TR-TR 
EN-US 
Günümüzde pek çok şirket faaliyet alanlarındaki etkinliklerini ve marka değerlerini arttırmak adına hedefli reklamcılık faaliyetleri sürdürmektedir. Bu doğrultuda, ilgili hedef kitlelerin belirlenmesi ve reklamların sunumu bakımından ilgili kişilerin takibi ve davranışsal reklamcılık önem arz etmektedir. Şirketler, davranışsal reklamcılık faaliyetleri kapsamında çoğunlukla üçüncü kişi firmalardan aralarındaki sözleşmeye bağlı olarak danışmanlık veya uygun hedefleme ve takip aracının kullanımı noktasında destek almaktadır. Özellikle e-ticaret sektörü bakımından önem arz eden davranışsal reklamcılık faaliyet alanında, hedefleme ve takip araçlarının kullanımı kişisel verilerin işlenmesini gerektirmektedir. İlgili reklamcılık araçları aracılığı ile kişisel verilerin elde edilmesi ve işlenmesi sonucu elde edilen bulgular, kullanıcılara belirli parametrelere bağlı olarak farklılaşan reklamların sunulabilmesini sağlamaktadır. Anılan reklamcılık araçlarının kullanımı bakımından ise mevzuata uyum noktasında belli başlı öğeler göz ardı edilmektedir. Bu çalışmamız kapsamında davranışsal reklamcılık uygulamalarında açık rıza ve üçüncü kişi firmalardan hizmet tedarik edilen sözleşmeler bakımından dikkat edilmesi gereken hususlara yer verilecektir.
İşlenebilecek Kişisel Veriler
Davranışsal reklamcılık, bireylerin belirli bir zaman içindeki davranışlarının gözlemlenmesi sonucu yapılan reklam faaliyetini ifade etmektedir. İlgili gözlem sonucu elde edilen bulgular ışığında bireye özel bir profil yaratılır ve bu profile uygun ilgi alanlarıyla özdeşleşen reklamlar ilgili kişilere sunulur.
Davranışsal reklamcılık kapsamında bireylerin ilgili alanları ile uyumlu sonuçlar vermek adına kişisel özellikler, ilgi alanları veya tercihler gibi pek çok kişisel veri kullanılarak kişiye ait profil zenginleştirilebilir. Bu tür reklamcılık faaliyetlerine organizasyonları kapsamında yer veren şirketler, ilgili kişilere yönelik bulundurdukları hemen hemen her kategoriden veriyi ilgili profili zenginleştirmek amacıyla kullanmayı arzu ederler.
İlgili takibin süjesi konumunda olan bireylerin alışveriş alışkanlıkları, sıklıkları, meslek grupları, yaş aralıkları, eğitim düzeyleri, cinsiyetleri, medeni durumları hatta anlık konumları gibi geniş bir yelpazede yer alan kişisel verilerinin değerlendirilmesi ve ilgili kişilere uygun reklamların sunulması söz konusudur. Bu kişisel veri yelpazesi, ilgili kişilerin takibinin internet ortamında da sürdürülmesi halinde, belirli internet sitelerini ziyaret sıklıklarını, ürünleri inceleme zamanlarını da içerebilir. İnternet ortamında yapılan bu takip, çoğunlukla çerezler kullanılarak yapılmaktadır. Elde edilen kişisel verilerin değerlendirilmesi ve uygun reklam içeriklerinin belirlenebilmesi açısından ise çeşitli yazılımlar ve algoritmalar kullanılmaktadır.
Belirli bir zaman içindeki davranışlarının gözlemlenmesi sonucu elde edilen kişisel verilerin yanında, ilgili kişilerden doğrudan reklamcılık faaliyetleri kapsamında kullanılması amacıyla kişisel veriler de toplanmaktadır. Genellikle bu tür veriler bireylerden belirli alışveriş internet sitelerine üyeliklerini tamamlarken talep edilmektedir. Aynı zamanda veri sorumlularının çoğunlukla bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması çerçevesinde tüketici konumunda olan ilgili kişilerden topladığı kişisel veriler, bu kapsamda profilin zenginleştirilmesi amacıyla kullanılması arzu edilen kişisel verilerdir.
