Kişisel Verileri Koruma Kurulunun 2023/134 Sayılı Kararı Doğrultusunda Tiktok Hakkında 1.750.000 TL İdari Para Cezası Uygulanmasına Karar Verildi

TikTok uygulaması ile ilgili olarak açık rızanın 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında usulüne uygun alınmadığı, kişisel verilerin elde edilmesi ve saklanması hususunda hukuka aykırılıkların bulunduğu ve yazılıma ait birçok güvenlik açığı olduğuna yönelik yer alan muhtelif haber ve şikayetlerden hareketle Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından 6698 sayılı Kanun’un 15’inci maddesinin (1) numaralı fıkrası kapsamında resen gerçekleştirilen inceleme sonucunda;

• Hassas yaş grubunda olan kullanıcıların verilerine erişilmesi kapsamında risklerin azaltılmasına yönelik gerekli tedbirlerin alınmadığı,
• Uygulamayı kullanan 13 yaş altı çocukların kişisel bilgilerinin görüntülendiği ve uygun ebeveyn izni olmadan çocuklar hakkında veri toplandığı,
• İnternet sitesinde yer alan Gizlilik Sözleşmesinin "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı düzenlendiği,
• Hizmet Koşullarının (Kullanım Şartları) kabulüne ilişkin onay alınırken ilgili metnin henüz Türkçe’ye çevrilmemesi sebebiyle kullanıcıların kullanım şartlarını tam olarak anlayamadan kabul etmesinin ihtimal dahilinde olduğu,
• Gizlilik Politikasının, esasen aydınlatma yükümlülüğünü yerine getirmek için hazırlanmış bir metin olduğu, ancak açık rıza metni yerine de kullanıldığı, dolayısıyla, açık rıza şartına dayalı olarak gerçekleştirilen kişisel veri işleme faaliyetleri bakımından açık rızanın aydınlatma yükümlülüğünden ayrı olarak yerine getirilmesi şartının sağlanmadığı,
• Profilleme amacıyla çerezler kullanılarak gerçekleştirilen kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı

tespit edilmiştir.

Kanun’un 12’nci maddesinin (1) numaralı fıkrasında yer alan kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almadığı tespit edilen Veri Sorumlusu hakkında 1.750.000 TL idari para cezası uygulanmasına ve  ‘‘İlgili kişilerin doğru bilgilendirilmesi adına Hizmet Koşullarının bir ay içerisinde Türkçeye çevrilmesi”, “İlgili kişilerin doğru bilgilendirilmesi için söz konusu Gizlilik Politikası metinlerinin üç ay içerisinde Kanuna uygun hale getirilmesi’’, ‘‘Gizlilik Politikasının, aydınlatma metni yerine kullanıldığı ve geçerli bir aydınlatmanın unsurlarını taşımadığı anlaşıldığından, Kanun’un 10'uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun bir aydınlatma yapılması’’ hususunda talimatlandırılmasına karar verilmiştir.

Kararda aydınlatma yükümlülüğünün ihlali sebebi ile Kanun’un 18/1/a maddesi uyarınca idari para cezasına karar verilmemiş olup yalnızca talimatlandırma yoluna gidilmesi dikkat çekmektedir.

Kurul’un kararı öncesinde de TikTok’un faaliyetlerine ilişkin uluslararası veri koruma otoritelerinin de kararları söz konusuydu;

• Güney Kore İletişim Komisyonu, Temmuz 2020’de, 14 yaşından küçük kullanıcıların kişisel verilerinin ebeveyn izni olmaksızın toplandığı gerekçesiyle TikTok'a 186 milyon Won idari para cezası uygulanmasına karar vermiştir.
• Hollanda Veri Koruma Otoritesi, Temmuz 2021’de, Tiktok’un 16 yaş altı kullanıcıların mahremiyetini ihlal ettiği gerekçesiyle 750.000 Euro idari para cezası uygulanmasına karar vermiştir.
• ABD’de ise ulusal yasalara aykırı olarak 13 yaşından küçük kullanıcıların ebeveynlerinden izin almadan çeşitli kişisel bilgilerini toplaması sebebiyle 5.7 milyon Dolar idari para cezası uygulanmasına karar vermiştir.
• İngiltere Veri Koruma Otoritesi ICO’nun ise 13 yaş altı çocukların kişisel verilerinin işlenmesi, hukuka uygun aydınlatma yapılmamış olması ve hukuka uygunluk sebeplerinden yoksun olmasına rağmen özel nitelikli kişisel verilerin işlenmesi nedeniyle 27 milyon Pound cezaya karar verme olasılığı bulunmaktadır.  

Hukuka uygunluk sebepleri mevcut olmaksızın çerez kullanımı, gizlilik bildirimlerinin eksik veya hatalı yapılması, kullanıcılara aydınlatmanın eksik, açık olmayan ve belirsiz ifadelerle yapılması ile küçüklere uygun yasal dayanak bulunmaksızın hizmet sunulması sebepleriyle Tiktok'a çeşitli Veri Koruma Otoriteleri tarafından uygulanan cezalara bir yenisi, Kişisel Verileri Koruma Kurulu tarafından eklenmiş oldu.

Hem Kişisel Verileri Koruma Kurulu’nun hem de uluslararası veri koruma otoritelerinin kararlarını incelediğimizde özellikle küçük kullanıcılara ait kişisel veri işleme faaliyetlerine, buna ilişkin ebeveynlerin açık rızasının alınması konusuna ve hassas verilere erişimi engellemek amacıyla alınması gereken tedbirlere de değinilmiş olması, Veri Sorumlularının bu tür veri işleme faaliyetleri noktasında mevcut yükümlülüklerini ne derece yerine getirdiği sorusunu tekrar gündeme taşımıştır.

Tagged with: Kavlak Law Firm, Burak Bayrak, Ayşe Aybüke Çilingir, KVKK, Kişisel Verileri Koruma Kanunu, Data Protection & Privacy