Kişisel Verileri Koruma Kurumunun internet sayfasında 02.04.2020 tarihinde Kişisel Verileri Korumu Kurulunun (“Kurul”) bazı kararlarının özetleri yayımlanmıştır. Özetlere buradan ulaşabilirsiniz.
İlgili karar özetlerinin incelenmesi sonucunda, Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) uygulanmasına ilişkin olarak, Kurulun aşağıdaki ilkeleri benimsediği anlaşılmaktadır.
16.05.2019 tarihli ve 2019/138 sayılı karar / Bir şirket sahibinin, çalışanının Whatsapp yazışmalarını hukuka aykırı olarak elde etmesi hakkında:
Bir şikâyet dilekçesi, belli bir konuyu ihtiva etmemesi, yargı mercilerinin görevine giren konularla ilgili olması veya dilekçede ad, soyadı, imza ile iş veya ikametgâh adreslerinden herhangi birinin eksik olması durumunda, Kurul tarafından incelemeye alınmayacaktır.
Şikâyet dilekçesinde tarif edilen hususun, Türk Ceza Kanunu anlamında suç teşkil eden hususlardan olması durumunda savcılığa suç duyurusunda bulunulacaktır.
08.07.2019 tarihli ve 2019/206 sayılı karar / Veri sorumlusunun, web sitesinde kişisel verilerin işlenmesini hizmet şartı olarak talep ettiği ve aydınlatma yükümlülüğün usulüne uygun yerine getirmediği iddiaları hakkında:
Bir ürün veya hizmetten yararlandırılması için açık rıza verilmesi şart koşuluyorsa, bu durum açık rızanın özgür irade ile açıklanmış olması kuralına aykırıdır. Ancak, ilgili ürün ve hizmetlerin satın alınması ihtimali ortadan kaldırılmıyorsa, üyelere indirimli fiyat ve avantajların sunulması bu kapsamda değerlendirilmeyecektir.
KVKK madde 10’da sayılan tüm bilgileri içermedikçe ve “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ” madde 5’te sayılan açıklık, sadelik gibi ilkelere uygun olmadıkça, “GİZLİLİK ve KVK Politikamız” başlıklı bir metinin sunulması ile aydınlatma yükümlülüğü yerine getirilmiş olunmayacaktır.
Aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekecektir.
18.09.2019 tarihli ve 2019/273 sayılı karar / Ölü kişilerin verilerine yakınlarının erişim talebi hakkında:
Türk Medeni Kanunu’na göre kişilik ölümle sona erdiğinden ve KVKK madde 11’de ilgili kişinin kendisi hakkında veriler hakkında bilgi talep edilebileceği belirtildiğinden, ölmüş bir kişiye ait talepler KVKK kapsamında değerlendirilemeyecektir.
01.10.2019 tarihli ve 2019/297 sayılı karar / Veri sorumlusu tarafından ilgili kişiye gönderilen reklam amaçlı SMS’ler hakkında:
KVKK geçici 1. madde uyarınca, KVKK’nın “yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.” hükmüne yer verilmesi sebebiyle, ilgili kişi, KVKK’nın yayımı tarihinden önce bile olsa, veri sorumlusuna, kendisi ile e-posta, SMS ve telefon ile iletişime geçilmesine izin verdiyse, bugün ilgili kişiye gönderilen reklam amaçlı SMS’ler KVKK’ya aykırılık teşkil etmeyecektir.
07.11.2019 tarihli ve 2019/333 sayılı karar / Telekomünikasyon sektöründe faaliyet gösteren veri sorumlusu tarafından şikayetçiye, ad ve soyadı benzerliği olan başka bir abonesinin fatura bilgilerinin e-posta yoluyla iletilmesi hakkında:
Veri sorumlusunun sistemindeki verilerin doğru ve güncel olmaması sebebiyle müşterilerin verileri başka müşteriler ile paylaşılmışsa, kişisel verilerin güvenliğinin sağlanamadığı ve KVKK madde 12’ye aykırı hareket edilmiş olduğu anlaşılacaktır.
İlgili kişinin veri sorumlusuna başvurusuna karşılık, veri sorumlusunun, e-posta adreslerindeki karışıklık sebebiyle ilgili kişinin kimlik teyidi yapılamadığı ve başvurunun “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ”e uygun olmadığı gerekçesi ile, ilgili kişiye cevap vermemesi halinde, bu durum yeterli bir savunma sayılmayacak ve dürüstlük kuralı ile bağdaşmayacaktır.
16.01.2020 tarihli ve 2020/34 sayılı karar / İlgili kişinin dergi aboneliği işlemleri ile ilgili bir çağrı merkezine vermiş olduğu telefon numarasının anılan çağrı merkezi tarafından bir gıda şirketinin reklamının yapılması amacıyla aranması hakkında:
İlgili kişi tarafından paylaşılan verinin, veri sorumlusu tarafından ilk işleme amacından farklı bir amaçla kullanılması halinde, bu durum kişisel verinin işlenme amaçları ile bağlantılı ve sınırlı olma ilkesine aykırılık oluşturacaktır.
Kişisel verilerin işlenmesi amaçları ortadan kalkmışsa, bu amaçlar doğrultusunda önceden işlenen verilerin silinmesi gerekecektir.
