Türkiye Kişisel Verileri Koruma Kurumu’ndan WhatsApp’a Dev Ceza!

Türkiye’den WhatsApp’a büyük bir ceza geldi. Kişisel Verileri Koruma Kurumu, kişisel verilerin kanuna aykırı olarak işlenmesini önlemek için lüzumlu tedbirleri almadığı nedeni öne sürülerek, WhatsApp’a 1 milyon 950 bin Türk Lirası yönetimsel para cezası kesildiğini duyurdu.

Kişisel Verileri Koruma Kurumu (KVKK), internet adresinden yapmış olduğu açıklamada şu ifadelere yer verdi:

“WhatsApp LLC (WhatsApp/veri sorumlusu) tarafınca, WhatsApp uygulamasını kullanmak isteyen kullananların kişisel verilerinin işlenmesine ve yurtdışında bulunan üçüncü taraflara aktarılmasına açık rıza verilmesini içerecek şekilde Hizmet Koşullarının ve Gizlilik İlkesinin güncellendiği, bu kapsamda açık rıza vermeyen kullananların uygulamayı kullanamayacağına ve hesaplarının silineceğine dair bilgilendirme iletildiği tespit edilmiştir.

Kişisel Verileri Koruma Kurulunun 12.01.2021 tarihindeki ve 2021/28 sayılı Sonucu ile 09.02.2021 tarihindeki ve 2021/120 sayılı Sonucu çerçevesinde, yurtdışına veri aktarımı, hizmetin açık rıza şartına bağlanması ve genel ilkelere uygunluk hususları başta olmak suretiyle WhatsApp hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 15’inci maddesinin (1) numaralı fıkrası kapsamında resen araştırma başlatılmasına karar verilmiş ve mevzuya ilişkin WhatsApp’tan alınan müdafa yazıları ve bununla bağlantılı olarak WhatsApp Hizmet Koşullarının ve Gizlilik İlkesi metinlerinin incelenmesi neticesinde; temel olarak veri sorumlusu tarafınca kullanıcılara sunulan Hizmet Koşullarının kullanıcı ile meydana getirilen bir sözleşme olarak tanımlandığı, Gizlilik İlkesinin ise şeffaflığı sağlamaya yönelik bir metin olarak, hangi verilerin hangi amaçlarla işleneceğini göstermekle beraber esasen Hizmet Koşullarının bir parçası olarak ifade edilmiş olduğu ek olarak Hizmet Koşullarına onay verilmeden sözleşmenin yürürlüğe giremeyeceğinin belirtildiği görülmüştür.

Bu kapsamda; Kişisel Verileri Koruma Kurulu’nun 03.09.2021 tarih ve 2021/891 sayılı Sonucu ile;

Veri sorumlusu tarafınca söz mevzusu uygulama kapsamında çeşitli kişisel veri işleme faaliyetleri bakımından değişik veri işleme şartlarına dayanıldığı ve kişisel veri işlemeye yönelik açık rıza şartının ise kural dışı olarak başvurulan bir koşul olduğu belirtilse de Hizmet Koşullarının kullanıcı ile meydana getirilen bir sözleşme olarak tanımlaması sebebiyle sözleşmeye onay verilmesi suretiyle ilgili kişilerin açık rızasının alınması yoluna gidildiği, bu çerçevede kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına seçimlik hak sunulmaksızın tek bir açık rıza alındığı, sözleşmeye aktarıma ilişkin yargı koymak suretiyle işleme ve aktarım faaliyetlerinin, tek metinde birbirinden ayrılmaz bir şekilde ilgili kişiye sunulmuş olduğu dikkate alındığında, açık rızanın “özgür iradeyle açıklanması” unsurunun zedelendiği,

Veri sorumlusu tarafınca Hizmet Koşulları ve Gizlilik İlkesinde yer edinen “aktarım”a ilişkin ifadelerin müzakereye kapalı özellikte sunularak ilgili kişilerin sözleşmeye bir tüm olarak onay vermeye zorlandığı, bu suretle açık rızanın saf dışı bırakılmaya çalışmış olduğu, uygulamanın kullanılmasının aktarım şartına bağlandığı, bu kapsamda ilgili kişilerin çıkarları ve makul beklentileri göz önüne alınmaksızın hareket edilmiş olduğu dikkate alınarak veri sorumlusunun bu uygulamasının Kanunun 4’üncü maddesinde yer edinen “Hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılık teşkil etmiş olduğu,

