Whatsapp’ın Yeni Gizlilik Politikasının İncelenmesi ve Kişisel Verilerin Korunması Kanunu Yönünden Değerlendirilmesi

WhatsApp’ın yeni Gizlilik Politikası Neler İçeriyor? Politika’yı kabul etmemiz halinde mesaj içeriklerimiz okunacak mı ve Facebook Şirketleri ile paylaşılacak mı?

Her ne kadar kamuoyunda bu yönde bir algı oluşmuşsa da WhatsApp’ın yeni Gizlilik Politikası’nda (“Politika”) mesajlarımızın içeriğinin okunacağına ve üçüncü kişilerle paylaşılacağına dair herhangi bir hüküm bulunmamaktadır. Bu hususta Politikada yer alan hükümlere göre WhatsApp; mesaj içeriklerimizi okuyamaz, saklayamaz ve kimseyle paylaşamaz. WhatsApp’ta mesajlarımız uçtan uca şifreleme yöntemi ile korunmaktadır. Bunun anlamı, Whatsapp tarafından mesajlarımızın şifrelenmiş olarak karşı tarafa iletileceği ve iletilmesinin ardından da sunucularından silineceğidir. Lakin internet bağlantısının olmaması vb. sebeplerle mesajımız karşı tarafa iletilemediğinde, mesaj içeriğimiz WhatsApp tarafından maksimum 30 gün süreyle şifrelenmiş olarak saklanır ve 30 günün sonunda hala karşı tarafa iletilmemesi halinde mesajlarımız silinir. Bununla birlikte mesajlarımızın içeriğinde medya olması halinde ise, medyanın tekrar iletilebilmesi noktasındaki verimliliğin sağlanması amacıyla medya içeriğimiz yine şifrelenmiş şekilde geçici olarak saklanır ve sonrasında ise silinir.

Nitekim Politikada yer alan “Topladığımız Bilgiler” başlığı altındaki hükmün “Mesajlar” başlıklı kısmı aynen: “Hizmetlerimizi size sunmak üzere izlediğimiz olağan iş akışında mesajlarınızı saklamayız. Mesajlarınız (sohbetleriniz, fotoğraflarınız, videolarınız, sesli mesajlarınız, dosyalarınız ve konum paylaşım bilgileriniz dahil) teslim edildikten sonra sunucularımızdan silinir. Mesajlarınız kendi cihazınızda saklanır. Gönderdiğiniz bir mesaj çevrimdışı olmanız gibi bir sebepten ötürü hemen teslim edilemezse mesajı en fazla 30 gün boyunca sunucularımızda tutabiliriz ve bu süre içinde mesajı teslim etmeye çalışırız. 30 günden sonra hâlâ teslim edilmemişse bu mesajı sileriz. Pek çok kişinin popüler bir fotoğrafı veya videoyu paylaşması gibi durumlarda performansı iyileştirmek ve medya mesajlarını daha verimli bir şekilde iletmek amacıyla bu içerikleri sunucularımızda daha uzun bir süre boyunca tutabiliriz. Ayrıca, mesajlaştığınız kişiler ve siz uygulamamızın 2 Nisan 2016’dan sonra kullanıma sunulmuş sürümlerinden birini kullanıyorsanız Hizmetlerimizde uçtan uca şifreleme işlevini sunarız. Bu işlev, varsayılan olarak açık durumdadır. Uçtan uca şifreleme hem bizim hem de üçüncü tarafların okumasını önlemek amacıyla mesajlarınızın şifrelendiği anlamına gelir.”^[1] şeklindedir.

Bu sebeple kamuoyunda oluşan yeni Politikayı onaylamamız ile tüm mesaj ve medya içeriklerimize erişilebileceği ve paylaşılabileceği konusundaki kamuoyunda oluşan algı doğru değildir.

Yeni Gizlilik Politikası ile birlikte WhatsApp hangi amaçlar doğrultusunda hangi bilgilerimizi saklar ve Facebook Şirketleri ile paylaşabilir?

Politikaya göre WhatsApp; başlıca hizmetlerinin yürütülmesi, sağlanması, iyileştirilmesi, anlaşılması, özelleştirilmesi, desteklenmesi ve pazarlanması amaçlarıyla bazı bilgilerimizi toplamakta, saklamakta ve Facebook Şirketleri ile paylaşmaktadır.

