Kişisel Verileri Koruma Kurulunun Amazon Turkey Kararı

Kişisel Verileri Koruma Kurulu, 7 Mayıs 2020 tarihindeki kararında Amazon Turkey Perakende Hizmetleri Limited Şirketi hakkında aşağıdaki hususlarda incelemeler bulunmuştur:

1. Ticari Elektronik İletiler Bakımından Açık Rıza Sorunu

Veri sahibine ticari elektronik ileti gönderilebilmesi için veri sahibinin açık rızası alınmalıdır. Bu açık rıza, en geç veri gönderilmeden alınmalıdır. Açık rızanın zımni alınmış olması hukuken uygun görülmemektedir.

Kişisel Verileri Koruma Kurulu, ticari elektronik iletiler hakkındaki şikayetleri de inceleme yetkisine sahiptir. Elektronik ticari iletiler, ilgili kişinin verileri işlenerek gönderildiğinden Kurulun bunu inceleme yetkisi vardır. Konunun yalnızca Ticaret Bakanlığı tarafından incelenebileceği tartışmasına son verilmiştir.

2. Kişisel Verilerin İşlenmesinde Hukuka ve Dürüstlük Kurallarına Uygun Davranma

Kişisel verilerin işlenmesine yönelik açık rıza alınması yeterli değildir. Verilerin, alınan açık rıza sonrasında aşağıdaki ilkelere uygun olarak işlenmesi, depolanması ve aktarılması gerekmektedir.

Hukuka ve dürüstlük kuralına uygun olma: Açık rıza, üyeliğin ve hizmetin dolayısıyla sözleşmenin bir koşulu olarak dayatılmamalıdır. Açık rızanın, sözleşmenin ifası için dayatılması veri sahibinin özgür iradesini sakatlayacağından verilen açık rızayı da geçersiz kılacaktır.

Belirli, açık ve meşru amaçlar için işlenme: Verileri işleme amaçları için genel ifadeler kullanılmamalıdır. Veri sahibi, verisinin hangi amaçlar için işleneceğini açıkça bilebilmelidir.

İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Veriler, yalnızca veri sahibinin açık rıza verdiği kapsamda yer alan amaçlar dahilinde işlenebilir. Bunun dışında Kanun’da yazılı şartlar saklı kalmak kaydıyla (sözleşme ifası, kamu sağlığı ve güvenliği halleri gibi) verilerin işlenmesi sınırlılık ilkesini ihlal eder. Kişisel veriler, hizmet ile bağlantılı ve ölçülü olmalıdır. Hizmetlerle bağlantılı olmayan şekilde veri işlenmesi verilen açık rıza sakatlayacaktır.

3. Kişisel Verilerin Aktarılması

Kişisel verilerin yurt içinde herhangi bir kişiye aktarılmasına yönelik veri sahibinden açık rıza alınması gerekir.

Açık Rıza:

Alınacak açık rıza “hangi kişisel verilerin hangi amaçlarla aktarılacağına” ilişkin olmalıdır. Genel ifadeler bulunmamalıdır.

Açık rıza alınmadan, veri sahibine verinin hangi amaçlarla hangi verilerinin aktarılacağına ilişkin aydınlatma yapılması gerekmektedir.

Açık rıza özgür iradeyle açıklanmalıdır. Veri sahibi dilediğinde açık rıza onayını geri alabilmelidir. Örneğin, veri sahibine rıza göstermeme imkanının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayanmadığı görülür.

4. Kişisel Verilerin Yurt Dışına Aktarılması

Kişisel verilerin yurt dışına aktarılabilmesi için de açık rıza alınması şarttır.

Yurt dışına aktarım için aşağıdaki hallerde açık rıza alınması gerek duyulmaz:

Kişisel Verilerin Korunması Hakkında Kanunun madde 5/2 ile madde 6/3 hükümleri kapsamında sebeplerin varlığı halinde aktarım için açık rızaya gerek yoktur. (sözleşme ifası, açık rızanın alınamayacağı haller, kamu sağlığı ve güvenliği vs.)

Kişisel verinin aktarılacağı ülkede yeterli korumanın bulunması halinde açık rızaya gerek yoktur. Ancak bu ülkeler Kurum tarafından henüz listelenmediğinden bu hükmün işlerliği yoktur. Bu sebeple, veri sorumlusu Taahhütname ile Kurula başvuracak ve Kurul başvuruyu kabul ederse belirtilen ülkeye veri sahibinin açık rızası olmaksızın aktarılabilecektir. Ancak tüm bunlar için verilerin aktarımına yönelik rızanın varlığı yine de gereklidir.

5. Aydınlatma Yükümlülüğü ile Açık Rıza İşlemlerinin Ayrı Ayrı gerçekleştirilmesi

Veri sorumlusu ile herhangi bir hukuki işlem yapılmadan kişisel verilerin işlenmeye başladığı şeklinde uygulama hukuka aykırıdır. Öncelikle veri sahibine hangi verilerin, hangi amaçlarla, hangi şekilde işleneceğine ilişkin bir bilgilendirme yapılması gerekmektedir. Bu bilgilendirme sonrası veri sahibinin açık rızası alınmalıdır.

Veri sahibinin bilgilendirilmesi işlemi ile açık rıza alma işlemi ayrı ayrı yapılmalıdır. Aydınlatma yapılmak suretiyle açık rızanın alınmış sayılacağı hususu açık rızayı sakatlayacaktır.