Selen İBRAHİMOĞLU GÜREŞ Avukat / Yönetici Ortak
Batuhan AYTAÇ Avukat
[email protected]
02 Ocak 2019
A-
A+
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 16 Ekim 2018 tarihli ve 2018/119 sayılı kararı (“Karar”) pek çok tartışmaya yol açtı. Hatta Kurul yayınladıktan sonra kararda tadil yaparak, yanlış anlaşılmaya yol açan ifadeyi düzeltti. Ama düzenleme konusu, iki farklı mevzuata ve iki ayrı kurumun denetimine tabi olduğundan tartışmalar devam ediyor.
Biz de bu yazıda, en çok üzerinde durulan sorunlardan ikisini, yeni yıla merhaba derken kısaca not etmek istedik. Bunlardan biri aynı ihlale iki farklı ceza verilip verilemeyeceği, diğeri ise Elektronik Ticaretin Düzenlenmesi ile ilgili mevzuat kapsamında “onaylı” olduğu kabul edilen veri tabanları istisnasının kişisel verilerin korunması mevzuatı bakımından da uygulanıp uygulanamayacağı.
Her İki Mevzuatın Kapsamı
Karar “reklam bildirimleri/aramaları” hakkındadır. Aşağıdaki ticari elektronik ileti tanımından da anlaşılacağı üzere reklam bildirimleri/aramaları ticari bir faaliyet olduğundan bunların Karar’da geçtiği şekliyle “e-posta adreslerine veya SMS veya çağrı ile cep telefonlarına” iletilmesi bu reklam bildirimleri ve aramalarını ticari elektronik ileti haline dönüştürmektedir. Bu yüzden her iki mevzuat da söz konusu olabilecektir.
Karar’ı değerlendirebilmek için ilk başta mevzuattaki ilgili bir iki kavrama tekrar bir göz atalım.
Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) konusu kişisel verilerdir ve KVKK kapsamında kişisel veriler ise, bildiğiniz gibi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kişisel verilerin işlenmesi ise kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlanıyor.
Ticari elektronik ileti ise 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (“ETK”) kapsamında telefon, çağrı merkezleri, faks, otomatik arama makineleri, akıllı ses kaydedici sistemler, elektronik posta, kısa mesaj hizmeti gibi vasıtalar kullanılarak elektronik ortamda gerçekleştirilen ve ticari amaçlarla gönderilen veri, ses ve görüntü içerikli iletileri ifade ediyor.
En güncel tartışmalardan biri, hangi kanunun özel hangi kanunun genel kanun olduğu ve duruma göre hangisinin uygulanması gerekeceği. Derin akademik tartışmalar sürerken, şimdilik bunun o kadar da kolay bir cevabı olmadığını söylemekle yetinelim. Bazı hükümler açısından ETK’nin özel kanun olduğu söylenebilecekken, diğer bazı hükümler açısından KVKK’nın özel olduğu söylenebilecektir. Tabi bu arada, önceki kanun – sonraki kanun tartışmasını da unutmamak gerek. KVKK’nın ETK’dan daha sonra kanunlaşmış olması da, ilgili hükümlerin yorumlanması sırasında dikkate alınması gereken bir unsur olarak önümüze çıkıyor. Bu tartışmalar özellikle ETK madde 10, KVKK madde 12 ve KVKK madde 8 açısından çok önemli.
Karar’ın burada tartıştığımız kısmı “İlgili kişilerin rızalarını almadan veya Kanunun 5 inci maddesinin (2) numaralı fıkrasında hüküm altına alınan işleme şartlarını sağlamadan, telefon numaralarına SMS göndermek, arama yapmak veya e-posta adreslerine posta göndermek suretiyle reklam içerikli ileti yönlendirilmesi” ve buna bakıldığında doğrudan ETK kapsamındaki Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelikte (“Yönetmelik”) detaylı düzenlenen ticari amaçlı elektronik ileti gönderimi hakkında olduğu düşünülüyor.
Çift Ceza Sorunu Olabilir mi?
ETK ve Yönetmelik kapsamında T.C. Ticaret Bakanlığı’nın ilgili İl Müdürlüğü tarafından ayrı, KVKK kapsamında Kurul tarafından ayrı ihlal değerlendirmelerinin yapılıp ayrı cezaların kesilmesi ve burada doğacak çelişkiler konusunda tam bir netlik yok.
Sorunlardan biri ise aynı ihlalin her iki mevzuatta da ihlal oluşturması durumunda hangi cezanın uygulanacağına ilişkin.
