Kuruma intikal eden şikâyet dilekçesinde özetle; ilgili kişinin veri sorumlusu nezdinde üyeliğinin bulunduğu, üyelerin belli kriterler kapsamında mobil ve web uygulamaları üzerinden maçları naklen izleme imkânlarının bulunduğu, veri sorumlusunun yakın tarihte geçtiği bir uygulama ile canlı yayın hizmetinden faydalanabilmek için iletişim izni/onayı alınmasını zorunlu tuttuğu, üyesi olarak, veri sorumlusunun belirlediği iki kriterden birini yerine getirmiş olmasına rağmen ticari ileti izni vermediği için canlı yayın hizmetinden yararlanamadığı, bu kapsamda hizmetin açık rıza şartına bağlı olamayacağı, bu minvalde, Kişisel Verileri Koruma Kurulunun (Kurul) 08.07.2019 tarih ve 2019/206 sayılı ve 20.04.2021 tarih ve 2021/389 sayılı Kararları uyarınca ilgili kişilere bir ürün veya hizmetin sunulmasının ya da ilgili kişinin ürün veya hizmetten yararlandırılmasının açık rıza ön şartına dayandırılmasının, rızanın özgür iradeyle açıklanması kuralına aykırılık teşkil ettiği, bu halde açıklanan açık rızanın geçersiz olduğu ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- Veri sorumlusunun, 2004 yılından beri yasal şans oyunlarının sanal ortamda oynanabilmesi adına Spor Toto Teşkilat Başkanlığı, Milli Piyango Genel Müdürlüğü ile imzalanan sözleşmeler vasıtasıyla hizmet sunduğu ve Spor Toto Teşkilat Başkanlığı ve Milli Piyango İdaresi tarafından düzenlenen oyunların/piyangoların sanal ortam vasıtasıyla oynanmasına aracılık faaliyeti yürüten bir sanal ortam bayisi olduğu,
- Veri sorumlusu üzerinden erişilebilen Canlı Yayın alanının veri sorumlusu tarafından sunulmasının veri sorumlusunun temel hizmetlerinden olmadığı, belirli şartlarla üyelerinin kullanımına açılan ek bir faydadan ibaret olduğu, üyelerin Canlı Yayın alanından yararlanmaksızın da Spor Toto Teşkilat Başkanlığı ve Milli Piyango İdaresi tarafından düzenlenen ve veri sorumlusunun temel hizmetlerinden olan oyunların/piyangoların oynanmasına ilişkin temel hizmetleri diledikleri gibi kullanıma devam edebildikleri ve bu kapsamda Canlı Yayın alanından yararlanılamamasının hiçbir temel hizmetin kullanımını engellemediği,
- Canlı Yayın alanından erişim sağlanarak hâlihazırda yayınlanmakta olan müsabakaların izlenebildiği, temel hizmetlerden olmayan bu alana erişilebilmesi için bazı şartların yerine getirilebilmesinin arandığı, aşağıdaki şartların yerine getirilmesi ile birlikte ilgili alanın erişilebilir kılındığı,
- Üyeliğin olması,
- Üyenin son 120 saat içinde oyun/piyango kuponu oynamış olması veya son 14 gün içinde oyun/piyango kuponu oynamış olması ve hesabında pozitif bakiye bulundurması (Belirtilen şartlar hakkındaki bilginin ayrıca söz konusu çevrimiçi yasal spor ve şans oyunları platformu dâhilindeki Yardım alanında erişilebilir şekilde barındırılmakta olduğu),
- Canlı Yayın alanına erişilmesi ile 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun dâhilinde düzenlenen ticari elektronik ileti gönderimine ilişkin onay verilmiş olması.