Bu noktadaki başlıca bilgilerimizi; hesap bilgilerimiz (cep telefonu numarası, fotoğraf vb), rehberimizdeki telefon numaraları, durum bilgimiz, WhatsApp uygulaması üzerinden ödeme gerçekleştiriyor isek ödeme bilgilerimiz, uygulamayı kullanım bilgilerimiz (çevrimiçi, son görülme vb), konum bilgilerimiz, cihaz ve bağlantı bilgilerimiz (cihaz modeli, IP bilgisi vb.) ve çerez bilgilerimiz olarak sayabiliriz.

WhatsApp, bahsi geçen bilgilerimizi Facebook Şirketleri ile paylaşamaya yeni Politikanın onaylanmasıyla birlikte mi başlayacak?

WhatsApp Inc., 2014’te Facebook Şirketleri’ne katılmış olup 2016’da yayınladığı Gizlilik Politikası ile yukarıda toplandığı ve saklandığı sayılmış olan başlıca bilgilerimizi Facebook Şirketleri ile paylaşabileceğini duyurmuştu.^[2] Bu politikayı onaylamamızla birlikte bu bilgilerimiz, bahsi geçen tarihten beri zaten Facebook Şirketleri ile paylaşılmakta olup bu durum yeni Gizlilik Politikası ile yapılan bir değişiklik değildir.

O halde yeni Politika yayınlanmasıyla doğan tartışmanın nedeni nedir? Kişisel verilerimizin Facebook Şirketleri ile bu şekilde paylaşılması, Kişisel Verilerin Korunması Kanunu’na uygun mudur?

Yukarıda da belirtildiği üzere WhatsApp topladığı bazı kişisel verilerimizi zaten 2016 yılından beri Facebook Şirketleri ile paylaşmaktadır. Lakin 2016 yılındaki Gizlilik Politikası yayınlandığında, kullanıcılarına bu aktarımı kabul etme veya reddetme seçeneği sunulmuş iken yeni Gizlilik Politikası’nda ise kullanıcılarına bu aktarımı kabul etme veya reddetme gibi bir seçenek sunulmamaktadır. Ayrıca Politikanın kabul edilmemesi halinde de 8 Şubat 2021 tarihinden itibaren WhatsApp’ın kullanılamayacağı bildiriliyor. Dolayısıyla gündemdeki hukuki tartışmaların ana kaynağının ve tartışılması gereken konunun bu olduğu belirtilebilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun^[3] (“Kanun”) 5/1.^[4] ve 8/1.^[5] maddelerine göre; kişisel verilerin işlenmesi ve üçüncü kişilere aktarılması, Kanunda belirtilen istisnalar haricinde ilgili veri sahibinin açık rızasına tabidir.

Bu noktada öncelikle WhatsApp’ın kişisel verileri Facebook Şirketleri ile paylaşma amaçlarının Kanunda sayılan açık rıza şartını ortadan kaldıran istisnalardan birine dahil olup olmadığına bakılmalıdır. Bu doğrultuda da öncelikle Politikada paylaşım ilkesinin belirlendiği madde incelenmelidir.

WhatsApp’ın yeni Politikasında bilgi paylaşımına ilişkin pek çok ilke bulunmaktadır. Ancak paylaşımın amaçları “Diğer Facebook Şirketleri ile Nasıl Çalışırız” başlığı altında yer alan:

“Facebook Şirketlerinin bir parçası olan WhatsApp, diğer Facebook Şirketlerinden bilgi alır ve bu şirketlerle bilgi paylaşımında bulunur. Hizmetlerimizin ve Facebook Şirketi Ürünleri dahil bu şirketlerin sunduğu olanakların yürütülmesi, sunulması, iyileştirilmesi, anlaşılması, özelleştirilmesi, desteklenmesi ve pazarlanması amacıyla bu şirketlerden aldığımız bilgileri kullanabiliriz ve bu şirketler de bizim onlarla paylaştığımız bilgileri kullanabilirler.

