Giriş

Kanada'daki dijital gizlilik hakları açısından dönüm noktası niteliğinde bir kararla, British Columbia İstinaf Mahkemesi, Clearview AI Inc. tarafından yapılan istinaf başvurusunu reddederek, eyaletin gizlilik mevzuatının British Columbia sakinlerinin verilerini toplayan yabancı teknoloji şirketlerine uygulanacağını onaylamıştır. Clearview AI Inc. v. British Columbia (Bilgi ve Gizlilik Komiseri), 2026 BCCA 67 sayılı karar, Bilgi ve Gizlilik Komiseri'nin (Komiser), şirketin eyalette fiziksel bir varlığı olmasa dahi, kişisel bilgilerin internetten nasıl toplandığını düzenleme yetkisini pekiştirmektedir.

Bu karar, dijital çağda eyalet yasalarının kapsamına, özellikle de Kişisel Bilgilerin Korunması Kanunu'na (PIPA) ilişkin temel soruları ele almaktadır.

Dava Geçmişi ve Maddi Vakalar

Clearview AI Inc., yüz tanıma için bir arama motoru işleten ABD merkezli bir teknoloji şirketidir. Kararda ayrıntılı olarak açıklandığı üzere, Clearview'in yazılımı; YouTube, Facebook ve Instagram gibi kamuya açık web sitelerinden insan yüzlerini ve ilgili meta verileri kazımaktadır. 2017 yılına gelindiğinde şirket, üç milyar yüz görüntüsünden oluşan bir veri tabanı oluşturmuş, bu sayı 2023 yılına kadar 30 milyara ulaşmıştır.

Clearview, hizmetlerini esas olarak kolluk kuvvetlerine pazarlayarak, ilgili bir kişinin fotoğrafını yüklemelerine ve web'den eşleşen görüntüleri almalarına olanak sağlamıştır. Kanadalı gizlilik komiserleri tarafından yürütülen ortak bir soruşturmanın ardından BC Komiseri, Clearview'e BC'de hizmet sunmayı durdurma, BC sakinlerinin görüntülerini toplamayı bırakma ve mevcut verileri silme talimatı vermiştir.

Clearview, PIPA'nın bir ABD kuruluşu olarak kendi faaliyetlerine uygulanmadığını ve uygulansa bile bilgilerin kamuya açık olduğunu ve rıza gerekliliklerinden muaf tutulduğunu ileri sürerek adli inceleme (judicial review) talep etmiştir. British Columbia Yüksek Mahkemesi başvuruyu reddetmiş ve bu durum mevcut istinaf sürecine yol açmıştır.

Yargı Yetkisi İtirazı

İstinaf aşamasındaki temel uyuşmazlık, PIPA'nın anayasal olarak Clearview'e uygulanıp uygulanamayacağıydı. Şirket, faaliyetlerinin tamamen Kanada dışında yürütüldüğünü ve verilerini kazıdığı bireylerin konumuna kayıtsız kaldığını belirterek, British Columbia ile yeterli bir bağlantısı olmadığını savunmuştur.

İstinaf Mahkemesi, Unifund Assurance Co. v. Insurance Corp. of British Columbia davasında tesis edilen gerçek ve esaslı bağlantı testini uygulayarak bu iddiayı reddetmiştir. Mahkeme adına gerekçeli kararı yazan Yargıç Iyer, yargı yetkisinin tesisi için sanal bir bağlantının yeterli olduğuna hükmetmiştir. Mahkeme, Clearview'in iş modelinin kaçınılmaz olarak British Columbia sakinlerini de içeren küresel bir veri setine dayandığını kaydetmiştir. Ticari veri tabanını oluşturmak için BC sakinlerinden aktif olarak veri toplayan Clearview'in eyalet ile yeterli bir bağlantı kurduğu kabul edilmiştir. Mahkeme, internetin yabancı kuruluşların yerel gizlilik korumalarını görmezden gelebileceği hukuktan ari bir bölge oluşturmadığını vurgulamıştır.

"Kamuya Açık" Veri Argümanı

Clearview'in savunmasının kritik bir yönü, görüntülerin halka açık web sitelerinden kazındığı ve bu nedenle PIPA'daki "kamuya açık" istisnası kapsamına girdiği iddiasıydı. PIPA'nın 12(1)(e) maddesi, bilgilerin öngörülen bir kaynaktan temin edilebilir olması durumunda rıza olmaksızın toplanmasına izin vermektedir.

