Kişisel Verileri Koruma Kurul’ u tarafından başlıkta yer alan konu hakkında 19.01.2023 tarihinde 2023/78 sayılı kararı vermiş bulunmaktadır. Söz konusu kararda ilgilinin şikâyeti özetle; GSM operatörü olan veri sorumlusu arasında mobil internet hattı hakkında yapılan sözleşmenin ilgili kişi tarafından iptal edilmiş olmasına rağmen hakkında borç ödemesi çıkarıldığı, yine ilgili kişi hakkında çıkartılmış olan bu borcun tahsil edilmesi için GSM operatörünün bir avukatlık ortaklığına yetki verdiği, avukatlık ortaklığı tarafından da söz konusu borcu ödenmesi için ilgili kişinin ortağı olduğu şirkete ait bulunan 4 farklı cep telefonu numarasına ilgili kişinin soyadını maskelenmek suretiyle ancak adının açıkça görüneceği şekilde borçlu olduğu miktar konusunda icra takibi başlatılacağı bilgilerini içeren bir kısa mesaj gönderildiği, bahsi geçen mesajlardan kaynaklı, ilgili kişinin ortağı olduğu şirket hatlarını kullanımında bulunduran çalışanların konu ile ilgileri bulunmamasına rağmen ilgili kişinin borç bilgilerinden bu nedenle haberlerinin olduğu, ayrıca şirkette ilgili kişiyle aynı isimde başka kişinin bulunmamasından dolayı soyadı maskelenmiş bile olsa söz konusu kısa mesajda kimliğinin anlaşılabilir olduğu, konuyla ilgili olarak avukatlık ortaklığına ve GSM operatörüne başvuruda bulunduğu, verilen cevaplarda bilgi amaçlı gönderilen kısa mesajın maskelenmek suretiyle paylaşılmış olduğu belirtilmiş ise de ilgili kişiye ait kişisel verilerin, ilgili kişinin ortağı olduğu şirket hatlarına hangi amaçla iletildiğinin açıklanamadığı belirtilmiş ve bu nedenle de 6698 sayılı Kanun gereğince de gerekli işlemleri yapılmasının talep etmiştir.

İlgili kişinin ileri sürmüş olduğu iddialar neticesinde de inceleme başlatılmış olup konu hakkında öncelikle ilgili avukatlık ortaklığından savunma yapması istenilmiştir. Gelen cevap yazısı özetle; GSM operatörü tarafından kendilerinin abonelerin borçlarının tahsilat süreçlerinin yürütülmesi konusuyla sınırlı olarak hizmet sözleşmesi ve vekâlet ilişkisi kapsamında yetkilendirildiği, GSM operatörü tarafından yönetilmekte olan sisteme sınırlı erişim hakkına sahip oldukları, bu doğrultuda taraflarının söz konusu sistem üzerinden sınırlı şekilde görüntülenen/erişilen kişisel veriler ve bu veriler kullanılarak gerçekleştirilen kısa mesaj gönderme faaliyetlerine ilişkin olarak 6698 sayılı Kanun’un 3/1- (ğ) bendi uyarınca şikâyetinin usulden reddinin gerektiği, söz konusu şirket ile aralarında imzalanan sözleşmede de avukatlık ortaklığının veri işleyen sıfatı ile sorumlu olacağına ilişkin hükme yer verildiği, avukatlık ortaklığı olarak vekili oldukları şirket adına, müvekkillerinin haklarını ve menfaatlerini korumak amacıyla ve bu anlamda Avukatlık Kanunu'ndan doğan yükümlülüklerini ve yürütmekte olduğu icra işlemleri bakımından 2004 sayılı İcra ve İflas Kanunu ile diğer mevzuattan kaynaklanan hukuki yükümlülüklerini yerine getirmek amacıyla borçluya ait kişisel verileri 6698 sayılı Kanunu’nun 5/2 maddesinin hukuki sebepleri çerçevesinde işledikleri, belirtilen 4 farklı telefon numarasının ilgili kişinin iletişim numarası olarak avukatlık ortaklığına veri sorumlusu GSM operatörü tarafından iletildiği, ilgili kişinin iletişim numarası olarak bildirilen numaralara yalnızca bir kez kısa mesaj gönderimi yapıldığı, bu kısa mesajın içeriğinde ise ilgili kişiye ilişkin kişisel verilerin paylaşılmadığı ve ilgili kişinin isminin maskelenerek paylaşıldığını ifade etmiştir.

GSM operatöründen de savunma yapması istenilmiş olup gelen cevap yazısı özetle; veri sorumlusu olarak avukatlık ortaklığı ile hukuki ilişkileri kapsamında ve borcun tahsili amacıyla yalnızca ilgili kişi borçluya ilişkin kimlik, iletişim ve borç bilgilerini içeren verilerin paylaşıldığı, Şikâyete konu telefon numaralarının ilgili kişinin ortağı olduğu şirket adına kayıtlı kurumsal numaralar olduğu ifade edilmiştir.

Kişisel Verileri Koruma Kurulunun 19/01/2023 tarihli ve 2023/78 sayılı Kararı ile; 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3., 4., 5., 12. Ve 18. Maddeleri çerçevesinde hukuka aykırı veri işleme faaliyeti nedeniyle avukatlık ortaklığı tarafından ilgili kişiye ilişkin kişisel verileri içeren kısa mesajların şirkete ait iletişim numaralarına gönderilmesi neticesinde, borca konu işlemle ilgisi olmayan üçüncü kişi şirket çalışanları ile ilgili kişiye ilişkin kişisel veri olan borç bilgisinin herhangi bir işleme şartı bulunmaksızın paylaşıldığı gözetildiğinde; veri güvenliğine ilişkin yükümlülüklerini yerine getirmediği kanaatine varılan veri sorumlusu hakkında 85.000 TL idari para cezası uygulanmasına, Veri sorumlusu tarafından verilen talimat çerçevesinde borcun tahsili amacıyla ilgili kişiye ilişkin olduğu belirtilen telefon numaralarına bir adet kısa mesaj gönderen ve sınırlı yetkisi çerçevesinde söz konusu numaralara ilişkin doğrulama imkânı olmayan veri işleyen avukatlık ortaklığı hakkında Kanun kapsamında yapılacak bir işlem bulunmadığı yönünde karar vermiştir[1].

[1] https://www.kvkk.gov.tr/Icerik/7596/2023-78

İlgili Kişinin Borç Bilgisinin Ortağı Olduğu Şirketin Kurumsal Numaralarına Kısa Mesaj Olarak Gönderilmesine İlişkin Kurul Kararı

Kişisel Verileri Koruma Kurul’ u tarafından başlıkta yer alan konu hakkında 19.01.2023 tarihinde 2023/78 sayılı kararı vermiş bulunmaktadır. 

Kişisel Verileri Koruma Kurul’u tarafından başlıkta yer alan konu hakkında 05.01.2023 tarihinde 2023/4 sayılı kararı vermiş bulunmaktadır. Söz konusu kararda ilgilinin şikayeti özetle; bir e-ticaret firmasından satın almış olduğu ürünü tarafına teslim edecek kargo firmasının siparişi ilgili kişiye teslim etmesini müteakip ilgili kişi tarafından kargo paketinin üzerinde bir başkasına ait isim benzerliği bulunan başka bir kişiye (üçüncü kişi) ait adres ve iletişim bilgilerinin yer aldığını gördüğü, ayrıca üçüncü kişiye ait kişisel verilerin hangi hukuki gerekçeyle tarafına gönderildiği, yine benzer şekilde kendisine ait kişisel verilerin de üçüncü kişilere aktarılıp aktarılmadığı ve aktarıldıysa hangi hukuki gerekçelere dayanılarak aktarıldığı konusuna ilişkin bilgi talep ettiği, veri sorumlusu tarafından verilen cevap yazısında söz konusu durum barkodlama aşamasında gerçekleşen bir hata sonucunda olduğunu ve ilgili kişiye ait gönderinin üçüncü kişiden iade alınarak gönderici firmaya teslim edilmiş olduğunu belirtildiği, söz konusu ifadelerden hareketle veri sorumlusunun yapmış olduğu çapraz kargo gönderimi hatası sebebiyle ilgili kişiye teslimin yapılması gereken kargo paketinin üçüncü kişiye gönderilmiş olduğunu ve bu nedenle ilgili kişiye ait kişisel verilerin üçüncü kişi ile paylaşıldığının anlaşıldığı, bu nedenle veri sorumlusunun hem ilgili kişiye hem de üçüncü kişiye ait kişisel verileri Kanun’un 8’inci maddesine aykırı olarak aktardığı belirtilerek gereğinin yapılması yönünde talepte bulunmuştur.

