Olay
ABD'nin Delaware eyaletinde kurulu Clearview AI Inc., internetin herkese açık bölümlerini tarayan yazılımlarla yüz görüntüleri topluyor, bunları algoritmalarla işleyerek yüz vektörleri oluşturuyor ve on milyarlarca görüntüden oluşan aranabilir bir veritabanında saklıyor. Şirket bu veritabanına erişimi, ulusal güvenlik ve ceza soruşturması alanında çalışan kamu ve özel sektör müşterilerine satıyor. Birleşik Krallık Bilgi Komiseri (ICO) 18 Mayıs 2022'de, GDPR ve Birleşik Krallık GDPR'ının çeşitli hükümlerinin ihlal edildiği sonucuna vararak şirkete bir yaptırım bildirimi gönderdi ve 7.552.800 sterlin idari para cezası verdi. Birinci Kademe Mahkemesi (First-tier Tribunal) 17 Ekim 2023'te, işlemenin iki düzenlemenin maddi kapsamı dışında kaldığını ve ICO'nun yetkisiz olduğunu kabul etti. ICO bu karara karşı başvuruda bulundu.
Hukuki soru
Uyuşmazlık iki yetki sorusuna odaklandı. Birincisi, GDPR'ın 2(2)(a) maddesinde (Birleşik Krallık GDPR'ında buna karşılık gelen 2(1)(a) maddesinde) yer alan ve Birlik hukukunun kapsamı dışındaki faaliyetler sırasında yapılan işlemeyi kapsam dışında bırakan istisnanın, yabancı kolluk ve güvenlik kurumlarına hizmet veren özel bir şirkete de uygulanıp uygulanmayacağıydı. Clearview, işlemesinin müşterilerinin özünde devlete özgü işlevleriyle kesiştiğini ve devletler arası nezaket (comity) ilkesinin düzenlemeye engel olduğunu savundu. İkinci soru, Birleşik Krallık'ta yerleşik olmayan şirketin, 3(2)(b) maddesi uyarınca Birleşik Krallık'taki kişilerin davranışlarının izlenmesiyle ilgili işleme yaptığı gerekçesiyle mevzuata tabi olup olmadığıydı. Aramaları şirketin kendisinin değil müşterilerinin yapması da bu soruyu etkiliyordu.
Karar
Üst Mahkeme 6 Ekim 2025'te ICO'nun başvurusunu kabul etti. Karara göre 2(2)(a) maddesindeki istisna, yalnızca üye devletlerin yetkiyi Birliğe devretmeyip kendilerine sakladığı faaliyetleri kapsar; müşterilerinin devlet işlevleriyle kesişen üçüncü kişilerin veri işlemesi bu istisnaya girmez. 3(2)(b) maddesindeki davranışların izlenmesi kavramı geniş yorumlanmalıdır. Verilerin, sonradan başka bir veri sorumlusu tarafından da profil çıkarmada kullanılmak üzere otomatik yollarla pasif biçimde toplanması, sınıflandırılması ve saklanması bu kavrama girebilir; insanın etkin gözetimi aranmaz. İzlemeyle “ilgili” işleme ölçütü, izlemeyi başka bir sorumlunun yaptığı durumları da kapsar. Birinci Kademe Mahkemesinin kararı kaldırıldı ve dosya, ICO'nun yetkili olduğu kabul edilerek işin esası incelenmek üzere geri gönderildi.
Neden önemli
Karar, Birleşik Krallık dışında yerleşik olan ve hizmetini yabancı ulusal güvenlik ve kolluk müşterilerine sunan bir yüz tanıma şirketinin, topladığı görüntüler nedeniyle Birleşik Krallık veri koruma mevzuatına tabi olabileceğini kabul etti. Davranışların izlenmesi kavramının insan gözetimi aranmadan otomatik veri toplama ve profil çıkarmaya uygulanması, internetten kişisel veri toplayan diğer yapay zekâ geliştiricileri için de önem taşıyor. Karar yalnızca yetki sorununu çözdü; ihlallerin varlığı ve para cezasının yerindeliği Birinci Kademe Mahkemesinde incelenecek.
İlgili aşamalar
ICO'nun açıklamasına göre Üst Mahkeme, 19 Aralık 2025'te Clearview'a Temyiz Mahkemesine (Court of Appeal) başvurma izni verdi.