Bu amaçlar şunları içerir:

Altyapının ve dağıtım sistemlerinin iyileştirilmesine yardımcı olmak,

Hizmetlerimizin veya onların hizmetlerinin nasıl kullanıldığını anlamak,

Facebook Şirketi Ürünleri genelinde emniyeti, güvenliği ve bütünlüğü artırmak; örneğin sistemleri güvence altına almak ve spam, tehditler, kötüye kullanım veya ihlal faaliyetleriyle mücadele etmek,

Onların hizmetlerini ve sizin bunları kullanma deneyiminizi iyileştirmek, örneğin sizin için önerilerde bulunmak (ör. arkadaşlar, grup bağlantıları veya ilginç içeriklerle ilgili öneriler), özellikleri ve içeriği kişiselleştirmek, satın alımları ve işlemleri tamamlamanıza yardımcı olmak ve Facebook Şirketi Ürünleri genelinde ilgili teklifler ve reklamlar göstermek ve WhatsApp deneyimlerinizi diğer Facebook Şirketi Ürünleri ile birleştirmenizi sağlayan entegrasyonlar sağlamak. Örneğin, WhatsApp’ta satın aldıklarınız için ödeme yapmak üzere Facebook Pay hesabınızı bağlamanıza imkan vermek veya WhatsApp hesabınızı bağlayarak arkadaşlarınızla Portal gibi diğer Facebook Şirketi Ürünleri üzerinden sohbet etmenize olanak sağlamak” şeklinde belirlenmiştir.

Bu doğrultuda Politikada belirlenen söz konusu amaçların açık rızaya istisna kapsamında değerlendirilebilecek herhangi bir hukuki sebebe dayanıp dayanmadığı tartışılmalıdır.

Kişisel verilerin aktarımına ilişkin açık rıza ilkesinin istisnaları 6698 sayılı Kanun’un 8/2. Maddesi ile:

“ a) 5 inci maddenin ikinci fıkrasında,
b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.
(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.”

şeklinde belirlenmiştir.

İlgili maddede atıfta bulunulan Kanun’un 5/2. Maddesi ise:

“Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e)Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.”
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” şeklinde belirlenmiştir.

Ancak WhatsApp tarafından işlenen bilgilerimizin Facebook Şirketleri ile paylaşılmasının, şirket merkezlerinin yurt dışında bulunması sebebiyle yurt dışına aktarım olduğu kabul edileceğinden ayrıca bu hususunda incelenmesi gerekmektedir. Nitekim kişisel verilerin yurt dışına aktarımı hususu Kanun’un 9. Maddesinde aşağıdaki gibi hüküm altına alınmıştır:

“ (1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.
(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması,
kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.
(3) Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir.” hükmünü haizdir.

Bu durumda yurt dışına aktarım hususunda Kanun’da ikili bir yöntem ile öngörmektedir. İlk olarak ancak ilgili kişilerden aktarıma ilişkin açık rıza alınması yoluyla yurt dışına veri aktarımı yapılması mümkündür. İstisnai olan ikinci durumda ise yukarıda belirtilen 5/2 ve özel nitelikli kişisel verileri için 6/3 üncü madde de (somut durum açısından özel nitelikli kişisel veri söz konusu olmadığından bu konu kapsam dışı bırakılmıştır.^[6]) yer alan şartlardan birinin varlığı halinde ve kurulun izni ile veya kurul tarafından ilan edilen güvenli ülkelere veri aktarımı yapılabilecektir. Öte yandan Kurul tarafından ise henüz güvenli ülkeler ilan edilmemiştir^[7]. Bu durumda hem yurtiçi hem de yurt dışı veri aktarımı için Kanun’da yer alan istisna hallerinden birinin bulunup bulunmadığının incelenmesi gerekmektedir.

Somut durumda WhatsApp’ın Facebook Şirketleri ile kullanıcıların bahsi geçen kişisel verilerini paylaşmasını koruma altına alan herhangi bir kanun hükmü mevcut olmadığından ilk istisnaya dayanılması mümkün değildir. Fiili imkânsızlık durumu, bir hakkın tesisi istisnaları da aynı şekilde somut olaya uygulanabilir değildir.

İlgili kişinin kendisi tarafından alenileştirilmiş olması ilkesi incelendiğinde ise kişilerin WhatsApp uygulaması kullanmaya başlarken bazı kişisel verilerini kendi rızası ile uygulamaya sunması sebebiyle alenileştirmenin mevcut olup olmadığı sorusu gündeme gelecektir. Ancak Kurulun ilke kararında^[8] ve tavsiye metinlerinde^[9] pek çok kez ifade ettiği üzere, alenileştirme ilkesi ancak alenileştirmenin amacı ile sınırlı ölçüde geçerli olabilecek bir istisnadır^[10]. Kişilerin WhatsApp uygulamasını kullanabilmek için sunduğu bilgilerin sınırı da uygulamanın kullanımı ve uygulamanın sunduğu hizmetlerden yararlanabilme amacıyla sınırlıdır. Uygulama Facebook Şirketleri’nin diğer yazılım ve programlarıyla zorunlu bir entegrasyon içerisinde bulunmadığından ve uygulamanın kullanımı için bu yönde bir zorunluluk hasıl olmadığından kişi yalnızca bahsi geçen bilgilerini WhatsApp uygulamasını kullanabilme amacıyla alenileştirmektedir. Bu doğrultuda kişisel verilerini sunan ilgili kişinin, bilgilerini tüm Facebook Şirketleri nezdinde alenileştirme amacı bulunmadığından somut durumun bu istisna kapsamında da değerlendirilemeyeceği kanaatindeyiz.

Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması istisnaları bakımından inceleme yapıldığında ise ortak bir soru ortaya çıkmaktadır. Söz konusu soru, WhatsApp uygulamasının sözleşme ile sunmayı vaat ettiği hizmetleri sunabilmesi için topladığı kişisel verileri Facebook Şirketler Grubu ile paylaşması zorunluluk arz etmekte olup olmadığıdır. Bu doğrultuda WhatsApp uygulamasının kişisel veri toplaması ve bu verileri bizzat kendisi işlemesi sözleşme gereği vaat ettiği hizmetleri sunabilmesi adına zorunluluk arz ettiğinden bu hallere dayanarak hizmetin amacı ile doğrudan bağlantılı ve sınırları belirlenmiş olmak kaydıyla istisna kapsamında kişisel veri toplamasının mümkün olduğu savunulabilecektir. Ancak söz konusu hizmetleri sunabilmesi için kişisel verileri aktarması gerekip gerekmediği hususu ise bu denli açık değildir. Bu noktada yukarıda yer verilen veri aktarım amaçları arasında yer alan: “Facebook Şirketi Ürünleri genelinde emniyeti, güvenliği ve bütünlüğü artırmak” ve “WhatsApp deneyimlerinizi diğer Facebook Şirketi Ürünleri ile birleştirmenizi sağlayan entegrasyonlar sağlamak.” amaçlarının tartışılması gerekmektedir. Hizmet emniyeti ve güvenliği, büyük oranda bu alanda uzmanlık ve teknik bilgi gerektiren bir husus ise de hukuki açıdan incelendiğinde dikkat edilmesi gereken aktarımı yapılacak kişisel verilerin hizmet güvenliğini artırmaya doğrudan katkı sağlayıp sağlamayacağı veya söz konusu güvenliği sağlanması için kişisel veri aktarımının zorunlu olup olmadığıdır. Bu doğrultuda hizmet güvenliğinin sağlanması ile kişisel veri aktarımı yapılması arasında doğrudan bir bağlantı bulunmadığı, zorunluluk unsurunun sağlanmadığı kanaatindeyiz. Diğer yandan uygulamanın Facebook Şirketler Grubu’nun diğer ürünleriyle entregrasyonun sağlanması amacı da açık rıza şartını ortadan kaldırabilecek nitelikte açık bir zorunluluk arz etmektedir. Pek tabi kullanıcıya entegrasyon seçeneğini talep edip etmediğine yönelik bir seçim hakkı sunularak bu yönde bir açık rıza vermesi halinde kullanıcının bu hizmetten yararlanmasının sağlanması mümkündür.

Tüm bu açıklamalar ışığında WhatApp uygulamasının topladığı kişisel verileri Kanun’un bahsi geçen hükmünde yer alan istisna haller kapsamında ilgili kişinin açık rızasını almaksızın aktarmasının mümkün olmadığı ve bu şekilde yapılacak bir aktarım fiilinin hukuka aykırı olacağı kanaatindeyiz.

WhatsApp Uygulamasının Bir Bütün Halinde Onay Talep Ettiği Politika ve Hizmetin Kullanımının Bu Onaya Bağlanması Kişisel Verilerin Korunması Kanunu’na Uygun Mudur?

Yukarıda yapılan incelemeler ışığında; WhatsApp uygulamasının Facebook Şirketleri’ne (grup şirketlerinin yurt içinde ve yurt dışında bulunması önem arz etmeksizin) kişisel veri aktarımı yapabilmesi için ilgili kişiden açık rıza alması zorunluluk arz etmektedir. Her ne kadar WhatsApp Politika’nın onaylanmasıyla birlikte açık rızayı almış olacak ise de bu şekilde talep edilen açık rızanın hukuka uygun olup olmadığının incelenmesi gerekmektedir.