Konu hakkında yapılan inceleme neticesinde veri sorumlusu tarafından savunma yapılması yönünde talepte bulunulmuş ve veri sorumlusu tarafından gelen cevap yazısında;

İlgili kişiye gönderilmek üzere faturalandırılan gönderinin acente personeli tarafından toplu şekilde barkodlama işlemi yapılırken isim benzerliği nedeniyle karıştırıldığı ve çapraz barkodlama hatası yapıldığının tespit edildiği, işlemin fark edilmesiyle birlikte şikâyetçi müşteriye ait gönderinin diğer müşterileri olan üçüncü kişiden alınarak gönderici firmaya iade edildiği, gerçekleştirilen bu eylemin sistematik bir hata olmadığı, sehven ortaya çıkan bir olay olduğu, veri sorumlusunun müşterilerine ait kişisel verileri yalnızca taşıma hizmetinin ifası için ilgili birimlerle, ifa yardımcılarıyla, Bilgi Teknolojileri ve İletişim Kurumu, talep halinde Ulaştırma Denizcilik ve Haberleşme Bakanlığı ve kanunen kişisel verileri talep etmeye yetkili kamu kurumları ile paylaştığı, ilgili kişinin istenmeden yaşanan münferit olay dışında üçüncü kişilerle paylaşılmadığı, idari ve teknik pek çok önlemin alındığı, söz konusu tedbirlerin günün gerekleri ve yürürlükteki mevzuat uyarınca geliştirildiği ve güncellendiği, veri sorumlusunun taşıma hizmeti kapsamında belli bilgileri kargo/gönderi üzerine yazmasının Karayolu Taşıma Kanunu’nun 43’üncü maddesi gereğince bir yükümlülük olduğu, dolayısıyla alıcıların isim ve adres bilgilerinin kargo üzerinde yazdığı, şikâyete konu işlemin bir acentenin istihdam ettiği personel tarafından yapıldığı, veri sorumlusunun hizmetlerin güvenliği konusunda hassas davrandığı, kasıtlı bir eyleminin bulunmadığı, veri sorumlusu tarafından kişisel verilerin korunmasına yönelik bilgilendirme ve aydınlatmaların yerine getirildiği, kişisel verilerin korunmasının ve ilgili yasal mevzuata uyumun öncelikli önem verdiği değer ve politikalar arasında olduğu, bu konunun en önemli bölümlerinden birini müşterilerinin kişisel verilerinin korunmasının oluşturduğu, tekrarlanmaması için gerekli hassasiyet ve özenin gösterileceği belirtilmiştir.

Kişisel Verileri Koruma Kurulunun 05/01/2023 tarihli ve 2023/4 sayılı Kararı ile; 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3 Md., 4 Md., 5 Md., ve 12. Maddeleri ile 4925 Sayılı Karayolu Taşıma Kanunun 43.maddeleri çerçevesinde değerlendirilmiş olup söz konusu yasalar çerçevesinde sonuç olarak İlgili kişinin kişisel verilerinin üçüncü kişi ile paylaşılmasının yeni bir veri işleme faaliyeti olduğu, söz konusu veri işlemenin Kanun’da yer alan herhangi bir işleme şartına dayanmadığı, veri sorumlusunun anılan fiilinin Kanun’un veri güvenliğine ilişkin yükümlülüklerin düzenlendiği ve ilgili yasa çerçevesinde aykırılık teşkil ettiği, öte yandan söz konusu durumun bir veri ihlali olmasına karşın veri sorumlusunun Kanun’un ilgili hükümleri çerçevesinde Kurula veri ihlal bildiriminde bulunmadığı da dikkate alındığında; yükümlülüklerini yerine getirmeyen veri sorumlusu hakkında 75.000 TL idari para cezası uygulanmasına karar verilmiştir[1].

[1] https://www.kvkk.gov.tr/Icerik/7598/2023-4

Bir Kargo Firmasının Çapraz Barkodlama Hatası Nedeniyle Kişisel Verilerin Hukuka Aykırı Olarak Paylaşımına Sebep Olmasına İlişkin Kurul Kararı

Kişisel Verileri Koruma Kurul’u tarafından başlıkta yer alan konu hakkında 05.01.2023 tarihinde 2023/4 sayılı kararı vermiş bulunmaktadır. 

Maddeler halinde belirteceğimiz kriterler Kişisel Verileri Koruma Kurulu tarafından konuya ilişkin olarak yapılan şikayetlerin değerlendirilmesi aşamasında öncelikli olarak dikkate alınacak kriterler olarak belirlenmiştir. Belirtilen bu hususlar, yapılacak olan şikayetler yönünden güncellenmeleri söz konusu olabilecek olup ayrıca veri sorumlularına yapılacak başvuruların değerlendirilmesinde de dikkate alınmasında yarar görülmektedir[1].

1. İlgili kişi kamusal yaşamda önemli bir rol oynuyor mu?

Kamusal yaşamda rolü olan vatandaşların, diğer vatandaşlara nazaran, bilgilerine erişimde daha fazla kamu yararı olduğu bir gerçektir. Bu yönden, ilgili kişi hakkında internette bulunan arşiv kayıtlarının arama motorlarından bağlantısının kaldırılmasına ilişkin bir değerlendirme yapılırken kişiye ait kamusal yaşamda ayırt edilebilir bir rolünün olup olmadığının değerlendirilmesi önem arz etmektedir.

Kamusal yaşamda rolü olan kişilerin ismi ile yapılacak aramalar aracılığıyla ulaşılan neticelere erişim sağlanması, söz konusu arama sonuçlarının bu kişilerin profesyonel hayatları açısından kamunun bilgisine sunulmasını gerektiren bazı bilgileri de içerebileceği ya da toplumu, bazı meslekleri icra eden profesyonellerin uygulamalarından koruyacağı düşünüldüğünden, kamusal hayatta önemli rolü olan bu ilgili kişilerin kapsam dahilinde yapacakları başvuruların kabul görme olasılığı daha düşüktür.

Ayrıca bu ilgili kişinin özel yaşamı ile ilgili bilgilere ilişkin başvuruların arama sonuçlarından kaldırılma olasılığı daha yüksektir. Bu nitelikteki veriler, kamusal hayatta rol alan kişiler hakkında da olsa arama sonuçlarından kaldırılabilir.

2. Arama sonuçlarının öznesi bir çocuk mu?

Kişi reşit değilse, söz konusu bilgiye yönelik yapılan arama sonuçlarına ilişkin bağlantının kaldırılması talebinin kabul edilme ihtimali yüksektir. Nitekim, reşit olmayanlara yönelik bu yöndeki taleplerin değerlendirilmesinde “çocuğun üstün yararı” ilkesi göz önünde bulundurulması gerekmektedir.

Şikayet sahibi ilgili kişi, kendisi hakkında yanlış bir bilgi olduğunu iddia ediyorsa, bu iddiasını ispat etmesi gerekmektedir.

Öte yandan, bilginin doğruluğu konusunda bir ihtilafın bulunması halinde, süreç sona erinceye kadar bu hususta herhangi bir eylemde bulunulmaması yoluna gidilmesi de mümkündür.

4. Bilgiler kişinin çalışma hayatı ile mi ilgili?

Arama sonuçlarından bağlantının kaldırılması hakkında yapılan taleplerin değerlendirilmesinde dikkate alınması gereken diğer bir husus ise bilginin ilgili kişinin iş yaşamı ile mi yoksa özel yaşamı ile mi ilgili olduğu yönündedir.

Kamusal alanda yer almayan bir kişinin özel hayatına dair bilgiler alakalı olmadığı yönünde kabul edilmelidir. Bu açıdan bakıldığında kamunun bu bilgilere erişmesinde herhangi bir fayda bulunmadığı dikkate alınarak bu bilgilerin arama sonuçlarında yer almasının gerekli olmadığı değerlendirilebilecektir.

5. Arama sonuçlarında yer alan bilgi ilgili kişi hakkında hakaret, onur kırıcı, iftira niteliği taşıyor mu?

Arama motorunda çıkan sonuçlarda suç niteliği taşıyan kişi hakkında, nefret söylemi, hakaret, onur kırıcı ya da aşağılayıcı ifadeler yer alan içeriklerin bağlantılarının kaldırılması konusunda veri sorumlusuna yapılacak başvuruların reddedilmesi durumunda Kişisel Verileri Koruma Kuruluna şikayet yoluna gidilmemesi ve bu yöndeki başvuruların mahkemeler vasıtasıyla çözüme kavuşturulması daha doğru bir yaklaşım olacaktır.

6. Arama sonuçlarında yer alan bilgi özel nitelikli kişisel veri niteliği taşıyor mu?

Kişilerin hassas (özel) bilgilerinin arama motorlarından bağlantılarının kaldırılmasına yönelik taleplerin kabul görme olasılığı özel nitelikli olmayan kişisel veriler yönünden yapılan taleplere göre daha yüksektir.

Ayrıca kamuya mal olmuş kişilerin özel nitelikli verileri söz konusu olduğunda ise toplumun bu bilgilere erişmedeki menfaatinin ilgili kişinin haklarına üstün gelip gelmediğinin değerlendirilmesinin yapılması gerekmektedir.

Yine kişiyi tanımlayıcı bilgileri, mali bilgileri gibi bireyin mahremiyetinin ön plana çıktığı bilgilere ilişkin taleplerin kabul görme olasılığı da yüksek olarak değerlendirilmektedir.

7. Arama sonuçlarında ulaşılan bilgi güncel mi?

Aradan geçen zaman verinin güncel olma özelliğini yitirmesine sebebiyet vermekte ya da bilginin konu ile ilgi ve alakası azalabilmektedir. Bu durum da verinin işlenme amacı ile olan bağını koparabilmektedir. Bu nedenle, aradan geçen zaman indeksten çıkarma taleplerinin kabul edilme ihtimalini artıran bir unsurdur. Ancak, bu durum mutlak bir kural değildir.

8. Arama sonucunda ulaşılan bilgi kişi hakkında önyargıya sebep oluyor mu?

İlgili kişinin önyargıya sebep olduğu yönünde iddiada bulunması hali söz konusu bağlantının arama sonuçlarından kaldırılması yönünde bir talebin değerlendirilmesini gerekli kılmaktadır.

9. Arama sonucunda yer alan bilgi kişi açısından bir risk doğuruyor mu?

Bir arama sonucu ulaşılan bilgiler kişiyi kimlik hırsızlığı veya takip edilme gibi risklere açık hale getiriyorsa, söz konusu bilgilerin arama motoru listelerinden kaldırılması olasıdır.