Mahkeme, Komiser'in PIPA Yönetmeliği'ne ilişkin dar yorumunu onamıştır. Yönetmelik; dergiler, kitaplar ve gazeteler gibi belirli kaynakları listelemektedir. Mahkeme, sosyal medya platformlarının bu geleneksel yayınlardan farklı olduğu sonucuna varmıştır. Bir gazete yazarlar tarafından oluşturulurken, sosyal medya içeriği, görüntüleri üzerinde bir ölçüde kontrol ve gizlilik menfaati bulunan kullanıcılar tarafından oluşturulmaktadır. Sonuç olarak Mahkeme, sosyal medyadan biyometrik verilerin toplu olarak kazınmasının kamuya açık muafiyeti niteliği taşımadığına karar vermiştir.

Makul Amaç Analizi

PIPA uyarınca kuruluşlar, kişisel bilgileri yalnızca makul bir kişinin uygun bulacağı amaçlar doğrultusunda toplayabilir, kullanabilir veya ifşa edebilir. Clearview, kolluk kuvvetlerine yardımcı olma amacının makul olduğunu savunmuştur.

Mahkeme, özel bir kuruluş tarafından bireylerin toplu olarak teşhis edilmesinin ve gözetlenmesinin makul olmayan bir gizlilik ihlali teşkil ettiği yönündeki Komiser bulgusunu destekleyerek bu görüşe katılmamıştır. Kararda, kolluk kuvvetlerine yönelik potansiyel faydaların, bireysel gizlilik ve özerkliğe verilen önemli zarardan daha ağır basmadığı vurgulanmıştır. Veri toplama işleminin deneklerin bilgisi veya rızası olmaksızın gerçekleşen ayrım gözetmeksizin niteliği, söz konusu amacı kanun kapsamında makul olmayan bir hale getirmiştir.

BC ve Kanada Hukuku Açısından Doğuracağı Sonuçlar

Bu kararın uluslararası veri gizliliği üzerinde derin etkileri vardır. Yabancı şirketlerin, sunucularını ve ofislerini denizaşırı ülkelerde konumlandırarak Kanada gizlilik yasalarından kaçamayacaklarını teyit etmektedir. Bir kuruluşun dijital faaliyetleri British Columbia sakinlerinin gizlilik haklarını önemli ölçüde etkiliyorsa, yerel mahkemeler ve düzenleyici kurumlar yargı yetkisini kullanacaktır.

Ayrıca karar, "kamuya açık" veri istisnasının sınırlarını netleştirmektedir. İşletmeler, bilgilerin çevrimiçi olarak erişilebilir olması nedeniyle ticari sömürü için serbest olduğunu varsayamazlar. Geleneksel yayınlar ile kullanıcı tarafından oluşturulan sosyal medya içeriği arasında yapılan ayrım, bireylerin dijital ayak izlerini yetkisiz kazımaya karşı koruyan bir emsal teşkil etmektedir.

Kuruluşlar İçin Pratik Tavsiyeler

Dijital alanda faaliyet gösteren işletmeler için bu dava, veri uyumluluğu konusunda hayati bir uyarı niteliğindedir:

Bu hüküm, British Columbia'da özel hayatın gizliliği hakkının yarı-anayasal nitelikte kabul edildiğini ve mahkemelerin, gelişen teknolojik tehditlere karşı bu hakkı korumak için mevzuatı geniş bir şekilde yorumlayacağını teyit etmektedir. Sinclair Centre Law olarak, müvekkillerimize karmaşık veri gizliliği meselelerinde rehberlik etmeye devam ediyoruz.

  • Yargı Yetkisi Kapsamlıdır: Fiziksel varlık eksikliğinin kuruluşunuzu eyalet gizlilik yasalarından muaf tutacağını varsaymayın. Bölge sakinlerinin verilerini işliyorsanız, muhtemelen yerel yasalara uymanız gerekir.
  • Kamusal Demek Serbest Demek Değildir: Veri kazıma uygulamalarınızı gözden geçirin. Sosyal medyada veya kamuya açık web sitelerinde bulunan bilgiler, rıza gerekliliklerinden otomatik olarak muaf değildir.
  • Makuliyet Testi: Kişisel bilgi toplama faaliyetlerinizin makul kişi testini karşıladığından emin olmak için gizlilik etki değerlendirmeleri yapın. Ticari fayda, gizlilik ihlallerini otomatik olarak geçerli kılmaz.
  • Giderici Emirler: Düzenleyici kurumların verilerin silinmesine ve ticari faaliyetlerin durdurulmasına karar verme yetkisine sahip olduğunu ve mahkemelerin, verilerin kaldırılmasına yönelik en iyi çaba gereklilikleri de dahil olmak üzere bu emirleri geniş bir şekilde uygulama eğiliminde olduğunu unutmayın.