Her halde, kişisel verilerin reklamcılık faaliyetleri kapsamında veri sorumluları tarafından işlenebilmesi, ilgili kişisel verilerin hukuka uygun olarak elde edildiği ve işleme faaliyetinin geçerli bir hukuki sebebe dayanılarak sürdüğü hallerde mümkündür. Bu doğrultuda, kişisel veriler hangi yöntemle elde edilirse edilsin, ilgili kişiler reklamcılık faaliyetleri kapsamında işleme amaçlarına yönelik olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu (“6698 sayılı Kanun”) 10. maddesi kapsamında bilgilendirilmelidir. 6698 sayılı Kanun uyarınca düzenlenen aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. Veri sorumluları işleme faaliyetinin dayandığı hukuki sebebi de işleme faaliyetine başlamadan önce belirlemek ve ilgili kişilere açıkça sunmakla yükümlüdür.
Davranışsal Reklamcılık ve Hukuki Sebep
Reklamcılık amacıyla yapılacak olan kişisel veri işleme faaliyetleri bakımından genel olarak dayanılan hukuki sebepler açık rıza veya veri sorumlusunun meşru menfaati olarak sayılabilir. Davranışsal reklamcılık faaliyetine ve kullanılacak hedefleme, takip araçlarına bağlı olarak her olay bazında yapılacak değerlendirmeler hukuki sebebin belirlenmesi açısından önem arz etmektedir. Fakat, davranışsal reklamcılık çerçevesindeki yapılan işleme faaliyetleri bakımından genellikle ilgili kişilerin davranışları üzerinde yapılan takibin niteliği göz önüne alındığında ilgili kişinin açık rızasına başvurulmaktadır.
6698 sayılı Kanun madde 5(2)(f)’de düzenlenen, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hukuki sebebi çerçevesinde davranışsal reklamcılık kapsamında yapılacak olan takibin niteliği ve yoğunluğunun, ilgililerin temel hak ve özgürlüklerine zarar verebilecek nitelikte olması sebebiyle açık rıza alınması söz konusu olacaktır.
Bunların yanında, bireylerin davranışlarının gözlenmesi sonucu iletilmesi uygun bulunan anlık iletilerin hukuka uygun bir şekilde bireylere gönderilebilmesi için 6563 Elektronik Ticaretin Düzenlenmesi Hakkında Kanun çerçevesinde elektronik ticari ileti gönderilebilmesi için öngörülen şartlara da riayet edilmesi gerekmektedir. Bu kapsamda, telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar kullanılarak elektronik ortamda gerçekleştirilen ve ticari amaçlarla gönderilen veri, ses ve görüntü içerikli iletileri gönderilebilmesi için alıcılardan önceden onay alınması gerekmektedir.
Açık Rıza
6698 sayılı Kanun kapsamında açık rıza, “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. İlgili kişilerden reklamcılık faaliyetleri kapsamında hukuka uygun olarak açık rıza talep edilmesi ve işleme faaliyetinin bu rızaya dayanması gerekli olan unsurlara dikkat edilmesini gerektirmektedir.
Açık rızanın hukuka uygun bir şekilde alınabilmesi için ilgili kişilerin açık rıza beyanında bulundukları anda bilgilendirilmiş olmaları gerekmektedir. Bu kapsamda 6698 sayılı Kanun madde 10 kapsamındaki aydınlatma yükümlülüğü yerine getirilmeli ve Kişisel Verileri Koruma Kurumu uygulamaları dikkate alınmalıdır. İlgili bilgilendirme 6698 sayılı Kanun madde 10’da düzenlenen tüm unsurları içermeli ve kolayca erişilebilir bir platformda ilgili kişilere sunulmalıdır. Bilgilendirmede muğlak ifadelerden kaçınılmalı ve anlaşılır bir dil kullanılmalıdır.
Avrupa Veri Koruma Kurulu hedefli reklamcılık uygulamaları kapsamında izlenen kitleler bakımından veri sorumluları tarafından yapılan ve sadece “reklamcılık amaçları” benzeri ifadeler içeren bilgilendirmelerin yeterli görülmediğini ifade etmiştir. İlgili kişiler, kişisel verileri üzerinde gerçekleştirilecek işleme faaliyetleri, takip sonucu toplanan kişisel verileri ile profilleme yapılıp yapılmadığını ve toplanan kişisel veri kategorileri hakkında şeffaf bir tutumla bilgilendirilmelidir.
Aynı zamanda üyelik formlarının içerisine yerleştirilmiş olan, bir hizmetin ön şartı olarak sunulan veya açık rıza verilmemesi halinde alternatif bir yöntem sunulmayan ve bu sebeple gerçek bir seçim teşkil etmeyen açık rızalar hukuka aykırı kabul edilmektedir.
