KVKK, canlı maç yayınını ticari ileti onayına bağlayan platforma 250 bin TL ceza verdi. Açık rıza ekranlarında kurumların kontrol etmesi gerekenler.
Bir kullanıcı yalnızca canlı maç yayını izlemek istiyordu. Üyelik şartlarını yerine getirmişti ancak karşısına başka bir şart çıktı: Ticari elektronik ileti gönderilmesine açık rıza vermek.
Kullanıcı bu izni vermediğinde ise canlı maç yayını hizmetinden yararlanamadı.
Konu Kişisel Verileri Koruma Kurumu’na (KVKK) taşındı ve dijital platformlardan e-ticaret şirketlerine, mobil uygulamalardan üyelik sistemi kullanan kuruluşlara kadar çok geniş bir kesimi ilgilendiren önemli bir karar ortaya çıktı.
KVKK, canlı maç yayını hizmetinden yararlanılmasını ticari elektronik ileti amacıyla açık rıza verilmesi şartına bağlayan çevrim içi yasal spor ve şans oyunları platformuna 250 bin TL idari para cezası uygulanmasına karar verdi.
Kararın merkezinde ise KVKK uyumunun en kritik kavramlarından biri bulunuyor:
Açık rıza gerçekten özgür iradeyle mi verildi?
KVKK kararına konu olayda, çevrim içi bir platformda üyeliği bulunan kullanıcı canlı maç yayını hizmetinden faydalanmak istedi.
Kullanıcı platform tarafından belirlenen diğer üyelik şartlarını yerine getirmesine rağmen, ticari elektronik ileti gönderilmesine yönelik onay vermediği için canlı maç yayını hizmetinden yararlanamadığını belirtti.
Başka bir ifadeyle kullanıcıya fiilen şöyle bir seçenek sunuldu:
“Ticari ileti izni verirsen hizmetten yararlanabilirsin.”
Kullanıcı bunun üzerine Kişisel Verileri Koruma Kurumu’na şikâyette bulundu.
KVKK tarafından yapılan inceleme sonucunda platformun canlı maç yayın hizmetinin sunulmasını, ticari nitelikli ileti göndermek amacıyla kişisel veri işlenmesine yönelik açık rıza verilmesi şartına bağladığı tespit edildi.
Sonuç: 250.000 TL idari para cezası.
Ancak kararın şirketler açısından önemi yalnızca cezanın tutarından ibaret değil.
6698 sayılı Kişisel Verilerin Korunması Kanunu açısından açık rızanın en önemli unsurlarından biri, kişinin kararını özgür iradesiyle verebilmesidir.
Bir kullanıcıya;
“Rıza göstermezsen bu hizmetten yararlanamazsın.”
denildiğinde, verilen rızanın gerçekten özgür iradeye dayanıp dayanmadığı tartışmalı hale gelir.
KVKK kararında da açık rızanın temel unsurlarından birinin “özgür iradeyle verilmesi” olduğuna dikkat çekildi.
Bu ayrım son derece önemli.
Çünkü ekrandaki bir kutucuğun işaretlenmiş olması, tek başına KVKK açısından hukuka uygun bir açık rıza alındığı anlamına gelmeyebilir.
Kuruluşların şu soruya da cevap verebilmesi gerekir:
Kullanıcı bu rızayı vermediğinde hizmetten makul biçimde yararlanmaya devam edebiliyor mu?
Eğer cevap hayırsa, açık rızanın özgür iradeyle verildiği konusunda ciddi bir uyum riski ortaya çıkabilir.
Dijital platformlarda KVKK uyumu konusunda yapılan önemli hatalardan biri, kullanıcıdan onay alınmasının tek başına yeterli olduğunun düşünülmesidir.
Oysa KVKK açısından önemli olan yalnızca kullanıcının bir butona basması değildir.
Açık rızanın geçerli olabilmesi için genel olarak;
gerekir.
Dolayısıyla üyelik, kampanya, uygulama kullanımı veya başka bir hizmetin sunulmasıyla ilgisi bulunmayan bir kişisel veri işleme faaliyeti için açık rızanın zorunlu hale getirilmesi önemli bir KVKK riski oluşturabilir.
Özellikle pazarlama ve ticari ileti izinleri bu noktada dikkatle ele alınmalıdır.
Kararın şirketler açısından en dikkat çekici noktalarından biri tam olarak burada ortaya çıkıyor.