Veri sorumlusu, önceden işlediği kişisel verileri bu kez farklı amaçlarla işlenmeyi sürdürmek istiyorsa, ilgili kişilerden yeni işlenme amaçlarına ilişkin olarak açık rıza almak zorunda olacaktır.
16.01.2020 tarihli ve 2020/41 sayılı karar / İlgili kişinin kişisel verilerinin hukuka aykırı işlendiği iddiası kapsamında veri sorumlusu bankadan talep ettiği tazminat talebinin karşılanmaması hakkında:
Kişisel verilerin ilgili kişinin izni olmaksızın üçüncü kişiler ile paylaşılması durumunda, ilgili kişinin veri sorumlusundan tazminat talep etmek hakkı, KVKK madde 11’de sayılan ilgili kişinin hakları arasında sayılan hususlardan değildir. Yine de ilgili kişi KVKK madde 14’te de belirtildiği üzere, böyle bir durumda, genel hükümler uyarınca, genel mahkemeler önünde kişilik haklarının ihlal edildiği gerekçesiyle veri sorumlusundan tazminat talep edebilecektir.
16.01.2020 tarihli ve 2020/43 sayılı karar / İlgili kişiye ait verilerin bir banka tarafından rızası olmaksızın babası ile paylaşılması karşısında bankadan tazminat talep etmesi hakkında:
Kişisel veriler, aynı evde ikamet eden birinci derecede akrabalar ile dahil, üçüncü kişiler ile paylaşılırsa ve veri sorumlusu tarafından paylaşma sebebi olarak başka bir kanundaki özel hükümler gösterilse dahi, bu durum, KVKK madde 12’de belirtilen veri güvenliğine ilişkin yükümlülüklere uyulmadığını göstermektedir.
Manevi tazminat talebi, KVKK madde 14’te belirtildiği üzere, genel hükümlere göre, genel mahkemeler önünde talep edilebilecektir.
Veri sorumlusu banka tarafından müşteri bilgilerinin, üçüncü kişiler ile paylaşılması Bankacılık Kanunu ve Türk Ceza Kanunu kapsamında cezai sorumluluk gerektirebileceğinden, bu durumun değerlendirilmesi için, konu Bankacılık Düzenleme ve Denetleme Kurumuna intikal ettirilecektir.
27.01.2020 tarihli ve 2020/58 sayılı karar / Bir Sigorta Acentesinin müşterilerine ait kişisel verileri herkese açık sosyal medya platformlarında müşterilerinden habersiz olarak ve reklam amacıyla paylaşması hakkında:
Veri sorumlusu tarafından, açık rıza olmaksızın, müşterilere ait bazı kişisel verilerin, reklam amaçlı sosyal medyada paylaşılması KVKK madde 12’de belirtilen veri güvenliğine ilişkin yükümlülüklere uyulmadığını göstermektedir.
27.01.2020 tarihli ve 2020/65 sayılı karar / Ulaşım hizmeti sunan bir mobil uygulamada müşteri hakkında şoförler tarafından yapılan puanlama hakkında kuruma yapılan başvuru hakkında:
Bir kişisel verinin, KVKK madde 5 fıkra 2 (c) bendi kapsamına girdiği gerekçesiyle, açık rıza olmaksızın işlenebilmesi için, söz konusu kişisel verinin işlenmesi faaliyetinin, sözleşmenin ifasına ilişkin ana kurucu öğe olması veya sözleşmenin ifasıyla doğrudan doğruya bir ilişkisinin olması gerekir. Sözleşmenin kurulması veya ifası ile söz konusu kişisel verinin işlenmesi arasında bu ölçüde yakın bir ilişki yoksa, ancak buna rağmen ilgili kişiden açık rıza alınmadan söz konusu kişisel veri işlenmişse, bu durum KVKK madde 12’de belirtilen veri güvenliğine ilişkin yükümlülüklere uyulmadığını göstermektedir.
Veri sorumlusu tarafından müşteriler ile bir aydınlatma metni paylaşılıyor olmasına rağmen, aydınlatma metninde açıklanmayan bir kişisel verinin işlenmesi, KVKK madde 4’te sayılan kişisel verilerin “hukuka ve dürüstlük kurallarına uygun olarak” ve “belirli, açık ve meşru amaçlar için” işlenmesi ilkeleri ile KVKK madde 10’da belirtilen aydınlatma yükümlülüğüne aykırılık oluşturmaktadır.
27.01.2020 tarihli ve 2020/67 sayılı karar / İlgili kişiye rızası bulunmamasına rağmen bir gayrimenkul şirketi tarafından SMS aracılığıyla gönderilen reklam ve bildirimler hakkında:
Kişisel veri, örneğin bir cep telefonu numarası, bizzat ilgili kişi tarafından kamuya açık şekilde ilan edilmiş olsa dahi, ilgili kişinin bu kişisel veriyi alenileştirme amacı dışındaki bir sebeple, kişisel veri işlenmesi KVKK madde 5’e ve bu şekilde işlenen kişisel veri ile, ilgili kişiye reklam gönderilmesi KVKK madde 12’ye aykırılık oluşturacaktır.
Dogukan Berk Aksoy, LL.M.
Avukat
E: dogukan.aksoy@aksoylegal.com