10. Bilgi kişinin kendisi tarafından mı yayımlandı?

İlgili kişi tarafından ya da onun açık rızası ile yayımlanan bilgilerin bulundukları yerden kendileri tarafından kaldırılması imkanı bulunmaktadır. Bu nedenle ilgili kişi, bir verinin yayımlanmasına açık rıza vermiş ancak daha sonra kendisine açık rızasını geri alma imkanı tanınmamışsa veya verisinin işlenmemesine ilişkin talebi reddedilmişse, ilgili kişi tarafından bu yönde yapılacak taleplerin değerlendirilmesi gerekmektedir.

11. Orijinal içerik gazetecilik faaliyeti kapsamında işlenen verileri mi kapsıyor?

Haber ve fikirlerin yayılmasını ve bunların kamunun ulaşmasını kolaylaştıran internetin toplum hayatındaki önemli rolü yadsınamaz. İnternet üzerinde arşiv oluşturma, aktüalitenin ve haberlerin saklanmasına ve erişilebilirliğine büyük ölçüde hizmet etmektedir. Bu nitelikteki arşivler özellikle doğrudan halkın erişimine açık ve genelde ücretsiz olmaları nedeniyle tarih eğitimi ve araştırma faaliyetleri için kaynak sunmaktadır. Öte yandan, demokratik bir toplumda basının ilk işlevi olan "gözetleyici" rolünün bir sonucu da arşivlerin halkın erişimine sunulmasıdır. Bu sebeple Anayasada 

koruma altına alınan şeref ve itibarın korunmasını isteme hakkı ile basın özgürlüğü ve bu özgürlükle bağlantılı olarak ifade özgürlüğü arasında belli kriterler çerçevesinde bir denge kurulması gerekmektedir.

Bu kapsamda, kamunun arama sonuçlarına erişiminin sağlanması önemli olmakla birlikte, başkalarının özel ve aile hayatlarının korunması için konulan sınırların da aşılmaması gerekmektedir. Bu durumlarda, gazetecilik içeriğiyle ilgili olarak arama sonuçlarının kaldırılması da mümkün olabilecektir.

12. İlgili kişiye ilişkin bilgilerin yayımlanmasında yasal bir zorunluluk var mı?

Bir kamu kurumu ya da yasal bir zorunluluk nedeniyle kendisine yetki tanınan kuruluşlar tarafından belirli bir verinin yayımlanması zorunluluğu varsa ve bu zorunluluk geçerliliğini sürdürüyorsa, bu durum ilgili kişinin kendisi ile ilgili arama sonuçlarının kaldırılması yönündeki talebinin değerlendirilmesinde olumsuz bir etken olarak görülecektir

13. İlgili kişiye ilişkin bilgi ceza gerektiren bir suçla mı ilgili?

Çok öncesinde meydana gelen göreceli olarak küçük suçlarla ilgili arama sonuçlarının listelerden bağlantılarının kaldırılmasına yönelik taleplerin, daha yakın zamanlarda meydana gelen daha ciddi olanlarla ilgili sonuçların listelerden bağlantılarının kaldırılmasına yönelik taleplere göre kabul görme olasılığı daha yüksektir. Ancak, bu kriter kesin bir kural şeklinde algılanmamalı ve her somut olay özelinde dikkatle incelenerek ele alınması gerekmektedir.

[1] https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/68f1fb19-5803-4ef8-8696-f938fb49a9d5.pdf

Kişilerin Ad ve Soyadı ile Arama Motorları Üzerinden Yapılan Aramalarda Çıkan Sonuçların İndeksten Çıkarılmasına İlişkin Değerlendirmede Dikkate Alınacak Kriterler

Maddeler halinde belirteceğimiz kriterler Kişisel Verileri Koruma Kurulu tarafından konuya ilişkin olarak yapılan şikayetlerin değerlendirilmesi aşamasında öncelikli olarak dikkate alınacak kriterler olarak belirlenmiştir. Belirtilen bu hususlar, yapılacak olan şikayetler yönünden güncellenmeleri söz konusu olabilecek olup ayrıca veri sorumlularına yapılacak başvuruların değerlendirilmesinde de dikkate alınmasında yarar görülmektedir.

Kişisel Verileri Koruma Kurulunun 22.03.2023 tarihinde 2023/437 sayılı kararı “Bir Avukatlık Ortaklığı Tarafından Borçlu İlgili Kişiye Kısa Mesaj Gönderilmesi Suretiyle Kişisel Verilerinin İşlenmesi” hakkında karar olup söz konusu karar aynı zamanda resmi web sitesinde de söz konusu karar özeti paylaşılmıştır[1].

Söz konusu karar; bir Avukatlık Ortaklığı tarafından avukatın alacaklı vekili olduğu Şirket ve ilgili kişi arasındaki abonelik sözleşmesinden kaynaklı, borcun takibi ve hatırlatılması amacıyla ilgili kişiye beş defa kısa mesaj gönderilerek gerçekleştirilen kişisel veri işleme faaliyeti ile ilgili olarak Kuruma yapılan şikayet dilekçesinde ilgili kişi tarafından söz konusu dilekçede belirtilmiş olan şikayete konu olay özetle;

Veri sorumlusu olarak Avukatlık Ortaklığı tarafından Şirketten elde edilen kişisel veriler hakkında ilgili kişiyle iletişime geçildiği ilk anda aydınlatma yükümlülüğünün yerine getirilmemesi ve ayrıca çağrı merkezi aracılığıyla yapılan görüşmede ses kaydı hakkında ses kaydı gerçekleşmeden önce aydınlatma yükümlülüğünün yerine getirilmemesi sebebiyle 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesinin birinci fıkrasının (a)[2] bendi uyarınca veri sorumlusu hakkında yaptırım uygulanması,

Toplamda beş kez aynı konu ve içerikle ilgili kişiye kısa mesaj gönderilmesi sebebiyle Kanunun 18’inci maddesinin birinci fıkrasının (b)[3] bendi uyarınca veri sorumlusu hakkında yaptırım uygulanması,

Veri sorumlusunun “hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgileri gibi kişisel verilerin sorgulanmasına imkân tanıyan yazılım/program/uygulama” kullanıp kullanmadığı hususunda denetim yapılması konusunda talepte bulunmuştur.

Konuya ilişkin başlatılan inceleme yönünden veri sorumlusunun savunma yapması istenilmiş olup verilen cevapta özetle;

Avukatlık Ortaklığının, veri işleyen olması nedeniyle ilgili kişinin Avukatlık Ortaklığına başvuru hakkı bulunmadığı,

Avukatlık Ortaklığının, Şirket ile arasında bulunan hizmet sözleşmesi ve vekalet ilişkisi kapsamında, alacakların tahsili için yasal takip hizmeti verdiği,abonelerin borçlarının tahsilat süreçlerinin yürütülmesi konusuyla sınırlı olarak yetkilendirildiği, Şirket tarafından yönetilmekte olan sisteme sınırlı erişim hakkına sahip olduğu, Kanun’un 3’üncü maddesinin birinci      fıkrasının (ğ) bendi uyarınca “veri işleyen” konumunda olduğu, Avukatlık Ortaklığının veri işleyen olduğu, hal böyleyken gerek taraflar arasında akdedilen Sözleşme hükümleri gerek vekalet ilişkisi gerek ise Kanun hükümleri uyarınca işlemekte oldukları kişisel verilere ilişkin olarak veri işleyen sıfatı ile sorumlu olduklarının son derece açık olduğu,

Kişisel verilerin veri sorumlusu tarafından işlenmesinin hukuki dayanağına ilişkin olarak; müvekkilleri Şirketin gecikmiş alacaklarının tahsili amacı ile icra işlemlerini yürütmek üzere Avukatlık Ortaklığı ile kurulan vekalet ilişkisi ve Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yayımlanan Borç ve Alacak Bilgilerinin Sorgulanmasına İlişkin Usul ve Esasların yerine getirilmesi kapsamında icra takibi öncesi ve sonrasında borçlularla iletişim kurularak borç bilgisi, haciz bilgisi, faiz indirimi kampanyası ve ödeme kanalı gibi konularda bilgilendirme yapıldığı ve mümkün oldukça borçların uzlaşma ile tahsilatının sağlandığı,

Borcun yasal yollara başvurulmadan ve borçlunun durumu ağırlaştırılmaksızın, mevzuata uygun ve 2004 sayılı İcra İflas Kanunu’nun temel ilkelerinden birisi olan “Alacağın tahsili için yapılacak işlemlerde borçlunun, borcunu arttıracak giderlerden kaçınılması” prensibi doğrultusunda hareket edilmesi gerektiği,

Alacağın kısa sürede tahsili ile abonelerin/borçluların takip hukukundan kaynaklanan vekalet ücreti, faiz, harç ve masraf gibi borcun ferilerine ve haciz işlemlerine maruz kalmadan indirimli şekilde ödeme yapabilmesine olanak sağlanması, Şirketin talebi ve onayı doğrultusunda sulh görüşmelerinin gerçekleştirilmesi, ileride doğabilecek uyuşmazlıklarda bu      bilgilendirmelerin delil olarak kullanılması adına aramaların gerçekleştirilebildiği ve kısa mesaj gönderilebildiği,

Hukuka aykırı olarak kişisel veri elde etmek amacıyla herhangi bir yazılım/program/uygulama kullanılıp kullanılmadığı, Avukatlık Ortaklığının mevcut olayda kişisel verilerin korunması hukuku çerçevesinde yasal mevzuatı ihlal edici nitelikte hiçbir icrai yahut ihmali davranışta bulunmadığı,

Bu kapsamda, Avukatlık Ortaklığı olarak vekili oldukları Şirket adına, Şirketin haklarını ve menfaatlerini korumak amacıyla hareket ettikleri, Kanunun 5’inci maddesinin ikinci fıkrasında yer alan “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” ve “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” hukuki sebepleri çerçevesinde işledikleri,

Avukatlık Ortaklığının kişinin borç bilgilerini müvekkilleri Şirketten temin ettiği; kendisine ayda yalnızca 1 kereye mahsus olmak üzere, hafta içi, mesai saatleri içerisinde bilgilendirme dışında hiçbir ibare olmayan kısa mesaj  gönderildiği, Türk Borçlar Kanunu’na, BTK Usul ve Esaslarına ve Kanunun 5’inci maddesinin ikinci fıkrasının (e) bendi kapsamında açık rıza      aranmaksızın bilgilendirme haklarına dayalı olarak Avukatlık Ortaklığınca bilgilendirme saikiyle hareket edildiğine ilişkin ifadede bulunmuştur.

Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 22/03/2023 tarihli ve 2023/437 sayılı Kararı ile; Kanun’un 3 /1- (ı) bendi, Avukatlık Ortaklığının yetkilerinin, Şirket ile arasındaki vekalet ilişkisi ve Sözleşme kapsamı, Kanunun 5/2-(e) bendi, işleme faaliyeti Kanunun 4/2- (a) bendinde bulunana “hukuka ve dürüstlük kurallarına uygun olma” ve (ç) bendinde bulunan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine de aykırılık teşkil etmediği hükümleri çerçevesinde değerlendirilmiş olup veri işlemenin zorunlu olması hükmü kapsamında hukuka uygun olduğu değerlendirildiğinden söz konusu şikâyet kapsamında yapılacak bir işlem bulunmadığı, yine ilgili kişinin, veri sorumlusunun Şirketten elde ettiği kişisel veriler hakkında ilgili kişiyle iletişime geçilmiş olup ilk anda aydınlatma yükümlülüğünün yerine getirilmemesi ve ilgili kişinin kendisine gönderilen kısa mesajlar hakkında bilgi almak üzere veri sorumlusunun çağrı merkezini araması sırasında alınan ses kaydı hakkında ses kaydı gerçekleşmeden önce aydınlatma yükümlülüğünün yerine getirilmemesi nedeniyle Kanun’un 18/1- (a) bendi uyarınca cezalandırılması talebine ilişkin olarak ilgili kişinin veri sorumlusuna başvurusunda söz konusu iddialara ilişkin bir açıklama veya talebin bulunmadığı yapılan inceleme ve gelen yazılardan yapılan değerlendirmelerle anlaşıldığından Kanun kapsamında yapılacak bir işlem bulunmadığına, İlgili kişinin, veri sorumlusu nezdinde hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgileri gibi kişisel verilerin sorgulanmasına imkân tanıyan yazılım/program/uygulama kullanıp kullanmadığı hususunda denetim yapılması talebine ilişkin olarak veri sorumlusunun cevabi yazısında ilgili kişinin bu iddiasının reddedilmiş olduğu ve ilgili kişi tarafından da iddiasını tevsik edici nitelikte herhangi bir bilgi, belge veya kaydın Kuruma iletilmemiş olduğu dikkate alındığında bahse konu talep hakkında Kanun kapsamında yapılacak bir işlem bulunmadığı yönünde karar vermiştir.

[1] https://www.kvkk.gov.tr/Icerik/7600/2023-437

[2] 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası verilir.

[3] 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.

"Bir Avukatlık Ortaklığı Tarafından Borçlu İlgili Kişiye Kısa Mesaj Gönderilmesi Suretiyle Kişisel Verilerinin İşlenmesi” Hakkında Kişisel Verileri Koruma Kurulu’nun Kararı

Bir Tasarruf Finansman Şirketi Tarafından İlgili Kişinin Cep Telefonu Numarasının Herhangi Bir Veri İşleme Şartına Dayanmaksızın İşlenmesi Ve İlgili Numaraya Reklam İçerikli Sms Gönderilmesi

Kişisel Verileri Koruma Kurulunun 10.02.2022 tarihinde 2022/107 sayılı kararı “Bir Tasarruf Finansman Şirketi Tarafından İlgili Kişinin Cep Telefonu Numarasının Herhangi Bir Veri İşleme Şartına Dayanmaksızın İşlenmesi Ve İlgili Numaraya Reklam İçerikli Sms Gönderilmesi” hakkında karar olup söz konusu karar aynı zamanda resmi web sitesinde de söz konusu karar özeti paylaşılmıştır[1].

Söz konusu kararda ilgili kişi tarafından Kuruma yapmış olduğu şikayet başvurusunda; veri sorumlusu tarafından tasarruf finansman şirketince kendisine birkaç defa kısa mesaj gönderilmiş olduğunu, bundan dolayı ilgili kişi tarafından kişisel verisi niteliğindeki cep telefonu numarasının açık rızası olmadan ne şekilde elde edildiği, nasıl ve hangi amaçla işlendiğine dair bilgi edinmek maksadıyla veri sorumlusuna başvuruda bulunduğunu, veri sorumlusu tarafından da kendisine verilmiş olan cevapta özetle İleti Yönetim Sistemi (İYS) adı verilen sisteme kayıtlı kurumsal bir firma olduğundan dolayı, bu sisteme üyelerin rızası dahilinde veri girişi yapılmış olduğunu, istenildiği zaman İYS sisteminden çıkabileceğinin, söz konusu mesaj içeriğinde ret imkanının bulunmuş olduğundan ve sistemde kayıtlı ilgili kişiye ait telefon numarasının SMS gönderimine kapatılabildiğini belirtildiği, veri sorumlusu tarafından verilen cevapta belirtilmiş olduğunun aksine ilgili kişi tarafından İYS aracılığıyla veri sorumlusuna herhangi bir açık rıza veya onay verilmediği, ilgili kişinin kişisel verilerinin nasıl, hangi amaçlarla işlendiği ve kişisel verilerinin açık rızası olmadan işlenmesi konularında yeterli cevap alamamasından dolayı ve kişisel veri güvenliğinin sağlanması konusunda yükümlülüğünün yerine getirilmemiş olması nedeniyle kişisel verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırı olarak işlenmiş olduğunu ifade edilerek şirket hakkında Kanun kapsamında gereğinin yapılması konusunda talepte bulunmuştur.

Konuya ilişkin başlatılan inceleme kapsamında veri sorumlusundan yapılan başvuya ilişkin savunmada bulunması istenilmiş olup alınan cevap özetle;

İYS sistemine bildirdiği kayıtlar arasında ilgili kişinin telefon numarasına ilişkin kaydın da bulunduğu, ilgili kişinin anılan Yönetmelik[2]’te belirtilen 16.01.2021 tarihine kadar İYS üzerinden veya ayrı bir kanaldan şirkete bildirdiği aksi yönde bir beyanının veri sorumlusu tarafından tespit edilemediği, bu durumda Yönetmelik uyarınca ilgili kişi tarafından      verilmiş bu tarihten önceki onayın geçerli sayıldığı,

Yönetmelik’in      söz konusu geçici maddesi uyarınca şirkete tanınmış olan istisna düzenlemesine göre 16.01.2021 tarihine kadar bu izni kaldırdığını ispat yükünün ilgili kişinin üzerinde kaldığı,

Yönetmelik  hükümlerine uygun olarak ilgili kişinin cep telefonu numarasının ticari ileti gönderilmek amacıyla “kanunlarda açıkça öngörülmesi”[3] işleme şartına dayalı olarak işlendiği,

Şirket gibi hizmet sağlayıcılara ticari iletişime ilişkin kayıtları 3 yıl süreyle saklama yükümlülüğü getirildiği[4],

Şirketin, ilgili kişiden gelen talep üzerine yalnızca SMS gönderim faaliyetine son vermiş olduğunu, bunu da ilgili kişiye verdiği cevabında açıkça belirtmiş olduğu,

İlgili kişinin kayıtlarına bakıldığında kendisinin şirkete başvurduğu tarihte henüz SMS ret talebinde bulunmadığı, ilgili kişinin Kuruma şikayette bulunduktan sonra dahi SMS onayı olduğunun görüldüğü, ilgili kişi tarafından verilen onaya ilişkin retlerin sonraki tarihte sisteme girildiğine ilişkin ifade de bulunmuştur.

Kurul tarafından yapılan inceleme ve değerlendirme neticesinde 10.02.2022 tarih ve 2022/107 sayılı kararı şöyledir;

Somut olay içerisinde, veri sorumlusu tarafından sunulan bilgi ve belgeler kapsamında İYS sistemine kaydının yapılmasına temel olabilecek nitelikte ilgili kişinin veri sorumlusu ile bir ilişkisinin olduğuna ilişkin herhengi bir husus tespit edilemediği veya veri sorumlusu tarafından ilgili kişinin kişisel verisinin işlenmesi hakkında açık rızasının olduğunun tevsik      edilemediği dikkate alındığında, Kanun’un 12’nci maddesinin (1) numaralı fıkrası çerçevesinde gerekli teknik ve idari tedbirlerin alınmamış olduğu kanaatine varılan; veri sorumlusu hakkında Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 75.000 TL idari para cezası uygulanmasına,

Hukuka aykırı işlendiği tespit edilmiş olan söz konusu kişisel verinin, başka bir işleme sebebinin bulunmamış olması halinde, Kanun’un 7’nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun şekilde imha ederek sonucundan Kurula bilgi vermesi hususunda veri sorumlusunun talimatlandırılmasına,

İlgili kişinin şikâyetinde belirttiği, veri sorumlusunun kişisel verilerinin güvenliğinin sağlanması konusundaki yükümlülüklerini yerine getirmediği iddialarının Kanun’un 11’inci maddesi kapsamında olmadığı dikkate alındığında bu hususta Kanun kapsamında yapılacak bir işlem olmadığı yönünde karar vermiştir.

