Ocak ayında FIFA, Futbol Temsilcisi Yönetmelikleri’ni (FFAR) yürürlüğe koydu. Bu düzenleme, oyuncu temsilcilerinin davranışlarına standart getirmeyi ve transfer pazarında daha şeffaf bir yapı oluşturmayı hedefliyordu. Ancak FFAR’ın bazı hükümleri, kişisel verilerin işlenmesi ve paylaşılması açısından GDPR ile uyumlu değildi. FFAR’ın 12. ve 19. maddeleri, temsilcilerden yalnızca temsilcilik sözleşmeleriyle ilgili bilgileri değil; müşteri dışı sözleşmeler, gelir paylaşımı, diğer acentelerle işbirlikleri ve hatta kurum çalışanlarının tam isim listeleri gibi birçok hassas veriyi FIFA’ya açıklamalarını talep ediyor. FIFA, bu verileri yalnızca toplamakla kalmayıp, kulüpler, oyuncular ve diğer paydaşlarla da paylaşmayı planlıyor.

Hukuki Sorun ve ABAD Süreci

Bu gelişmeler üzerine, bir temsilci Almanya’daki Mainz Bölge Mahkemesi’ne başvurarak FFAR’a itiraz etti. Mahkeme, FFAR’ın GDPR’nin 6. maddesi ve rekabet hukukuna uygunluğunu değerlendirmesi için Avrupa Birliği Adalet Divanı’na (ABAD) ön karar başvurusunda bulundu.

Başsavcı Görüşü: Meşru Çıkar Sınavı

ABAD nezdinde sunulan Başsavcı görüşüne göre, FFAR kapsamındaki veri işleme faaliyetleri GDPR Madde 6(1)(f) uyarınca "meşru çıkar" temeline dayandırılabilir. Ancak bunun için üç şartın birlikte sağlanması gereklidir:

1. FIFA’nın meşru bir çıkarı bulunmalı (örneğin transfer pazarının adil işleyişi),

2. İşlenen veriler, bu amacı gerçekleştirmek için gerçekten gerekli olmalı,

3. Veri sahiplerine aşırı yük veya zarar vermemeli.

Başsavcı, FIFA’nın amaçlarının meşru sayılabileceğini kabul etti. Ancak temsilcilerden istenen çok çeşitli ve hassas verilerin kapsamı ile bunların paylaşım şekli, orantılılık ve mahremiyet hakkı açısından ciddi çekinceler doğuruyor.

Somut Endişeler

Başsavcının dikkat çektiği potansiyel sorunlar şöyle özetlenebilir:

- Finansal ilişkiler, gelir paylaşımı sözleşmeleri, diğer temsilcilerle yapılan anlaşmalar ve hatta çalışan isimlerinin ifşası, temsilciler açısından hem mahremiyet ihlali hem de ticari sırların açığa çıkması anlamına geliyor.

- Bu verilerin rakip temsilciler ve potansiyel müşteriler ile paylaşılması, profesyonel rekabette haksız dezavantaj ve ilişki güveninin zedelenmesi riskini barındırıyor.

- FIFA'nın bu veri paylaşımının neden bu denli kapsamlı ve gerekli olduğuna dair gerekçelendirme yapması gerektiği vurgulanıyor.

Etki Alanı: Yalnızca Futbol Değil

Bu dava yalnızca futbol dünyasını değil, veri koruma ve spor yönetişimi açısından daha geniş bir alanı etkileyebilir. Çünkü:

- Uluslararası Olimpiyat Komitesi (IOC), FIBA, ITF gibi diğer spor federasyonları da sporcu temsilcileriyle benzer ilişki yapılarına sahip ve benzer veri taleplerinde bulunabiliyor.

- FFAR'a ilişkin ABAD kararı, sporcuların temsilcileriyle olan ilişkilerini düzenleyen her kurum için yeni bir denge kurma ihtiyacı doğurabilir.

- Ayrıca bu karar, GDPR’deki "meşru menfaat" kavramının yorumlanma sınırlarını da yeniden çizebilir.

Analizim

Başsavcı görüşü, FIFA'nın şeffaflık adına veri toplama çabasının GDPR ile çelişebileceğini ve veri sahiplerine orantısız yük getirebileceğini ortaya koyuyor.

ABAD’ın vereceği karar yalnızca temsilciler için değil, spor dünyasındaki veri yönetişiminin geleceği ve meşru menfaatin sınırları için de emsal teşkil edecek.

Meşru menfaat gerekçesiyle bu denli kapsamlı veri işleme ne kadar savunulabilir? Fikirlerinizi yorumlarda okumak isterim :)

Bu karar ilginizi çektiyse aşağıda kararlara da göz atmak isteyebilirsiniz.

- İspanya: İspanyol Futbol Federasyonu (RFEF), Zoom toplantısının kaydını katılımcıların bilgisi ve rızası olmadan paylaşarak GDPR'nin 6(1) ve 13. maddelerini ihlal etti. Bu nedenle €200,000 para cezasına çarptırıldı.

- Litvanya: Bir spor kulübü, müşterilerinin ve çalışanlarının parmak izi verilerini uygun yasal dayanak olmadan işleyerek GDPR'nin 9(1), 13(1)-(2), 30 ve 35(1) maddelerini ihlal etti. Bu nedenle yaklaşık €20,000 para cezası aldı.

- Norveç: Norveç Olimpiyat ve Paralimpik Komitesi, 3.2 milyon kişinin kişisel verilerinin çevrimiçi olarak ifşa edilmesi nedeniyle GDPR'nin 5(1)(a), 5(1)(c), 5(1)(f), 6 ve 32. maddelerini ihlal etti. Bu nedenle yaklaşık €123,656 para cezasına çarptırıldı.

Kaynak: https://gdprhub.eu?title=CJEU_-_C%E2%80%91209/23_-_RRC_Sports&mtc=today