Kişisel Verileri Koruma Kurumu (“Kurum”) 03.09.2021 tarihli kamuoyu duyurusuyla WhatsApp uygulaması hakkında hem idari para cezası kesilmesine hem de Kişisel Verileri Koruma Kurulu’na (“Kurul”) bilgi verilmesi hususunda talimatlandırılmasına karar verdi.

Kurul, 12.01.2021 tarihli ve 2021/28 sayılı Kararı ile 09.02.2021 tarihli ve 2021/120 sayılı Kararı çerçevesinde, yurtdışına veri aktarımı, hizmetin açık rıza şartına bağlanması ve genel ilkelere uygunluk konuları başta olmak üzere WhatsApp hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında re’sen inceleme başlatmıştı.
Bu doğrultuda hem Veri Sorumlusu WhatsApp’tan alınan savunma yazıları hem de WhatsApp “Hizmet Koşulları” ve “Gizlilik İlkesi” metinlerinin incelenmesi
neticesinde;

• Hizmet Koşulları’nın kullanıcı ile yapılan bir sözleşme olarak tanımlaması nedeniyle sözleşmeye onay verilmesi suretiyle ilgili kişilerin açık rızasının alınması yoluna gidildiği,
   
• Bu çerçevede kullanıcılardan kişisel verilerinin işlenmesine ve yurt dışında yerleşik üçüncü taraflara aktarılması hususunda seçimlik hak sunulmaksızın tek bir açık rıza alındığı,
   
• Hizmet Koşulları’na aktarıma ilişkin hüküm koymak suretiyle işleme ve aktarım faaliyetlerinin, tek metinde birbirinden ayrılmaz bir biçimde ilgili kişiye sunulması sebebiyle açık rızanın “özgür iradeyle açıklanması” unsurunun zedelendiği,
   
• Hizmet Koşulları ve Gizlilik İlkesi’nde yer alan “aktarım”a ilişkin ifadelerin müzakereye kapalı nitelikte sunularak ilgili kişilerin sözleşmeye bir bütün olarak onay vermeye zorlandığı ve bu suretle açık rızanın saf dışı bırakılmaya çalışıldığı,
   
• Uygulamanın kullanılmasının aktarım şartına bağlandığı, bu kapsamda ilgili kişilerin çıkarları ve makul beklentileri göz önüne alınmaksızın hareket edilmesinin “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılık teşkil ettiği,
   
• İşlenen tüm kişisel verilerin aktarımına ilişkin açık rıza istenildiği, ancak bu verilerin işlendikleri amaçla orantılı ve sınırlı bilgiler olmadığı ve hangi verinin hangi amaçla aktarılacağının da açıkça ortaya konulmadığı,
   
• Kişisel verilerin işlenmesinin, sözleşmenin bir parçası haline getirilerek ilgili kişilerden sözleşmeye onay vermelerinin istenildiği, ancak bu işlemin kişisel verilerin işlenmesine açık rıza alınması niteliğinde olması sebebiyle sözleşmenin içerisine eklenerek hizmetin bir koşulu olarak dayatılması suretiyle alınan açık rızanın, “özgür iradeyle açıklanması” unsurunun zedelendiği,
   
• Türkiye’de bulunan ilgili kişilerden elde edilen kişisel verilerin her türlü işleme faaliyetinin, sunucuları Türkiye’de bulunmadığı sürece kişisel verilerin yurt dışına aktarımı anlamına geldiği, ancak söz konusu aktarım için Veri Sorumlusu WhatsApp tarafından aktarım faaliyetleri için hiçbir şekilde açık rızaya başvurulmadığının beyan edildiği ve Kurul’a bir taahhütname başvurusunda da bulunulmadığı belirtildiğinden Veri Sorumlusu WhatsApp tarafından KVKK’nın 9. maddesine uygun hareket edilmediği,
   
• Veri sorumlusu WhatsApp tarafından, profilleme amacıyla çerezler aracılığıyla yapılacak kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı belirtilmiş olup, Kurul tarafından Veri Sorumlusu WhatsApp hakkında 1.950.000 TL idari para cezası uygulanmasına karar verildiği kamuoyuna duyurulmuştur.

Bununla birlikte, henüz uygulamaya geçmeyen ancak halihazırda kullanıcılara geçerli sürüm olarak sunulan 04.01.2021 tarihli WhatsApp Hizmet Koşulları ve Gizlilik İlkesi metinlerinin, ilgili kişilerin doğru bilgilendirilmesi amacıyla üç ay içerisinde KVKK’ya uygun hale getirilmesine karar verilmiştir. Son olarak, Kurul tarafından, Gizlilik İlkesi’nin aydınlatma metni yerine kullanıldığı ve geçerli bir aydınlatmanın unsurlarını taşımadığı tespit edildiğinden, ilgili kişilere uygun bir
aydınlatma yapılması konusunda Veri Sorumlusu Whatsapp’ın talimatlandırılmasına karar verildiği belirtilmiştir.