[1] https://kvkk.gov.tr/Icerik/7557/2022-107

[2] 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (6563 sayılı Kanun) uyarınca çıkarılan Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’in (Yönetmelik) Geçici 2’nci maddesinin (1) ve (2) numaralı fıkraları

[3] 6698 sayılı Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (a) bendi

[4] Yönetmelik’in 13’üncü maddesinin (2) numaralı fıkrası

Cep Telefonuna Reklam İçerikli SMS Gönderilmesi Hakkında

“Bir Tasarruf Finansman Şirketi Tarafından İlgili Kişinin Cep Telefonu Numarasının Herhangi Bir Veri İşleme Şartına Dayanmaksızın İşlenmesi Ve İlgili Numaraya Reklam İçerikli Sms Gönderilmesi” 

Kişisel verilerin korunması, kişisel verilen kendinden daha eski ve  köklü bir tarihe sahip olan bir diğer hak alanları ile yakından ilişkilidir. Bunların başında gelmek üzere öncelikle özel yaşamın gizliliği hakkı gelmektedir. Ayrıca, kişisel verilerin korunması; kişinin fikrini beyan etme özgürlüğü, bilgi edinme hakkı, haberleşme özgürlüğü olarak başka bir takım değerlerle de kimi zaman karşılıklı destekleme, kimi zaman da çatışma içerisindedir. Bir diğer taraftan kişisel verilerin ekonomik bir değerinin bulunduğu da tartışmasızdır. Özellikle ticarî bir takım işlemler söz konusu olduğu zaman bu değer daha açık bir şekilde hissedilebilir. Bu anlamda bireylerin, başka menfaatlerinin yanında, ekonomik menfaatlerinin korunması gerekir. Fakat bu kişisel verilerin üzerindeki hak mülkiyet hakkının üzerinden kurulabileceği anlamına gelmez. Taşınır veya taşınmaz mallar hakkında uygulanan hükümleri elle ya da otomatik olarak işlenen kişisel verilere uygulamak, örneğin seçme ve seçilme hakkının yahut düşünceyi ifade etme özgürlüğünün mal haline getirilmesinden farksızdır. Bir başka şekilde ifade edecek olursak mülkiyet hakkı ve benzeri yaklaşımlar yalnızca korumada yetersiz kalmaları, bu sistemlerin işlemesinin zor olması ya da iki hak alanı arasında ortak paydaların bulunmaması gibi nedenlerle değil, etik açıdan da yanlıştır. Bireyin özel yaşamının gizliliği hakkının temel amacı, duygusal ve psikolojik yapısını kişisel bilgilerinin istenmeyen şekilde yayılmasını önleyerek korumaktır ve hiçbir zaman, bilginin yasal adını tanımlamak ya da ticarî kullanım hakkına kimin sahip olduğunu belirlemek için bir araç olarak düşünülmemiştir. Oysa bunlar, mülkiyet hukukunun temel işlevlerini oluşturur.

Nitekim günümüzde kişisel verilerin korunmasının temel bir insan hakkı olduğu yönünde herhangi bir şüphe de bulunmamaktadır. Mülkiyet hakkı üzerinden temellendirme yönünde tartışmaların yer aldığı Amerika Birleşik Devletleri’nde bile insan hakları yaklaşımının etkisi hissedilmektedir. Bu kapsamda kişisel verilerin korunması hakkının pekçok zaman özel hayatın gizliliği hakkı yönünden yer alan hükümler ile hukuksal olarak temellendirildiği tespit edilmektedir. Ayrıca, Birleşmiş Milletler Evrensel İnsan Hakları Beyannamesi (m.17)[1], Birleşmiş Milletler Bireysel ve Siyasal Haklar Sözleşmesi (m.12)[2][3], Avrupa İnsan Hakları Sözleşmesi (m.8)[4][5] gibi bir çok önemli olan insan hakları sözleşmelerinde özel hayatın gizliliği temel bir insan hakkı olarak tanınmış ve kabul edilmiştir. Bunun yanı sıra Avrupa Birliği Temel Haklar Şartı ve başka belgeleri, çeşitli milletlerin anayasası gibi daha yeni bazı metinlerde kişisel verilerin korunması hakkının, özel yaşamın gizliliği hakkından bağımsız olarak da temel haklar çerçevesi içerisinde yer aldığı görülmektedir. Tüm bu anlatmış olduğumuz uluslararası sözleşmeler ve bilgiler çerçevesinde de özetlemek gerekirse: Kişisel verilerin korunması hakkı, sadece kişisel menfaatlerin korunmasına yönelik olmayıp kişisel verilerin korunması hakkı, insan onuru ve temel özgürlükler gibi çok daha geniş bir alana hizmet etmektedir[6].

[1](1) Her şahıs tek başına veya başkalarıyla birlikte mal ve mülk sahibi olmak hakkını haizdir. (2) Hiç kimse keyfi olarak mal ve mülkünden mahrum edilemez.

[2](1) Bir Devletin ülkesinde hukuka uygun olarak bulunan bir kimse, o ülke sınırları içinde seyahat etme özgürlüğüne ve yerleşeceği yeri seçme hakkına sahiptir. (2) Herkes kendi ülkesi de dahil, bir ülkeden ayrılmakta serbesttir. (3) Yukarıda belirtilen haklar, bu Sözleşmede tanınan diğer haklara uygun olarak ulusal güvenlik, kamu düzeni (ordre public), genel sağlık veya genel ahlak veya başkalarının hak ve özgürlüklerini korumak için gerekli sebepler ile hukuken öngörülmüş sınırlamalar dışında hiç bir sınırlamaya tabi tutulamaz. (4) Hiç kimse, kendi ülkesine girme hakkından keyfi olarak yoksun bırakılamaz.

[3] https://diabgm.adalet.gov.tr/arsiv/sozlesmeler/coktaraflisoz/bm/bm_05.pdf

[4](1)Herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi hakkına sahiptir. (2) Bu hakkın kullanılmasına bir kamu makamının müdahalesi, ancak müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı, düzenin korunması, suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda söz konusu olabilir.

[5] https://www.yargitay.gov.tr/documents/AIHM.pdf

[6]https://ekampus.anadolu.edu.tr/#/materials/A%C3%96F/HUK124U/B%C4%B0L%C4%B0%C5%9E%C4%B0M%20HUKUKU/EBOOK/ALL

Kişisel Verilerin Korunması Hakkı

Kişisel verilerin korunması, kişisel verilen kendinden daha eski ve  köklü bir tarihe sahip olan bir diğer hak alanları ile yakından ilişkilidir. Bunların başında gelmek üzere öncelikle özel yaşamın gizliliği hakkı gelmektedir. 

İlgili kişi tarafından … Belediyesi ( Veri Sorumlusu) hakkında 11.10.2021 tarihinde şikayette bulunulmuştur. Söz konusu şikayet dilekçesi özetle;

·       İlgili kişi tarafından kullanılmakta olan GSM hattına Belediye tarafından açılış ve kutlamalara ilişkin bilgilendirme ve reklam ve tanıtım amaçlı SMS gönderildiği,

·       İlgili kişinin, kişisel verisi niteliğindeki cep telefonu numarasının işlenmesine yönelik açık rızasının bulunmadığı ve herhangi bir hukuka uygunluk nedenine dayanmaksızın kişisel verilerinin hukuka aykırı olarak işlendiği,

·       24.06.2021 tarihinde Veri Sorumlusuna yapılan başvuruda (1) bahse konu telefon numarasının nereden ve ne şekilde edinildiği; (2) ilgili kişiye ait hangi kişisel verilerin hangi hukuki sebebe dayanarak işlendiği; (3) ilgili kişinin işlenen kişisel verilerini işlenme amacı ve bunların amacına uygun şekilde işlenip işlenmediği; (4) ilgili kişinin işlenen kişisel verilerinin yurt içinde veya yurt dışında herhangi bir üçüncü kişiye aktarılıp aktarılmadığı, aktarıldıysa bunların kimler olduğu ve hangi amaçlarla aktarım yapıldığı hususlarına ilişkin olarak bilgi edinme taleplerinde bulunduğu,

·       Veri sorumlusu tarafından aynı gün okunmakla beraber 30 günlük yasal sürenin dolmasının ardından başvurunun cevaplandırıldığı ve söz konusu cevapta;

·       Vatandaşların kişisel verilerinin 5393 sayılı Belediye Kanunu ve sair mevzuat uyarınca onay ve/veya imza ile tanzim edilen belediyecilik işlemlerine ilişkin tüm beyanname / bilgilendirme formaları ve sair belgelerle, elektronik onay ve/veya imza ile yapılacak bildirimlerle, Belediye ve yerel hizmet birimleri, internet sayfaları, mobil uygulamalar, çağrı merkezi ve kiosk gibi kanallar aracılığıyla sözlü, yazılı veya elektronik ortamda olmak kaydıyla çeşitli yöntemlerle toplanmakta olduğunun,

·       6698 sayılı Kanun uyarınca geçiş sürecinin yasal sürelere uygun şekilde devam ettiğinin,

·       Belediyenin hemşerilerine bilgilendirme mesajları gönderilmekte olduğunun,

·       2019 yılı yerel seçimleri ile göreve gelindiğinde devralınan mevcut SMS listelerinde İlgili Kişinin cep telefonu numarasının olduğunun,

·       Belediye bünyesinde İlgili Kişinin başka bir kişisel verisinin bulunmadığının ve cep telefonu numarasının Belediyenin SMS listelerinden silindiği belirtilmiştir.

Bu doğrultuda Kurul, inceleme başlatarak söz konusu Kurum’ a yazı yazılmış ve yürütülen inceleme hakkında da haberdar edilmiştir. İlgili yazı ile muhataba; 6698 sayılı kanunun ilgili hükümleri çerçevesinde Kurulu bilgilendirmesi talep edilmiştir.