Bir hizmetin sunulması için gerçekten gerekli olan kişisel veri işleme faaliyetleri ile pazarlama faaliyetleri kapsamında gerçekleştirilen kişisel veri işleme süreçlerinin birbirinden ayrılması gerekir.
Örneğin bir kullanıcının hesap oluşturması için belirli bilgilerin işlenmesi gerekebilir.
Ancak aynı kullanıcının reklam, kampanya veya ticari elektronik ileti almak istemesi farklı bir amaç kapsamında değerlendirilebilir.
Bu nedenle kuruluşların;
üyelik onayı, hizmet sözleşmesi, aydınlatma metni, açık rıza ve ticari elektronik ileti izinlerini tek bir onay mekanizmasının içine yerleştirirken son derece dikkatli olması gerekir.
“Tek kutucukla hepsini kabul et” yaklaşımı bazı durumlarda ciddi KVKK uyum sorunlarına yol açabilir.
Kararın önemli bir başka noktası da burada.
KVKK yalnızca 250 bin TL idari para cezası uygulanmasına karar vermedi.
Platformun, hizmetin sunulmasını ticari nitelikli ileti göndermek amacıyla kişisel veri işlenmesine açık rıza verilmesi şartına bağlayan uygulamasına son vermesi ve yapılan işlem hakkında Kuruma bilgi vermesi yönünde talimat verilmesine de karar verildi.
Bu durum KVKK kararlarının şirketler açısından neden yalnızca “ceza riski” olarak değerlendirilmemesi gerektiğini gösteriyor.
Bir KVKK kararı;
kadar uzanan operasyonel sonuçlar doğurabilir.
Dolayısıyla asıl maliyet bazı durumlarda yalnızca idari para cezası olmayabilir.
Bu karar yalnızca spor veya şans oyunları platformlarını ilgilendiren bir karar olarak görülmemeli.
Benzer uygulamalar çok farklı sektörlerde karşımıza çıkabiliyor.
E-ticaret siteleri, mobil uygulamalar, finansal teknoloji şirketleri, perakende platformları, sadakat programları, dijital içerik servisleri, SaaS uygulamaları ve üyelik sistemi bulunan diğer dijital hizmetlerde benzer riskler oluşabilir.
Özellikle şu yapıların tekrar değerlendirilmesi önem taşıyor:
Kullanıcının hizmetten yararlanabilmesi için gerçekten gerekli olmayan veri işleme faaliyetlerine rıza göstermesinin zorunlu tutulup tutulmadığı kontrol edilmelidir.
Kullanıcının aktif bir irade göstermeden onay vermiş sayıldığı tasarımlar ayrıca değerlendirilmelidir.
Üyelik sözleşmesi, KVKK aydınlatması, açık rıza ve ticari ileti izninin aynı mekanizma içerisinde birleştirilmesi uyum açısından incelenmelidir.
Açık rızanın hizmetin sunulması için gerçekten gerekli olup olmadığı belirlenmelidir.
Kullanıcının verdiği rızayı daha sonra kolay biçimde geri alabileceği süreçlerin bulunması gerekir.
Konunun bir başka önemli boyutu kullanıcı arayüzü tasarımlarıdır.
Bir kullanıcıya teorik olarak “reddetme” seçeneği sunulması her zaman yeterli olmayabilir.
Örneğin;
“Kabul Et” seçeneğinin son derece görünür olması ancak “Reddet” seçeneğinin gizlenmesi, kullanıcının sürekli olarak onay vermeye yönlendirilmesi veya hizmete devam edebilmek için gereksiz izinlerin zorunlu tutulması kullanıcı iradesini etkileyebilir.
Bu nedenle KVKK uyumu artık yalnızca hukuk departmanının hazırladığı metinlerden ibaret görülmemelidir.
Web ve mobil uygulama tasarımı da kişisel veri koruma sürecinin bir parçasıdır.
UX/UI ekiplerinden yazılım geliştiricilere, pazarlama departmanından hukuk ve bilgi güvenliği ekiplerine kadar birçok birimin sürece dahil olması gerekir.
Şirketlerde karşılaştığımız en önemli yanılgılardan biri KVKK uyumunun;
“aydınlatma metni hazırladık, açık rıza metnimiz var, çerez bildirimi ekledik”
seviyesinde değerlendirilmesidir.
