KVKK’dan WhatsApp'a 1 milyon 950 bin lira ceza

Kişisel Verileri Koruma Kurulu (KVKK), WhatsApp'a kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almadığı için 1 milyon 950 bin TL idari para cezası kesti.

Kişisel Verileri Koruma Kurulu (KVKK), WhatsApp uygulaması hakkında yürütülen resen incelemeye ilişkin yazılı açıklama yaptı.

KVKK, WhatsApp'a kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almadığı gerekçesiyle 1 milyon 950 bin TL idari para cezası uyguladı.

WhatsApp uygulaması hakkında yürütülen resen incelemeye ilişkin kamuoyu duyurusu:
➡️https://t.co/mcqAbYMFrE #KVKK pic.twitter.com/DmToxVtE7I

— KVKK (@KVKKurumu) September 3, 2021

KVKK'den yapılan açıklamada, WhatsApp LLC tarafından uygulamayı kullanmak isteyen kullanıcıların kişisel verilerinin işlenmesine ve yurt dışında bulunan üçüncü taraflara aktarılmasına açık rıza verilmesini içerecek şekilde Hizmet Koşullarının ve Gizlilik İlkesinin güncellendiği, bu kapsamda açık rıza vermeyen kullanıcıların uygulamayı kullanamayacağına ve hesaplarının silineceğine dair bilgilendirme iletildiğinin tespit edildiği bildirildi.

KVKK'nin 2021/28 ile 2021/120 sayılı kararları çerçevesinde yurt dışına veri aktarımı, hizmetin açık rıza şartına bağlanması ve genel ilkelere uygunluk hususları başta olmak üzere WhatsApp hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 15. maddesinin (1) numaralı fıkrası kapsamında resen inceleme başlatılmasına karar verildiği belirtildi.

Bu kapsamda, Kişisel Verileri Koruma Kurulu'nun 2021/891 sayılı kararıyla veri sorumlusu tarafından söz konusu uygulama kapsamında çeşitli kişisel veri işleme faaliyetleri bakımından farklı veri işleme şartlarına dayanıldığı ve kişisel veri işlemeye yönelik açık rıza şartının ise istisna olarak başvurulan bir şart olduğu belirtilse de Hizmet Koşullarının kullanıcı ile yapılan bir sözleşme olarak tanımlaması nedeniyle sözleşmeye onay verilmesi suretiyle ilgili kişilerin açık rızasının alınması yoluna gidildiğinin tespit edildiği aktarıldı.

Kullanıcılardan kişisel verilerinin işlenmesine ve yurt dışında yerleşik üçüncü taraflara aktarılmasına seçimlik hak sunulmaksızın tek bir açık rıza alındığı, sözleşmeye aktarıma ilişkin hüküm koymak suretiyle işleme ve aktarım faaliyetlerinin tek metinde birbirinden ayrılmaz bir biçimde ilgili kişiye sunulduğu dikkate alındığında, açık rızanın "özgür iradeyle açıklanması" unsurunun zedelendiğinin belirlendiği ifade edildi.

Veri sorumlusu tarafından Hizmet Koşulları ve Gizlilik İlkesinde yer alan "aktarım"a ilişkin ifadelerin müzakereye kapalı nitelikte sunularak, ilgili kişilerin sözleşmeye bir bütün olarak onay vermeye zorlandığı, bu suretle açık rızanın saf dışı bırakılmaya çalışıldığı, uygulamanın kullanılmasının aktarım şartına bağlandığı, bu kapsamda ilgili kişilerin çıkarları ve makul beklentileri göz önüne alınmaksızın hareket edildiği dikkate alınarak veri sorumlusunun bu uygulamasının Kanunun 4. maddesinde yer alan "hukuka ve dürüstlük kurallarına uygun olma" ilkesine aykırılık teşkil ettiğinin tespit edildiği açıklandı.

Veri sorumlusu tarafından Kanunun 4. maddesinde yer alan "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı hareket edildiğinin ortaya çıktığı aktarıldı.

Veri sorumlusunun Türkiye'de bulunan ilgili kişilerden elde ettiği kişisel veriler üzerinde, bu verileri elde ettikten sonra yapmış olduğu kaydetme, depolama, değiştirme, aktarma gibi her türlü işleme faaliyetinin sunucuları Türkiye'de bulunmadığı sürece kişisel verilerin yurt dışına aktarımı anlamına geldiği, bu kapsamda veri sorumlusunun Kanunun 9. maddesine uygun hareket etmediği kaydedildi.

Profilleme amacıyla çerezler aracılığıyla yapılacak kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı ifade edildi.

Bu kapsamda, Kanunun 12. maddesinin (1) numaralı fıkrası gereğince WhatsApp'a kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almadığı için 1 milyon 950 bin TL idari para cezasının kesildiği bildirildi.

Ayrıca veri sorumlusunun uygulamaya konulmadığı belirtilen 4 Ocak 2021 tarihli Hizmet Koşulları ve Gizlilik İlkesi metinlerinin halihazırda kullanıcılara geçerli sürüm olarak sunulduğu anlaşıldığından, ilgili kişilerin doğru bilgilendirilmesi için söz konusu metinlerin üç ay içerisinde Kanuna uygun hale getirilmesi ve Gizlilik İlkesinin aydınlatma metni yerine kullanıldığı ve geçerli bir aydınlatmanın unsurlarını taşımadığı anlaşıldığından Kanunun 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun bir aydınlatma yapılması ve söz konusu işlemlerin sonucundan Kurula bilgi verilmesi hususunda talimatlandırılmasına karar verildiği kaydedildi.