Reklam Kurulu Kararlarının Kişisel Verilerin Korunması Hukuku Bakımından İncelenmesi

Bu makalede Hande Çağla Yılmaz ve Mustafa İriboz ortak yazar olarak yer almıştır.

T.C. Ticaret Bakanlığı (“Bakanlık”) Reklam Kurulu Başkanlığı’nın (“Kurul”), 10 Eylül 2024 tarihli 349 sayılı toplantısında alınan kararlar, Bakanlığın resmi internet sitesinde yayımlanmıştır. Dijital platformlara (“Dijital Platform” veya “Platform”) yönelik olarak Kurul tarafından gerçekleştirilen denetimler sonucunda öngörülen kararlar, kişisel verilerin korunması hukuku ile tüketici hukukunun kesişimi bakımından önemli çıkarımlar sunmaktadır.

Söz konusu kararlarda; Netflix, Spotify, Amazon Prime, Disney+, YouTube gibi popüler platformların abonelik süreçleri değerlendirilmiştir. Bu değerlendirmeler doğrultusunda, haksız ve/veya aldatıcı ticari uygulamalar olarak nitelendirilen kararlara ilişkin hazırladığımız bilgi notumuzu aşağıda dikkatinize sunmaktayız.

I. Ücretsiz Deneme Süreçlerinde Kredi Kartı/Banka Kartı Bilgisinin Zorunlu Tutulması

Kurul’un 2024/5156 no’lu kararında, Amazon Turkey Perakende Hizmetleri Ltd. Şti. tarafından tüketicilere sunulan "30 Gün Ücretsiz Deneme" teklifinde tüketicilerin kredi kartı veya banka kartı bilgilerini platforma girmelerinin zorunlu tutulduğu belirtilmiştir. Kurul tarafından, bu hususun 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca öngörülen veri minimizasyonu ilkesine aykırı olduğu vurgulanmıştır.

Bununla birlikte, "Ücretsiz Deneme" ifadesine rağmen kredi kartı veya banka kartı bilgilerinin girilmesinin zorunlu tutulmasının söz konusu hizmetin gerçekten ücretsiz olup olmadığına dair tüketicideki algıyı olumsuz yönde etkilediği belirtilmiştir.

Ek olarak, kişisel verilerinin (“Kişisel Veri” veya “Veri”) nasıl işleneceği hususunda tüketicilerin açık ve net şekilde bilgilendirilmesi gerektiği Kurul tarafından söz konusu kararda vurgulanmıştır. Örneğin; ücretsiz bir deneme teklifinin tüketicilere sunulması halinde, bu süreçte alınan kredi kartı ve banka kartı bilgilerinin gelecekte otomatik yenileme için kullanılacağı KVKK kapsamındaki açık rıza ilkesine uygun olarak tüketicilere açıkça sunulmalı ve tüketicinin bu durumu kabul etmesi/etmemesi için seçenek sağlanmalıdır.

Kurul'un 2024/5158 no’lu kararında, MUBI Dijital Hizmetler Anonim Şirketi tarafından tüketicilere sunulan “Ücretsiz Deneme” teklifinde tüketicilerin kredi kartı bilgilerinin girilmesinin zorunlu tutulması ve abonelik seçeneğinin önceden belirlenmiş olarak sunulması; KVKK uyarınca öngörülen veri minimizasyonu ilkesine ve açık rızanın geçerlilik şartlarına aykırı olarak değerlendirilmiştir. Ücretsiz deneme sürecine başvuran tüketicilerin bu aşamada kişisel verilerinin (kredi kartı bilgileri) toplanmasının, hizmetin "ücretsiz" olduğu vaadiyle çelişmekte olduğu ve işbu veri işleme faaliyetinin veri minimizasyonu ilkesine aykırı olarak değerlendirilebileceği ifade edilmiştir.

Özetle; söz konusu uygulamalar, tüketicinin özgür iradesini sınırlayan, kişisel verilerin veri minimizasyonu ilkesine aykırı olarak işlenmesine sebep olan ve açık rızanın geçerlilik şartlarını sağlamayan uygulamalar olmaları gerekçeleriyle Kurul tarafından haksız ticari uygulama olarak değerlendirilmiştir.

II. Hesap Kapatma ve Veri Silme Süreçlerinin Karmaşıklığı

Kurul’un 2024/5159 no’lu kararında, Spotify Dijital Yayıncılık Hizmetleri A.Ş’nin hesap kapatma ve kişisel verilerin silinmesi sürecinin karmaşık bir yapıya sahip olması dikkat çeken bir diğer önemli husus olarak değerlendirilmiştir.