Oysa gerçek bir KVKK uyum süreci bundan çok daha geniştir.
Kuruluşun;
hangi kişisel veriyi topladığı, neden topladığı, hangi hukuki sebebe dayandığı, nerede sakladığı, kimlerle paylaştığı, ne kadar süre tuttuğu, nasıl imha ettiği ve hangi teknik/idari tedbirlerle koruduğu
bir bütün olarak değerlendirilmelidir.
Bu olay da bunun somut örneklerinden biridir.
Platformun bir açık rıza mekanizmasına sahip olması yeterli olmadı.
Rızanın nasıl alındığı ve hizmetin bu rızaya bağlanıp bağlanmadığı da incelendi.
Bu tür kararların ardından şirketlerin mevcut KVKK süreçlerini yalnızca doküman seviyesinde değil, gerçek kullanıcı yolculuğu üzerinden test etmesi gerekir.
Bir KVKK uyum incelemesinde şu senaryolar özellikle kontrol edilmelidir:
Kullanıcı üye olurken hangi ekranlarla karşılaşıyor?
Hangi izinler zorunlu?
Hangi izinler isteğe bağlı?
Kullanıcı reddettiğinde ne oluyor?
Hizmeti kullanmaya devam edebiliyor mu?
Açık rıza ile aydınlatma yükümlülüğü birbirinden ayrılmış mı?
Ticari ileti izinleri hangi süreçte alınıyor?
Kullanıcı verdiği izni nasıl geri çekiyor?
Verilen izinlerin kayıtları tutuluyor mu?
Arka tarafta kişisel veriler hangi sistemlere aktarılıyor?
Bu soruların cevabı yalnızca hukuk ekiplerinin değil; bilgi güvenliği, yazılım, operasyon, pazarlama ve yönetim ekiplerinin de gündeminde olmalıdır.
KVKK uyumu yalnızca hukuki dokümanların hazırlanmasından oluşmaz.
Kişisel verilerin korunması için organizasyonel süreçlerin ve teknik güvenlik kontrollerinin birlikte ele alınması gerekir.
SecureSys olarak kurumların KVKK ve bilgi güvenliği uyum süreçlerinde;
başlıklarında kurumlara destek sağlıyoruz.
Çünkü kişisel verilerin korunmasında kritik soru yalnızca;
“Açık rıza aldınız mı?”
değildir.
Asıl sorular şunlardır:
Bu rıza hukuka uygun şekilde mi alındı?
Topladığınız veriye gerçekten ihtiyacınız var mı?
Ve topladığınız kişisel veriyi gerçekten koruyabiliyor musunuz?
Canlı maç yayını izlemek isteyen bir kullanıcının karşılaştığı açık rıza şartıyla başlayan süreç, 250 bin TL idari para cezasıyla sonuçlandı.
Ancak kararın şirketlere verdiği mesaj cezanın tutarından çok daha önemli:
Açık rıza almak ile hukuka uygun açık rıza almak aynı şey değildir.
Dijital hizmet sunan kuruluşların üyelik, pazarlama, ticari ileti ve kişisel veri işleme süreçlerini birbirinden doğru şekilde ayırması; kullanıcıya gerçek bir tercih hakkı sunması ve kişisel veri işleme faaliyetlerini uygun hukuki sebeplere dayandırması gerekiyor.
Bugün küçük görünen bir onay kutusu, yarın bir KVKK incelemesinin konusu haline gelebilir.
Kaynak: TRT Haber – “KVKK'dan canlı maç yayını izlemek için ‘açık rıza’ şartı koşan platforma ceza”
Haftalık olarak güncel tehditler, vaka analizleri ve teknik içerikler e-posta kutunuza gelsin.
Spam göndermiyoruz. İstediğiniz zaman abonelikten çıkabilirsiniz.
Bir holdingi vurmak için yüzlerce sunucuyu hacklemek gerekmez. Doğru hesaba erişen saldırganın ilk 60 dakikada neler yapabileceğini adım adım izliyoruz.
Tayvan'daki kamu kurumlarına yönelik saldırıda sekize kadar otonom yapay zekâ ajanı görev aldı. Siber saldırıların yürütülme biçimi değişiyor.
Spam aramalar artık sadece rahatsız etmiyor; dolandırıcılık ve sosyal mühendislik saldırılarının başlangıcı olabiliyor. Korunmanın 7 pratik yolu.