Türkiye'den WhatsApp'a büyük bir ceza geldi. Şahsî Dataları Müdafaa Kurumu, ferdî dataların kanuna ters olarak işlenmesini önlemek için gerekli önlemleri almadığı gerekçesiyle, WhatsApp'a 1 milyon 950 bin Türk Lirası idari para cezası kesildiğini duyurdu.
Şahsî Dataları Müdafaa Kurumu (KVKK), web sitesinden yaptığı açıklamada şu tabirlere yer verdi:
"WhatsApp LLC (WhatsApp/veri sorumlusu) tarafından, WhatsApp uygulamasını kullanmak isteyen kullanıcıların şahsî datalarının işlenmesine ve yurtdışında bulunan üçüncü taraflara aktarılmasına açık istek verilmesini içerecek formda Hizmet Şartlarının ve Saklılık Prensibinin güncellendiği, bu kapsamda açık istek vermeyen kullanıcıların uygulamayı kullanamayacağına ve hesaplarının silineceğine dair bilgilendirme iletildiği tespit edilmiştir.
Şahsî Bilgileri Müdafaa Şurasının 12.01.2021 tarihli ve 2021/28 sayılı Kararı ile 09.02.2021 tarihli ve 2021/120 sayılı Kararı çerçevesinde, yurtdışına data transferi, hizmetin açık istek kuralına bağlanması ve genel prensiplere uygunluk konuları başta olmak üzere WhatsApp hakkında 6698 sayılı Şahsî Dataların Korunması Kanunu'nun (Kanun) 15'inci unsurunun (1) numaralı fıkrası kapsamında resen inceleme başlatılmasına karar verilmiş ve mevzuya ait WhatsApp'tan alınan savunma yazıları ve bununla irtibatlı olarak WhatsApp Hizmet Şartlarının ve Zımnilik Unsuru metinlerinin incelenmesi sonucunda; temel olarak data sorumlusu tarafından kullanıcılara sunulan Hizmet Şartlarının kullanıcı ile yapılan bir kontrat olarak tanımlandığı, Saklılık Unsurunun ise şeffaflığı sağlamaya yönelik bir metin olarak, hangi bilgilerin hangi emellerle işleneceğini göstermekle birlikte esasen Hizmet Şartlarının bir kesimi olarak tabir edildiği ayrıyeten Hizmet Şartlarına onay verilmeden kontratın yürürlüğe giremeyeceğinin belirtildiği görülmüştür.
Bu kapsamda; Şahsî Bilgileri Müdafaa Şurası'nın 03.09.2021 tarih ve 2021/891 sayılı Kararı ile;
Data sorumlusu tarafından kelam konusu uygulama kapsamında çeşitli ferdî data sürece faaliyetleri bakımından farklı data sürece koşullarına dayanıldığı ve ferdî data işlemeye yönelik açık istek kaidesinin ise istisna olarak başvurulan bir kural olduğu belirtilse de Hizmet Şartlarının kullanıcı ile yapılan bir mukavele olarak tanımlaması nedeniyle kontrata onay verilmesi suretiyle ilgili bireylerin açık isteğinin alınması yoluna gidildiği, bu çerçevede kullanıcılardan şahsî bilgilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına seçimlik hak sunulmaksızın tek bir açık istek alındığı, kontrata transfere ait karar koymak suretiyle sürece ve transfer faaliyetlerinin, tek metinde birbirinden ayrılmaz bir biçimde ilgili bireye sunulduğu dikkate alındığında, açık isteğin "özgür iradeyle açıklanması" ögesinin zedelendiği,
Bilgi sorumlusu tarafından Hizmet Şartları ve Zımnilik Unsurunda yer alan "aktarım"a ait sözlerin müzakereye kapalı nitelikte sunularak ilgili şahısların kontrata bir bütün olarak onay vermeye zorlandığı, bu suretle açık isteğin saf dışı bırakılmaya çalışıldığı, uygulamanın kullanılmasının transfer kaidesine bağlandığı, bu kapsamda ilgili bireylerin çıkarları ve makul beklentileri göz önüne alınmaksızın hareket edildiği dikkate alınarak bilgi sorumlusunun bu uygulamasının Kanunun 4'üncü hususunda yer alan "Hukuka ve dürüstlük kurallarına uygun olma" unsuruna karşıtlık teşkil ettiği,