Açık rıza kavramı Kanun’un 3/1(a) hükmünde; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza şeklinde tanımlanmıştır. WhatsApp, yeni Gizlilik Politikası’nı yayınlayarak ilgili kişilerden açık rıza almak istemektedir. İncelememiz doğrultusunda değerlendirildiğinde uygulamanın veri aktarımı sağlayabilmesi için açık rıza talebinde bulunması zorunluluk arz ettiğinden talep bu yönüyle hukuka uygundur. Ancak talebin sunuluş şekli itibariyle hukuka uygun olup olmadığı tartışılmalıdır. Yayınlanan güncel politika ile bir önceki politikanın aksine^[11] WhatsApp tarafından kullanıcılara aktarıma ilişki açık rıza vermemeye dair seçenek sunulmamakta ve Whatsapp uygulamasını kullanmak için Gizlilik Politikası’nın bütünüyle kabul edilmesi zorunlu tutulmaktadır. Kanatimizce bu husus açıkça Kişisel Verileri Koruma Kanunu’na aykırılık teşkil etmektedir. Nitekim yukarıda bahsedildiği üzere Kanun’un açık rıza ilişkin tanımında açıkça belirtildiği üzere açık rıza ancak özgür iradeyle açıklandığı takdirde geçerlilik kazanmaktadır. Kişisel Verileri Koruma Kurulu’nca da çeşitli kararlarında^[12] ve tavsiye metinlerinde açıkça belirttiği üzere: “Açık rızanın özgür irade ile açıklanması gerektiğinden, ilgili kişinin açık rızasının alınması, bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten yararlandırılmasının ön şartı olarak ileri sürülmemelidir.”^[13]. Bu doğrultuda Whatsapp uygulamasının “Gizlilik Politikası”nı tüm kullanıcılarına bir bütün olarak dayatması hukuka aykırıdır.

Diğer yandan yeni Politika ile veri işlemeye ve veri aktarımına tek bir işlemle açık rıza verilmesi talep edilmektedir. Ancak Kurul tarafından tavsiye metinlerinde ifade edildiği üzere açık rızanın her bir işlem için ayrı ayrı alınması gerekmektedir.^[14] Bu sebeple uygulamanın veri işleme ve veri aktarımını tek bir onaya bağlaması kurul kararlarına da aykırılık teşkil etmektedir. Nitekim Kurul’un bu yorumu kanaatimizce de isabetlidir. Somut durum açısından değerlendirildiğinde WhatsApp’ın veri işleme ve veri aktarımına ilişkin açık rızayı tek bir onaya bağlaması hukuka aykırıdır. Öyle ki Kanun’un 4 üncü maddesi ile kişisel veri işlenmesinin genel ilkeleri düzenleme altına alınmıştır. Söz konusu maddeye göre kişisel veriler işlenirken faaliyeti hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun hareket edilmesi zorunludur. Yukarıda izah edildiği üzere WhatsApp’ın kişisel veri işleme faaliyeti belli durumlarda Kanun’da yer alan istisna hükümler kapsamında değerlendirilebilecektir. Bu durumda Kanun gereği işlenebilen bir kişisel veri için açık rıza talep edilmiş olacaktır ki bu durum da açıkça yanıltıcı olacağından, dürüstlük kuralına aykırılık teşkil edecektir.^[15] Diğer yandan Kişisel Verileri Koruma Kurulu’nca bir kararda bir uygulamanın kullanımın açık rıza şartına bağlanması izah ettiğimiz sebeple yanıltıcı, dürüstlük kuralına, hukuka ve veri işlemenin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine aykırılık teşkil edeceği ifade edilmiştir. Bu sebeple her iki yönüyle de WhatsApp’ın veri politikasını bu şekliyle onaya sunması dürüstlük kuralına aykırı olması yönüyle hukuka aykırıdır.

Nitekim Kişisel Verileri Koruma Kurulu’nca yayınlanan 12/01/2021 tarihli kamuoyu duyurusu ile WhatsApp Inc. hakkındaki re’sen inceleme başlatıldığı ifade edilmiş olup tarafımızca da anlatılanlar ışığında işbu karar hukuken isabetlidir.

Kurul’un söz konusu kamuoyu duyurusu aşağıdaki gibidir:

“Kanunun 3 üncü maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmış olup, buna göre açık rızanın üç unsuru bulunmaktadır:

• Belirli bir konuya ilişkin olması,
• Rızanın bilgilendirmeye dayanması,
• Özgür iradeyle açıklanması.

