Avrupa Toplulukları Adalet Divanı (“ATAD”), yakın bir tarihte, Alman Federal Mahkemesi’nin internet sitesi operatörü tarafından kaydedilmiş IP adreslerinin kişisel veri olma durumlarına ilişkin sorularını cevapladı. ATAD, internet servis sağlayıcısı, kullanıcısının tanımlanabilmesine olanak sağlayan başka verilere de sahipse, dinamik IP adreslerinin kişisel veri olarak kabul edileceğine hükmetti. ATAD’ın söz konusu kararı, kişisel verinin Veri Koruması Direktif’ine göre nasıl tanımlanacağına ilişkin yol gösterici olacaktır.
Söz konusu uyuşmazlık, 2008 senesinde bir Alman vatandaşının Federal Alman Kuruluşları tarafından işletilen web sitelerince, IP adresinin depolanmasını ve kullanılmasını önlemek amacıyla açtığı dava ile Alman ilk derece mahkemesinin önüne gelmiştir. İlk derece mahkemesinin davayı reddetmesi üzerine dava kısmi kabul kararı veren istinaf mahkemesine taşınmıştır. Söz konusu kısmi kabul kararını ise iki taraf da temyiz etmiş ve dosya, Alman Federal Mahkemesi’nin önüne gelmiştir.
Federal Mahkeme, kararını vermeden önce, ATAD’a aşağıdaki sorular ile başvurmuştur:
- 95/46 sayılı Direktif Madde 2(a)’nın yorumlanmasında, çevrimiçi servis sağlayıcısı tarafından kaydettirilen dinamik IP adreslerinin, herkes tarafından ulaşılabilir hale getirilmesinin, internet servis sağlayıcısının elinde web sitesi kullanıcısının kimliğini tespite yarayan başka bilgiler de bulunduğu durumlarda madde kapsamında kişisel veri olarak değerlendirilip değerlendirilemeyeceği ve
- 95/46 sayılı Direktif Madde 7(f)’nin yorumlanmasında, çevrimiçi medya servis sağlayıcısının, sadece verilerin kullanımına ilişkin hizmetlerin kullanımının kolaylaştırılması amacıyla websitesi kullanıcılarının kişisel verilerinin onayları olmaksızın toplanması ve kullanılması durumunda üye ülkenin yasalarının uygulanmasının önüne geçilip geçilmediği.
ATAD tarafından verilen bağlayıcı olmayan kararda, mahkeme iki soruyu da olumlu yanıtlamıştır. İlk sorunun cevabı olarak, web sitesi operatörünün üçüncü kişilerin kullanıcıyı tespit etmesine olanak sağalayacak ek bilgiye sahip olması durumunda dinamik IP adreslerinin kişisel veri sayılacağına hükmetmiştir.
İkinci soruya ilişkin olarak ise, ATAD, Direktif’in 7. Maddesinin f bendi’nin çevrimiçi medya servis sağlayıcısının (Alman Federal Kuruluşu) kendi web sitesinin sürekli işleyişini sağlamak için haklı menfaati bulunması halinde üye ülkelerin (Alman yasaları) yasalarının uygulanmasını önleyecek şekilde yorumlanabileceğinin altını çizmektedir.
(Breyer v Bundersrepublik Deutschland, 19.10.2016, CJEU Case C-582/14)
