[13].

Alman Rekabet Kurumu Başkanı Andreas Mundt, henüz pazar araştırması yapmaksızın Facebook'un sosyal ağlar pazarında hâkim durumda olduğuna işaret etmiş ve hâkim durumdaki şirketlere Facebook üzerinden şöyle bir mesaj vermiştir: “Hâkim şirketler özel yükümlülüklere tabidir. Bunlar, pazarla ilişkili olduğu sürece yeterli hizmet koşullarının kullanımına ilişkindir. Facebook gibi reklamlar ile finanse edilen internet hizmetleri için, kullanıcı verileri son derece önemlidir. Bu nedenle, tüketicilerin, toplanan verilerin türü ve kapsamı hakkında yeterince bilgi sahibi olup olmadıklarının pazar gücünün kötüye kullanımı açısından da incelenmesi önemlidir.” [14].

Kurum, Avrupa Birliği Genel Veri Koruma Tüzüğü’nde (“GDPR”) belirtilen veri koruma sınırlarının aşılması nedeniyle ve Facebook’un hâkim durumu da göz önünde bulundurulduğunda, Facebook’un veri toplama sürecine Rekabet Kanunu açısından müdahale etmiştir[15].

Facebook’un Alman Pazarındaki Durumu

Facebook; çeşitli dijital ürünler, akıllı telefonlar için çevrimiçi hizmetler ve uygulamalar geliştiren ve işleten bir platformdur[16]. Facebook.com, 2008'den beri Almanya'da faaliyetini sürdürmektedir. Facebook’un 2018 yılında Almanya'daki günlük aktif kullanıcı sayısı yaklaşık 23 milyon iken, yaklaşık 32 milyon kullanıcı ise aylık aktif kullanıcı olarak sınıflandırılmıştır[17].

İlgili pazarın belirlenmesi amacıyla, Alman Rekabet Kurumu’nun ayrıntılı bir inceleme yaptığı görülmektedir. Bu anlamda, Facebook’un iş modeli ve ücretsiz hizmet sağlayan çok taraflı bir ağ pazarındaki özellikli nitelikleri incelendi[18]. Pazardaki talep yönlü ikame edilebilirliğe dayanarak Kurum ilgili ürün pazarını, pazarın karşı tarafını oluşturan özel kullanıcılar ile ilgili bir özel sosyal ağ pazarı olarak tanımladı[19]. İlgili coğrafi pazar ise Almanya olarak belirlendi. Kurum’un bulgularına göre, Facebook, özel kullanıcıların kullandığı sosyal ağlar açısından Alman pazarında hâkim durumdadır ve sonuç olarak Alman Rekabet Kanunu uyarınca hâkim durumun kötüye kullanılması kontrolüne tabi tutulmalıdır[20].

Kurum, Facebook'un ilgili pazardaki kullanıcı temelli pazar payını inceleyip payının %95'i aştığını tespit etti[21]. Pazar payı hesaplanırken Kurum, ağı kullanmak için yoğun olarak harcanan süreyi önemli bir gösterge olarak kabul etti[22]. Öte yandan, Alman Rekabet Kanunu’nda yapılan son değişiklik doğrultusunda, Kurum’un pazar gücüne ilişkin değerlendirmesi yalnızca pazar payına dayanmamaktadır[23]. Pazar gücünü belirleyen unsurlar genişletildi. Örneğin; rekabetçi bir şekilde verilere erişim, ağ etkisine dayalı ölçek ekonomileri, bir veya birkaç farklı hizmeti kullananların davranışları ve inovasyon kaynaklı rekabetçi baskının gücü gibi unsurlar pazar gücünü belirleyen unsurlar olarak dikkate alınmaya başlandı[24].

Facebook’un yüksek pazar payına ek olarak, yukarıda belirtilen unsurlar Facebook’un pazar gücünü ortaya koydu[25]. Ayrıca, Kurum, Facebook'un konumunun doğrudan ağ etkileri ile daha da güçlendiğini ve kullanıcıların başka bir sosyal ağa geçmelerinin zor olduğunu tespit etti[26].

