Norveç Veri Koruma Otoritesi (“Otorite”), belirli tıbbi konulara ilişkin içerik barındıran bir internet sitesinin alt sayfalarına yapılan ziyaretlere ilişkin bilgilerin, özel nitelikli kişisel veri teşkil ettiği sonucuna varmıştır. Bu kapsamda Otorite, söz konusu özel nitelikli kişisel verilerin Meta Pikseli aracılığıyla açık rıza alınmaksızın hukuka aykırı şekilde işlenmesi ve Meta ile paylaşılması nedeniyle Norsk Helseinformatikk AS (veri sorumlusu) hakkında resmi uyarı kararı vermiştir.

Basında yer alan çevrimiçi izleme haberlerinin ardından Otorite, internet sitelerinde kullanılan izleme araçlarına ilişkin resen bir dizi inceleme başlatmıştır. Bu kapsamda Otorite, tıbbi konularda bilgi sunan bir internet sitesi olan www.nhi.no’yu da incelemiştir. Söz konusu internet sitesi, belirli sağlık durumlarına ilişkin bilgi içeren çok sayıda alt sayfa barındırmakta olup, Norsk Helseinformatikk AS (veri sorumlusu) tarafından yayımlanmaktadır.

İnceleme sonucunda, internet sitesinde Cookiebot adlı çerez yönetim platformu tarafından sağlanan bir çerez banner’ının kullanıldığı tespit edilmiştir. Banner’da ziyaretçilere üç seçenek sunulmaktadır: “Sadece gerekli çerezler”, “Özelleştir” ve “Tüm çerezlere izin ver”. Ancak “Sadece gerekli çerezler” seçeneğinin görünürlüğünün daha düşük olduğu ve diğer seçeneklere kıyasla daha az dikkat çekici renklerle sunulduğu belirlenmiştir.

İncelemede ayrıca, internet sitesinde Meta pikselinin kullanıldığı tespit edilmiştir. Meta pikseli, bir çerez olmamakla birlikte istemci tarafında depolanmamakta ancak kullanıcının internet sitesi üzerindeki eylemlerine ilişkin bilgileri izleyerek Meta ile paylaşmaktadır. Buna ek olarak piksel, kullanıcıların tarayıcısına _fbp adlı bir izleme çerezi yerleştirmektedir.

Söz konusu pikselin hem ana sayfada hem de alt sayfalarda uygulandığı, bu suretle bir kullanıcının internet sitesi içerisindeki gezinme yolunun takip edilmesinin mümkün hâle geldiği tespit edilmiştir. İnceleme kapsamında, veri sorumlusunun Meta’ya; IP adresleri, kullanıcının cihazına ilişkin dijital ayak izi bilgileri ve _fbp çerezinden elde edilen benzersiz tanımlayıcı dâhil olmak üzere başka bilgileri de aktardığı belirlenmiştir.

İncelemede ayrıca, internet sitesinde başka izleme araçlarının da bulunduğu tespit edilmiştir. Ancak Otorite, incelemenin kapsamını Meta pikselinin kullanımıyla sınırlı tutmaya karar vermiştir.

Otorite, Meta pikseli aracılığıyla özel nitelikli kişisel verilerin hukuka aykırı şekilde işlendiğini tespit etmiş; bu durumun GDPR’ın 6. ve 9. maddelerini ihlal ettiğine hükmetmiştir.

Otorite, Norsk Helseinformatikk AS’nin, yalnızca piksel yoluyla gerçekleştirilen ilk veri işleme faaliyeti bakımından veri sorumlusu konumunda olduğunu değerlendirmiş; bu nedenle, verilerin Meta’ya aktarılmasından sonraki aşamalarda yapılan işleme faaliyetlerini inceleme kapsamına almamıştır.

Bu çerçevede Otorite, veri sorumlusu hakkında resmi uyarı kararı vermiştir. Otorite, Meta pikselinin soruşturma süreci sırasında zaten kaldırılmış olması nedeniyle ayrıca bir kaldırma veya durdurma talimatına gerek bulunmadığını belirtmiştir. Bununla birlikte, veri sorumlusunun gelecekte Meta pikselini yeniden kullanması hâlinde, özel nitelikli kişisel verilerin işlenmesi için açık rıza alınması gerektiğini açıkça ifade etmiştir.

Otorite, Meta pikseli aracılığıyla iletilen verilerin, web sitesi tarafından Meta’ya aktarılan diğer bilgilerle birlikte değerlendirildiğinde ilgili kişiyi tanımlayabilir nitelikte olduğunu tespit etmiştir. Bu nedenle Otorite, veri sorumlusunun piksel aracılığıyla kişisel veri işlediği sonucuna varmıştır. Veri sorumlusu bu değerlendirmeye itiraz etmemiştir.

