Teknolojinin inanılmaz boyutlarda geliştiği ve herkesin telefon ve bilgisayar vasıtasıyla birbiriyle kolaylıkla iletişim kurabildiği günümüz dünyasında, mal ve hizmet sunan şirketler de tüketicilere ulaşmak için daha farklı yöntemler denemeye başlamışlardır. Her gün birçok kişiye reklam ve tanıtım amaçlarıyla e-posta, SMS veya çağrı yoluyla birçok bildirim gönderilmektedir. Ancak özellikle son yıllarda, bu reklam ve bildirimlerin kişisel verilerin korunması hukuku bakımından nasıl değerlendirilmesi gerektiği tartışılmaktadır.
Şöyle ki; kişisel verileri koruma mevzuatı yürürlüğe girmeden önce ilgili kişilerin kişisel verilerine ilişkin farkındalıkları daha azdı ve kişisel verilerin işleme, saklama ve aktarma süreçleri mevzuatımızda detaylı biçimde düzenlenmemişti. Ancak, 6698 sayılı Kişisel Verileri Koruma Kanunu’nun (‘KVKK’) 7 Nisan 2016 tarihinde yürürlüğe girmesinden itibaren kanuna ve alt mevzuata ilişkin halkın bilinçlendirilmesi sonucunda, ilgili kişilerin kişisel verilerinin hangi koşullarda işlendiğini, aktarıldığını ve saklandığını daha çok dikkate alıp, tespit ettikleri hukuka aykırılıklara ilişkin olarak Kurul’a başvurdukları görülmektedir.
Veri sorumluları ve veri işleyenler tarafından ilgili kişilerin e-posta adreslerine veya SMS ya da çağrı ile cep telefonlarına reklam bildirimleri/aramaları yönlendirilmesine ilişkin olarak ilgili kişilerden birçok şikayet alan Kurul, e-posta, SMS veya çağrı yoluyla yapılan reklam bildirimlerine ilişkin bir ilke kararı almıştır. "Veri sorumluları ve veri işleyenler tarafından ilgili kişilerin e-posta adreslerine veya SMS ya da çağrı ile cep telefonlarına reklam bildirimleri/aramaları yönlendirilmesinin önüne geçilmesi" ile ilgili olan 16/10/2018 tarihli ve 2018/119 sayılı İlke Kararı, 1 Kasım 2018 tarihinde Resmi Gazete’de yayımlanmıştır. Karar metni şu şekildedir:
‘6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) hükümlerine aykırı olarak ilgili kişilerin açık rızaları alınmaksızın e-posta adreslerine veya SMS veya çağrı ile cep telefonlarına reklam bildirimleri/aramaları geldiği hususunda Kişisel Verileri Koruma Kurumuna (Kurum) intikal eden çok sayıda başvuru ile bu kapsamda yürütülmekte olan incelemeler çerçevesinde ulaşılan tespitler dikkate alınarak;
- İlgili kişilerin rızalarını almadan ve Kanunun 5 inci maddesinde hüküm altına alınan işleme şartlarını sağlamadan, telefon numaralarına SMS göndermek, arama yapmak veya e-posta adreslerine posta göndermek suretiyle reklam içerikli ileti yönlendiren veri sorumluları ile veri sorumluları adına reklam içerikli mesaj/e-posta göndermek veya arama yapmak amacıyla ilgili kişilerin açık rızaları bulunmaksızın bu verileri kullanan veri işleyenlerin söz konusu veri işleme faaliyetlerini Kanunun 15 inci maddesinin (7) numaralı fıkrası uyarınca DERHAL DURDURMASI gerektiği,
- Kanunun 12 nci maddesi kapsamında veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu ve kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, anılan tedbirlerin alınması hususunda bu kişilerle birlikte MÜŞTEREKEN SORUMLU olduğu,
- Belirtilen şekilde söz konusu faaliyetlerde bulunan veri sorumluları hakkında Kanunun 18 inci maddesi hükümleri çerçevesinde işlem tesis edileceği,
- Bahse konu şekilde işlenen kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceği de göz önüne alınarak 5237 sayılı Türk Ceza Kanununun “Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme” başlıklı 136 ncı maddesi çerçevesinde ilgili veri sorumluları hakkında gerekli hukuki işlemlerin tesisi için konunun 5271 sayılı Ceza Muhakemesi Kanununun 158 inci maddesi uyarınca ihbaren ilgili Cumhuriyet Başsavcılığına bildirileceği
hususlarında kamuoyunun bilgilendirilmesine ve bu İlke Kararının Kurumun internet sitesi ile Resmi Gazetede yayımlanmasına oy birliği ile karar verilmiştir.’
