Bir mahkeme, Meta’nın kullanıcı profillerinden elde ettiği kişisel verileri yapay zeka eğitimi için kullanmasını durdurmaya yönelik ihtiyati tedbir talebini reddetti.

2025 Nisan ayında Meta Platforms Ireland Limited (“Meta”), kullanıcıların kamuya açık profillerinde yer alan kişisel verileri, kullanıcılar bu işleme itiraz etmedikleri sürece, 27 Mayıs 2025 tarihinden itibaren yapay zeka sistemlerinin eğitimi amacıyla kullanacağını kamuoyuna duyurdu. Meta, Facebook ve Instagram gibi platformları işletmekte olup söz konusu uygulama yalnızca kullanıcıların herkese açık olarak paylaştığı verileri kapsayacak şekilde planlandı.

2025 Mayıs ayında Almanya Tüketici Hakları Örgütü “Verbraucherzentrale NRW” (“davacı”), kullanıcıların kamuya açık olarak paylaştığı verilerin yapay zeka eğitimi amacıyla işlenmesini engellemek için Meta’ya karşı Köln Yüksek Eyalet Mahkemesi’nde ihtiyati tedbir başvurusunda bulundu. Başvuru, Alman İhtiyati Tedbirler Kanunu (“UKlaG”) kapsamında yapılmış olup, kullanıcıların ve üçüncü kişilerin kamuya açık profillerinde yer alan verilerin işlenmesinin durdurulmasını amaçlıyordu. Davacı, bu veri işleme faaliyetinin Avrupa Birliği veri koruma hukukuna aykırı olduğunu ileri sürdü.

İhtiyati tedbir yargılaması kapsamında yapılan ön inceleme ve özet değerlendirme sonucunda Köln Yüksek Eyalet Mahkemesi, Meta’nın ne Genel Veri Koruma Tüzüğü’nü (GDPR) ne de Dijital Pazarlar Yasası’nı (DMA) ihlal ettiğine dair yeterli bir bulgu bulunmadığı kanaatine vardı. Mahkeme ayrıca bu değerlendirmenin, Meta’dan sorumlu düzenleyici otorite olan İrlanda Veri Koruma Otoritesi’nin (“Otorite”) değerlendirmesiyle uyumlu olduğuna dikkat çekti. Otorite söz konusu uygulama hakkında herhangi bir düzenleyici yaptırım uygulamayı planlamadığını, ancak süreci izlemeye devam edeceğini açıklamıştı.

Hamburg Veri Koruma ve Bilgi Özgürlüğü Komiseri (Hamburg DPA) de duruşmada görüş bildirerek, kullanıcıların kamuya açık kişisel verilerinin yapay zeka eğitimi amacıyla kullanılmasının hukuken mümkün olabileceğini ifade etti. Mahkeme, Meta’nın veri işleme faaliyetinin GDPR madde 6(1)(f) kapsamında “meşru menfaat” hukuki dayanağına dayanabileceğini değerlendirdi. Buna göre Meta’nın yapay zeka sistemlerini geliştirmek ve eğitmek amacıyla bu verileri kullanmasının meşru bir amaç teşkil ettiği, ayrıca bu amacın daha az müdahaleci ve eşit derecede etkili başka bir yöntemle gerçekleştirilemeyeceği belirtildi.

Mahkeme ayrıca yapay zeka modellerinin eğitimi için çok büyük miktarda veriye ihtiyaç duyulduğunu ve bu verilerin tamamen ve güvenilir biçimde anonimleştirilmesinin her zaman mümkün olmadığını da vurguladı. Bu bağlamda kullanıcıların veri koruma hakları ile Meta’nın ekonomik ve teknolojik menfaatleri arasında yapılan menfaat dengesinde, veri işlemenin hukuka uygun olduğu yönünde bir değerlendirme yapıldı. Mahkeme, bu değerlendirmede Avrupa Veri Koruma Kurulu’nun ““EDPB”) Aralık 2024 tarihli görüşünün de dikkate alındığını belirtti.

Kararda ayrıca yalnızca kullanıcıların kendileri tarafından kamuya açık hale getirilen ve arama motorları aracılığıyla da erişilebilen verilerin işleneceği ifade edildi. Mahkeme, işlenen veri miktarının çok büyük olmasının ve bu veriler arasında üçüncü kişilere ait bilgiler, çocuklara ilişkin veriler veya GDPR madde 9 kapsamında değerlendirilen özel nitelikli verilerin bulunmasının tek başına menfaat dengesini değiştirmediğini belirtti. Meta’nın bu riskleri azaltmaya yönelik çeşitli teknik ve organizasyonel önlemler aldığı da vurgulandı.

Bunun yanında kullanıcıların veri işleme faaliyetini engelleme imkanına sahip olduğu da ifade edildi. Kullanıcılar isterlerse paylaşımlarını “herkese açık” olmaktan çıkarabilir veya veri işlenmesine açıkça itiraz edebilirler. Ayrıca Meta’nın yapay zeka eğitimi için kullanılacak veri setlerinde bireyleri doğrudan tanımlayan isim, e-posta adresi veya posta adresi gibi benzersiz kimlik bilgilerini kullanmayacağını da bildirdiği belirtildi.

Mahkeme ayrıca Meta’nın planlanan veri işleme yönteminde, farklı hizmetlerden veya farklı kaynaklardan elde edilen kullanıcı verilerinin belirli bir kişiye ilişkin olarak birleştirilmesinin (“data merging”) söz konusu olmadığını değerlendirdi. Bu nedenle GDPR madde 5(2) kapsamında hesap verebilirlik veya veri işleme ilkelerinin ihlal edildiğine dair bir bulguya da ulaşılmadı.

Sonuç olarak Köln Yüksek Eyalet Mahkemesi, davacının ihtiyati tedbir talebini reddetti. Mahkeme kararının yalnızca ihtiyati tedbir yargılaması kapsamında yapılan özet incelemeye dayandığını ve tarafların esas davada iddialarını ileri sürmeye devam edebileceğini de belirtti. Bununla birlikte Alman medeni usul hukuku gereği Yüksek Eyalet Mahkemeleri tarafından verilen ihtiyati tedbir kararlarına karşı Federal Mahkeme nezdinde temyiz yolu bulunmadığından, söz konusu karar bu aşamada kesin nitelik taşımaktadır.

İlgili karara buradan ulaşabilirsiniz.

Almanya Köln Yüksek Eyalet Mahkemesi, Meta’nın kullanıcıların kamuya açık profil verilerini yapay zeka eğitimi için işlemesinin GDPR madde 6(1)(f) kapsamında meşru menfaat hukuki dayanağına dayanabileceğine hükmederek ihtiyati tedbir talebini reddetti.