Meta pikseli, kullanıcıların tek tek alt sayfalara yaptığı ziyaretleri izlemektedir. Otorite, bunun bireysel kullanıcıların sağlık durumlarına ilişkin çıkarımlar yapılmasını mümkün kıldığını gözlemlemiştir; zira bir kullanıcının belirli bir sağlık durumuna ilişkin sayfaları ziyaret etmesi, o kişinin söz konusu rahatsızlığa sahip olma ihtimalini ortaya koymaktadır. Bu nedenle otorite, ilk değerlendirmesinde, piksel aracılığıyla özel nitelikli kişisel verilerin işlendiği sonucuna varmıştır.

Usul sürecinde veri sorumlusu, AB Adalet Divanı (CJEU) içtihadının özel nitelikli kişisel veriler bakımından dar yorumlanması gerektiği yönündeki bir yaklaşımını ileri sürerek bu sonuca itiraz etmiştir. Ancak Otorite, bu argümanlarını reddederek CJEU içtihadının, özel nitelikli veri kavramı açısından oldukça düşük bir eşik öngördüğünü belirtmiştir.

Bu kapsamda otorite özellikle, CJEU içtihadına göre bir verinin özel nitelikli kişisel veri sayılabilmesi için şu şartların aranmadığını açıkça ifade etmiştir:

Bilginin, kişinin sağlık durumu ile doğrudan bağlantılı olması,
Bilginin kesin ve doğru çıkarımlar yapılmasına imkân tanıması (zira hatalı kişisel veriler de GDPR kapsamında korunmaktadır),
Hassas verilerin daha güvenilir şekilde çıkarılabilmesi için bilginin başka ek verilerle ilişkilendirilmesi (bunu Meta yapabilirken veri sorumlusun yapamıyor olması sonucu değiştirmemektedir).

Bu gerekçelerle Otorite, veri sorumlusunun internet sitesinde Meta pikselini kullanmak suretiyle hem kişisel veri hem de özel nitelikli kişisel veri işlediğini teyit etmiştir.

Otorite, Meta pikselinin kişisel verileri münhasıran reklam amaçlarıyla işlediğini açıklığa kavuşturmuştur. Ayrıca Otorite, reklam amaçlı özel nitelikli kişisel veri işlenmesi bakımından tek geçerli hukuki dayanağın ilgili kişinin açık rızası olduğunu belirtmiştir. Bu kapsamda, meşru menfaatin kural olarak geçerli bir hukuki dayanak oluşturmayacağını, zira ilgili kişilerin hassas verilerinin korunmasına ilişkin haklarının çoğu durumda veri sorumlusunun reklam menfaatine ağır basacağını ifade etmiştir.

Bu gerekçelerle Otorite, veri sorumlusunun ziyaretçilerden GDPR’nin gerekliliklerine uygun geçerli bir rıza alıp almadığını incelemiştir. Bu çerçevede incelemesini, GDPR’nin 4(11). maddesi uyarınca geçerli rızanın iki unsuruyla sınırlamıştır: “özgür iradeyle verilmiş olma” ve “bilgilendirilmiş olma”. Otorite, her iki şartın da sağlanmadığını tespit etmiş ve hassas kişisel verilerin rıza olmaksızın işlendiği sonucuna varmıştır.

Otorite, çerez bandında yer alan “Sadece gerekli çerezler” seçeneğinin daha az belirgin bir renkle sunulmasının, bir karanlık tasarım teşkil ettiğini ve kullanıcıları, internet sitesindeki zorunlu olmayan çerezleri ve izleyicileri kabul etmeye yönlendirdiğini tespit etmiştir. Bu nedenle otorite, kullanıcıların verdiği rızanın özgür iradeye dayalı olmadığını değerlendirmiştir.

Veri sorumlusunun aksine ileri sürdüğü üzere, tüm butonların görünür olması bu değerlendirmeyi değiştirmemektedir. Otoriteye göre, “Tüm çerezleri kabul et” seçeneğinin daha dikkat çekici bir renk düzeniyle sunulması, kullanıcıların gereksiz izleyicileri kabul etmeye yönlendirilmesi için tek başına yeterlidir. Bu bağlamda Otorite, farklı butonlar için farklı renk kontrastları kullanılmasının, kullanıcı davranışını yönlendirmek dışında makul bir gerekçesinin bulunmadığını vurgulamıştır.

Otorite, internet sitesinin gizlilik politikasında, özel nitelikli kişisel verilerin işlenmeyeceğinin açıkça belirtildiğini tespit etmiştir. Ancak Otorite, bu beyanın gerçeği yansıtmadığını ve bu nedenle kullanıcılara özel nitelikli kişisel verilerinin işlendiği konusunda doğru ve yeterli bilgi verilmediğini vurgulamıştır.

Bu gerekçeyle Otorite, kullanıcılardan alınan rızanın bilgilendirilmiş rıza niteliği taşımadığına karar vermiştir.

İlgili karara buradan ulaşabilirsiniz.

Norveç Veri Koruma Otoritesi, sağlık içerikleri sunan internet sitesinde kullanıcıların dijital ayak izlerini izleyen çerezin sağlık durumlarına ilişkin çıkarımlar yapılabileceği gerekçesiyle özel nitelikli kişisel veri olarak değerlendirdi.