- Belirtilen tüm şartların sağlanması halinde erişilebilir kılınan Canlı Yayın alanı vasıtasıyla herhangi bir kişisel veri işlenmediği ve ilgili kişi tarafından ilk iki şart sağlanmışsa da üçüncü şart sağlanmadığı, mevcut şikâyetin konusunun üçüncü şartın hukuki niteliğine ilişkin olduğu ve ilk iki şartın yerine getirilmesi halinde Canlı Yayın alanına erişildiğinde açık rıza talep edilmediği, talep edilenin 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun dâhilinde düzenlenen ticari elektronik ileti gönderimine ilişkin onay olduğu,
- Açık rızada olduğu gibi, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik’in ("Yönetmelik") 8’inci maddesinin birinci fıkrası uyarınca ticari elektronik iletilerin de alıcıdan onaya uygun alınması gerektiği sebebiyle ilgili onayların SMS, e-posta ve Müşteri Hizmetleri (Çağrı) kanallarıyla ticari elektronik ileti gönderilmesi adına bölümlendiği,
- Açık rızanın kurallarında olduğu gibi, Yönetmelik’in 7’nci maddesinin (9)’uncu fıkrası uyarınca alıcının ticari elektronik ileti onayı vermesinin sunulan mal ve hizmetin temini için ön şart olarak ileri sürülemediği,
- Kurulun "Bir market zincirinin sadakat kart uygulamasına ilişkin ihbar ve şikayetler hakkında" 25/03/2019 tarihli ve 2019/82 sayılı Karar Özeti ile "İlgili kişinin, bir sadakat programı kapsamında veri sorumlusunca hukuka aykırı kişisel veri işlendiği yolundaki ihbarı" hakkında 05/07/2019 tarihli ve 2019/198 sayılı Karar Özeti dâhilinde yer verilen "Veri sorumlusunun mağazalarında sunulan ürün veya hizmetlerin, gerçekleştirilen kampanyalar dâhilinde ve veri sorumlusu şirketin sadakat programına özel indirimli fiyatlar üzerinden ek bir menfaatle sunuluyor olmasının, açık rızanın koşul olarak dayatılması ve bu anlamda ilgili kişinin açık rızasının bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten yararlandırılmasının ön şartı olarak ileri sürülmesi olarak kabul edilemeyeceğinden" yorumundan yola çıkarak 28.10.2021 tarihli Ticaret Bakanlığı’na bilgi edinme talebinde bulunulduğu, Ticaret Bakanlığı’nın Yönetmeliğinin 7’nci maddesinin 9’uncu fıkrasında yer alan düzenlemenin, Kurulun Kararlarıyla aynı yönde olduğu gibi, sadece temel mal veya hizmetlerin temininde ticari elektronik ileti onayı verilmesinin ön şart olarak zorunlu kılınmaması şeklinde yorumlandığı, temel hizmetlerden olmayan Canlı Yayın alanına erişim öncesinde bahsi geçen düzenlemeye aykırılık yaratılmadığı sebebiyle ilgili onayların verilmesinin bir ön şart olarak düzenlendiği,
- Nitekim ilgili kişilerce temel hizmetlerden olmayan Canlı Yayın izlenmesi adına talep edilen ticari elektronik ileti onaylarının verilmesi üzerine Yönetmeliğin 7’nci maddesinin üçüncü fıkrası dâhilinde düzenlendiği üzere, ticari elektronik ileti onayı alınması üzerine onayın alındığı bilgisinin, reddetme imkânı da tanınmak suretiyle, alıcının elektronik iletişim adresine 24 saat içinde iletildiği, üyelerin Canlı Yayın izlemek üzere verdikleri ticari elektronik ileti onaylarına yönelik olarak; diledikleri zaman hiçbir sebep göstermeksizin ve ticari elektronik iletinin gönderildiği kanal ile uyumlu şekilde reddetme hareketlerini gerçekleştirebildikleri (SMS için doğrudan SMS üzerinden, e-Posta için doğrudan e-Posta üzerinden, çağrı için doğrudan çağrı sırasında ve her hal ve şartta doğrudan üyelikleri vasıtasıyla, çağrı merkezi üzerinden ve diğer iletişim kanalları aracılığıyla),
- Bahsi geçen ticari elektronik ileti onaylarının, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca ticari elektronik ileti göndermek adına onayların alınması zorunlu kılındığından alınmakta olduğu, Kanun uyarınca alınmış bir açık rızanın mevcut olmadığı,
