Kişisel Verileri Koruma Kurumu, 6 Kasım 2020 tarihinde, ilgili kişinin cep telefonu numarasının, açık rızası olmaksızın bir dernek tarafından reklam içerikli SMS gönderimi için işlenmesi hakkındaki 10 Eylül 2020 tarihli ve 2020/691 sayılı kararını internet sayfasında yayınladığı karar özetiyle paylaştı.
Söz konusu karar, ilgili kişinin şikâyeti üzerine Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) çerçevesinde verilmiştir.
Kurul, somut duruma ilişkin değerlendirmelerinde;
- Kanun’un 5. maddesinde kişisel verilerin işlenme şartlarına yer verilmiş olduğunu; bu maddenin birinci fıkrasında, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, 2. fıkrasında belirtilen şartlardan birinin varlığı halinde ise, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğunu belirtmiştir.
- Somut olayda; veri sorumlusu dernek tarafından şikayetçinin kişisel verisi niteliğindeki cep telefonu numarasının işlenme sebebinin kanıtlanamadığı gibi bu hususa ilişkin netlik içeren herhangi bir açıklama da yapılmadığını belirtmiştir.
- Kurul, veri sorumlusu tarafından yapılan “İlgili kişinin evvelce SMS bağışı yapmış olduğunun kuvvetle muhtemel olduğu” şeklindeki açıklamanın ise hukuki zemine oturan bir açıklama olmadığı gibi geçerli bir açıklama olarak da kabul edilemeyeceğini, veri sorumlusu tarafından ilgili kişinin SMS gönderimine ilişkin açık rızasının tespit edilemediğini belirtmiştir. Bu çerçevede şikayetçinin kişisel verisi niteliğindeki cep telefonu numarasının elde edilmesi ve reklam içerikli SMS gönderimi için kullanılması şeklide gerçekleşen kişisel veri işleme faaliyetinin Kanuna aykırılık teşkil ettiğini ve bu durumun da veri sorumlusu tarafından veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediğinin göstergesi olduğunu belirtmiştir.
- Bununla birlikte, şikayete konu olayda, veri sorumlusu konumundaki derneğin ilgili kişinin bilgi edinme talebine yanıt vermediği ve yanıt vermeme sebebinin de “idari bir sıkıntı” şeklinde belirtildiği fakat bahsedilen idari sıkıntının ne olduğuna ilişkin aydınlatıcı bir açıklama yapılmadığını belirterek, Kanun ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’deki düzenlemeler ışığında, veri sorumlularının herhangi bir başvuru karşısında yapabileceği iki tür hareketin bulunduğu ve bu kapsamda söz konusu başvurunun veri sorumluları tarafından kabul edilmesinin ya da gerekçesinin açıklanarak reddedilmesinin gerektiğini belirtmiştir. Somut olayda derneğin ilgili başvuru karşısında hiçbir harekette bulunmaması dolayısıyla derneğin ilgili kişinin başvurusuna cevap vermemesinin Kanun’a aykırılık teşkil ettiğini belirtmiştir.
- Öte yandan, Kanun’un 7. maddesine göre; Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilmesi hükmünün geçerli olduğunu belirterek başlangıçtan itibaren hukuki sebepten yoksun olması dolayısıyla hukuka aykırı kişisel veri işlemenin söz konusu olması halinde bu kişisel verilerin derhal silinmesi gerektiğini belirtmiştir.
- Somut olayda; bahse konu telefon numarasının kara listeye alınmasının hukuka aykırı olarak işlenen kişisel verinin silindiği anlamına gelmediğini ve hiçbir hukuki sebebe dayanmaksızın işlenen kişisel verinin halihazırda derneğin sistemlerinde kara listeye alınmış bir şekilde bekliyor oluşunun hukuka aykırı durumun devam ettiğini gösterdiğini belirterek, bahse konu telefon numarasının imha edilmesi gerektiğini belirtmiştir.
Söz konusu değerlendirmeler sonucunda;
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alınmadığı kanaatine varılmış
- Veri sorumlusu sıfatını haiz dernek hakkında idari para cezasına karar verilmiş
- Veri sorumlusu dernek tarafından ilgili kişilerin Kanun kapsamındaki başvurularının yasal süre içerisinde yanıtlanmasına azami dikkat ve özenin gösterilmesi hususunda ve cep telefonu numarasının imha edilmesi hususunda veri sorumlusunun talimatlandırılmasına karar verilmiştir.
Kurul kararının tam metnine bu bağlantıdan ulaşabilirsiniz.