Söz konusu unsurlar açısından değerlendirildiğinde açık rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile hukuka uygun şekilde onay vermesi anlamını taşımaktadır. Açık rızanın bir diğer önemi de veri sorumlusuna, gerçekleştireceği kişisel veri işleme faaliyeti konusunda yol göstermesidir. Kişi açık rıza açıklaması ile aslında veri sorumlusuna kendi hukuksal değerine ilişkin verdiği kararı bildirmiş olmaktadır. Açık rıza, ilgili kişinin işlenmesine izin verdiği verinin sınırlarını, kapsamını, gerçekleştirilme biçimini ve süresini de belirlemesini sağlayabilmektedir. Bu anlamda açık rıza, rıza veren kişinin olumlu irade beyanını içermelidir.

Kişisel verilerin işlenmesine açık rıza vermek, kişiye sıkı sıkıya bağlı bir hak olduğundan verilen açık rıza geri alınabilir. Bu bağlamda kişisel verilerin geleceğini belirleme hakkı ilgili kişiye ait olup, kişi dilediği zaman veri sorumlusuna vermiş olduğu açık rızasını geri alabilir. Ancak, geri alma işlemi ileriye yönelik sonuç doğuracağından, açık rızaya dayalı olarak gerçekleştirilen tüm faaliyetler geri alma beyanının veri sorumlusuna ulaştığı andan itibaren veri sorumlusu tarafından durdurulmalıdır. Bir diğer deyişle, geri alma beyanı veri sorumlusuna ulaştığı andan itibaren hüküm doğurur.

Kişisel verilerin işlenmesinde hukuki sebep olarak “açık rıza”nın belirlenmesinin söz konusu olduğu ve verilen hizmetin açık rıza şartına bağlandığı hususlara ilişkin olarak 2 Ağustos 2018 tarihinde Kurum internet sayfasında, Kişisel Verileri Koruma Kurulunun (Kurul) 16.02.2018 tarihli ve 2018/19 sayılı Kararının özeti yayınlanmıştır. Söz konusu Kurul kararında da belirtildiği üzere, öncelikle kişisel verilerin işlenmesi sırasında ilgili kişilerden alınan açık rıza, veri sorumluları tarafından bir hizmetin ifası için ön şart olarak ileri sürülemeyecektir.

Kanunun 4 üncü maddesi uyarınca kişisel verilerin, hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla ve işlenme amacı ile bağlı, sınırlı ve ölçülü olma ilkelerine uygun olarak işlenmesi, hangi kişisel verilerin işleneceği veya hangi amaçlarla kimlere aktarılacağı hususlarında gerekli bilgilendirmenin yapılmış olması ve her bir işleme/aktarma faaliyetine yönelik seçenek sunulmak suretiyle ayrı ayrı açık rıza alınması gerekmektedir.

Diğer taraftan, Kanunun “Kişisel verilerin yurt dışına aktarılması” başlıklı 9 uncu maddesinde; kişisel verilerin, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı; ancak anılan hükmün ikinci fıkrası uyarınca Kanunun 5 inci maddesinin ikinci fıkrası ile özel nitelikli kişisel veriler bakımından 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul izninin bulunması kaydıyla kişisel verilerin ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceği düzenlenmiştir.

WhatsApp Inc. tarafından, WhatsApp uygulamasını kullanmak isteyen kullanıcıların kişisel verilerinin işlenmesine ve yurtdışında bulunan üçüncü taraflara aktarılmasına rıza verilmesini içerecek şekilde kullanım şartlarının güncellendiği, bu kapsamda rıza vermeyen kullanıcıların uygulamayı kullanamayacağına ve hesaplarının silineceğine dair kullanıcılara bilgilendirme iletildiği tespit edilmiştir.

Söz konusu bilgilendirme metninde yönlendirme yapılan Gizlilik Politikasında ise, hangi verilerin hangi amaçlarla işleneceği ifade edilmekle birlikte, işlenen kişisel verilerin WhatsApp Inc. tarafından yurtdışında yerleşik bulunan hizmet aldığı ve hizmet verdiği Facebook grup şirketleri, tedarikçileri, iş ortakları, hizmet sağlayıcıları ve diğer üçüncü taraf veri sorumluları gibi net olarak belirli olmayan taraflara teknik destek, teslimat ve diğer hizmetleri sağlamak, araştırma yapmak, pazarlama ve anket vb. gibi yine belirli olmayan amaçlarla aktarılacağının ifade edilmekte olduğu görülmektedir.

