Fnac Darty'ye izinsiz takip cezası: 7 milyon euro

Kısaca

• CNIL, Fnac Darty grubuna ait iki şirkete toplam 7 milyon euro ceza kesti: 6 milyon euro holding şirketine, 1 milyon euro uygulamayı yöneten Fnac Direct'e.
• Mobil uygulama, kullanıcının izni olmadan görüntülediği ürünleri bir üçüncü taraf sunucusuna API aracılığıyla gönderiyordu; veriler kişiselleştirilmiş ürün önerilerinde ve öneri algoritmasının eğitiminde kullanılıyordu.
• Şirketlere bir ay içinde uyum sağlamaları için süre verildi; gecikme hâlinde günlük 10 bin euro ek ceza uygulanacak.

Fransa'nın veri koruma kurumu CNIL, 22 Ekim 2026 tarihli kararıyla Fnac Darty'nin mobil uygulamasında kullanıcıları izinsiz takip ettiğini tespit etti. Karar 29 Ekim'de kamuoyuna duyuruldu. Fransa'nın en büyük elektronik ve kitap perakendecilerinden olan Fnac Darty'nin güçlü bir e-ticaret kanalı bulunuyor.

CNIL'in tespitine göre uygulama, kullanıcının görüntülediği ürünleri ve Fnac'ın kullanıcıya atadığı kimlik bilgisini bir API aracılığıyla üçüncü taraf alan adına gönderiyordu. Toplanan veriler benzer ürün ve aksesuar önerilerinde, ayrıca öneri algoritmasının eğitiminde kullanılıyordu. CNIL, bu takip sisteminin Fransız Veri Koruma Kanunu'nun 82. maddesi kapsamında önceden onay gerektirdiğine hükmetti. Kurum, kişiselleştirme amaçlı takibin elektronik iletişimi sağlamak ya da kullanıcının açıkça talep ettiği bir hizmeti sunmak için zorunlu olmadığını belirledi.

Soruşturma, Avrupalı dijital haklar örgütü NOYB'un şikâyetiyle başladı. CNIL, Mart 2024'te uygulamayı denetledi. Cezanın belirlenmesinde uygulamanın geniş kullanıcı tabanı ve kuralların uzun süredir yerleşik olması ağırlaştırıcı etken sayıldı.

Kimi etkiler?

Kendi mobil uygulaması veya web sitesi olan her e-ticaret satıcısını doğrudan ilgilendirir. Ürün önerisi, kişiselleştirme ve analitik araçları kullanan satıcılar bu kararda kendilerine ders çıkarabilir. Türkiye'de benzer kurallar KVKK ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında geçerli. KVKK'nın son dönemde e-ticaret sektörüne yönelik denetimlerini sıklaştırdığı göz önünde bulundurulmalı.

Ne yapmalı?

• Uygulamanızda veya web sitenizde kullanılan tüm takip araçlarını (çerezler, SDK'lar, analitik pikseller) listeleyin ve hangilerinin açık onay gerektirdiğini belirleyin.
• Kullanıcının onay vermediği hâlde çalışan kişiselleştirme veya öneri sistemi varsa bunu devre dışı bırakın ya da önceden onay mekanizması ekleyin.
• Üçüncü taraf hizmetlere API ile gönderilen verileri gözden geçirin; kişisel veri içerenlerin KVKK'ya uygun olup olmadığını kontrol edin.
• KVKK Aydınlatma Yükümlülüğü ve Açık Rıza kurallarını gözden geçirin: Türkiye'de de izinsiz takip idari para cezasıyla sonuçlanabilir.