İrlanda Mahkemesi tarafından, İrlanda Sivil Özgürlükler Konseyi'nin (“ICCL”) Microsoft Ireland Operations Limited (“Microsoft”) aleyhine Xandr platformuna ilişkin açtığı temsili davada, GDPR kapsamındaki hesap verebilirlik ilkesi gereğince uyumluluğu kanıtlama yükünün veri sorumlusuna ait olduğuna karar verilmiştir.
Somut olayda, nitelikli bir kuruluş olan ICCL; Microsoft'a ait Xandr gerçek zamanlı teklif verme (RTB) platformu üzerinden yürütülen kişisel veri işleme faaliyetlerinin yüksek derecede hassas bilgileri içerebileceğini, bu sürecin şeffaflık, veri minimizasyonu, veri güvenliği ve açık rıza gereklilikleri dahil olmak üzere çeşitli GDPR yükümlülüklerini ihlal ettiğini ileri sürmüştür. ICCL, söz konusu veri işleme faaliyetlerinin durdurulmasını, değiştirilmesini veya sınırlandırılmasını talep ederek Microsoft aleyhine toplu bir temsili dava açmıştır. Yargılama sürecinde taraflar arasında ispat yükü, iddia/savunma beyanı (pleadings) zorunlulukları ve davacıdan talep edilebilecek bilgi ve belgelerin kapsamı konusunda usuli uyuşmazlıklar ortaya çıkmıştır.
Microsoft savunmasında, ilgili veri sorumlusu olduğunu kabul etmemiş; olağan medeni usul kuralları uyarınca iddia edilen ihlalleri kanıtlama yükünün davacı tarafta olduğunu savunmuştur. Ayrıca Microsoft, davanın finansmanı, etkilenen tüketiciler ve iddia edilen ihlallere ilişkin ICCL'den ayrıntılı bilgi talep etmiştir. ICCL ise GDPR'nin 5(2) ve 24(1) maddeleri uyarınca mevzuata uygun hareket edildiğini kanıtlama yükünün veri sorumlusuna ait olduğunu ileri sürmüştür.
Mahkeme, esasa ilişkin iddiaları incelemeden önce usuli ön sorunları karara bağlamıştır. Mahkeme; GDPR'nin 5(2) ve 24(1) maddelerinin genel bir ispat yükü ters çevrilmesi doğurmadığını, davacının öncelikle davalının veri sorumlusu olduğunu ve ilgili GDPR yükümlülüklerini tetikleyen bir veri işleme faaliyetinin varlığını ispatlaması gerektiğini belirtmiştir. Ancak bu hususlar ortaya konduktan sonra; GDPR'nin 5(1) maddesindeki ilkelere ve 24(1) maddesindeki gerekliliklere uygun hareket edildiğini kanıtlama (hukuki ve fiili ispat) yükünün, hesap verebilirlik ilkesi uyarınca veri sorumlusunda olduğuna hükmetmiştir. Ayrıca ulusal usul kurallarının geçerliliğini koruduğu ve uyumluluk savını ileri süren veri sorumlusunun buna dayanak teşkil eden maddi vakıaları somut olarak sunması gerektiği vurgulanmıştır. Temsili davalar mevzuatı kapsamında veri sorumlusunun davacıdan bağımsız bir ek bilgi talep etme hakkı bulunmadığı, ancak genel usul mekanizmalarına başvurabileceği ifade edilmiştir.
Sonuç itibarıyla Mahkeme, Xandr platformu üzerinden yürütülen işlemlerin GDPR'ı fiilen ihlal edip etmediğine dair bu aşamada nihai bir tespitte bulunmamış; somut olay kapsamında herhangi bir idari para cezası veya düzeltici tedbir kararı uygulamamıştır.
İlgili habere buradan ulaşabilirsiniz.