İşlenen tüm şahsî bilgilerin transferine ait açık istek istenildiği, lakin bu dataların işlendikleri gayeyle orantılı ve hudutlu bilgiler olmadığı üzere hangi datanın hangi maksatla aktarılacağının da bahse husus metinlerde net olarak ortaya konulmadığı, bu konuda bilgi sorumlusunca Kanunun 4'üncü hususunda yer alan "belirli, açık ve legal hedefler için işlenme" ve "işlendikleri hedefle irtibatlı, hudutlu ve ölçülü olma" unsurlarına ters hareket edildiği,
WhatsApp tarafından şahsî bilgilerin işlenmesinin kontratın bir modülü haline getirilmek suretiyle ilgili şahıslardan kontrata onay vermelerinin istenildiği ve sonrasında "Bir mukavelenin kurulması yahut ifasıyla direkt doğruya ilgili olması kaydıyla, mukavelenin taraflarına ilişkin şahsî bilgilerin işlenmesinin gerekli olması" koşulu başta olmak üzere başka ferdî data sürece koşullarına dayanılarak ferdî datalarının işlendiğinin beyan edildiği fakat görünen süreç mukaveleye onay verme olsa da asıl yapılan sürecin şahsî bilgilerin işlenmesine açık istek alınması niteliğinde olduğu, bu bakımdan kontratın içerisine derç edilerek hizmetin bir şartı olarak dayatılması suretiyle alınan açık isteğin, "özgür iradeyle açıklanması" ögesinin zedelendiği,
Data sorumlusunun Türkiye'de bulunan ilgili bireylerden elde ettiği ferdî datalar üzerinde, bu bilgileri elde ettikten sonra yapmış olduğu kaydetme, depolama, değiştirme, aktarma üzere her türlü sürece faaliyetinin, sunucuları Türkiye'de bulunmadığı sürece şahsî dataların yurt dışına transferi manasına geldiği, hasebiyle kelam konusu transferin, Kanunun "Kişisel bilgilerin yurt dışına aktarılması" başlıklı 9 uncu unsuruna uygun olarak yapılmasının mecburilik arz ettiği fakat data sorumlusu tarafından transfer faaliyetleri için hiçbir halde açık isteğe başvurulmadığının beyan edildiği, bununla birlikte bilgi sorumlusunca Heyetimize bir taahhütname müracaatında da bulunulmadığı dikkate alındığında, data sorumlusu tarafından Kanunun 9 uncu hususuna uygun hareket edilmediği,
Bilgi sorumlusu tarafından, profilleme gayesiyle çerezler aracılığıyla yapılacak şahsî bilgi sürece faaliyetine ait olarak ilgili bireylerden açık istek alınmadığı, bu kapsamda yürütülen ferdî data sürece faaliyetinin de hukuka uygun olmadığı
anlaşıldığından Kanunun 12 nci hususunun (1) numaralı fıkrasında yer alan ferdî dataların hukuka ters olarak işlenmesini önlemek hedefiyle uygun güvenlik seviyesini temin etmeye yönelik gerekli her türlü teknik ve idari önlemleri almadığı tespit edilen bilgi sorumlusu hakkında Kanunun 18 inci hususunun (1) numaralı fıkrasının (b) bendi uyarınca 1.950.000 TL idari para cezası uygulanmasına,
Ayrıyeten data sorumlusunun;
Uygulamaya konulmadığı belirtilen 04.01.2021 tarihli Hizmet Şartları ve Zımnilik Prensibi metinlerinin, halihazırda kullanıcılara geçerli sürüm olarak sunulduğu anlaşıldığından, ilgili şahısların hakikat bilgilendirilmesi için kelam konusu metinlerin üç ay içerisinde Kanuna uygun hale getirilmesi,
Kapalılık Prensibinin, aydınlatma metni yerine kullanıldığı ve geçerli bir aydınlatmanın ögelerini taşımadığı anlaşıldığından, Kanunun 10'uncu unsuru ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Yol ve Temeller Hakkında Bildirim kararlarına uygun bir aydınlatma yapılması ve kelam konusu süreçlerin sonucundan Heyete bilgi verilmesi konusunda talimatlandırılmasına karar verilmiştir.
Kamuoyuna hürmetle duyurulur."
- WhatsApp Masaüstü Nedir; Nasıl Kullanılır?
- WhatsApp Web Nedir; Nasıl Kullanılır?
- Signal Nedir; WhatsApp'tan Ne Farkı Var?