Kişisel Verileri Koruma Kurulunun WhatsApp hakkında inceleme kararının gerekçesi açıklandı

Kurul incelemesinde, WhatsApp tarafından yurt dışında yerleşik veri sorumlularına yapılacak aktarım konusunda mevzuat hükümlerine aykırılık olup olmadığı, bir ihlale sebebiyet verilip verilmediği mercek altına alınacak.

Kişisel Verileri Koruma Kurulu (KVKK), WhatsApp uygulaması hakkındaki incelemesinde, yurt dışında yerleşik veri sorumlularına yapılacak aktarım konusunda mevzuat hükümlerine aykırılık olup olmadığını, "hukuka ve dürüstlük kurallarına uygun olma", "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkeleri açısından bir ihlale sebebiyet verip vermediğini mercek altına alacak.

Kişisel Verileri Koruma Kurulunca, WhatsApp uygulaması hakkında, veri işleme şartları, yurt dışına veri aktarımı ve temel ilkeler yönünden resen inceleme başlatılması kararının gerekçesine ilişkin açıklama yapıldı.

Kişisel verilerin işlenebilmesi için 7 Nisan 2016'da Resmi Gazete'de yayınlarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanununda belirtilen şartlardan birinin mevcut olması gerektiği anlatılan açıklamada, bu şartların bulunmadığı durumlarda kişisel verilerin ancak ilgili kişinin açık rızası alınmak suretiyle işlenebileceği aktarıldı.

Kanunda yer alan "açık rıza"nın kişinin sahip olduğu verinin işlenmesine kendi isteğiyle hukuka uygun şekilde onay vermesi anlamını taşıdığı belirtilen açıklamada, verilen açık rızanın geri alınabileceği ifade edildi. Açıklamada, geri alma beyanının veri sorumlusuna ulaştığı andan itibaren hüküm doğurduğu belirtildi.

Ayrı ayrı açık rıza alınması gerekiyor

Bu konularla ilgili Kurulun daha önce verdiği kararların hatırlatıldığı açıklamada, şu ifadelere yer verildi:

"Söz konusu Kurul kararında da belirtildiği üzere, öncelikle kişisel verilerin işlenmesi sırasında ilgili kişilerden alınan açık rıza, veri sorumluları tarafından bir hizmetin ifası için ön şart olarak ileri sürülemeyecektir. Kanunun 4'üncü maddesi uyarınca kişisel verilerin, hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla ve işlenme amacıyla bağlı, sınırlı ve ölçülü olma ilkelerine uygun olarak işlenmesi, hangi kişisel verilerin işleneceği veya hangi amaçlarla kimlere aktarılacağı hususlarında gerekli bilgilendirmenin yapılmış olması ve her bir işleme/aktarma faaliyetine yönelik seçenek sunulmak suretiyle ayrı ayrı açık rıza alınması gerekmektedir.

Diğer taraftan, Kanunun 'kişisel verilerin yurt dışına aktarılması' başlıklı 9'uncu maddesinde, kişisel verilerin, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı, ancak anılan hükmün ikinci fıkrası uyarınca Kanunun 5'inci maddesinin ikinci fıkrası ile özel nitelikli kişisel veriler bakımından 6'ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul izninin bulunması kaydıyla kişisel verilerin ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceği düzenlenmiştir."

WhatsApp kullanıcılarından ne talep ediyor?

KVKK'nın açıklamasında, WhatsApp Inc tarafından, WhatsApp uygulamasını kullanmak isteyen kullanıcıların kişisel verilerinin işlenmesine ve yurt dışında bulunan üçüncü taraflara aktarılmasına rıza verilmesini içerecek şekilde kullanım şartlarının güncellendiği, bu kapsamda "rıza vermeyen kullanıcıların uygulamayı kullanamayacağına ve hesaplarının silineceğine" dair kullanıcılara bilgilendirme yapıldığının tespit edildiği belirtildi.

Bilgilendirme metninde yönlendirme yapılan Gizlilik Politikası'nda ise hangi verilerin hangi amaçlarla işleneceğinin ifade edildiği aktarılan açıklamada, işlenen kişisel verilerin WhatsApp Inc tarafından hizmet aldığı ve hizmet verdiği şirketler ile diğer üçüncü taraf veri sorumluları gibi net olarak belirli olmayan taraflara teknik destek, teslimat ve diğer hizmetleri sağlamak, araştırma yapmak, pazarlama ve anket gibi yine belirli olmayan amaçlarla aktarılacağının belirtildiği kaydedildi.

İncelemede nelere bakılacak?

Açıklamada, incelemede kişisel verilerin WhatsApp Inc tarafından işlenmesine ve yurt dışında yerleşik başka veri sorumlularına aktarılmasına ilişkin açık rıza alınması konusunda ön değerlendirme yapıldığı belirtildi.

Uygulamanın kullanım yaygınlığı da göz önünde bulundurularak bu durumun bir ihlal oluşturup oluşturmadığı, hukuka ve dürüstlük kurallarına uygunluğu, yapılan güncelleme ile hizmetin rıza şartına bağlanması durumunun ortaya çıkıp çıkmadığı ve WhatsApp Inc tarafından yurt dışında yerleşik veri sorumlularına yapılacak aktarım konusunda ilgili Kanuna aykırılık olup olmadığı yönlerinden inceleme yapıldığı kaydedildi.