KVKK’nın idari para cezalarına ilişkin “Kabahatler” başlıklı 18. maddesinin gerekçesinde “Kanunda kabahatlerle ilgili hüküm bulunmayan hallerde genel kanun niteliğindeki 5326 sayılı Kabahatler Kanunu hükümlerinin uygulanacağı açıktır.” şeklinde belirtilmiş.
Aynı konuda iki farklı ceza verilmesi çifte cezalandırma yasağına aykırı olacağından, Kabahatler Kanunu’nun 15. maddesindeki içtimaya ilişkin hükümler uygulanacaktır. Buna göre “bir fiil ile birden fazla kabahatin işlenmesi halinde bu kabahatlere ilişkin tanımlarda sadece idari para cezası öngörülmüşse, en ağır idari para cezası verilir.” Dolayısıyla bu durumda iki idari para cezası söz konusu olacaksa en ağır ceza uygulanacaktır. Ancak idari para cezası dışında yaptırımlar söz konusu olursa bu yaptırımların ayrıca uygulanması gerekir.[1]
Onay Alınarak Oluşturulan Veri Tabanları İkilemi
Yine bir başka tartışılan husus ise, ticari elektronik ileti gönderilmesinin ETK ve Yönetmelik ve KVKK karşısında Kurul kararında da değinilen hukuka uygun olan halleri nelerdir? Bu amaçla veri işleyecek olan veri sorumlusunun ETK ve KVKK öncesi edindiği veriler için geçici maddelerle nasıl hükümler getirilmiş?
ETK’ya göre: 1.5.2015’den önce ticari elektronik ileti gönderilmesi amacıyla onay alınarak oluşturulmuş olan veri tabanlarında yer alan kişilerden 6. Maddeye göre ayrıca onay alınmaz.
Yönetmelik’e göre: 15.7.2015’den önce, ticari elektronik ileti gönderilmesi amacıyla alıcının açık irade beyanını içerecek şekilde alınan onaylar geçerlidir. 1.5.2015’den önce, hizmet sağlayıcı ve alıcı arasında doğrudan mal veya hizmet teminine yönelik işlemler sırasında alıcının elektronik iletişim adresini vermesi ile oluşturulan veri tabanlarının onaylı olduğu kabul edilir.
KVKK’ya göre: 7.4.2016’dan önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.
Bu üç mevzuat arasında 1.5.2015’den önce veri sorumlusunun veri kayıt sistemlerine girmiş e-posta veya telefon numaralarına ticari elektronik ileti gönderebilmesi için en geniş hukuka uygun veri işleme ortamı yaratan, Yönetmelik’teki “alıcının elektronik iletişim adresini vermesi ile oluşturulan veri tabanlarının onaylı” kabul edilmesi hali.
Biz, esasen, bu üç mevzuat arasında çelişki bulunmadığı kanaatindeyiz. Şu durumda:
diye düşünüyoruz.
Sonuç olarak, her iki mevzuatın da esasında tamamlayıcı olarak uygulanmaları mümkün görünüyor. Çeliştiği durumlarda ise özel kanun-genel kanun ilişkisi ile kişisel verisi işlenen ilgili kişinin temel hak ve özgürlükleri gözetilerek somut olaya göre karar verilmesi gerekecek.
Ama bir şeyi kesinlikle not etmek gerekiyor:
15.07.2015’den sonra Veri Sorumluları Ticari Elektronik İleti göndermeden ya da veri işleyenleri vasıtasıyla göndertmeden önce (1) ETK ve Yönetmelik’te yer alan şekil şartlarına uygun bir onay almış olmalı veya ileriye dönük olarak da söz konusu onayı almalı ve herhalde (2) 7.4.2016’dan sonra KVKK bakımından aydınlatmanın yapılmış olması zorunlu. Bunların dışında KVKK açısından söz konusu veriler işleme için başka bir hukuka uygunluk sebebi olmayan hallerde de açık rıza alınması gereken veri işleme faaliyetlerinin de mutlaka ayrıştırılarak, duruma göre, onay ile birlikte ya da ayrı olarak ilgili kişilerden KVKK uyarınca açık rızanın da alınması da unutulmamalı.
Bu konu 2019’da da gündemde kalmaya devam edecek. Biz de gelişmeleri yakından takip ediyor olacağız.
[1] Kabahatler Kanunu md. 15/1: “Bu kabahatlerle ilgili olarak kanunda idarî para cezasından başka idarî yaptırımlar da öngörülmüş ise, bu yaptırımların her birinin uygulanmasına karar verilir.”
Yayınlara dön