Veri sorumlusu tarafından Kurum’ a cevap vermiş ve vermiş olduğu ilgili cevap yazısı özetle;

·       COVİD-19 pandemisi nedeni ile mücbir sebeplerin meydana gelmiş olduğunu,

·       6698 sayılı Kanuna uyuma ilişkin geçiş sürecinin yasal sürelere uygun şekilde devam etmekte olduğunu,

·       Şikayet dilekçesinin alınmasına müteakip ilgili kişinin telefon bilgilerinin silindiği ve numaranın herhangi bir 3. Şahıs ile paylaşılmadığı,

·       Kişisel verinin işlenmediği ve yurtiçi- yurtdışındaki üçüncü kişi veya kurumlara herhangi bir verisinin aktarılmadığı,

·       İlgili kişinin cep telefonu numarasının yanlış bilgilendirmeye dayalı olarak SMS listesine eklendiğini,

·       Şikayete konu olayda, veri güvenliği tedbirlerinin alınmamış olması nedeniyle gerçekleşen herhangi bir veri ihlalinin olmadığı,

·       6698 sayılı Kanun’ un 5 inci maddesinin 2 numaralı fıkrasının d bendi kapsamında değerlendirilmesi gerektiği,

Belirtilmiş olup ayrıca İlgili Kişinin cep telefonu numarasının SMS listesinden silindiğini gösterir belge sunulmuştur.

Toplanan tüm belge ve cevap yazıları birlikte değerlendirildiğinde, karar 6698 sayılı Kanunun 5,12,13 ve 18 maddeleri kapsamında değerlendirilmiş ve Belediye hakkında yapılan şikayetin incelenmesi neticesinde; şikayete konu olayda ilgili kişinin, kişisel verisi niteliğindeki cep telefonu numarasının işlenmesi hususunda açık rızasının bulunmadığına ilişkin iddiasına karşılık, söz konusu kişisel verinin, sistemlerine ne şekilde ve hangi vasıta ile kaydedildiğine yönelik olarak veri sorumlusu tarafından Kuruma kanıtlayıcı nitelikte herhangi bir belge sunulmadığı dikkate alındığında, Kanun’ un 5 inci maddesinde sayılan işleme şartlarının somut olayda mevcut olmadığı ve ilgili kişinin kişisel verisi niteliğindeki telefon numarasının işlenmesinde Kanun’ un 12/1 hükümlerine aykırı hareket edildiği kanaatine varıldığından Kanun’ un 18/3 uyarınca veri sorumlusu Belediye tarafından sorumlular hakkında disiplin hükümlerine göre işlem yapılması ve sonucundan Kurula bilgi verilmesi yönünde veri sorumlusunun talimatlandırılmasına karar verilmiştir.

Kişisel Verileri Koruma Kurulu Tarafından Şikayete Konu Belediye Hakkında Verilen Karar

Veri ihlalini yaşayan veyahut da verileri kişinin kendi rızası olmadan bir üçüncü kişi ile paylaşılması gibi durumların yaşanması halinde ilgili kişi tarafından e-devlet şifresi ile Kurul’ a şikayet hakkı bulunmaktadır[1]. Veri hilaline uğramış olan ilgili kişi tarafından yapılan bu şikayet hakkı e devlet kullanıcı adı ve şifresi ile giriş sağladığından sadece ve doğrudan kendisi tarafından yapılabilmekteydi.

Ancak 27.03.2023 tarihinde Kurulun kendi resmi web sitesi üzerinden yapmış olduğu kamuoyu duyurusu neticesinde veri hilali nedeni ile Kurul’ a yapılacak olan şikayetlerin artık avukatlar aracılığı ile de vekaleten yapabileceğini duyurmuştur.

Kurumun söz konusu duyurusu şu şekildedir; “Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15. maddesinde “Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar.” hükmü yer almakta olup, bu kapsamda Kurumumuza intikal eden şikayetler Kişisel Verileri Koruma Kurulu tarafından sonuçlandırılmaktadır.

Halihazırda şikayet dilekçeleri Kişisel Verileri Koruma Kurulu’na elden, posta veya kargo yoluyla iletilebildiği gibi www.kvkk.gov.tr adresinde hizmete sunulan “Şikayet Modülü” aracılığıyla elektronik ortamda da iletilebilmektedir.

Bu kapsamda, vekaleten yapılacak şikayetlerin daha hızlı ve etkin bir şekilde Kurumumuza iletilebilmeleri ve takip edebilmelerini teminen 27.03.2023 tarihi itibariyle “Şikayet Modülü” sistemi avukatların da vekaleten yapacakları şikayetleri iletebileceği şekilde güncellenmiş olup, söz konusu şikayet modülüne https://sikayet.kvkk.gov.tr internet bağlantısından ulaşılabilmektedir[2]” demektedir.

[2] https://www.kvkk.gov.tr/Icerik/7544/Vekaleten-Yapilacak-Sikayetlerin-Elektronik-Ortamda-Kurula-Iletilmesine-Iliskin-Kamuoyu-Duyurusu

Vekaleten Yapılacak Şikayetlerin Elektronik Ortamda Yapılması

Veri ihlalini yaşayan veyahut da verileri kişinin kendi rızası olmadan bir üçüncü kişi ile paylaşılması gibi durumların yaşanması halinde ilgili kişi tarafından e-devlet şifresi ile Kurul’ a şikayet hakkı bulunmaktadır[1]. 

Kurul tarafından TikTok Pte. Ltd. şirketi hakkında gerçekleştirilmiş olan veri ihlalinin değerlendirilmesi neticesinde 2023/134 numara ile karar vermiş olup bu kararı da resmi web sitesinde paylaşmış bulunmaktadır[1]. Vermiş söz konusu karar özetleyecek olursak eğer:

Söz konusu uygulama hakkında açık rızanın 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun)’ na göre yasada yer alan hükümlere uygun olarak alınmadığı, kişisel verilerin elde edilmesi ve saklanması konusunda yasaya aykırılıkların yer aldığı ve söz konusu yazılımın birçok güvenlik açığı bulunduğuna yönelik yer alan muhtelif haber ve şikayetler nedeniyle harekete geçen Kişisel Verileri Koruma Kurulu tarafından 6698 sayılı Kanun’un 15’inci maddesinin (1)[2]numaralı fıkrası kapsamında resen inceleme başlatılması yönünde karar verilmiştir.

Veri sorumlusundan alınan savunma yazıları ve bununla bağlantılı olarak Gizlilik Politikası ve Hizmet Koşullarının incelenmesi neticesinde, Kişisel Verileri Koruma Kurulu’nun 2023/134 sayılı Kararı ile;

- TikTok’un 2021 yılı Ocak ayında Gizlilik Politikasında güncelleme gerçekleştiği, güncelleme neticesinde metinde 13 ve 15 yaş aralığındaki kullanıcı hesapları için varsayılan gizlilik ayarının “özel” olarak değiştirildiği bu sayede, yalnızca kullanıcının onayladığı takipçilerin paylaştığı videoların görüntülenebileceği, videoları indirebilecek ve yorum yapabilecek kişilerin sınırlandırıldığı belirtilmekle birlikte; belirtilen güncelleme öncesinde varsayılan olarak profillerin herkese açık olarak görüntülenerek etkileşimde sınırlandırılma bulunmamasının, hassas yaş grubunda olan kullanıcıların verilerine erişilmesi kapsamında risk teşkil ettiği, ayrıca kullanıcılara ilişkin risklerin belirlenerek risklerin azaltılmasına dair yeterli tedbir alınmadığını gösterdiği,

- 2021 yılı Ocak ayında Gizlilik Politikasının güncellenmesi öncesinde uygulamayı kullanan 13 yaş altı çocukların kişisel bilgilerinin görüntülendiği ve uygun ebeveyn izni olmadan çocuklar hakkında veri toplandığı, dolayısıyla uygulamayı kullanmış olan çocuklar üzerinde olumsuz sonuç doğma riskinin bulunduğu,

- Veri sorumlusunun internet sitesinde yer alan Gizlilik Sözleşmesinde Kişisel Verilerin Korunması Kanunu'nun 5’nci maddesinde yer alan işleme şartlarının tümünün belirtildiği, ancak hangi kişisel verilerin hangi amaçla ve hangi işleme şartına dayanılarak işlendiği hakkında net bilgi verilmediği, bu hususta veri sorumlusunca Kanun’un 4'üncü maddesinde yer alan "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı hareket edildiği,

- TikTok hesabı oluşturulurken kullanıcıların hesap oluşturmaya devam etmeleri halinde Hizmet Koşulları (Kullanım Şartları) ile Gizlilik Politikasını kabul etmiş sayılacaklarının belirtildiği , ancak Hizmet Koşulları kısmında onay alınırken ilgili metnin henüz Türkçe’ye tercüme edilmediği, bu sebeple kullanıcılara içeriğin kolay anlaşılır bir biçimde sunulmadığı ve kullanıcıların kullanım şartlarını tam olarak anlayamadan kabul etmesinin ihtimal dahilinde olduğu,

- Platformda hesap oluştururken ya da hesap oluşturulup aktif olarak kullanılırken açık rıza alınmasına ilişkin herhangi bir durum ile karşılaşılmadığı, TikTok’un Gizlilik Politikasının, esasen aydınlatma yükümlülüğünü yerine getirmek için hazırlanmış bir metin olduğu, ancak açık rıza metni yerine de kullanıldığı, dolayısıyla, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5’inci maddesinin (f) bendine göre açık rıza şartına dayalı olarak gerçekleştirilen kişisel veri işleme faaliyetleri bakımından açık rızanın aydınlatma yükümlülüğünden ayrı olarak yerine getirilmesi şartının sağlanmadığı,

- Veri sorumlusu tarafından, profilleme amacıyla çerezler kullanılarak gerçekleştirilen kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı yapılan incelemeler neticesinde kurul tarafından tespit edilmiştir.