Kişisel verilerin, yurtdışında yerleşik bir veri sorumlusu olan WhatsApp Inc. tarafından işlenmesine ve yurtdışında yerleşik başka veri sorumlularına aktarılmasına ilişkin açık rıza alınması hususunda yapılan ön değerlendirme sonucunda;

• Kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına yönelik rıza alınması işleminin ayrıştırılmadığı ancak kullanıcıların kişisel verilerinin işlenmesine rıza verirken yurtdışında başka bir veri sorumlusuna aktarılmasına rıza vermeyebileceği dikkate alındığında söz konusu uygulamanın kullanım yaygınlığı da göz önünde bulundurularak bu durumun Kanunda belirlenen açık rızanın unsurlarından “özgür iradeyle açıklanması” açısından bir ihlal oluşturup oluşturmadığı,
• Yurtdışında bulunan başka bir şirkete aktarım yapılmak şartıyla uygulamanın kullanılmasına izin verilmesinin Kanunun 4 üncü maddesinde sayılan ilkelerden “hukuka ve dürüstlük kurallarına uygun olma”, “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkeleri açısından bir ihlale sebebiyet verip vermediği,
• Sunulan hizmetin açık rıza şartına bağlanmış olmasının verilen açık rızayı sakatlayabileceği bu durumun da kişisel verilerin hukuka aykırı işlenmesi sonucunu doğurabileceği dikkate alındığında Whatsapp Inc. tarafından yapılan güncelleme ile hizmetin rıza şartına bağlanması durumunun ortaya çıkıp çıkmadığı,
• WhatsApp Inc. tarafından yurtdışında yerleşik veri sorumlularına yapılacak aktarım hususunda Kanunun 9 uncu maddesi hükümlerine aykırılık olup olmadığı hususları açısından, Kişisel Verileri Koruma Kurulunun 12.01.2021 tarihli ve 2021/28 sayılı Kararı ile WhatsApp Inc. hakkında resen inceleme başlatılmasına karar verilmiştir.“^[16]

Tüm bu açıklamalar ışığında Kurul’un WhatsApp’a yeni Gizlilik Politikası’nı açık rıza yönüyle revize etmesi ve kullanıcılara aktarım hususunda açık rıza verip vermeme konusunda seçenek sunması gerektiği ve Politikanın bu şekilde uygulamaya konulmasında ısrar edilmesi halinde bu uygulamanın hukuka aykırı olacağı ve bu sebeple WhatsApp hakkında yaptırım uygulanacağı yönünde bir karar vermesi oldukça yüksek olasılıktadır. Nitekim bu yönde bir karar verilmesi halinde de kanaatimizce bu karar hukuka uygun olacaktır.

Av. Mustafa ERSİN
Av. Hatice Nur YAYLA

Dipnotlar:

