WHATSAPP HAKKINDA KİŞİSEL VERİLERİ KORUMA KURUMU TARAFINDAN YAYINLANAN DUYURUNUN DEĞERLENDİRİLMESİ 19 Ocak 2021

Kurumun Duyurusunda Yer Alan ve Kişisel Verilerin İşlenmesiyle ilgili Hukuki Dayanaklar

Kurum, duyurusunda Kanunun 5 inci ve 6 ıncı maddelerini kaynak göstererek kişisel verilerin işlenebilmesi ile ilgili maddelerde belirtilen şartların sağlanması gerektiğini göz önüne sermiştir. İlgili kişinin kişisel verilerinin işlenebilmesi için Kanunun 5 inci maddesinin 2 inci fıkrasında yer alan istisnai hallerin (örneğin veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması ) mevcut olması gerektiğinin altını çizmiş, bu şartların olmadığı durumlarda kişisel verilerin ancak ilgili kişinin açık rızasıyla alınması gerektiğini belirtmiştir.

Kurum Tarafından Çizilen Açık Rızanın Sınırları

Kurum, kişisel verilerin ilgili kişinin açık rızasıyla işlendiği durumlarda Kanunun 3 üncü maddesinde belirtilen;  belirli bir konuya ilişkin olma, rızanın bilgilendirmeye dayanma ve özgür iradeyle açıklanma unsurlarının açık rızada aranması gerektiğini belirtmiştir. Bu tanımdan da anlaşılacağı üzere Kurum; açık rızanın, rıza veren kişinin olumlu irade beyanını içermesi gerektiğinin altını çizmiştir.

Aynı zamanda açık rızanın kişiye sıkı sıkıya bağlı bir hak olduğunu, ilgili kişi tarafından da her zaman geri alınabileceği hususunu da vurgulanmıştır. Ancak bu geri alma beyanı geleceğe yönelik sonuç doğuracağından beyanın veri sorumlusuna ulaşması itibariyle açık rızaya tabi tüm veri işleme faaliyetlerinin veri sorumlusu tarafından durdurulması gerektiğini belirtmiştir.

Kişisel Verileri Koruma Kurulu (“Kurul”) daha önceki kararlarında da açık rızanın; bir üyeliğin ve hizmetin, dolayısıyla sözleşmenin bir koşulu olarak dayatılmasının açık rızayı sakatlayacağını, bu durumun hukuka ve dürüstlük kurallarına uygun olma ve işlenme amacı ile bağlı, sınırlı ve ölçülü olma ilkelerine aykırılık teşkil edeceğini belirtmiştir¹.

Kişisel Verilerin Yurt Dışına Aktarılmasındaki Kanuni Şartlar

Kanunun 9 uncu maddesine göre kişisel verilerin ilgili kişinin açık rızası olmadan yurt dışına aktarılamayacağını belirten Kurum, Kanun’un 9. Maddesinin 2 inci fıkrasına atıf yaparak  Kanunun 5 inci maddesinin ikinci fıkrası ile özel nitelikli kişisel veriler bakımından 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul izninin bulunması kaydıyla ancak kişisel verilerin ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceğini belirtmiştir.

Kurum Tarafından Alınan Karar Hangi Hususları Kapsamaktadır?

Kurum, yayınladığı duyuru ile WhatsApp Inc. tarafından, WhatsApp uygulamasını kullanmak isteyen kullanıcılara gönderilen ve içeriğinde kullanıcıların kişisel verilerinin işlenmesine ve yurtdışına aktarılmasına rıza verilmesini içerecek şekilde kullanım koşullarının güncellendiği, rıza vermeyen kullanıcıların uygulamayı kullanamayacağını ve hesaplarının silineceğine dair kullanıcılara bilgilendirme iletildiğinin tespit edildiği, bilgilendirme metninde yer alan Gizlilik Politikasının da incelenmesi kapsamında işlenen kişisel verilerin WhatsApp Inc. tarafından “yurtdışında yerleşik bulunan hizmet aldığı ve hizmet verdiği Facebook grup şirketleri, tedarikçileri, iş ortakları, hizmet sağlayıcıları ve diğer üçüncü taraf veri sorumluları “ tarafından “teknik destek, teslimat ve diğer hizmetleri sağlamak, araştırma yapmak, pazarlama ve anket vb.” amaçlarla aktarılacağının ifade edildiği, bu politikalarda hangi kişisel verilerin hangi amaçlarla işleneceğinin belirtilmemesinin yanı sıra yurtdışında aktarım yapılacak olan tarafın net olarak belirlenmediği ve yine kişisel verilerin işleme amacının da net olarak ortaya konmayıp ucunun açık bırakıldığını belirtmiştir. Bu doğrultuda da Kurum tarafından Whatsapp Inc. hakkında;

• Kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına yönelik rıza alınması işleminin ayrıştırılmadığı ancak kullanıcıların kişisel verilerinin işlenmesine rıza verirken yurtdışında başka bir veri sorumlusuna aktarılmasına rıza vermeyebileceği dikkate alındığında söz konusu uygulamanın kullanım yaygınlığı da göz önünde bulundurularak bu durumun Kanun’da belirlenen açık rızanın unsurlarından “özgür iradeyle açıklanması” açısından bir ihlal oluşturup oluşturmadığı,
• Yurtdışında bulunan başka bir şirkete aktarım yapılmak şartıyla uygulamanın kullanılmasına izin verilmesinin Kanunun 4 üncü maddesinde sayılan ilkelerden “hukuka ve dürüstlük kurallarına uygun olma”, “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkeleri açısından bir ihlale sebebiyet verip vermediği,
• Sunulan hizmetin açık rıza şartına bağlanmış olmasının verilen açık rızayı sakatlayabileceği bu durumun da kişisel verilerin hukuka aykırı işlenmesi sonucunu doğurabileceği dikkate alındığında Whatsapp Inc. tarafından yapılan güncelleme ile hizmetin rıza şartına bağlanması durumunun ortaya çıkıp çıkmadığı,
• WhatsApp Inc. tarafından yurtdışında yerleşik veri sorumlularına yapılacak aktarım hususunda Kanunun 9 uncu maddesi hükümlerine aykırılık olup olmadığı konularında resen inceleme başlatılmasına karar vermiştir.

Kurul tarafından konuya ilişkin yeni değerlendirme ise 08.02.2021 tarihinde yapılacaktır.

Sonuç olarak; her ne kadar Kurum’un duyurusundan sonra Whatsapp Inc., kullanıcılarına güncellenen gizlilik politikasını kabul ettirmeye zorlamaktan şimdilik vazgeçse de Kurum tarafından resen inceleme devam ettirilecektir. Kurum, yapacağı incelemede özellikle Whatsapp kullanıcılarına Whatsapp’ı kullanmak için gizlilik politikasının kabul edilmesinin zorunlu tutarak aldığı açık rızanın Kanun’da belirtilen şartları taşımayacağı, gizlilik politikasında belirtilen veri işleme amaçları ile aktarılan kişi grubu ve aktarım amaçlarının detaylı olarak belirtilmediği gerekçeleriyle Whatsapp Inc. hakkında öncelikle ilgili hataların düzeltilmesine yönelik uyarıda bulunma ya da doğrudan idari para cezası uygulama şeklinde karar verebileceğini belirtmek isteriz.

Kurumun söz konusu kararına buradan ulaşabilirsiniz.

^{_____________________________________}

¹ 16.02.2018 tarihli ve 2018/19 sayılı Karar Özeti, Erişim Adresi: https://kvkk.gov.tr/Icerik/5412/Acik-Rizanin-Hizmet-Sartina-Baglanmasi