Tüm bu belirtilen hususlar neticesinde Kurul tarafından Kanun’un 12’nci maddesinin (1) numaralı fıkrası[3] ve 18’inci maddesinin (1) numaralı fıkrasının (b) bendi[4] uyarınca 1.750.000 TL idari para cezası uygulanması yönünde karar vermiş bulunmaktadır.

[1] https://www.kvkk.gov.tr/Icerik/7538/2023-134

[2] 6698 S.K. 15/1 maddesinde; “Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar” hükmü yer almaktadır.

[3] Veri sorumlusu;
 a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
 b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
 c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

[4] 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.

Kişisel Veri Kurulu Tarafından Verilen İnternet Ve Sosyal Medya Platformu Hakkında Karar

Kurul tarafından TikTok Pte. Ltd. şirketi hakkında gerçekleştirilmiş olan veri ihlalinin değerlendirilmesi neticesinde 2023/134 numara ile karar vermiş olup bu kararı da resmi web sitesinde paylaşmış bulunmaktadır.

Sağlık Bakanlığı tarafından 21.06.2019 tarihinde resmi gazetede yayımlanan yönetmeliğin amacı, 24.03.2016 tarihinde resmi gazetede yayımlanan ve yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun hükümleri kapsamında, Sağlık Bakanlığının merkez ve taşra teşkilatı birimleri ile bunlara bağlı olarak faaliyet göstermekte olan sağlık hizmeti sunucuları ile bağlı ve ilgili kuruluşları tarafından yürütülen süreç ve uygulamalarda uyulacak usul ve esasları düzenlemektir.

Yine bu yönetmelik kapsam itibariyle, kişisel sağlık verisi işleyen özel hukuk gerçek ve tüzel kişileri ile kamu hukuku tüzel kişilerinin, Sağlık Bakanlığı tarafından yürütülmekte olan süreç ve uygulamalara ilişkin faaliyetlerini içermektedir.

Söz konusu yönetmeliğin 4. Maddesinde bir takım tanımlara yer vermiştir. Şöyle ki;

a)Açık veri: Ücretsiz olarak veya hazırlanma maliyetini geçmeyecek şekilde internet üzerinden herkesin erişimine sunulan, üzerinde herhangi bir fikri mülkiyet hakkı bulunmayan ve herhangi bir amaçla serbestçe kullanılabilen, makineler tarafından okunabilen ve böylelikle diğer veriler ve sistemlerle birlikte çalışabilen, anonim hale getirilmiş veriyi,

b)Açık sağlık verisi: Açık veri haline getirilen sağlık verisini,

c)Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

d) e-Nabız: İlgili kişilerin sağlık verilerine kendilerinin, hekimlerin veya yetki verdikleri üçüncü kişilerin erişimini sağlayan, e-Devlet uygulamalarına uygun olarak Bakanlıkça kurulan sistemi,

e) Genel Müdürlük: Sağlık Bilgi Sistemleri Genel Müdürlüğünü,

f) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,

g) İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,

ğ) KamuNET: Kamu kurum ve kuruluşları arasındaki veri iletişiminin sağlanması, bu veri iletişiminin internete kapalı, fiziksel ve siber saldırılara karşı daha güvenli sanal bir ağ üzerinden yapılması, siber güvenlik risklerinin minimize edilmesi, mevcut ve kurulacak olan güvenli kapalı devre çözümlere standart sağlanması, ortak uygulamalar için uygun alt yapının tesis edilmesi amaçlarıyla Ulaştırma ve Altyapı Bakanlığı tarafından geliştirilen projeyi,

h) Kanun: 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununu,

ı) Kimliksizleştirme: Kişisel verilerin; kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememesi için teknik ve idari tedbirlerin alınması şartıyla ve farklı bir ortamda muhafaza edilen diğer verilerle bir araya getirilmeksizin ilgili kişiyle ilişkilendirilemeyecek şekilde işlenmesini,

i) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

j) Kişisel sağlık verisi: Kimliği belirli ya da belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgileri,

k) Kişisel verilerin imha edilmesi: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

l) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi sağlık verileri üzerinde gerçekleştirilen her türlü işlemi,

m) Kişisel verilerin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi işlemini,

n) Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi işlemini,

o) Kurul: Kişisel Verileri Koruma Kurulunu,

ö) Kurum: Kişisel Verileri Koruma Kurumunu,

p) Maskeleme: Kişisel verilerin belirli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemleri,

r) Merkezi sağlık veri sistemi: Bakanlık tarafından oluşturulan kişisel sağlık verilerinin toplandığı veri sistemini,

s) Sağlık hizmeti sunucusu: Sağlık hizmetini sunan veya üreten gerçek kişiler ile kamu hukuku ve özel hukuk tüzel kişilerini,

ş) Veri sorumlusu: Kişisel sağlık verilerinin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade etmektedir.

Yine yukarıda belirtilmiş olan tanımlar içerisinde yer almayan kavramlar yönünden ise Kanunda yer alan tanımlar ile Kurum tarafından yapılan ikincil düzenlemelerde yer verilen tanımlar geçerli olmaktadır.

Yönetmeliğin ikinci bölüm başlığı altında bulunana genel ilke ve esaslar ise 5. Maddede yer almakta olup genel ilke ve esaslar şu şekilde belirlenmiştir;

Kişisel verilerin işlenmesinde Kanunun 4 üncü maddesinde yer alan genel ilkeler başta olmak üzere, Kanunda yer alan bütün esaslara riayet edilir. Herkesin sağlık durumunun takip edilebilmesi ve sağlık hizmetlerinin daha etkin ve hızlı şekilde yürütülmesi maksadıyla, Bakanlık ile bağlı ve ilgili kuruluşlarınca gerekli kayıt ve bildirim sistemi kurulur. Bu sistem, e-Devlet uygulamalarına uygun olarak elektronik ortamda da oluşturulabilir. Bu amaçla Bakanlık tarafından, bağlı ve ilgili kuruluşları da kapsayacak şekilde ülke çapında bilişim sistemleri kurulabilir.

Hiç kimse, sağlık hizmeti sunumu için gerekli olan durumlar haricinde geçmiş sağlık verilerinin dökümünü sunmaya veya göstermeye zorlanamaz.Sağlık hizmeti sunucuları tarafından; banko, gişe ve masa gibi bölümlerde yetkisi olmayan kişilerin yer almasını önleyecek ve aynı anda yakın konumda hizmet alanların birbirlerine ait kişisel verileri duymalarını, görmelerini, öğrenmelerini veya ele geçirmelerini engelleyecek nitelikte gerekli fiziki, teknik ve idari tedbirler alınır.

Sağlık hizmeti sunucuları, tahlil ve tetkik sonuçları gibi hastaya ait kişisel sağlık verilerini içeren basılı materyal üzerinde gerekli kısmi kimliksizleştirme veya maskeleme tedbirlerini uygular ve söz konusu materyalin yetkisiz kişilerin eline geçmesi hâlinde kime ait olduğunun tespit edilmesini zorlaştıracak diğer tedbirleri alır.

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili olarak Kanunun 11[1] inci maddesinde yer alan hakları kullanabilir. Veri sorumlusuna başvuruda, Kanunun 13 üncü maddesi ile Kurum tarafından hazırlanarak 10/3/2018 tarihli ve 30356 sayılı Resmi Gazete’de yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ[2] hükümlerine riayet edilir.

Aydınlatma yükümlülüğünün yerine getirilmesinde, Kanunun 10[3] uncu maddesi ile Kurum tarafından hazırlanarak 10/3/2018 tarihli ve 30356 sayılı Resmi Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine riayet edilir.

--------------------------------------------------------------------------------------------------------------------------

[1] 6698 sayılı yasanın 11. Maddesi İlgili Kişinin Haklarından bahsetmekte olup şu şekildedir;

(1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
 
 a) Kişisel veri işlenip işlenmediğini öğrenme,
 
 b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
 
 c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
 
 ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
 
 d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
 
 e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
 
 f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
 
 g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
 
 ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.

[2] https://www.resmigazete.gov.tr/eskiler/2018/03/20180310-6.htm

[3] (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;
 
 a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
 
 b) Kişisel verilerin hangi amaçla işleneceği,
 
 c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
 
 ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
 
 d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.

Kişisel Sağlık Verileri ve Kişisel Sağlık Verileri Hakkında Yönetmelik-I

6698 sayılı Kanun kapsamında, çerezlere dair dikkate alınması gereken kuralları genel bir çerçevede belirleyecek olursak eğer, veri sorumluları tarafından çerezler vasıtasıyla kişisel veri işlenmesinde aşağıda belirtilmiş olan kriterleri göz önünde bulundurmaları Kurul tarafından tavsiye edilmektedir. Şöyle ki:

Kriter A: Çerezin yalnızca, iletişimin elektronik haberleşme şebekesi aracılığıyla sağlanması nedeniyle kullanılması

Kriter B: Çerez kullanımının, abonenin veya kullanıcıların hizmetten yararlanmak için doğrudan talep etmiş olduğu bilgilerin toplum hizmetleri için kesinlikle gerekli olması

6698 sayılı kanun kapsamında çerezler bakımından kişisel veri işleme şartları şunlardır;

- Veri sorumlusunun açık rızasının bulunması ya da

- Veri sorumlusu tarafından çerezler vasıtasıyla kişisel veri işleme faaliyeti özelinde yapacağı bir takım değerlendirmeler sonucunda, yasa kapsamında 5’inci ve/veya 6’ncı maddelerinde sayılmış olan diğer veri işleme koşullarını da göz önünde bulundurması gerekmektedir.