Belirtmek gerekir ki, KVKK’nın 11. maddesi uyarınca ilgili kişilerin, kişisel verilerinin silinmesi yönünde talep sunmaya her zaman hakları bulunmaktadır. Ancak bu sürecin kullanıcı dostu olmaması ve mükerrer onayların talep edilmesi halinde tüketicilerin bu hakkı kullanmasının zorlaştığı söz konusu Kurul kararında ifade edilmiştir. Bu tür çevrimiçi tasarımların, "karanlık desen" veya “karanlık örüntü” (“dark patterns”) olarak ifade edildiği ve kullanıcıları belirli bir sonuca yönlendirme amacıyla dizayn edilen aldatıcı tasarımlar bütünü olarak özetlenebileceği Kurul tarafından belirtilmiştir.

Bununla birlikte, kişisel verilerin işlenmesi süreçlerin de platformların bu verileri nasıl ve ne amaçla işleyecekleri hususunda şeffaf davranması gerektiği ve hesap kapatma aşamasındaki karmaşıklığın, kullanıcıların kişisel verilerinin silinmesi yönündeki taleplerinin engellenmesine veya geciktirilmesine yol açabileceği, bu durumun ise KVKK’nın 4. maddesindeki genel ilkelere aykırı olduğu değerlendirilmiştir.

III. Güncellenen Üyelik Sözleşmeleri ve Açık Rıza Süreçleri

Kurul’un 2024/5325 no’lu kararında, Blu Tv İletişim ve Dijital Yayın Hizmetleri A.Ş.'nin güncellenen üyelik sözleşmelerinde yer alan 'kabul et' seçeneğinin tasarımsal olarak öne çıkarılmasını, 'reddetme' seçeneğinin açık bir şekilde sunulmamasını KVKK bakımından değerlendirmiştir.

Kurul tarafından, kullanıcılara rıza göstermeleri için tek taraflı seçenekler sunulmasının ve reddetme alternatiflerinin gizlenmesinin kullanıcıların bilinçli bir seçim yapmalarını engelleyebileceği belirtilmiştir. Bu hususun ise KVKK uyarınca aykırılık teşkil edeceği ifade edilmiştir.

IV. Ticari Tasarımın Kişisel Veriler Üzerindeki Etkisi

Kurul'un 2024/5156-5158-5159-5161 no’lu kararlarında dikkat çeken bir diğer husus ise; ticari tasarımlar ve sunumların, tüketicilerin kişisel verilerini nasıl etkilediği olmuştur. Örneğin, bazı abonelik seçeneklerinin önceden seçili olarak tüketicilere sunulması ve bu seçeneklerin tasarımsal olarak öne çıkarılmasının tüketicinin veri paylaşımına dair iradesini etkileyebileceği ifade edilmiştir. Bu yöndeki süreçlerin platformlar tarafından tercih edilmesi halinde, KVKK uyarınca aşağıdaki sonuçların doğmasının ihtimal dahilinde olduğu ayrıca vurgulanmıştır:

• Önceden seçili paketler veya otomatik yenileme özellikleri, tüketicinin farkında olmadan kişisel verilerinin işlenmesine yol açabilmektedir. Tüketiciler, bu gibi durumlarda hangi verilerin ne amaçla kullanılacağını tam anlamıyla kavrayamayabilir ve bu da KVKK uyarınca açık rıza geçerlilik şartlarını ihlal etmektedir.

• Dijital platformların tüketiciye sundukları hizmetlerde şeffaf olmaları, verilerin hangi amaçlarla kullanılacağına dair açık bilgi vermeleri gerekmektedir. Tasarımsal hileler veya karmaşık süreçler sebebiyle, tüketicilerin verilerinin işlenme süreçlerinin gizlenmesi, veri koruma hukukuna aykırılık teşkil etmektedir.

V. Sonuç

Kurul’un platformlara yönelik kararları, tüketicilerin kişisel verilerinin korunmasının yanı sıra, bu verilerin işlenme şekillerinin de nasıl olması gerektiği konusunda önemli bir yol haritası sunmaktadır. Ücretsiz deneme süreçlerinde kredi kartı bilgisi zorunluluğu, hesap kapatma aşamalarının karmaşıklaştırılması ve üyelik sözleşmelerinde tek taraflı onayların teşvik edilmesi, hem tüketici hukukuna hem de kişisel verilerin korunması hukukuna aykırı olmaktadır.

Kişisel verilerin işlenmesi sürecinde, platformların tüketicilere açık, şeffaf ve anlaşılır bir yol haritası sunmaları ve KVKK'nın temel ilkeleriyle uyum içinde olması beklenmektedir. Tüketicilerin bilgilendirilmiş olarak açık rızaları alınmadan gerçekleştirilen veri işleme faaliyetleri ve haksız ticari uygulamalar, yalnızca Reklam Kurulu'nun değil, aynı zamanda Kişisel Verileri Koruma Kurulu’nun da yaptırım alanına girmektedir.

Kurul kararlarına buradan ulaşabilirsiniz.