1. Bkz. https://www.whatsapp.com/legal/privacy-policy , Erişim Tarihi: 11/01/2021 [1 no’lu referansa geri dönmek için tıklayınız]
2. Bkz. https://www.whatsapp.com/legal/privacy-policy/revisions/20160825 , Erişim Tarihi: 10/01/2021 [2 no’lu referansa geri dönmek için tıklayınız]
3. Resmi Gazete: 29677, Tarih: 07/04/2016 [3 no’lu referansa geri dönmek için tıklayınız]
4. İlgili hüküm aynen: “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.” şeklindedir. [4 no’lu referansa geri dönmek için tıklayınız]
5. İlgili hüküm aynen: “Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.” şeklindedir. [5 no’lu referansa geri dönmek için tıklayınız]
6. Özel nitelikli kişisel veri tanımına ilişkin bilgi için bkz. KVKK Genel Bilgiler [6 no’lu referansa geri dönmek için tıklayınız]
7. Kurulun bu husustaki yakın tarihli kamuoyu duyurusunu https://www.kvkk.gov.tr/Icerik/6828/YURTDISINA-VERI-AKTARIMI-KAMUOYU-DUYURUSU linkinden inceleyebilirsiniz (Yayın Tarihi: 26/10/2020, Erişim Tarihi: 12/10/2021). [7 no’lu referansa geri dönmek için tıklayınız]
8. Kişisel Verileri Koruma Kurulu, S. 2019/331, T. 07/11/2019, https://kvkk.gov.tr/Icerik/6623/2019-331, Erişim Tarihi: 12/01/2021. [8 no’lu referansa geri dönmek için tıklayınız]
9. Kişisel Verileri Koruma Kurulu’nca yayınlanan rehber de aynen: “Ancak, kişisel verinin aleni kabul edilebilmesi için ait olduğu kişinin aleni olmasını istemesi gerekir. Başka bir ifade ile, alenileştirmenin gerçekleştirilebilmesi için alenileştirme iradesinin varlığı gerekir. Yoksa bir kişinin kişisel verisinin herkesin görebileceği bir yerde olması aleni olmasını sağlamaz. Ayrıca, alenileştirme durumunda kişisel verinin amacı dışında da kullanılmaması gerekmektedir. Örneğin, ikinci el araç satışı yapılan internet sitelerinde aracını satmak isteyen ilgili kişinin iletişim bilgilerinin pazarlama amaçlarıyla kullanılması mümkün değildir.” İfadelerine yer verilmiştir (Kişisel Verileri Koruma Kurulu, Kişisel Verileri İşlenme Şartları Rehberi, s. 11, https://kvkk.gov.tr/SharedFolderServer/CMSFiles/8c90423f-97ea-4d81-a7c1-ace74295c2b8.pdf, Erişim Tarihi: 12/01/2021). [9 no’lu referansa geri dönmek için tıklayınız]
10. Nitekim Kişisel Verileri Koruma Kurulu’nca bu hususta bir kamuoyu duyurusu dahi yayınlanmıştır. Bkz. ayrıca bkz. https://www.kvkk.gov.tr/Icerik/6843/-ALENILESTIRME-HAKKINDA-KAMUOYU-DUYURUSU, Yayınlanma Tarihi: 16/12/2020, Erişim Tarihi: 12/01/2021. [10 no’lu referansa geri dönmek için tıklayınız]
11. Bir önceki politikada ise: “Önemli Güncellemeler” başlığı altında yer alan “Sahip olduğunuz seçimler” kısmında: “Eğer mevcut bir kullanıcıysanız, Facebook reklam ve ürünleriyle ilgili deneyiminizin iyileştirilmesi amacıyla WhatsApp hesap bilgilerinizin Facebook’la paylaşılmamasını seçebilirsiniz. Güncellenmiş Koşullar ve Gizlilik Politikamızı kabul etmiş olan mevcut kullanıcılarımızın, Ayarlar>Hesap’a giderek seçim yapmak için ek olarak 30 günleri vardır.” hükmü yer almaktaydı (bkz. https://www.whatsapp.com/legal/privacy-policy, Erişim Tarihi: 10/01/2021). [11 no’lu referansa geri dönmek için tıklayınız]
12. Kişisel Verileri Koruma Kurulu, S. 2018/19, T. 16/02/2018, https://www.kvkk.gov.tr/Icerik/5412/Acik-Rizanin-Hizmet-Sartina-Baglanmasi, Erişim Tarihi: 12/01/2021 [12 no’lu referansa geri dönmek için tıklayınız]
13. Kişisel Verileri Koruma Kurulu, Açık Rıza Rehberi, s. 6, https://kvkk.gov.tr/SharedFolderServer/CMSFiles/ 66b2e9c4-223a-4230-b745-568f096fd7de.pdf, Erişim Tarihi: 12/01/2021. [13 no’lu referansa geri dönmek için tıklayınız]
14. Kurul tarafından ilgili tavsiye metninde aynen: “Veri sorumlusunun, veriyi kullanımı sonrasında gerçekleştireceği ikincil işlemler için ise (örneğin yurtdışına veri aktarımı gibi) ayrıca açık rıza alması gerekecektir. Aynı durum, verilerin işlenme amaçlarının değişmesi halinde de geçerlidir.” İfadelerine yer verilmiştir (Kişisel Verileri Koruma Kurulu, Açık Rıza Rehberi, s. 4, https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/ 66b2e9c4-223a-4230-b745-568f096fd7de.pdf, Erişim Tarihi: 12/01/2021) [14 no’lu referansa geri dönmek için tıklayınız]
15. Bkz. dp. 12’deki karar. [15 no’lu referansa geri dönmek için tıklayınız]
16. Kişisel Verileri Koruma Kurulu, https://kvkk.gov.tr/Icerik/6856/WHATSAPP-UYGULAMASI-HAKKINDA-KAMUOYU-DUYURUSU, Erişim Tarihi: 13/01/2021 [16 no’lu referansa geri dönmek için tıklayınız]

Okumanızı Öneriyoruz : Kişisel Verileri Koruma Kurulu’na İlişkin Duyuru