- Talep edilen ticari elektronik ileti onayı alınmasının kampanya ve promosyon amaçlı iletilerin gönderilmesi amacıyla açık rıza alındığı yönünde değerlendirilmesi halindeyse; ilgili hizmetin temel hizmetlerden olmadığı ve dolayısıyla talep edilen açık rızanın temel bir hizmete yönelik hizmetin ön şartı niteliğinde olamayacağı yönündeki ve yukarıda atfına yer verilen Kurul Kararları ile aynı doğrultudaki savunmalarının yine hukuken geçerli olduğu,
- Son olarak ilgili alan vasıtasıyla onay verilmesi halinde, veri sorumlusu tarafından sağlanan kampanya ve promosyonlar hakkında ticari elektronik iletilerin gönderilmesi amacıyla 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca onay alınması adına kimlik, iletişim ve müşteri işlem bilgisinin Kanunun 5. maddesinin 2. fıkrasının (ç) bendi uyarınca "Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" hukuki sebebiyle ve onayın varlığı halinde ticari elektronik ileti niteliğindeki içeriklerin gönderilmesi kapsamında işlenen kimlik, iletişim ve pazarlama/müşteri işlem bilgilerinin ise Kanunun 5. maddesinin 2. fıkrasının (f) bendi uyarınca "İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" hukuki sebepleriyle işlendiği, veri sorumlusu tarafından ticari elektronik ileti onaylarının alınması ve ticari elektronik iletilerin gönderilmesinin ayrı bir işleme faaliyeti amacı olması sebebiyle ayrıca ayrıştırıldığı ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ile Kurul kararları dikkate alınarak hazırlanmış bir aydınlatma metninin ticari elektronik ileti onayı talep edilen Canlı Yayın izlenecek ekranda açılabilir olarak sağlandığı/konumlandırıldığı
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kurulun 21/09/2023 Tarihli ve 2023/1610 Sayılı Kararı ile;
- Kanun’un “Kişisel Verilerin İşlenme Şartları” başlıklı 5’inci maddesinin (1) numaralı fıkrasına göre kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, (2) numaralı fıkrasına göre ise Kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu,
- Kanun’un “Veri Güvenliğine İlişkin Yükümlülükler”i düzenleyen 12’nci maddesinin (1) numaralı fıkrasında ise veri sorumlusunun, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idarî tedbirleri almak zorunda olduğu,
- Veri sorumlusunun canlı maç yayını faaliyetinin sunumunun ticari nitelikli ileti göndermek suretiyle kişisel veri işlenmesi için açık rıza alınması şartına bağlanmış olduğu, bu kapsamda açık rızanın unsurlarından bir tanesi olan “özgür irade ile verilme” unsurunun zedelendiğinden bahisle, veri sorumlusu tarafından gerçekleştirilen kişisel veri işleme faaliyetinin Kanun’un 5’inci maddesinde yer alan veri işleme şartlarından herhangi birine dayanılmaksızın gerçekleştirildiği, bu kapsamda da veri sorumlusunun Kanunun 12’nci maddesinin (1) numaralı fıkrasının (a) bendi çerçevesinde kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almadığı
değerlendirmelerinden hareketle;
- Veri sorumlusunun canlı maç yayını faaliyetinin sunumunun ticari nitelikli ileti göndermek suretiyle kişisel veri işlenmesi için açık rıza alınması şartına bağlandığı, bu kapsamda açık rızanın unsurlarından bir tanesi olan “özgür irade ile verilme” unsurunun zedelendiği dikkate alındığında veri sorumlusu tarafından gerçekleştirilen kişisel veri işleme faaliyetinin Kanun’un 5’inci maddesinde yer alan veri işleme şartlarından herhangi birine dayanılmaksızın gerçekleştirildiği, bu kapsamda veri sorumlusunun 12’nci maddesinin (1) numaralı fıkrasının (a) bendi çerçevesinde kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almadığı kanaatine varılmış olup Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca veri sorumlusu hakkında 250.000 TL idari para cezası uygulanmasına,
- Veri sorumlusunun söz konusu hizmetin sunulmasını, ticari nitelikli ileti göndermek suretiyle kişisel veri işlenmesi için açık rıza alınması şartına bağlaması uygulamasına son vererek sonucundan Kurula bilgi verilmesi hususunda talimatlandırılmasına
karar verilmiştir.