Whatsapp’a, Hizmet Koşulları ve Gizlilik İlkesi’nde yapmak istediği değişiklikler ile ilgili olarak 1.950.000 Türk lirası idari para cezası uygulanmıştır. Whatsapp’a KVKK tarafından verilen cezanın detayları aşağıdadır.
Aralık 2020 sonu ve Ocak 2021 başında WhatsApp Inc. tarafından WhatsApp uygulamasını kullanmak isteyen kullanıcıların kişisel verilerinin işlenmesine ve yurtdışında bulunan tedarikçi, iş ortakları, hizmet sağlayıcıları ve diğer üçüncü taraflara aktarılmasına rıza verilmesini içerecek şekilde kullanım şartlarının güncellendiği, bu kapsamda rıza vermeyen kullanıcıların bu uygulamayı kullanamayacağı ve hesaplarının silineceğine dair yapılan haberler üzerine Kişisel Verileri Koruma Kurulu (“KVKK”) 12 Ocak 2021 tarihli toplantısı ile konunun kişisel verilerin korunması mevzuatı genel hükümleri ile kanunun açık rıza, veri işleme şartları, yurtdışına veri aktarımı ve temel ilkeler yönünden değerlendirileceği ve, gelişmeler hususunda kamuoyunun ayrıca bilgilendirileceği bildirilmiştir.
Yine aynı gün, WhatsApp uygulaması hakkında duyuru yayınlayarak, kişisel verilerin işlenme şartları, açık rızanın alınmasının istisnai halleri belirtilerek açık rızanın “Belirli bir konuya ilişkin olması”, “Rızanın bilgilendirmeye dayanması”, “Özgür iradeyle açıklanması” zorunlu unsurları barındırması gerektiği belirtilmiş ve ilgili kişilerden alınan açık rızanın veri sorumluları tarafından bir hizmetin ifası için ön şart olarak ileri sürülemeyeceği ifade edilmiştir.
Duyuruda yine hangi kişisel verilerin işleneceği veya hangi amaçlarla kimlere aktarılacağı hususlarında gerekli bilgilendirmenin yapılmış olması ve her bir işleme/aktarma faaliyetine yönelik seçenek sunulmak suretiyle ayrı ayrı açık rıza alınması gerektiği ifade edilmiştir. Kişisel verilerin, kanunun 4. maddesinde belirtilen ilkeler dahilinde işlenebileceği ve kişisel verisi işlenen ilgili kişilerin verilerinin yurtdışına nasıl aktarılabileceğine dair açıklama yapılmış ve WhatsApp tarafından duyurulan ve gizlilik ilkelerinde kullanıcılar aleyhine yapılan güncellemenin;
Kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına yönelik rıza alınması işleminin ayrıştırılmadığı ancak kullanıcıların kişisel verilerinin işlenmesine rıza verirken yurtdışında başka bir veri sorumlusuna aktarılmasına rıza vermeyebileceği dikkate alındığında söz konusu uygulamanın kullanım yaygınlığı da göz önünde bulundurularak bu durumun kanunda belirlenen açık rızanın unsurlarından “özgür iradeyle açıklanması” açısından bir ihlal oluşturup oluşturmadığı,
yurt dışında bulunan başka bir şirkete aktarım yapılmak şartıyla uygulamanın kullanılmasına izin verilmesinin kanunun 4’üncü maddesinde sayılan ilkelerden “hukuka ve dürüstlük kurallarına uygun olma”, “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkeleri açısından bir ihlale sebebiyet verip vermediği,
Sunulan hizmetin açık rıza şartına bağlanmış olmasının verilen açık rızayı sakatlayabileceği bu durumun da kişisel verilerin hukuka aykırı işlenmesi sonucunu doğurabileceği dikkate alındığında WhatsApp Inc. tarafından yapılan güncelleme ile hizmetin rıza şartına bağlanması durumunun ortaya çıkıp çıkmadığı,
WhatsApp Inc. tarafından yurtdışında yerleşik veri sorumlularına yapılacak aktarım hususunda kanunun 9’uncu maddesi hükümlerine aykırılık olup olmadığı
konularında resen incelemeye alınacağı duyurulmuştur.
Resen yapılan inceleme sonucunda verilen 03.09.2021 tarih ve 2021/891 sayılı kararı ile;
Açık rıza alınırken aranan “özgür iradeyle açıklanması” zorunlu unsurunun ihlal edildiği çünkü; “hizmet sözleşmesine onay verilmesi suretiyle ilgili kişilerin açık rızasının alınması yoluna gidildiği, bu çerçevede kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına seçimlik hak sunulmaksızın tek bir açık rıza alındığı, sözleşmeye aktarıma ilişkin hüküm koymak suretiyle işleme ve aktarım faaliyetlerinin, tek metinde birbirinden ayrılmaz bir biçimde ilgili kişiye sunulduğu” ifade edilmiştir.
İlkeler yönünden “Hukuka ve dürüstlük kurallarına uygun olma”, “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine uyulmadığı çünkü WhatsApp tarafından aktarıma ilişkin kullanılan ifadelerin müzakereye kapalı nitelikte sunulduğu ve ilgili kişilerin sözleşmeye bir bütün olarak onay vermeye zorlandığı, bu suretle açık rızanın saf dışı bırakılmaya çalışıldığı, uygulamanın kullanılmasının aktarım şartına bağlandığı, bu kapsamda ilgili kişilerin çıkarları ve makul beklentileri göz önüne alınmadığı ve “İşlenen tüm kişisel verilerin aktarımına ilişkin açık rıza istenildiği, ancak bu verilerin işlendikleri amaçla orantılı ve sınırlı bilgiler olmadığı gibi hangi verinin hangi amaçla aktarılacağının da bahse konu metinlerde net olarak ortaya konulmadığı” ifade edilmiştir
Yurt dışına aktarım yönünden, WhatsApp tarafından “aktarım faaliyetleri için hiçbir şekilde açık rızaya başvurulmadığı ve kurul’a bir taahhütname başvurusunda da bulunulmadığı” belirtilerek kanunun 9’uncu maddesine uygun hareket edilmediği ifade edilmiştir.
Veri sorumlusu tarafından, profilleme amacıyla çerezler aracılığıyla yapılacak kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı ifade edilmiştir.
Kararda netice olarak kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri 1.950.000 TL idari para cezası uygulanmasına,
Ayrıca, WhatsApp Hizmet Koşulları ve Gizlilik İlkesi metinlerinin, üç ay içerisinde Kanuna uygun hale getirilmesi, aydınlatmanın unsurlarını taşımayan gizlilik ilkesinin düzeltilmesi ve yönetmeliğe uygun bir aydınlatma beyanın hazırlanması ve Kurul’a bilgi verilmesi konusunda talimatlandırılmasına karar verildiği belirtilmiştir.