Özellikle çerezlerin kullanıldığı hallerde veri sorumluları tarafından sıklıkla başvurulan “internet sitemizi ziyaret ederek çerezleri kabul etmiş olursunuz” beyanları ile açık rıza alma yöntemleri hukuka aykırı olarak değerlendirilmektedir. Nitekim, Avrupa Veri Koruma Kurulu’na göre bir internet sitesinin olağan şekilde kullanımına devam edilmesi, kişinin önerilen bir kişisel veri işleme faaliyetini onayladığı veya kabul ettiği şekilde yorumlanamamaktadır. Ayrıca benzer bir perspektif ile Kişisel Verileri Koruma Kurulu 27/02/2020 tarihli ve 2020/173 sayılı karar özetinde bir internet sitesini ilk defa ziyaret eden bir kişinin kişisel verilerinin işlenmesine açık rızası olup olmayacağının belirli olmadığının altı çizerek yalnızca siteye girmiş olmanın açık irade beyanı niteliğinde kabul edilemeyeceğini dile getirilmiştir.
İlgili kişinin açık rıza vermeyi tercih etmediği hallerde, ilgili davranışsal reklamcılık faaliyetlerine bağlı olan takip ve hedefleme araçlarının kullanılması hukuka aykırı hale gelecektir. Ek olarak, davranışsal reklamcılık çerçevesindeki işleme faaliyetine yönelik 6698 sayılı Kanun madde 10 kapsamındaki aydınlatma yükümlülüğü ve açık rıza talebi ayrı olarak ilgili kişilere sunulmalıdır.
Sözleşmeler Bakımından Dikkat Edilmesi Gereken Hususlar
Davranışsal reklamcılık faaliyetleri kapsamında hizmet veya araç tedarik edilen sözleşmeler bakımından, ilgili tedarikçi firmanın kişisel verilere erişim yetkisini haiz olduğu hallerde ilgili firma veri işleyen konumunda olacaktır. Bu doğrultuda işleme amaçları ve araçlarını belirleyen veri sorumlusu işleme faaliyetinin güvenliğini sağlamakla yükümlüdür. Veri işleyenin de güvenliğin sağlanması noktasında veri sorumlusunun talimatlarını yerine getirmesini teminen, taraflar hak ve sorumluluklarını düzenleyen bir kişisel veri işleme sözleşmesi imza etmelidirler. İlgili kişisel veri işleme sözleşmesi ile veri sorumlusunun ilgili kişilerden davranışsal reklamcılık faaliyetleri kapsamında hukuka uygun açık rıza alarak topladığı kişiler verilerin veri işleyen konumundaki tedarikçi firma tarafından işlenmesi veya veri işleyen konumundaki tedarikçi firma tarafından ilgili kişisel verilerin elde edilmesi faaliyetinin güvenliği sağlanacaktır.
Diğer yandan tedarik edilen hedefleme ve takip araçlarının veya danışmalığın tedarikçi firma tarafından kişisel verilere erişimi gerektirmemesi halinde, tedarikçi firmanın kişisel verilere her türlü erişimi gerekli idari ve teknik tedbirlerle sınırlandırılmalıdır. Nitekim, davranışsal reklamcılık alanında tedarik edilen hizmetler sıklıkla rastlandığı üzere danışmanlık hizmeti veren veya ilgili araçlarını tedarik eden firmalar tarafından kişisel verilere erişilmesini gerektirmemektedir. İlgili firmaların davranışsal reklamcılık araçlarının ve stratejilerinin yerindeliğine yönelik denetlemeleri ise veri sorumlusunun gözetiminde sürdürülmeli ve sınırlandırılmalıdır.
Sonuç
Davranışlar reklamcılık faaliyetleri kapsamında işlenen kişisel veriler bakımından, veri sorumluları 6698 sayılı Kanun ve ilgili mevzuatı uyarınca ilgili kişileri hukuka uygun şekilde bilgilendirmeli ve özgür iradelerine dayalı olarak ilgili kişilerin açık rızalarını temin etmelidir. Veri sorumluları, davranışsal reklamcılık faaliyetleri kapsamında üçüncü kişi firmalardan hizmet tedarik ediyor ise, ilgili firmaların kişisel verilere erişimi gerekli olmadığı ölçüde sınırlandırılmalı ve olası veri ihlallerinin önüne geçilmelidir.
Aslı Naz Ünlü
