Grindr Verileri Binlerce Reklam Şirketine Nasıl Açılabildi? Norveç’in Xandr Kararının Ortaya Koyduğu Reklam Zinciri
Tepki Ver
Norveç’in Xandr’a verdiği ceza, bir uygulamada görünen tek reklamın arkasındaki veri dolaşımını gündeme getiriyor. Karar, Grindr kullanıcılarının bilgilerinin gerçek zamanlı reklam teklifleri sırasında potansiyel olarak binlerce şirkete açılabilmesini ve aracı şirketlerin hukuki sorumluluğunu inceliyor. Makale, reklam kimliği ve IP adresinin neden anonimlik sağlamadığını, uygulama kullanım bilgisinin nasıl hassas veri sayılabildiğini ve başka bir şirketin izin aldığı varsayımının neden yeterli görülmediğini açıklıyor. İncelenen işlemler ise 2018–2020 dönemine ait.
Bir uygulamada tek bir reklam görürsünüz. O reklamın seçilmesi sırasında verilerinizin kaç şirkete gönderilebildiğini ise ekrandan anlayamazsınız. Norveç’in reklam teknolojisi şirketi Xandr hakkında verdiği karar, görünen reklam ile arka plandaki veri dolaşımı arasındaki bu farkı ortaya koyuyor.
Norveç Veri Koruma Kurumu Datatilsynet, 12 Ekim 2026’da duyurduğu kararla Xandr’a 92 milyon Norveç kronu idari para cezası verdi. Kuruma göre şirket, Norveç’teki Grindr kullanıcılarının kişisel verilerini geçerli hukuki dayanak olmadan işledi ve reklam ekosistemindeki potansiyel olarak binlerce şirkete iletti.
“Potansiyel olarak” ifadesi önemli: Karar, her kullanıcının verisinin kesin olarak binlerce ayrı reklamverene ulaştığını gösteren bir alıcı sayımı sunmuyor. Reklam sisteminin veriyi çok sayıda aktöre açabilen yapısını ve Xandr’ın bu süreçteki sorumluluğunu değerlendiriyor.
2 Ekim tarihli karar, 20 Temmuz 2018 ile 7 Nisan 2020 arasındaki işlemleri kapsıyor. Dolayısıyla duyurunun yeni olması, incelenen veri paylaşımının bugün gerçekleştiği anlamına gelmiyor.
Reklam ekranda görünmeden önce ne oluyor?
Dosyanın merkezinde “gerçek zamanlı teklif verme” olarak adlandırılan reklam modeli bulunuyor. Bir uygulamadaki reklam alanı için farklı alıcılar otomatik olarak teklif veriyor. İşlem saniyenin küçük bir bölümünde tamamlanıyor ve seçilen reklam kullanıcıya gösteriliyor.
Ancak teklifin hazırlanabilmesi için reklam fırsatına ilişkin bilgiler alıcılara önceden iletilebiliyor. Buradaki mahremiyet sorunu, yalnızca reklamı kazanan şirketin ne öğrendiğiyle sınırlı değil. Teklif aşamasındaki bilgi dağıtımı da başlı başına bir veri işleme faaliyeti.
Kararda anlatılan zincirde Grindr’ın ücretsiz sürümüne yerleştirilmiş MoPub yazılım bileşeni veri topluyor ve Xandr gibi şirketlerle reklam taleplerini yönetiyordu. Xandr ise reklam alanının satıldığı tarafta ve reklam alıcısı tarafında roller üstleniyordu.
Bu yapı, kullanıcıyla doğrudan ilişkisi olmayan şirketlerin de veri akışına katılmasına imkân veriyor. Kullanıcı uygulamayı tanıyor; reklamı seçen ve veriyi aktaran aracıların isimlerini bilmesi ise gerekmiyor. Norveç Tüketici Konseyinin dosyaya ilişkin değerlendirmesi, reklam sistemindeki görünmezliğin bu yönüne dikkat çekiyor.
İsim bulunmaması, veriyi anonim yapmıyor
Datatilsynet’in tespit ettiği bilgiler arasında en azından kişinin Grindr kullandığı bilgisi, reklam kimliği ve IP adresi bulunuyor. Reklam kimliği, reklam sistemlerinde bir cihazla ilişkili etkinlikleri ayırt etmeye yarayan tanımlayıcı. Kullanıcının adı yazılmasa bile aynı tanımlayıcı üzerinden farklı kayıtların ilişkilendirilmesi mümkün olabiliyor.
Bu nedenle “isim paylaşılmadı” ile “kişisel veri paylaşılmadı” aynı anlama gelmiyor. Bir kişinin doğrudan adıyla tanınması ile cihazına veya çevrim içi etkinliğine bağlı olarak ayırt edilmesi farklı yollar; mahremiyet açısından ikisi de önem taşıyor.
Grindr örneğinde verinin kaynağı ayrıca hassas. Uygulama eşcinsel, biseksüel, trans ve queer yetişkinlere yönelik bir sosyal ağ olarak tanımlanıyor. Kurum, belirli bir kişiyle bağlantılı Grindr kullanım bilgisini cinsel yönelimle ilgili veri olarak değerlendirdi.
Bu değerlendirme, her kullanıcının yöneliminin kesin biçimde bilindiği iddiası değil. Uygulama kullanımının kişi hakkında hassas bilgi verebilmesi, özel koruma açısından belirleyici kabul ediliyor. Reklam paketindeki sıradan görünen bir uygulama bilgisi, başka bir tanımlayıcıyla birleştiğinde farklı bir anlam kazanabiliyor.
“Uygulama izin almıştır” demek yeterli görülmedi
Xandr’ın savunmasının merkezinde, kullanıcıların iznini Grindr’ın aldığı varsayımı vardı. Datatilsynet bunu yeterli bulmadı. Kurum, Xandr’ın Grindr ile birlikte ortak veri sorumlusu olduğunu ve kendi işlemlerinin geçerli rızaya dayandığını doğrulaması gerektiğini belirledi.
Kararın önemi burada yalnızca rızanın alınıp alınmadığına ilişkin değil. Veriyi uygulamadan teslim alan aracı da kendi sorumluluğunu taşıyor. Bir şirketin veriyi başka bir şirketten edinmesi, onu hukuka uygunluk değerlendirmesinin dışına çıkarmıyor.
Dosya, Norveç Tüketici Konseyi ve mahremiyet kuruluşu noyb’nin 2020’deki şikâyetlerine dayanıyor. Grindr’a ilişkin önceki süreçte 2021’de 65 milyon kron ceza verilmişti. Yeni kararın muhatabı ise reklam zincirindeki Xandr.
Şirket bugün Microsoft bünyesinde olsa da incelenen işlemler satın alma öncesine ait. Reuters’a yaptığı açıklamada Microsoft, kararın bu dönemi kapsadığını belirterek değerlendirmesini sürdürdüğünü bildirdi. Xandr’ın kararı teslim aldığı tarihten itibaren üç haftalık itiraz hakkı bulunuyor.
Bu dosyadan bütün kişiselleştirilmiş reklamların hukuka aykırı olduğu sonucu çıkmıyor. Ortaya çıkan daha somut mesele şu: Kullanıcıya tek bir reklam gösterilmesi, verinin tek bir şirketle paylaşıldığı anlamına gelmeyebilir. Mahremiyetin korunması da yalnızca uygulamanın izin ekranına değil, o ekranın ardından veriye erişen şirketlerin ne yaptığına ve bunu hangi hukuki dayanakla yaptığına bağlı.
