Bir çevrimiçi haberleşme uygulaması olan WhatsApp, Hizmet Koşulları ve Gizlilik İlkesi metinlerini 4 Ocak 2021 tarihinde güncellemiştir. Güncellemeyle birlikte, uygulamanın kullanılabilmesi için WhatsApp kullanıcılarının kişisel verilerinin işleneceğine ve Facebook Inc. dahil olmak üzere üçüncü kişilerle paylaşılacağına açık rıza vermesi gerekmekteydi. Söz konusu güncelleme üzerine 12 Ocak 2021 tarihinde Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından resen inceleme başlatılmış ve Kurum yurtdışına veri aktarımı ve açık rızanın alınma koşullarını değerlendirmiştir.

Kurul, inceleme sürecinde WhatsApp’ten savunma almış, Hizmet Koşulları ve Gizlilik İlkesi metinlerini incelemiştir. Whatsapp savunmasında Hizmet Koşulları’nı kullanıcı ile yapılan bir sözleşme, Gizlilik İlkesi’ni ise hangi verilerin hangi amaçla işleneceğine ilişkin şeffaflığı sağlamaya yönelik ve Hizmet Koşulları’nın eki bir metin olarak tanımlamıştır.

Kurul kararında;

• Açık rızanın sözleşme olarak tanımlanan Hizmet Koşullarının içine yedirilerek uygulamanın kullanılması için ön şart olarak ileri sürüldüğünü, böylece kişisel verilerin işlenmesi ve yurtdışına aktarımına dair ayrı ayrı değil tek bir açık rızanın alınmış olduğunu, kişisel veri işleme ve aktarım faaliyetlerinin tek metinde kullanıcılara sunulduğunu, bu sebeplerle açık rızanın özgür iradeyle açıklanması unsurunun zarar gördüğünü,
• Kişisel verilerin aktarımına ilişkin kısımların kullanıcı ile müzakereye kapalı olduğunu, ilgili kişilerin çıkarlarının gözetilmediğini ve bunun hukuka ve dürüstlük kurallarına aykırı olduğunu,
• İşlenen kişisel verilerin amaçla orantılı ve sınırlı olmadığını, hangi amaçla aktarım yapıldığının metinlerde açık bir şekilde belirtilmediğini,
• WhatsApp’in, Türkiye’de sunucuları bulunmadığı takdirde, kişisel verilere ilişkin kaydetme, depolama ve sair faaliyetlerinin yurtdışına aktarım anlamına geldiğini, ancak Whatsapp’in yurtdışına aktarım faaliyetleri için açık rızaya başvurmadığını ve Kurum’a taahhütname başvurusunda da bulunulmadığını,
• Çerezler aracılığıyla yapılan kişisel veri işleme faaliyetine ilişkin açık rıza alınmadığını

tespit etmiştir.

Kurul, Whatsapp’in kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almaması nedeniyle 1.950.000 TL idari para cezası vermiştir. Ayrıca, Hizmet Koşulları ve Gizlilik İlkesi metinlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“KVKK”) uygun olarak üç ay içerisinde güncellenmesi ve KVKK ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun bir aydınlatmanın yapılması yönünde WhatsApp’i talimatlandırmıştır.

Kurul kamuoyu duyurusunun tam metnine “https://www.kvkk.gov.tr/Icerik/7045/WHATSAPP-UYGULAMASI-HAKKINDA-YURUTULEN-RESEN-INCELEMEYE-ILISKIN-KAMUOYU-DUYURUSU” linki üzerinden ulaşabilirsiniz.