Kuruma intikal eden şikâyet dilekçesinde özetle; ilgili kişinin telefon görüşmelerinin arada herhangi bir yazılı sözleşme bulunmadan, herhangi bir uyarı ve aydınlatma olmadan rızası hilafına kaydedildiği ve söz konusu kayıtların aleyhine kullanıldığı ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- İlgili Kişi ile Veri Sorumlusu arasında 2014 yılında bireysel abonelik sözleşmesi akdedildiği, sözleşmenin süresinin 24 ay olduğu ve taraflardan biri sözleşmeyi yenilemeyeceğini bildirmedikçe, sözleşmenin aynı koşullarla yenilenmiş sayıldığı, 2014 tarihli sözleşme kapsamında, Veri Sorumlusu ve İlgili Kişi arasındaki telefon görüşmeleri neticesinde İlgili Kişinin, Veri Sorumlusu hizmetlerini kullanmaya devam etmesi karşılığında İlgili Kişiye 2017-2018-2019-2020 yıllarında indirim ve fiyat sabitlemesinin sağlandığı, 2021 yılında ise İlgili Kişinin yeni vermiş olduğu 24 ay taahhüdüne istinaden Veri Sorumlusunun güvenlik hizmetlerini vermeye devam ettiği, İlgili Kişinin 2022 yılında taşınma gerekçesiyle sözleşmeyi sonlandırmak istediğini beyan ettiği,
- Veri Sorumlusunun web adresinde Müşteri Aydınlatma Metnine yer verildiği,
- Veri Sorumlusuna gelen aramalarda (inbound) müşteri temsilcisine bağlanılmadan önce “Güvenliğiniz amacıyla görüşmeleriniz kayıt altına alınmaktadır.” anonsunun yapıldığı, Veri Sorumlusu tarafından yapılan aramalarda (outbound) ise müşteri temsilcisinin müşteriye bağlanıp ad-soyadı bilgisi teyidi gerçekleştirdikten sonra “Güvenliğiniz amacıyla görüşmeleriniz kayıt altına alınmaktadır.” anonsu yaptığı, Kanun yürürlüğe girdikten sonra İlgili Kişi ile 2017 yılında yapılan görüşmede, görüşmelerin kayıt altında olduğu bilgisinin İlgili Kişiye verildiği, 2017 yılında yapılan bu aydınlatmanın, İlgili Kişi ile Veri Sorumlusu arasında devam eden ilişkiye uygulanabilir olmaya devam ettiği, buna karşın Veri Sorumlusunun, İlgili Kişi ile yapmış olduğu 2022 tarihli giden ve gelen aramalarda görüşmelerin kayıt altında olduğu bilgisini tekrar verdiği,
- İhtilaf konusu kişisel verilerin imha prosedürüne alındığı, ihtilafın devamına ilişkin ilgili iş birimleri tarafından yapılan düzeltme neticesinde imha sürecinin durdurulduğu ve verilerin yedekten geri döndürüldüğü, Veri Sorumlusunun sözleşmenin ifası ve hakkın tesisi hukuki işleme şartlarına dayalı olarak hukuken işleme hakkı bulunan veriyi, teknik iş akışındaki bir aksaklık sebebiyle geçici olarak imha sürecine aldıktan sonra yapılan düzeltme sonrasında verilerin geri döndürüldüğü, söz konusu işlemin, Veri Sorumlusunun haklarından feragat manasında olmadığı, ilgili departmanların İlgili Kişi açısından o an en koruyucu yöntem olarak imha prosedürünü değerlendirmesinden ve ardından hukuk birimlerinin verdiği bilgi doğrultusunda iptal edilmesinden ibaret olduğu
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 26/10/2023 Tarihli ve 2023/1818 Sayılı Kararı ile;
- 6098 sayılı Türk Borçlar Kanunu hükümleri çerçevesinde sözleşme ilişkilerinin kurulmasının, kural olarak şekle tabi olmadığı, şikayete konu hizmet sözleşmesinin de özel bir şekle tabi bulunmadığı, bu hususlara ek olarak anılan kayıtların, sözleşme ilişkisi üzerinde tarafların mutabakatı doğrultusunda sözlü olarak gerçekleştirilen değişikliklerin ispatlanması/sözleşmenin gereği gibi ifa edilip edilmediğinin tespit edilmesi noktasında tek araç olduğu ve bu kayıtların tutulmasının, İlgili Kişinin temel hak ve özgürlüklerine zarar vermediği gibi, olası bir uyuşmazlık ihtimalinde mezkûr sözleşme ve meri mevzuat çerçevesinde İlgili Kişinin sahip olduğu hakları ispatlayabilmek anlamında da kritik önemi bulunduğu dikkate alındığında söz konusu işleme faaliyetinin Kanun’un 5 inci maddesinin ikinci fıkrasında düzenlenen işleme şartlarından “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” ve “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması”na dayalı olarak gerçekleştirildiği,
