Zorunlu Çerezlerle Yurt Dışına Veri Aktarılıyor ise Aktarım için Açık Rıza Alınması Gereklidir!

İlgili Kişinin İddiaları

Kurul’un Tespitleri

Kurul’un Değerlendirmesi

Yaptırım

Oyun kullanıcısı/üyelerin kişisel verilerinin yurt dışına aktarıldığı ve veri sorumlusunun internet sitesinde yer alan ve "Aydınlatma Metni" olduğu, “Gizlilik Politikası” ve “Çerez Politikası” incelendiğinde bunun kolaylıkla anlaşılabildiği.  

Veri sorumlusunun ofisi ve hizmet aldığı bir diğer firmanın merkezinin ziyaret edilmesi suretiyle yerinde inceleme yapılmasının akabinde veri sorumlusu tarafından oyun sunucularının yurt içinde tutulduğu ve oyun kullanıcısı/üye olan ilgili kişinin kişisel verilerinin yurt dışına aktarımının yapılmadığının anlaşıldığı.

Oyuncuların/üyelerin kişisel verileri yurt dışına aktarılmadığı.

Yurt dışı aktarımı yönünden; tesis edilecek herhangi bir işlem bulunmadığı

Talimatlandırma:

Oyunculara/üyelere ilişkin kişisel verilerin fiilen yurt dışına aktarılmadığı tespit edildiğinden “Gizlilik Politikası”, “Kayıt Ol Aydınlatma Metni” ve “Kişisel Veri Koruma Politikası” başlıklı metinler ile VERBIS kaydının yurt dışına aktarım bölümlerinin güncellenmesi.

Veri sorumlusunun hile ve sahtekarlık tespiti amacıyla kullandığı yazılım aracılığıyla ilgili kişinin bilgisayarındaki kişisel verilere erişim sağladığı

• Yazılımın sadece bilgisayardaki açık olan yazılımların türünü ayırt etmeye çalıştığı,
• Sahtecilik ve hile yapma göstergelerinden biri olan IP değişiminin de bu yazılım üzerinden takip edildiği,
• İnternet üzerinden bilgi transferinin yapılmadığı IP adresinin takip edildiği bilgisinin elde edildiği,
• Veri sorumlusunun şikâyete konu edilen özel yazılımı oyun kullanıcılarının hile ve sahtekarlığa başvurup başvurmadığını tespit amacıyla kullandığı,
• Bu kullanım sırasında oyuncuların bilgisayarındaki kişisel verilere erişim sağlamak suretiyle hukuka aykırı kişisel veri işleme faaliyetinde bulunulmadığı.

Hukuka aykırı kişisel veri işleme faaliyetinde bulunulmadığı.

Tesis edilecek herhangi bir işlem bulunmadığı

Veri sorumlusunun internet sitesinde yer alan gizlilik politikasının, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e (“Tebliğ”) uygun olmadığı.

• “Kayıt Ol Aydınlatma Metni”: Aydınlatma metninde “… paylaşılabilir.” gibi muğlak ifadelere yer verilmemesi gerektiği,
• “Gizlilik Politikası”: Metnin incelemeye konu veri sorumlusuna değil, veri sorumlusunun büyük ortağı olan şirkete ait olduğu ve kullanıcılara sunulan diğer metinlerle tutarlı olmadığı,
• “Kişisel Veri Koruma Politikası”: Daha geniş bir ilgili kişi grubuna hitap etmesine rağmen hangi ilgili kişi grubunun, hangi kişisel verilerinin, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiği ve hangi üçüncü taraflara aktarıldığının açık bir şekilde metinden anlaşılamadığı.

Metinlerin Tebliğ’e uygun olmadığı ve aralarında tutarsızlık bulunduğu.

Talimatlandırma:

Metinlerin Tebliğ’e uygun ve birbirlerinin yanı sıra VERBİS kaydı ile tutarlı hale getirilmesi.

Ayrıca gizlilik politikasının, diğer metinlerle tutarlı hale getirilemiyorsa kaldırılması.

Çerez politikasında açık rızaya yer verilmediği halde açık rıza talep edildiği ve ayrıca yurt dışında bulunan bazı firmaların üçüncü parti çerezleri kullanılarak kişisel verilerinin işlendiği ve yurt dışına aktarıldığı.

• İnternet sitesindeki çerezlere ilişkin pop-up açıklaması altında, “sadece gerekli çerezleri kullanın” ve “tüm çerezlere izin ver” olmak üzere iki seçenek sunulduğu,
• Gerekli (zorunlu) çerezler dışındaki çerez türlerinin tamamı için “tüm çerezlere izin ver” seçeneği sunularak toplu şekilde açık rıza alındığı,
• İlgili kişilere seçim yapma imkânı sunulmadığı.

Açık rıza alınmasını gerektiren her bir çerez tipi için seçeneklerin sunulması suretiyle “opt-in” yöntemiyle açık rıza alınması gerektiği ve açık rızanın Kanun’a uygun olmadığı

750.000TL idari para cezası

Talimatlandırma:

Çerezler yoluyla kişisel verilerin yurt dışına aktarımı için ilgili kişilerden ayrıca açık rıza alınmasına yönelik gerekli düzenlemelerin internet sitesinde yapılması.

• Üçüncü taraf çerez sağlayıcıları tarafından çeşitli çerezlerin “gerekli çerezler” kategorisinde kullanıldığının belirtildiği
• Yurt dışında yerleşik şirketler tarafından sağlanan üçüncü taraf zorunlu çerezler vasıtasıyla yurt dışına aktarılan kişisel veriler bakımından aktarım şartlarının Kanun’a uygun olmadığı.

Türkiye’de faaliyet gösteren internet sitelerinin yurt dışında yerleşik şirketler vasıtasıyla kullandığı çerezler aracılığıyla yurt dışına veri aktarımı faaliyetini gerçekleştirdiği durumlarda, bu veri aktarım faaliyetinin Kanun’un 9’uncu maddesindeki şartlara uygun şekilde yapılması gerektiği dikkate alındığında;

• İlgili kişilerin açık rızasının alınmadığı ve
• Kanun’un 9’uncu maddesine aykırı bir şekilde yurt dışına aktarım yapıldığı.

İnternet sitesinde yer alan “Çerez Politikası” ve “Çerez Beyanı” metinlerindeki tablolarda çerezlere ilişkin farklı bilgilerin yer aldığı.

Tabloların güncellenmesi ve yeknesak hale getirilmesi gerektiği.

Talimatlandırma:

Çerez Politikası ve Çerez Beyanı metinlerinin birbiri ile tutarlı ve uyumlu olacak şekilde Tebliğ’e uygun hale getirilmesi.