Norveç, Microsoft'a ait Xandr'a Grindr verileri nedeniyle 92 milyon kron ceza verdi

"Rızayı uygulama aldı" savunması kabul görmedi

Datatilsynet'in 12 Ekim 2026 tarihli duyurusuna göre Xandr, eski adıyla AppNexus, Temmuz 2018 ile Nisan 2020 arasında Norveç'teki Grindr kullanıcılarının kişisel verilerini hukuki dayanak olmadan işledi ve paylaştı. Aktarılan bilgiler arasında cinsel yönelimi ortaya koyan veriler de vardı. Kurum, Grindr kullanıcısı olmanın tek başına bu yönde bir bilgi sayıldığını ve özel korumaya tabi olduğunu hatırlatıyor. Ceza 92 milyon kron; Datatilsynet bunu yaklaşık 8,6 milyon avro olarak veriyor, BleepingComputer ise aynı tutarı 9,6 milyon dolar olarak aktarıyor.

Kurumun vardığı sonuç şu: bu verilerin işlenmesi açık rıza gerektiriyordu, ancak Xandr geçerli bir rıza bulunduğundan emin olmak için hiçbir adım atmadı ve Grindr'dan gelen rızaların geçerliliğini kontrol etmedi. Xandr, rızayı Grindr'ın topladığını düşündüğünü söyleyerek kendini savundu. Datatilsynet bu savunmayı reddetti ve Xandr'ı Grindr ile birlikte ortak veri sorumlusu saydı. Kurumun Genel Müdürü Line Coll ana mesajı İngilizce açıklamada "responsibility for data protection cannot be passed on to others" sözleriyle verdi: veri koruma sorumluluğu başka bir şirkete devredilemiyor.

Uygulama açıldığında veri binlerce reklam aktörüne gidebiliyordu

İhlalin merkezinde gerçek zamanlı teklif, yani real-time bidding var. Datatilsynet'e göre Xandr bu açık artırmalarda hem alıcı hem satıcı tarafında yer aldı. Bir kullanıcı Grindr'ı açtığında verisi çoğu durumda Xandr aracılığıyla reklam ekosistemindeki potansiyel olarak binlerce şirkete ulaşabiliyordu. Reklamverenler, kullanıcıya hedefli reklam gösterebilmek için birbirine karşı teklif veriyordu ve bu süreç kullanıcının hiç görmediği bir yerde işliyordu. Şikâyetin geçmişi 2020'ye uzanıyor: Datatilsynet başvuruyu Norveç Tüketici Konseyi'nin (Forbrukerrådet) yaptığını belirtiyor, BleepingComputer ise Avusturyalı gizlilik örgütü noyb'un konseyle birlikte Ocak 2020'de şikâyette bulunduğunu yazıyor.

Ceza tutarında birkaç etken belirleyici oldu. Kurum, Xandr'ın hukuka aykırı paylaşımdan doğrudan mali fayda elde etmesini önemli bir etken olarak gördü. Uygulamanın yaklaşık iki yıl sürmesi de cezayı ağırlaştıran unsur sayıldı. Tutar, Microsoft'un değil Xandr'ın kendi yıllık toplam cirosu üzerinden hesaplandı, çünkü ihlal döneminde Xandr henüz Microsoft'un parçası değildi. Xandr'ın kararı tebliğ aldığı tarihten itibaren itiraz için üç haftası var. BleepingComputer, şirketin bugün Microsoft Advertising olarak faaliyet gösterdiğini yazıyor.

Reklam zincirinin her halkası rızadan kendisi sorumlu

Karar, programatik reklamcılıkta yaygın bir varsayımı hedef alıyor: rızayı uygulama ya da yayıncı topladıysa zincirin geri kalanı veriyi sorgulamadan işleyebilir. Datatilsynet'e göre her şirket, kişisel veriyi hukuka uygun işlediğini kendisi güvence altına almalı ve bunu belgeleyebilmeli. Coll, şirketler sorumluluğu birbirine attığında kullanıcı haklarının pratikte değersizleştiğini, vakanın da reklam ekosisteminin bireyler açısından ne kadar opak olduğunu gösterdiğini söylüyor. Emsal de mevcut: Grindr 2021'de eşdeğer ihlaller nedeniyle 65 milyon kron ceza almıştı ve Borgarting İstinaf Mahkemesi bu tür verinin özel korumaya tabi olduğuna hükmetmişti.

Tepkiler iki farklı yönden geldi. noyb kararı BleepingComputer'a göre "a major blow to the online adtech industry" diye niteledi, yani çevrim içi reklam teknolojisi sektörü için ağır bir darbe olarak gördü. Microsoft sözcüsü ise soruşturmanın şirketin Xandr'ı satın almasından önceki davranışlara odaklandığını, o tarihten bu yana hukuki çerçevelerin ve bunların yorumlanma biçiminin değiştiğini söyledi; Microsoft kararı inceliyor ve seçeneklerini değerlendiriyor. İtiraz yolu açık, fakat Microsoft'un bu yolu kullanıp kullanmayacağı henüz belli değil.

Kaynaklarda Türkiye yok, o yüzden bu bölüm yorum

İki kaynağın hiçbirinde Türkiye geçmiyor. Karar Norveç'teki Grindr kullanıcılarına ve 2018 ile 2020 arasındaki döneme ait; Türkiye'deki kullanıcılara, Türk reklamverenlere ya da Türkiye'deki bir düzenleyiciye dair tek bir bilgi bulunmuyor. Dolayısıyla bu bölüm kaynaklardan çıkan bir olgu değil, açıkça UNALSOFT yorumudur.

Yorumumuz şu: KVKK altında çalışan markalar ve ajanslar da sitelerine yerleştirdikleri piksel ve etiketler ya da üçüncü taraf reklam ortakları üzerinden veri aktarıyor. Norveç kararının mantığı, rızayı başkasının topladığını varsaymanın savunma sayılmayacağı yönünde; bu da rıza kaydını kendi tarafında tutmayı bir risk yönetimi konusu haline getiriyor. Yerelde benzer bir tabloyu, ihlalin tedarikçide gerçekleşip sorumluluğun markada kaldığı 16 Eylül'deki KVKK duyurularında görmüştük; o yazı bu davadan bağımsız. Bilinmeyenleri de tek tek sayalım: Türkiye'deki kullanıcıların bu tür veri akışlarından etkilenip etkilenmediği, Türkiye'de bir kurumun karara tepki verip vermeyeceği, Microsoft'un itiraza gidip gitmeyeceği ve kararın bugünkü Microsoft Advertising uygulamalarına bir yansıması olup olmayacağı.

Kaynaklar

Datatilsynet (Norveç Veri Koruma Kurumu), Microsoft şirketine 92 milyon kron ceza · BleepingComputer, Norveç Microsoft'un reklam şirketini Grindr verileri nedeniyle cezalandırdı