İşlenen tüm kişisel verilerin aktarımına ilişkin açık rıza istenildiği, sadece bu verilerin işlendikleri amaçla orantılı ve sınırı olan bilgiler olmadığı şeklinde hangi verinin hangi amaçla aktarılacağının da bahse mevzu metinlerde net olarak ortaya konulmadığı, bu hususta veri sorumlusunca Kanunun 4’üncü maddesinde yer edinen “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırı olan ve ölçülü olma” ilkelerine aykırı hareket edilmiş olduğu,

WhatsApp tarafınca kişisel verilerin işlenmesinin sözleşmenin bir parçası haline getirilmek suretiyle ilgili kişilerden sözleşmeye onay vermelerinin istenildiği ve sonrasında “Bir sözleşmenin kurulması yada ifasıyla direkt doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ilişkin kişisel verilerin işlenmesinin lüzumlu olması” şartı başta olmak suretiyle öteki kişisel veri işleme şartlarına dayanılarak kişisel verilerinin işlendiğinin beyan edilmiş olduğu sadece görünen işlem sözleşmeye onay verme olsa da aslolan meydana getirilen işlemin kişisel verilerin işlenmesine açık rıza alınması durumunda olduğu, bu bakımdan sözleşmenin içine derç edilerek hizmetin bir koşulu olarak dayatılması suretiyle alınan açık rızanın, “özgür iradeyle açıklanması” unsurunun zedelendiği,

Veri sorumlusunun Türkiye’de bulunan ilgili kişilerden elde etmiş olduğu kişisel veriler üstünde, bu verileri elde ettikten sonrasında yapmış olduğu kaydetme, depolama, değişiklik yapma, aktarma şeklinde her türlü işleme faaliyetinin, sunucuları Türkiye’de bulunmadığı sürece kişisel verilerin yurt dışına aktarımı anlamına geldiği, dolayısıyla söz mevzusu aktarımın, Kanunun “Kişisel verilerin yurt dışına aktarılması” başlıklı 9 uncu maddesine uygun olarak yapılmasının zorunluluk arz etmiş olduğu sadece veri sorumlusu tarafınca aktarım faaliyetleri için hiçbir şekilde açık rızaya başvurulmadığının beyan edilmiş olduğu, bununla beraber veri sorumlusunca Kurulumuza bir taahhütname başvurusunda da bulunulmadığı dikkate alındığında, veri sorumlusu tarafınca Kanunun 9 uncu maddesine uygun hareket edilmediği,

Veri sorumlusu tarafınca, profilleme amacıyla çerezler vasıtasıyla yapılacak kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı

anlaşıldığından Kanunun 12 nci maddesinin (1) numaralı fıkrasında yer edinen kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik lüzumlu her türlü teknik ve yönetimsel tedbirleri almadığı tespit edilen veri sorumlusu hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 1.950.000 TL yönetimsel para cezası uygulanmasına,

Ek olarak veri sorumlusunun;

Uygulamaya konulmadığı belirtilen 04.01.2021 tarihindeki Hizmet Koşulları ve Gizlilik İlkesi metinlerinin, halihazırda kullanıcılara geçerli sürüm olarak sunulmuş olduğu anlaşıldığından, ilgili kişilerin doğru bilgilendirilmesi için söz mevzusu metinlerin üç ay içinde Kanuna uygun hale getirilmesi,

Gizlilik İlkesinin, aydınlatma metni yerine kullanıldığı ve geçerli bir aydınlatmanın unsurlarını taşımadığı anlaşıldığından, Kanunun 10’uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Bildiri hükümlerine uygun bir aydınlatma yapılması ve söz mevzusu işlemlerin sonucundan Kurula informasyon verilmesi hususunda talimatlandırılmasına karar verilmiştir.

Kamuoyuna saygıyla duyurulur.“