6698 sayılı kanunun 5’inci ve/veya 6’ncı maddelerde yer alan kişisel verilerin işlenmesi koşullarının uygulanması kapsamında, veri işlemenin Kanun’da yer alan açık rıza dışındaki hallerinden birine dayanması durumunda bu halde ilgili kişiden açık rızasının alınmasına gerek yoktur. Veri sorumlusu öncelikle kişisel verileri işleme amacının faaliyetinin açık rıza dışında yer alan diğer işleme şartlarından herhangi birine dayanıp dayanmadığını değerlendirmeli ve eğer bu amaç yasada bulunan açık rıza dışında bulunan diğer koşullardan hiçbirini karşılamıyorsa, bu durumda veri işleme faaliyeti ilgili kişinin açık rızasına dayanmalıdır.

6698 sayılı yasanın 5’inci maddesi ikinci fıkrası (f) bendinde bulunan “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması[1]” işleme koşuluna dayanılması halinde, Kriter A ve B’nin kapsamı da göz önünde bulundurularak kişiye ait temel hak ve özgürlükleri ile veri sorumlusunun meşru menfaatinin kıyaslanması koşuluyla bir denge testi yapılmasıyla meşru menfaatin varolduğunun değerlendirilmesi tavsiye edilir[2].

Örnek verilecek olursa eğer bir internet sitesinde yük dengeleme çerezi kullanılması yoluyla, tek bir makine yerine bir makine havuzu üzerinden web sunucusu isteklerinin dağıtılması mümkün olup kullanıcılardan gelen web talepleri ise bir yük dengeleme ağ geçidine yönlendirilerek bu talep havuzdaki uygun durumda olan iç sunuculara iletilir. Bu kapsamda kullanıcıların taleplerinin uygun olan şekilde yeniden yönlendirilmesi sebebinin Kriter A kapsamında değerlendirilmesi imkan dahilinde olup veri sorumluları tarafından bu sebeple çerez kullanılması suretiyle kişisel veri işlenmesinde, “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” işleme koşuluna gidilebileceği düşünülmektedir. Bu işleme şartına dayanılarak kişisel veri işlenmiş olması hâlinde, ilgili kişilerin temel hak ve özgürlükleri açısından da herhangi bir tehlikenin varlığının söz konusu olmaması gerekmektedir.

Yine, bir kimse tarafından bir e-ticaret sitesine ait ürün sepetine seçmiş olduğu bir ürünü eklemesi kapsamında çerezler aracılığıyla kişisel verilerinin işlenmesi hâlinde, bir satış sözleşmesinin kurulması veya edimi ile 6698 sayılı Kanun’un 5’inci maddesinin ikinci fıkrasının (c) bendine dayanılması gündeme gelebilecektir. Söz konusu maddede “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” hususu açıkça belirtilmiştir.

[2]https://www.kvkk.gov.tr/Icerik/5434/2019-78

Kişisel Verilerin Korunması Kanunu ve Çerez Uygulamaları-II

6698 sayılı Kanun kapsamında, çerezlere dair dikkate alınması gereken kuralları genel bir çerçevede belirleyecek olursak eğer, veri sorumluları tarafından çerezler vasıtasıyla kişisel veri işlenmesinde aşağıda belirtilmiş olan kriterleri göz önünde bulundurmaları Kurul tarafından tavsiye edilmektedir. 

Genel olarak bir tanımını yapacak olursak eğer çerez, internet sitesi operatörleri tarafından kullanıcıya ait cihaza yerleştirilen bir tür metin dosyası olup HTTP(S)  (Hiper Metin Transferi Protokolü) talebinin bir parçası olarak aktarılır. HTTP ise internet sitelerine bağlanmayı sağlayan bir protokoldür. HTTPS’te ise, HTTP paketi güvenli bir kanal üzerinden iletilir. Bir başka tanıma göre ise çerezler, bir internet sayfası ziyaret edildiği zaman kullanıcılara ait birtakım bilgilerin kullanıcıların terminal cihazlarında depolanmasına izin veren düşük boyutlu zengin metin biçimli text formatlarıdır şeklinde tanımlanmaktadır.

Çerez türlerinin neler olduğunu hangi verilerimizi hangi çerez ile rızamız dahilinde muhafaza edildiğini bilmemiz açısından önem arz etmektedir.Bu nedenle çerez türleri; sürelerine göre, kullanım amaçlarına göre ve taraflarına göre olmak üzere üçe ayrılmaktadırlar. Sürelerine göre çerezler de kendi içerisinde ikiye ayrılmakta olup oturum çerezleri ve kalıcı çerezdir. Oturum çerezleri; Geçici çerez olarak da adlandırılan oturum çerezi, mevcut oturumun devamlılığının sağlanması amacıyla kullanılmaktadır. Kullanıcı internet tarayıcısını kapattığı zaman geçici olan oturum çerezleri de beraberinde silinmektedir. Kalıcı çerezler ise; internet tarayıcısı kapandığında da silinmeyen, belirli bir zamanda veya belirli bir süre sonra kendiliğinden silinmektedir. Bu çerez vasıtasıyla kullanıcı, ziyaret etmiş olduğu bir internet sitesi her ziyaret ettiğinde kullanıcıya ait işlenen verileri sunucuya iletilmektedir. Bu sebeple, kalıcı çerezler bazen izleme çerezleri olarak da isimlendirilmektedir.

Kullanım amaçlarına göre çerezler de kendi içlerinde 4’e ayrılmaktadır; Kesinlikle Gerekli Çerezler (Zorunlu Çerezler); İnternet sitesinin çalışması için gerekli olan çerezlerdir. Söz konusu çerezler kullanıcı tarafından talep edilmiş olan bir bilgi toplumu hizmetinin (gizlilik tercihlerinin hatırlanması, form doldurma, log-in olma gibi) yerine getirilebilmesi açısından zorunlu olarak kullanılmaktadırlar. Genel kapsamda açık rıza dışındaki işleme şartlarına gidilen çerezler türleri olarak değerlendirilebilirler. Zorunlu çerezlerin engellenmesi yada izin verilmemesi durumda, söz konusu internet sitesinin bir takım hizmetleri sağlayamayacak ve bazı bölümleri çalışmayacak olup bu çerezler pazarlama amacıyla kullanılmamalıdırlar. İşlevsel Çerezler; web sitesi yahut uygulamalarda kullanılan kişiselleştirmek için ve tercihlerin unutulmaması ve hatırlanması için kullanılan çerezlerdir. Bu çerezler zorunlu çerezler dışında kalan fonksiyonları ve işlevsellikleri sağlamak için kullanılmaktadır. İlgili kişinin bir bilgi toplum hizmetini açıkça talep ettiğinin açıkça bulunmadığı durumlarda ilgili kişinin açık rızasına dayanılması gerekmektedir. Performans- Analitik Çerezler;İnternet sitelerinde, siteyi kullananların davranışlarını analiz etmek için istatistiki ölçümüne imkân sunan çerezlerdir. Bu çerezler, sitenin daha iyi olabilmesi için sürekli kullanılmakta olup bu duruma reklamların ilgili kişiler üzerinde olan etkilerinin ölçümü de dâhildir. İnternet sitesi sahipleri yönünden, siteyi ziyaret edenlerin sayılarını tahmin etmek, bir internet sayfasına götüren en önemli arama motoru anahtar kelimelerini tespit etmek veya internet sitesinde gezinme durumunu izlemek için kullanılmaktadırlar. Reklam/Pazarlama Çerezleri; bu çerezler ile internet ortamında kullanıcıların yapmış oldukları çevrim içi hareketleri takip edilerek, izleyerek kişisel ilgi alanlarını belirleyip belirlemiş oldukları bu ilgi alanları hakkında internet ortamında kullanıcılara reklam gösterilmesi hedeflenmektedirler. İnternet ortamında bu kadar reklam türü bulunmasına rağmen en çok tercih edilen reklam türünün çevrim içi davranışsal reklamcılık olmasının asıl sebebi kişilerin eğilimlerine, tercihlerine göre reklam yapılabilmesi ve reklam veren açısından zaman ve maddi kaynakların daha verimli kullanılabilmesidir. Çevrim içi davranışsal reklamcılık uygulamaları; kişilerin internette bulunmuş oldukları süre boyunca yaptıkları faaliyetlerinin izlenmesi ve bu faaliyetlerin analiz edilerek profil haline getirilmesi, profilleme yapılan kişinin de uygun reklamlarla eşleştirilmesi yapılarak yapılan bu eşleştirme neticesinde söz konusu reklamların ilgili kişiye gösterilmesi aşamalarından oluşmaktadır.

Taraflarına Göre Çerezler ise birinci taraf ya da üçüncü taraf olması durumu, yani internet sayfası ya da etki alanı yerleştirdiği çereze göre değişiklik göstermektedir. Birinci taraf çerezler, doğrudan kullanıcı tarafından ziyaret etmiş olduğu internet sayfası yani tarayıcının adres çubuğunda gösterilen URL (ornek.com.tr) tarafından yerleştirilmektedir. Üçüncü taraf çerezlerse kullanıcı tarafından ziyaret etmiş olduğu internet sitesinden (ya da etki alanından) farklı bir kimse tarafından yani üçüncü bir kişi tarafından yerleştirilmektedir[1].

Kişisel Verilerin Korunması Kanunu ve Çerez Uygulamaları-I

Genel olarak bir tanımını yapacak olursak eğer çerez, internet sitesi operatörleri tarafından kullanıcıya ait cihaza yerleştirilen bir tür metin dosyası olup HTTP(S)  (Hiper Metin Transferi Protokolü) talebinin bir parçası olarak aktarılır. HTTP ise internet sitelerine bağlanmayı sağlayan bir protokoldür. HTTPS’te ise, HTTP paketi güvenli bir kanal üzerinden iletilir. 