Bir Tasarruf Finansman Şirketi Tarafından İlgili Kişinin Cep Telefonu Numarasının Herhangi Bir Veri İşleme Şartına Dayanmaksızın İşlenmesi Ve İlgili Numaraya Reklam İçerikli Sms Gönderilmesi
Kişisel Verileri Koruma Kurulunun 10.02.2022 tarihinde 2022/107 sayılı kararı “Bir Tasarruf Finansman Şirketi Tarafından İlgili Kişinin Cep Telefonu Numarasının Herhangi Bir Veri İşleme Şartına Dayanmaksızın İşlenmesi Ve İlgili Numaraya Reklam İçerikli Sms Gönderilmesi” hakkında karar olup söz konusu karar aynı zamanda resmi web sitesinde de söz konusu karar özeti paylaşılmıştır[1].
Söz konusu kararda ilgili kişi tarafından Kuruma yapmış olduğu şikayet başvurusunda; veri sorumlusu tarafından tasarruf finansman şirketince kendisine birkaç defa kısa mesaj gönderilmiş olduğunu, bundan dolayı ilgili kişi tarafından kişisel verisi niteliğindeki cep telefonu numarasının açık rızası olmadan ne şekilde elde edildiği, nasıl ve hangi amaçla işlendiğine dair bilgi edinmek maksadıyla veri sorumlusuna başvuruda bulunduğunu, veri sorumlusu tarafından da kendisine verilmiş olan cevapta özetle İleti Yönetim Sistemi (İYS) adı verilen sisteme kayıtlı kurumsal bir firma olduğundan dolayı, bu sisteme üyelerin rızası dahilinde veri girişi yapılmış olduğunu, istenildiği zaman İYS sisteminden çıkabileceğinin, söz konusu mesaj içeriğinde ret imkanının bulunmuş olduğundan ve sistemde kayıtlı ilgili kişiye ait telefon numarasının SMS gönderimine kapatılabildiğini belirtildiği, veri sorumlusu tarafından verilen cevapta belirtilmiş olduğunun aksine ilgili kişi tarafından İYS aracılığıyla veri sorumlusuna herhangi bir açık rıza veya onay verilmediği, ilgili kişinin kişisel verilerinin nasıl, hangi amaçlarla işlendiği ve kişisel verilerinin açık rızası olmadan işlenmesi konularında yeterli cevap alamamasından dolayı ve kişisel veri güvenliğinin sağlanması konusunda yükümlülüğünün yerine getirilmemiş olması nedeniyle kişisel verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırı olarak işlenmiş olduğunu ifade edilerek şirket hakkında Kanun kapsamında gereğinin yapılması konusunda talepte bulunmuştur.
Konuya ilişkin başlatılan inceleme kapsamında veri sorumlusundan yapılan başvuya ilişkin savunmada bulunması istenilmiş olup alınan cevap özetle;
İYS sistemine bildirdiği kayıtlar arasında ilgili kişinin telefon numarasına ilişkin kaydın da bulunduğu, ilgili kişinin anılan Yönetmelik[2]’te belirtilen 16.01.2021 tarihine kadar İYS üzerinden veya ayrı bir kanaldan şirkete bildirdiği aksi yönde bir beyanının veri sorumlusu tarafından tespit edilemediği, bu durumda Yönetmelik uyarınca ilgili kişi tarafından verilmiş bu tarihten önceki onayın geçerli sayıldığı,
Yönetmelik’in söz konusu geçici maddesi uyarınca şirkete tanınmış olan istisna düzenlemesine göre 16.01.2021 tarihine kadar bu izni kaldırdığını ispat yükünün ilgili kişinin üzerinde kaldığı,
Yönetmelik hükümlerine uygun olarak ilgili kişinin cep telefonu numarasının ticari ileti gönderilmek amacıyla “kanunlarda açıkça öngörülmesi”[3] işleme şartına dayalı olarak işlendiği,
Şirket gibi hizmet sağlayıcılara ticari iletişime ilişkin kayıtları 3 yıl süreyle saklama yükümlülüğü getirildiği[4],
Şirketin, ilgili kişiden gelen talep üzerine yalnızca SMS gönderim faaliyetine son vermiş olduğunu, bunu da ilgili kişiye verdiği cevabında açıkça belirtmiş olduğu,
İlgili kişinin kayıtlarına bakıldığında kendisinin şirkete başvurduğu tarihte henüz SMS ret talebinde bulunmadığı, ilgili kişinin Kuruma şikayette bulunduktan sonra dahi SMS onayı olduğunun görüldüğü, ilgili kişi tarafından verilen onaya ilişkin retlerin sonraki tarihte sisteme girildiğine ilişkin ifade de bulunmuştur.
Kurul tarafından yapılan inceleme ve değerlendirme neticesinde 10.02.2022 tarih ve 2022/107 sayılı kararı şöyledir;
Somut olay içerisinde, veri sorumlusu tarafından sunulan bilgi ve belgeler kapsamında İYS sistemine kaydının yapılmasına temel olabilecek nitelikte ilgili kişinin veri sorumlusu ile bir ilişkisinin olduğuna ilişkin herhengi bir husus tespit edilemediği veya veri sorumlusu tarafından ilgili kişinin kişisel verisinin işlenmesi hakkında açık rızasının olduğunun tevsik edilemediği dikkate alındığında, Kanun’un 12’nci maddesinin (1) numaralı fıkrası çerçevesinde gerekli teknik ve idari tedbirlerin alınmamış olduğu kanaatine varılan; veri sorumlusu hakkında Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 75.000 TL idari para cezası uygulanmasına,
Hukuka aykırı işlendiği tespit edilmiş olan söz konusu kişisel verinin, başka bir işleme sebebinin bulunmamış olması halinde, Kanun’un 7’nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun şekilde imha ederek sonucundan Kurula bilgi vermesi hususunda veri sorumlusunun talimatlandırılmasına,
İlgili kişinin şikâyetinde belirttiği, veri sorumlusunun kişisel verilerinin güvenliğinin sağlanması konusundaki yükümlülüklerini yerine getirmediği iddialarının Kanun’un 11’inci maddesi kapsamında olmadığı dikkate alındığında bu hususta Kanun kapsamında yapılacak bir işlem olmadığı yönünde karar vermiştir.
[1] https://kvkk.gov.tr/Icerik/7557/2022-107
[2] 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (6563 sayılı Kanun) uyarınca çıkarılan Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’in (Yönetmelik) Geçici 2’nci maddesinin (1) ve (2) numaralı fıkraları
[3] 6698 sayılı Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (a) bendi
[4] Yönetmelik’in 13’üncü maddesinin (2) numaralı fıkrası