KVKK Kapsamında Açık Rızaya İlişkin Bir Kararın Değerlendirilmesi
Kişisel Verileri Koruma Kurulu (Kurul) söz konusu kararında, amazon.com.tr isimli internet sitesinin kullanıcılarına ait kişisel verilerin işlenmesi faaliyeti sırasında alınan açık rızalarının usulüne uygun olmaması sebebiyle 100.000 TL ve kullanıcılarının kişisel verilerini yurt dışına aktarma faaliyeti kapsamında ilgililerden açık rızanın alınmaması sebebiyle 1.100.000 TL idari para cezası uygulanmasına karar vermiştir.
Kişisel Verileri Koruma Kurulu 27.02.2020, 2020/173 Sayılı Karar Özeti
Kişisel Verileri Koruma Kurulu (Kurul) söz konusu kararında, amazon.com.tr isimli internet sitesinin kullanıcılarına ait kişisel verilerin işlenmesi faaliyeti sırasında alınan açık rızalarının usulüne uygun olmaması sebebiyle 100.000 TL ve kullanıcılarının kişisel verilerini yurt dışına aktarma faaliyeti kapsamında ilgililerden açık rızanın alınmaması sebebiyle 1.100.000 TL idari para cezası uygulanmasına karar vermiştir.
Kararın tamamı için:
https://www.kvkk.gov.tr/Icerik/6739/2020-173
Kurul kararına konu olayda, www.amazon.com.tr isimli alışveriş sitesinde üyelik profili oluşturmak için kullanıcılardan iletişim bilgilerinin alındığı ve bu iletişim bilgilerinin internet sitesi tarafından pazarlama amaçlı mesajlar gönderilmek için kullanıldığı, buna ilişkin olarak kullanıcılardan açık rıza alınmadığı, bazı kişisel verilerin işlenmesine ilgililerce açık rıza verilmediği takdirde birçok hizmetten yararlanılamadığı; ayrıca kullanıcıların kişisel verilerini yurt dışına aktardığı ve bu faaliyetine ilişkin olarak kullanıcılardan açık rıza beyanı alınmadığı iddiaları değerlendirilmiştir.
Kurul tarafından yapılan incelemede, www.amazon.com.tr sayfasında bir üyelik profili oluşturulmak suretiyle, iletişim bilgisinin pazarlama amaçlı iletiler gönderilmesi amacıyla işlenmesi hususunda ilgili kişilerin açık rızasının alınıp alınmadığı kontrol edilmiş, siteye üye olunabilmesi için gerekli bilgilerin girilmesi sırasında herhangi bir açık rıza alınmadığı, üyelik sürecinin tamamlanmasının ardından üyelik sayfasına girildiğinde “e-postalar şu anda ……. E-posta adresine gönderiliyor” açıklamasının yer aldığı, ayrıca “Gizlilik Bildirimi” metninde “Belirli bilgileri vermemeyi tercih edebilirsiniz, ancak bu durumda Amazon Hizmetlerinin çoğundan yararlanamazsınız.” denilerek veri sorumlusunun vereceği hizmetin, ilgililerin kişisel verilerinin işlenmesi şartına bağlanmış olduğu anlaşılmıştır.
Kurul’un daha önce açık rıza alınması ile ilgili verdiği kararlar da göz önüne alındığında veri sorumluları tarafından ilgililerden alınacak açık rızanın bireyin özgür iradesine dayanması gerektiği ve opt-out yani bireyin önceden onayını almaksızın kişisel verilerinin işlenmesine otomatik onay verdiklerinin kabul edildiği ve kişilere bu onayı kaldırmaları yönünde imkân veren bir sistemin değil, opt-in yani bireyin bilinçli eylemi ile kişisel verilerinin işlenmesine onay vereceği bir sistemin kullanılması gerektiği ortadadır. Kurul tarafından verilen kararda, veri sorumlusu tarafından verilecek hizmetin ön koşulu olarak ilgililerden açık rıza alınması durumunun açık rızayı sakatlayacağı da vurgulanmıştır.
Kurul tarafından verilen kararda, kişisel verilerin yurt dışına aktarımı hususunda “yeterli korumanın bulunduğu ülkeler” listesinin henüz Kurul tarafından yayınlanmamış olduğuna da değinilerek, veri sorumlusu alışveriş sitesi tarafından Kurul onayına sunulan kişisel verilerin yurt dışına aktarımı ile ilgili yazılı taahhüdünün Kurul tarafından onaylanmaması sebebiyle ilgililerden bu hususta açık rıza beyanı alınması gerektiği belirtilmiştir.
Bu sebeple ilgilerden alınacak açık rıza beyanlarında; açık rızanın veri sorumlusu tarafından verilecek herhangi bir hizmetin ön koşulu olmamasına, bilgilendirmeye dayanmasına ve ilgilinin özgür iradesi ile açıklanmasına dikkat edilmesi gerekmektedir. Ayrıca tüm kullanıcılardan verilerin yurt dışına aktarılmasına ilişkin onay alınması, olası yaptırımların önüne geçecektir.