85. Maddenin Dar Yorumu

Avrupa Birliği Adalet Divanı (ABAD), İsveç'in GDPR kurallarından, 85. Madde uyarınca gazetecilik amacıyla tanınan geniş muafiyetin, kişisel verilere ticari bir ürün olarak erişim satan şirketleri kapsayacak kadar geniş olmadığına hükmetti. 9 Temmuz 2026'da verilen karar, İsveç'in belirli veri işleme uygulamalarını sadece gazetecilik veya editöryel nitelikte etiketleyerek tam GDPR denetiminden koruma girişimini engelliyor.

GDPR'nin 85. Maddesi, katı veri koruma kurallarının bazen ifade özgürlüğüyle çelişebileceğini kabul ederek, üye devletlere gazetecilik, akademik ifade ile sanatsal veya edebi ifade için muafiyetler tanıma imkanı verir. İsveç, bazı şirketlerin GDPR yükümlülüklerinden kaçınmak için dayandığı geniş bir muafiyeti haklı çıkarmak için bu hükmü kullanmıştı. ABAD'ın kararı daha net bir çizgi çiziyor: Muafiyet, gerçek gazeteciliği korumak için vardır, ticari veri operasyonlarına serbest geçiş kartı vermek için değil.

Editöryel Politikadan Ödeme Duvarına

Kararın merkezindeki dava, mahkeme kararlarına ve ilgili kişisel verilere, bildirildiğine göre bir ödeme duvarı arkasında erişim satan bir şirketi içeriyordu. Şirket, faaliyetinin İsveç'in ulusal muafiyeti kapsamında gazetecilik olarak nitelendirildiğini ve bunun da kendisini büyük ölçüde GDPR yükümlülüklerinin dışına çıkaracağını savundu. ABAD, kişisel verilere abonelik ürünü olarak erişimin yeniden satılmasının, şirket editöryel politikaya benzer bir şey sürdürse bile, korunan gazetecilik faaliyetine otomatik olarak dönüşmediğini belirterek aynı fikirde olmadı.

Bu ayrım önemlidir, çünkü daha önce reddedilen 300.000 İsveç Kronu değerindeki tazminat talebini canlandırmaktadır. Kişisel verileri tartışmalı muafiyet kapsamında işlenen ve satılan bir kişi, mahkemenin şirketin dayandığı yasal kalkanı daraltması nedeniyle artık bu talebi ilerletebilir. Karar, İsveç'in gazetecilik muafiyetini tamamen ortadan kaldırmamakta, ancak muafiyetin artık kişisel verileri aranabilir veya satın alınabilir içerik olarak paketleyen herhangi bir işletmeyi kapsayacak şekilde genişletilemeyeceği anlamına gelmektedir.

Mahkemenin yanıtlaması gereken temel soru aldatıcı derecede basitti: Yalnızca bir editöryel politikaya sahip olmak, bir veri işletmesine gazetecilik muamelesi yapmayı haklı çıkarır mı? ABAD'ın yanıtı, faaliyetin özünün, bir şirketin kendisini nasıl tanımlamayı seçtiğinden daha önemli olduğunu ortaya koyuyor.

Bu Neden İsveç'in Ötesinde de Önemli

Karar doğrudan İsveç hukukunu ilgilendirse de, GDPR hükümlerini yorumlayan ABAD kararları Avrupa Birliği genelinde uygulanır. 85. Madde kapsamında benzer şekilde geniş bir gazetecilik veya editöryel muafiyet uygulayan herhangi bir üye devletin, bu korumanın ne kadar uzanacağını yeniden değerlendirmesi gerekecek. Toplu kişisel veriler, mahkeme kayıtları, geçmiş kontrolü veya benzeri ödeme duvarlı ürünler satan şirketler, hizmetlerini bilgilendirici veya editöryel içerik olarak çerçevelemenin onları GDPR'ın erişim alanı dışında tutacağını artık varsayamaz.

Bu durum, Avrupa mahkemelerinin ve düzenleyicilerin veri simsarları ve ikincil veri piyasaları etrafındaki denetimi sıkılaştırdığı daha geniş bir örüntüye uyuyor. Başlangıçta bir amaçla, örneğin kamuya açık mahkeme kayıtları gibi, toplanan veya yayınlanan kişisel bilgiler, aracılar tarafından giderek yeniden paketlenip satılıyor. Avrupa çapındaki düzenleyiciler, bu iş modellerinin veri koruma yasasına uygun olup olmadığını, muafiyetleri olduğu gibi kabul etmek yerine test etme konusunda artan bir isteklilik gösterdi.

Bu Sizin İçin Ne Anlama Geliyor

Sıradan kullanıcılar için bu karar, basit ama önemli bir noktayı pekiştiriyor: Kişisel veriler, bir şirket bu verilerin işlenmesini gazetecilik veya editöryel çalışma olarak yeniden etiketledi diye yasal korumalarını kaybetmez. İster bir mahkeme kaydından, ister kamu sicilinden ya da başka bir kaynaktan gelsin, kişisel bilgileriniz ücretli bir veri ürününün parçası olarak satılırsa, bu işlemeye itiraz etmek ve GDPR'yi ihlal etmesi durumunda tazminat talep etmek için daha güçlü yasal dayanaklarınız olabilir.

Karar aynı zamanda AB'de faaliyet gösteren veri simsarlarına ve toplayıcılarına, bundan böyle yalnızca editöryel çerçevelemenin düzenleyicileri veya mahkemeleri tatmin etmeyeceği sinyalini veriyor. 85. Madde tarzı muafiyetlere dayanan işletmeler, temel faaliyetlerinin gerçekten gazetecilik mi yoksa editöryel bir etiket taşıyan ticari veri yeniden satışı mı olduğu konusunda daha yakın bir inceleme beklemelidir.

Önemli Noktalar

  • ABAD, İsveç'in 85. Madde kapsamındaki GDPR gazetecilik muafiyetini daraltarak, ödeme duvarı arkasında kişisel veri satan şirketleri kapsamadığına hükmetti.
  • Daha önce muafiyet nedeniyle engellenen 300.000 İsveç Kronu tutarındaki tazminat talebi, bu karar sonucunda yeniden canlandı.
  • Yalnızca bir editöryel politikaya sahip olmak, ticari bir veri operasyonunu gazetecilik olarak nitelendirmek için tek başına yeterli değildir.
  • Karar, AB genelinde geçerli bir gerekçelendirme sunmakta, yani benzer muafiyetlere sahip diğer üye devletler benzer yasal zorluklarla karşılaşabilir.
  • Kişisel verilerinizin şüpheli bir muafiyet iddiası altında yeniden satıldığına veya işlendiğine inanıyorsanız, bu karar GDPR şikayeti veya tazminat talebinde bulunma gerekçesini güçlendirmektedir.

Avrupa mahkemeleri, ifade özgürlüğü korumalarının nerede bittiğini ve ticari veri sömürüsünün nerede başladığını belirginleştirmeye devam ederken, bu karar tüketicilere, tamamen başka bir amaç için tasarlanmış muafiyetlerin arkasına saklanarak kişisel bilgileri paraya çeviren şirketlere karşı koymak için daha net ve keskin bir araç sunuyor.