Kişisel Verileri Koruma Kurumu’nun internet sayfasında 07.05.2020 tarihinde Kişisel Verileri Koruma Kurulunun (“Kurul”) yeni bir karar özeti yayımlanmıştır. Özete buradan ulaşabilirsiniz.
İlgili karar özetinin incelenmesi sonucunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) uygulanmasına ilişkin olarak, Kurulun aşağıdaki ilkeleri benimsediği anlaşılmaktadır.
27.02.2020 tarihli ve 2020/173 sayılı kararı / Amazon Türkiye’nin açık rıza almaksızın veri işlemesi, kişisel verileri yurtdışına aktarması ve aydınlatma yükümlülüğünü usulüne uygun yerine getirmemesi hakkında:
Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’te ticari elektronik iletinin nasıl gönderileceğine ilişkin kurallar düzenlenmektedir. Ancak bu amaçla kullanılan iletişim kanalları aynı zamanda kişisel veri niteliğinde sayıldığı için, bu kapsamda yürütülen faaliyetlerin aynı zamanda KVKK’ya da uygun olması gerekmektedir.
Açık rıza gerektiren bir durum (örneğin, iletişim bilgisinin pazarlama amaçlı iletiler gönderilmesi amacıyla işlenmesi) olması halinde, açık rızanın söz konusu kişisel veri işlenmeden önce alınması ve bunun, opt-in yani bireyin bilinçli eylemi ile kişisel verilerinin işlenmesine onay vereceği bir sistemin kullanılması yolu ile yapılması gerekmektedir. Sonradan çıkabilme, yani opt-out imkanının sağlanması açık rıza beyanın hukuka uygun olarak alındığı anlamına gelmeyecektir.
Veri işleme süreçleri ile alakalı genel bir aydınlatmanın yapılması (örneğin, “Gizlilik Bildirimi” ibareli bir metnin sunulması), açık rıza gerektiren işlemler için açık rızanın alındığı anlamına gelmeyecektir.
Veri sorumlusunun vermiş olduğu hizmeti, kişisel verilerin işlenmesi şartına bağlaması, KVKK madde 4’te sayılan kişisel verilerin işlenmesinde “hukuka ve dürüstlük kurallarına uygun olma” ve “işlenme amacı ile bağlı, sınırlı ve ölçülü olma” ilkelerine aykırılık teşkil etmektedir.
Açık rızanın en geç kişisel veri aktarma faaliyeti gerçekleştiği sırada alınması gerekmektedir. Yalnızca, veri aktarımından sonra rızanın geri alınabileceğinin söylenmesi, KVKK’ya uygun bir açık rıza yerine geçmemektedir.
Veri sorumlusu, Kurulun izni bulunması halinde KVKK madde 9 uyarınca ilgili kişinin açık rızası aranmaksızın yurt dışına veri aktarabilecektir. Ancak Kuruldan izin alınmaması halinde, kişisel verilerin yurtdışına aktarılması için tek yöntem ilgili kişinin açık rızasının alınması olacaktır.
Zımni irade beyanı ile açık rıza alınması, KVKK’ya uygun görülmemektedir. Açık rıza belirli bir konu ile sınırlandırılmadan diğer aydınlatma bilgileriyle birlikte, genel nitelikte bir metin vasıtasıyla alınırsa bu durumda “battaniye rıza” olarak kabul edilecek olup hukuken bu rızalar geçersiz sayılacaktır. Yine, veri işleme kapsamına giren bütün fiiller (çerezlerle izleme, aktarma, paylaşma, depolama vb.) için tek bir rıza beyanı alınması KVKK’ya uygun görülmemektedir.
Eğer, veri işleme faaliyeti, web sayfasına ziyaret anında başlıyorsa, aydınlatmanın ve gerekmesi halinde açık rıza alınmasının, web sayfasının girişinde yapılması gerekmektedir (Kararda pop-up mesaj olasılığından da bahsedilmiş, ama bunun hukuka uyguluğu açık şekilde beyan edilmiş değildir). Aksi durum aydınlatma yükümlülüğü ve açık rıza şartlarına aykırılık oluşturacaktır.
Çerezler ile kişisel veri işleniyorsa, bu durumun, aydınlatma metnine dahil edilmesi ve aydınlatma metninin (en geç) veri işlemenin başladığı aşamada incelemeye sunulması gerekmektedir.
Kararda, Kurul tarafından, KVKK madde 12 (veri güvenliğine ilişkin yükümlülükler) fıkra 1’e (kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak) aykırılık sebebiyle 1.100.000 TL ve KVKK madde 10’a (veri sorumlusunun aydınlatma yükümlülüğü) aykırılık sebebiyle 100.000 TL idari para cezası uygulanmasına karar verilmiştir.