Facebook’un Hâkim Durumunu Kötüye Kullanması

Facebook’un uyguladığı veri politikası doğrultusunda, Facebook'un, Facebook dışındaki kaynaklardan kullanıcı ve cihazlarla ilişkili verileri toplaması ve bunları Facebook üzerinden toplanan verilerle birleştirilmesi mümkündür[27]. Bu verilerin toplanması ve birleştirilmesi, sosyal ağ pazarındaki hâkim durumun sömürücü iş koşullarının uygulanması suretiyle kötüye kullanılması olarak değerlendirildi[28]. Ancak Alman Rekabet Kurumu, belirtilen sömürücü uygulamaları nedeniyle Facebook'a herhangi bir para cezası uygulamadı. Bu dosya kapsamında, Kurum’un ihlalleri cezalandırmak için para cezası vermeye değil, Facebook'un gelecekteki davranışlarını değiştirmeye odaklandığı görülmektedir[29]. Elbette ki Kurum, Facebook’un tekrarlayan kötüye kullanma davranışlarında veya zarar verme potansiyeli yüksek olan hallerde para cezası verebilecektir[30].

Rekabet Kanunu ve Veri Koruma Kanununun Birlikteliği

Alman Rekabet Kurumu, Alman Rekabet Kanunu hükümleri ile başlıca veri koruma otoriteleri tarafından uygulanan GDPR’ın veri koruma ilkeleri arasındaki ilişkiyi yakından inceledi[31]. Kurum’un Kararı uyarınca, Facebook gibi hâkim durumda bulunan şirketlerin davranışlarının rekabet kanunları çerçevesinde incelendiği gibi bu şirketlerin veri işleme yöntemlerinin incelenmesinin de kaçınılmaz olduğu anlaşılmaktadır[32]. Kurum’a göre, Anayasal haklara dayanan Avrupa veri koruma düzenlemeleri veya Alman Federal Adalet Divanı’nın kararları (VBL-Gegenwert and Pechstein davaları) dikkate alındığında, veri işleme koşullarının Rekabet Kanuna uygun olup olmadığını değerlendirilmelidir[33]. Ayrıca, Alman Rekabet Kurumu, GDPR’ın ihlal edilip edilmediğine ilişkin olarak değerlendirme yapmasının önünde GDPR hükümleri doğrultusunda herhangi bir engel olmadığı yorumuna vardı[34]. Ayrıca, soruşturma sırasında Kurum, veri koruma kurumları ile temasa geçmiş ve bu kurumlardan hiçbiri kendilerini münhasır yetkili olarak görmemiştir[35]..

Facebook gibi hâkim durumdaki şirketlerin hizmetlerini, kullanıcılarının kişisel verilerinin işlenmesi için kapsamlı ölçüde izin vermeleri koşuluyla kullandırmaları durumunda[36], bu durum sömürücü iş koşulları dayatması olarak dikkate alınabilir ve ayrıca verilerin korunması endişesine de neden olabilir. Kurum’a göre, hâkim durumdaki şirketlerin veri işleme faaliyetlerini izlemek yalnızca veri koruma görevlileri tarafından yerine getirilemediğinden rekabet kurumlarının da desteğine ihtiyaç duyulmaktadır[37].

Bu anlamda Kurum, Facebook’un veri politikasının GDPR ile uyumlu olup olmadığını incelemiş; ancak Facebook’un, diğer kurumsal hizmetlerden ve ayrıca "Facebook Business Tools" araçlarından elde ettiği kişisel verileri kapsamlı bir şekilde işlemesinin Avrupa veri koruma düzenlemelerini ihlal ettiğini ve veri koruma kuralları uyarınca etkilenen kullanıcıların rızasına tabi olduğuna karar verdi[38]. Facebook'un pazardaki hâkim durumu göz önüne alındığında, kullanıcıların Facebook’un şart ve koşullarını sadece sözleşme akdetmek amacıyla onayladıkları tespit edilmiş, bu durumun GDPR kapsamında verilen bir açık rıza olarak değerlendirilemeyeceği çıkarımına varıldı. Böylelikle, kullanıcılar rıza vermedikçe Facebook’un artık kapsamlı bir şekilde topladığı verileri birleştirmemesi gerektiği belirtildi.

