WhatsApp ihlali kişisel veri güvenliğinde yeni bir dönem başlatacak

WhatsApp, Statista'nın verilerine göre  aylık 2 milyar aktif kullanıcı ile dünyanın 1 numaralı mesajlaşma uygulaması. Milyarlarca kişinin özel haberleşme için kullandığı uygulama, 2014 yılından itibaren Facebook çatısı altında faaliyetlerini yürütüyor.

Bu yılın başında Hizmet Koşulları ve Gizlilik İlkeleri Metinlerini güncelleyen WhatsApp, bu kapsamda WhatsApp kullanıcılarının, kişisel verilerinin işleneceğine ve Facebook Inc dahil olmak üzere üçüncü kişilerle paylaşılacağına açık rıza vermesi gerektiğini açıkladı. İzin vermeyenlerin de uygulamayı kullanamayacağını belirtti. 4 Ocak 2021 tarihinde açıklanan ve kullanıcıların tepkisine neden olan bu karar üzerine 12 Ocak 2021 tarihinde Kişisel Verileri Koruma Kurulu harekete geçerek bir inceleme başlattı.

Kurul yurt dışına veri aktarımı ve açık rızanın alınma koşullarını değerlendirirken, WhatsApp’in savunmasını alarak Hizmet Koşulları ve Gizlilik İlkesi metinlerini inceledi. Kurul geçtiğimiz günlerde kararını açıkladı ve WhatsApp’e kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almadığı gerekçesiyle 1 milyon 950 bin TL idari para cezası verdi.

“BİRÇOK İHLAL VAR”

Alınan Kurul kararlarını özellikle kişisel verilerin korunmasına yönelik hassasiyetin arttığı bir dönemde önemli bir gelişme olarak değerlendiren YAK Avukatlık Ortakları Hande Yayla Oğuzülgen, Buket Altufan Ulu ve Özge Konukçu, kurul kararının detaylarını ve hukuki açıdan taşıdığı önemi şöyle anlattı:

“Kurul kararına göre WhatsApp’in bu güncelleme kapsamında yaptığı birçok ihlal yer alıyor.

Açık rızanın sözleşme olarak tanımlanan Hizmet Koşulları içine yedirilerek uygulamanın kullanılması için ön şart olarak ileri sürüldüğünü, böylece kişisel verilerin işlenmesi ve yurt dışına aktarımına dair ayrı ayrı değil tek bir açık rızanın alınmış olduğunu belirten Kurul, kişisel veri işleme ve aktarım faaliyetlerinin tek metinde kullanıcılara sunulmasıyla da açık rızanın özgür iradeyle açıklanması unsurunun zarar gördüğüne dikkat çekiyor.

“KİŞİLERİN ÇIKARLARI GÖZETİLMEDİ”

Kişisel verilerin aktarımına ilişkin kısımların kullanıcı ile müzakereye kapalı olduğunun altını çizen Kurul, ilgili kişilerin çıkarlarının gözetilmediğini ve bunun hukuka ve dürüstlük kurallarına aykırı olduğunu belirtiyor.
İşlenen kişisel verilerin amaçla orantılı ve sınırlı olmadığını, hangi amaçla aktarım yapıldığının metinlerde açık bir şekilde belirtilmediği de Kurul kararında ortaya koyuluyor.

WhatsApp’in, Türkiye’de sunucuları bulunmadığı takdirde, kişisel verilere ilişkin kaydetme, depolama ve diğer faaliyetlerinin yurt dışına aktarım anlamına geldiğini ancak WhatsApp’in yurt dışına aktarım faaliyetleri için açık rızaya başvurmadığını ve Kurul’a taahhütname başvurusunda da bulunmadığını bu karardan öğreniyoruz.

Ayrıca çerezler aracılığıyla yapılan kişisel veri işleme faaliyetine ilişkin açık rıza alınmadığını tespit eden Kurul, Hizmet Koşulları ve Gizlilik İlkesi metinlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) uygun olarak üç ay içinde güncellenmesi ve KVKK ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliği hükümlerine uygun bir aydınlatmanın yapılması yönünde WhatsApp’e talimat verdi.

Biz de hukukçular olarak bu kararları kişisel verilerin korunması adına önemli bir gelişme olarak değerlendiriyor, önümüzdeki süreçte kişisel verilerin güvenliği açısından yeni ve hassas bir dönemin başlayacağına inanıyoruz.” 

 Kurul kamuoyu duyurusunun tam metnine “https://www.kvkk.gov.tr/Icerik/7045/WHATSAPPUYGULAMASI-

HAKKINDA