Olay
Trento Belediyesi, Fondazione Bruno Kessler'in veri işleyen sıfatıyla desteğiyle, AB araştırma programlarından finanse edilen MARVEL ve PROTECTOR projelerine katıldı. Amaç, kamusal alanlarda kalabalık, saldırı ve kapkaç gibi güvenlik açısından önemli olayları yapay zekâ ile otomatik olarak tespit etmekti. MARVEL kapsamında 14 kentsel güvenlik kamerasından 309 saat görüntü ve sokağa yerleştirilen 6 mikrofondan 85 saat ses kaydı alındı. PROTECTOR kapsamında ise 4 kameranın görüntüleri ile Twitter ve YouTube'daki dinî içerikli nefret mesajları toplandı; Garante'ye göre bir Twitter kullanıcı ağının adları Anvers Polisi ve Bulgaristan İçişleri Bakanlığıyla açık biçimde paylaşıldı. Belediye, verilerin toplandıktan hemen sonra anonim hâle getirildiğini savundu. Garante, basında çıkan haberler üzerine resen inceleme başlattı.
Comune di Trento (MARVEL and PROTECTOR projects) kararında hukuki soru neydi?
Garante öncelikle, yüzlerin ve plakaların bulanıklaştırılması ile konuşanın sesinin değiştirilmesinin verileri gerçekten anonim hâle getirip getirmediğini değerlendirdi. Ardından belediyenin, suç ve dinî inanç verilerini de kapsayan bu işleme için GDPR'ın 6, 9 ve 10. maddeleri ile İtalyan Kişisel Veriler Kanunu'nun (Codice) 2-ter, 2-sexies ve 2-octies maddeleri anlamında yeterli bir hukuki dayanağa sahip olup olmadığını inceledi. Kent güvenliği mevzuatı, belediyenin genel görevleri ve bilimsel araştırma kuralları bu dayanağı sağlayabilir miydi? Kurum ayrıca aydınlatma yükümlülüğünün, verilerin proje ortaklarıyla paylaşılmasının ve veri koruma etki değerlendirmesinin GDPR'a uygun olup olmadığını da ele aldı.
İtalya Kişisel Verileri Koruma Kurumu (Garante per la protezione dei dati personali) ne karar verdi?
Garante, kullanılan tekniklerin anonimleştirme sağlamadığına karar verdi: ses değiştirme konuşmanın içeriğini koruyordu; bulanıklaştırılmış görüntülerdeki kişiler de kıyafet, beden yapısı, konum ve kameralar arası hareketleri üzerinden tanınabilirdi. Belediyenin dayandığı genel hükümler yeterince açık ve öngörülebilir değildi; kent güvenliği kameraları başka amaçla kullanılamazdı ve belediyenin bilimsel araştırma görevi yoktu. Aydınlatma metinleri eksikti, sosyal medya kullanıcıları hiç bilgilendirilmemişti. Etki değerlendirmesi zorunluluk ve orantılılığı, örneğin simüle edilmiş bir kent ortamının neden yeterli olmadığını incelememişti. Kurum GDPR'ın 5(1)(a), 6, 9, 10, 13, 14 ve 35. maddelerinin ihlalini tespit etti, 50.000 avro ceza verdi, verilerin işlenmesini yasakladı ve silinmesini emretti.
Comune di Trento (MARVEL and PROTECTOR projects) kararı neden önemli?
Karar, bir kamu kurumunun yapay zekâ modeli eğitmek için yaptığı veri işlemenin, yalnızca araştırma ya da teknoloji geliştirme amacı taşıdığı gerekçesiyle daha hafif bir hukuki dayanakla yürütülemeyeceğini ortaya koyuyor. Garante, AİHM'in Glukhin - Rusya kararına ve ABAD içtihadına dayanarak kamusal alandaki davranışların da özel hayat kapsamında kalabileceğini vurguladı. Bulanıklaştırma ve ses değiştirme gibi yaygın tekniklerin tek başına anonimleştirme sayılmadığını, etki değerlendirmesinin yalnızca bilgi güvenliğiyle sınırlı tutulamayacağını da gösteriyor.
İlgili aşamalar
Kurumun duyurusu 25 Ocak 2024'te yayımlandı. Veri işleyen sıfatıyla ilgili GDPR m.28 suçlaması savunma sonrasında düştü. L'Adige'nin 10 Nisan 2024 tarihli haberine göre belediye cezayı Codice m.166/8 uyarınca indirimli tutar olan 25.000 avro olarak ödedi. Üçüncü proje PRECRISIS'te henüz veri işlenmediği kayda geçti. Kamusal alanda gözetim için bkz. glukhin-v-russia ve r-thompson-carlo-v-met-police-live-facial-recognition.