Sonuç

Alman Rekabet Kurumu’nun Kararı uyarınca, Facebook’un, Almanya’daki kullanıcılarına sunduğu hizmet şartlarını ve veri işleme koşullarını uyarlaması ve değiştirmesi gerekmektedir. Her ne kadar Facebook, Kurum’un Kararına katılmayıp Almanya’daki kullanıcılarının Facebook hizmetlerinden yararlanmaya devam etmeleri için Karara itiraz edeceğini belirtse de Karar hem rekabet hem de veri koruma kanunları açısından büyük önem taşımaktadır. Ayrıca, bu Karar birçok yönden dikkat çekicidir. İlk olarak, Kararda yer verilen Facebook’un pazar analizi ile Facebook’un pazar gücünü belirlemek için kullanılan kıstaslar kayda değerdir. Öte yandan ve en önemlisi, bir rekabet otoritesi olarak Alman Rekabet Kurumu, veri koruma kurallarını ihlal eden hâkim durumdaki bir şirkete karşı hareket etme konusunda kendisini yetkili görmüştür.

[1] Karar, 15 Şubat 2019, dosyanın özeti için bkz, https://www.bundeskartellamt.de/SharedDocs/Entscheidung/EN/Fallberichte/Missbrauchsaufsicht/2019/B6-22-16.pdf?__blob=publicationFile&v=3 (Access date: 04.03.2019).

[2] Facebook Inc., Menlo Park, USA, Facebook Ireland Ltd., Dublin, Ireland, ve Facebook Germany GmbH, Hamburg, Almanya.

[3] Karar, s. 1.

[4] Bundeskartellamt’ın Facebook kararına ilişkin arka plan bilgisi, 7 Şubat 2019, s. 1, https://www.bundeskartellamt.de/SharedDocs/Publikation/EN/Pressemitteilungen/2019/07_02_2019_Facebook_FAQs.pdf;jsessionid=A938E8B12BF636C287E75EDC2CC1AF3E.2_cid378?__blob=publicationFile&v=6

[5] Bkz. dn. 4.

[6] Bkz. dn. 4.

[7] Bkz. dn. 4.

[8] Arka plan bilgisi, s. 1.

[9] Bkz. dn. 8.

[10] Arka plan bilgisi, s. 1

[11] Bkz. https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2016/02_03_2016_Facebook.html (Son erişim tarihi: 03.03.2019).

[12] Bkz. dn. 11.

[13] Bkz. dn. 11.

[14] Bkz. dn. 11.

[15] Karar, s. 1, 2.

[16] Karar, s. 2.

[17] Karar, s. 4.

[18] Bkz. dn. 17.

[19] Karar, s. 3.

[20] Arka plan bilgisi, s. 3.

[21] Karar, s. 6.

[22] Bkz. dn. 21.

[23] Arka plan bilgisi, s. 4.

[24] Bkz. dn. 24.

[25] Arka plan bilgisi, s.4.

[26] Karar, s. 6.

[27] Karar, s. 7.

[28] Bkz. dn. 27.

[29] Arka plan bilgisi, s. 7.

[30] Bkz. dn. 30.

[31] Karar, s. 8.

[32] Bkz. dn. 31.

[33] Bkz. dn. 31.

[34] Bkz. dn. 31.

[35] Karar, s. 9.

[36] Arka plan bilgisi, s. 6.

[37] Arka plan bilgisi, s. 7.

[38] Karar, s. 10.