Küçüklerin Verilerinin İşlenmesi Noktasında Hukuka Aykırı Hareket Eden TikTok'a İdari Para Cezası

Kapsam

Kişisel Verileri Koruma Kurumu’na (“Kurum”), TikTok hakkında KVKK kapsamında açık rızaların usulüne uygun alınmadığı, kişisel verilerin elde edilmesi ve saklanması hususunda hukuka aykırılıkların bulunduğu ve TikTok yazılımına ait birçok güvenlik açığı olduğuna yönelik haberler ve şikâyetler gelmesi üzerine Kurul re’sen inceleme başlatmıştır. Kurul gerçekleştirmiş olduğu incelemeler neticesinde:

• TikTok’un 2021 yılı Ocak ayında gerçekleştirdiği Gizlilik Politikası Güncellemesi (“Güncelleme”) ile, 13 ve 15 yaş arası kullanıcı hesaplarının varsayılan gizlilik ayarları “özel” olarak değiştirdiğini ancak bu güncellemeden önceki profillerin varsayılan ayarının herkese açık olması sebebiyle ilgili hassas yaş grubunun profillerinin herkese açık olduğunu, kullanıcıların verilerine herkes tarafından erişilmesinin risk teşkil ettiğini ve TikTok tarafından bu risklerin azaltılmasına yönelik yeterli tedbir alınmadığını;
• Güncelleme öncesinde TikTok tarafından 13 yaş altı çocukların kişisel verilerinin ebeveyn izni olmadan işlenebildiğini, ilgili durumun çocuklar üzerinde olumsuz sonuç yaratma riski doğduğunu;
• TikTok Gizlilik Sözleşmesi’nde KVKK md. 5 uyarınca işleme şartlarının tümünün belirtildiğini ancak her bir kişisel verinin kullanılma amacının ve tabi olduğu veri işleme şartının net bir şekilde belirtmediğini; dolayısıyla KVKK md. 4 uyarınca "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı hareket edildiğini;
• Kullanıcıların TikTok uygulamasına üye olurken Hizmet Koşulları (Kullanım Şartları) ile Gizlilik Politikasını kabul etmiş sayılacaklarının belirtildiğini ancak ilgili metinlerin Türkçe tercümelerinin bulunmadığını bu sebeple kullanıcılara içeriğin kolay anlaşılır bir biçimde sunulmamış olduğunu;
• Uygulamada hesap oluştururken veya uygulamayı kullanırken gerekmesine rağmen açık rıza alınmadığının; TikTok’un Gizlilik Politikasının, esasen aydınlatma yükümlülüğünü yerine getirmek için hazırlanmış bir metin olduğunu fakat bu belgenin açık rıza metni yerine de kullanıldığını; açık rızanın aydınlatma yükümlülüğünden ayrı olarak yerine getirilmesi şartının sağlanmadığını;
• Çerez verilerinin işlenmesi faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığını; bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığını;

tespit etmiştir.

Kurul, aydınlatma/açık rıza yükümlülükleri ile gerekli her türlü teknik ve idari tedbirlerin alınması yükümlülüklerini yerine getirmediğini tespit ettiği veri sorumlusu TikTok hakkında 1.750.000,00 TL idari para cezası uygulanmasına karar vermiştir.

Kurul ayrıca TikTok’a, Hizmet Koşullarının bir ay içerisinde Türkçe’ye çevrilmesi; söz konusu Gizlilik Politikası metinlerinin üç ay içerisinde KVKK’ya uygun hale getirilmesi; aydınlatma metinlerinin KVKK md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun hale getirilmesi hususlarında talimatlarda bulunmuştur.

Sonuç

Kurul’un vermiş olduğu karar, küçüklerin verilerinin korunmasında ebeveyn izni, içerik denetimi ve gizlilik bakımından veri sorumlularının alması gereken aksiyonlara ilişkin ilk somut yönlendirme olarak değerlendirilebilir. Kararda aynı zamanda aydınlatma yükümlülüğü yerine getirilirken ilgili kişilere yalnızca bir aydınlatma metni sunmanın yeterli olmayacağına ve metnin ilgili kişilerce anlaşılmasına dikkat edilmesi gerektiğine değinmiştir.

Bu kararla birlikte veri sorumlularının, küçüklerin verilerin işlenmesinde daha özenli davranması ve aydınlatma yükümlülüğünü yerine getirirken mevzuata uygun hareket etmesi gerektiği ortaya konmuştur.

Kararın tam metnine bu link üzerinden ulaşabilirsiniz.