Karardan şu hususlar anlaşılabilmektedir:
- Bilindiği üzere, KVKK’nın 5. maddesi uyarınca, ilgili kişilerin açık rızası alınmadan kişisel veri işlenmesi hukuka aykırıdır. Buna ek olarak, aynı maddede, kişinin açık rızası alınmadığı durumlarda veri işlenmesini hukuka uygun hale getirecek diğer hukuka uygunluk sebepleri düzenlenmiştir. Bu maddede öngörülen şartlara aykırı biçimde SMS gönderen, arama yapan ve e-posta göndermek suretiyle reklam içerikli ileti yönlendiren veri sorumlularının ve veri sorumluları adına reklam içerikli SMS veya e-posta göndererek veya arama yaparak açık rıza olmaksızın kişisel veri kullanan veri işleyenlerin bu faaliyetleri derhal durdurmaları gerektiği kararda açıkça belirtilmiştir. Kararda dayanak olarak gösterilen KVKK’nın 15. maddesinin 7. fıkrası, şu şekildedir:
‘Şikâyet üzerine veya resen incelemenin usul ve esasları
MADDE 15-
(7) Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.’
- Veri sorumluları, KVKK’nın ‘Veri güvenliğine ilişkin yükümlülükler’ başlıklı 12. maddesi kapsamında kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak amacıyla, uygun güvenlik düzeyini temin etmeye yönelik gereken tüm idari ve teknik tedbirleri almak zorunda olup; eğer kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, veri sorumlusu, bu tedbirlerin alınmasına ilişkin olarak bu kişilerle birlikte müştereken sorumlu olacaktır.
- Kararda durdurulması gerektiği belirtilen faaliyetlere devam eden veri sorumluları hakkında KVKK’nın 18. maddesi uyarınca işlem yapılaktır. İlgili 18. Madde, ‘Kabahatler’ başlıklı olup, şu şekildedir:
‘Kabahatler
MADDE 18- (1) Bu Kanunun;
… b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, …
idari para cezası verilir.’
- İşbu kararda belirtilen hususlara aykırı davranan kişilerin aynı zamanda 5237 sayılı Türk Ceza Kanunu’ndan (‘TCK’) ileri gelen cezai sorumluluklarının da doğacağı ilke kararında belirtilmiştir. Karar uyarınca, kararda yasaklanan faaliyetlere devam ederek işlenen kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceği düşüncesiyle, TCK’nın ‘Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme’ suçunu düzenleyen 136. maddesine istinaden konu ihbaren ilgili Cumhuriyet Başsavcılığına bildirilecektir.
Sonuç olarak, Kurul’un vermiş olduğu bu ilke kararı, KVKK hükümlerine aykırı biçimde reklam ve tanıtım amacıyla SMS ve posta gönderen veya arama yapan veri sorumluları ile veri işleyenleri bu faaliyetleri derhal durdurması hususunda uyarmış; faaliyetlerin durdurulmaması durumunda ciddi hukuki ve cezai yaptırımlarla karşı karşıya kalınacağını açıklamıştır. Veri sorumlularının ve veri işleyenlerin, bu karara binaen herhangi bir yaptırıma tabi tutulmamak için, karar konusu hususlarda azami dikkat göstererek KVKK’ya aykırı biçimde ilgili kişilere SMS/e-posta göndermemeleri ve arama yapmamaları gerekmektedir.
Av. Dr. Mert VAN - Stj. Av. Benay ÇAYLAK