- Veri Sorumlusu tarafından sunulan savunmada, görüşmelerin kayıt altında olduğu bilgisinin İlgili Kişiye iletildiği, katmanlı aydınlatma yapıldığı, İlgili Kişinin ses kaydı alındığı hususunu bildiği savunulmuş ise de; katmanlı aydınlatmanın, kişisel verilerin elde edilmesi sırasında kişiye verilerinin elde edildiği konusunda ön bilgilendirme yapılarak, Kanun’un 10 uncu maddesine uygun aydınlatmaya yönlendirilmesini ifade ettiği, aydınlatma yükümlülüğünün İlgili Kişinin talebine bağlı bir yükümlülük olmadığı, ilgili kişinin açık rızasına veya Kanun’da yer alan diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğünün yerine getirilmesinin zaruri olduğu, Kanun’un 10 uncu maddesi uyarınca bu bilgilendirmede “Veri sorumlusunun ve varsa temsilcisinin kimliği”, “Kişisel verilerin hangi amaçla işleneceği”, “Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği”, “Kişisel veri toplamanın yöntemi ve hukuki sebebi” ve “İlgili kişinin Kanunun 11 inci maddesinde sayılan diğer hakları” hususlarının asgari olarak yer almasının zorunlu kılındığı, aydınlatma yükümlülüğünün yerine getirilmesinde ispat yükümlülüğünün veri sorumlularına ait olduğu hususları dikkate alındığında Veri Sorumlusunun, İlgili Kişiye yönelik olarak görüşme kaydı aldığı hususunda bilgilendirmede bulunmasına karşın bu bilgilendirmenin Kanun ve Tebliğ hükümleri uyarınca gerçekleştirilmediği, diğer bir ifade ile Veri Sorumlusunun teknik anlamda bir aydınlatmada bulunmadığı
değerlendirmelerinden hareketle;
- İlgili Kişinin görüşme kayıtlarının hukuka aykırı şekilde kaydedildiği iddiaları hakkında; söz konusu kayıtların Kanun’un 5 inci maddesinin ikinci fıkrasının (e) bendinde yer alan “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” ve (f) bendinde yer alan “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” şartlarına dayalı olarak gerçekleştirildiği yönündeki değerlendirmeler uyarınca Kanun kapsamında yapılacak bir işlem bulunmadığına,
- İlgili Kişiye karşı aydınlatma yükümlülüğünün yerine getirilmediği iddiaları hakkında; İlgili Kişi tarafından Veri Sorumlusu çağrı merkezine gerçekleştirilen geçmiş aramalarda aydınlatma yükümlülüğünün yerine getirildiğinin Veri Sorumlusu tarafından tevsik edilemediği, İlgili Kişiye yönelik olarak gerçekleştirilen aramalarda ise Kanun ve Tebliğ hükümlerinde yer alan asgari unsurları barındıran ya da bu unsurların yer aldığı bir mecraya yönlendirmek suretiyle bu unsurların öğrenilmesine imkan sağlayan teknik anlamda “aydınlatma” niteliğini haiz bir bilgilendirme yapılmadığı değerlendirmelerinden hareketle Veri Sorumlusu hakkında Kanun’un 18 inci maddesinin birinci fıkrasının (a) bendi uyarınca 15.000 TL idari para cezası uygulanmasına,
- Kanun ve Tebliğ hükümlerinde yer alan asgari unsurların yer aldığı aydınlatmanın yapılması veya Veri Sorumlusu tarafından gerçekleştirilen aramalar bakımından katmanlı bilgilendirme yönteminin kullanıldığı hallerde katmanlı şekilde bir mecraya gerekli yönlendirmenin sağlanması hususunda Veri Sorumlusunun talimatlandırılmasına ve konuya ilişkin olarak 30 gün içinde Kurula bilgi verilmesine
karar verilmiştir.