Kişisel Verileri Koruma Kurulu’ndan WhatsApp Hakkında Karar

Özet

Kişisel Verileri Koruma Kurulu (“Kurul”), veri sorumlusu WhatsApp LLC (“WhatsApp”) tarafından kullanıcılara sunulan Hizmet Koşullarının ve Gizlilik İlkesi’nin güncellenmesinde açık rıza aranması ile ilgili bir karar yayınlamıştır.

Bilindiği üzere WhatsApp 2021 yılı başında hizmet koşullarının güncellendiğini duyurmuştu. Yeni kullanım koşullarında, WhatsApp uygulamasını kullanmak isteyen kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında bulunan üçüncü taraflara aktarılmasına açık rıza verilmesi talep edilmişti. İlgili güncelleme kapsamında açık rıza vermeyen kullanıcıların uygulamayı kullanamayacağı ve hesaplarının silineceği ifade edilmişti. Kurul, konu ile ilgili incelemelerde bulunmuş ve konuyla ilgili olarak:

• Veri sorumlusunun kişisel verilerin işlenmesi ve yurtdışına aktarılması hususunda kullanıcılara seçimlik bir hak sunmadan tek bir açık rıza aldığını ve ilgili durumun Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca açık rızanın “özgür iradeyle açıklanma” unsurunu zedelendiğini,
• Kullanıcılara sunulan sözleşmenin müzakereye açık olmaması ve bütün olarak kabul etmeye zorunlu bırakılmasının KVKK m. 4’te öngörülen “Hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılık teşkil ettiğini,
• Sözleşmede işlenecek olan tüm kişisel verilerin aktarımı için tek bir açık rıza istenildiğini ve işleme amacının net bir şekilde ifade edilmediğini, bu durumun ise KVKK m. 4’te öngörülen “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine aykırı olduğunu,
• Her ne kadar sözleşmede kişisel verileri KVKK m. 5’te öngörülen istisnalardan birine dayanarak işlediğini ileri sürse de veri sorumlusunun asıl amacın kişisel verilerin işlenmesine açık rıza alınması niteliğinde olduğunu,
• Veri sorumlusunun Türkiye’de bulunan ilgili kişilerden elde ettiği kişisel veriler üzerinde, bu verileri elde ettikten sonra yapmış olduğu kaydetme, depolama, değiştirme, aktarma gibi her türlü işleme faaliyetinin, sunucuları Türkiye’de bulunmadığı sürece yurt dışına aktarım anlamına geldiğini; ancak veri sorumlusunun KVKK m. 9 kapsamında aktarım faaliyetleri için açık rızaya başvurmadığını, sunucularla ilgili bir işlem yapmadığını, bununla birlikte veri sorumlusunun Kişisel Verileri Koruma Kurumu’na bir taahhütname başvurusunda bulunmadığını,
• Veri sorumlusu tarafından, profilleme amacıyla çerezler aracılığıyla yapılacak kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığını

tespit etmiştir.

Kurul, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu WhatsApp hakkında 1.950.000 TL idari para cezası uygulanmasına karar vermiştir. Ayrıca veri sorumlusunun ilgili metinlerini 3 ay içinde KVKK’ya uygun hale getirmesine, WhatsApp Gizlilik İlkesi’nin geçerli bir aydınlatmanın unsurlarını taşımadığı anlaşıldığından ilgili mevzuata uygun bir aydınlatma metni hazırlaması hususunda talimatlandırılmasına karar vermiştir.