Kuruma intikal eden dilekçede özetle; yerel bir basın organının 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında onay veya imza almaksızın seçim anketi yaparak kişisel bilgileri ve seçim öngörülerini topladığı, bu durumun yasalara ve Yüksek Seçim Kurulu kararlarına aykırı olduğu, ayrıca anket sonucunda kişilerin özlük bilgileri ve oy yönelimlerine ilişkin bir veri tabanı oluşturulduğu ve söz konusu veri tabanının ilgili kişiler bakımından ilerleyen süreçlerde risk teşkil edebileceği ifade edilerek, Kanun kapsamında gereğinin yapılması talep edilmiştir.
Konuya ilişkin başlatılan resen inceleme çerçevesinde ihbar edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- İnternet sitesinde duyurulan anketlere katılmak isteyen kişilere yönelik olarak bu sitede açık uyarı metninin yayımlandığı, site üzerinden veya başka bir kanaldan kişilerin telefonuna veya e-posta adresine herhangi mesaj veya ileti gönderilmediği ve ankete katılmaları için bir link iletilmediği, iletişim hattı yoluyla anketlere katılan kullanıcılara düzenli olarak bilgilendirme ve onamlarını içeren açık rıza metni içeren mesajların iletildiği, KVKK uyum sürecinde Kanun hükümlerine ve Kişisel Verileri Koruma Kurulunun (Kurul) kararlarına uygun şekilde gazetenin anketlerine katılan ve yüz yüze olarak gazetelerinin takipçisi olan kişilerden açık rıza onam formlarının alındığı,
- Yapılan anketlerde kişilerin bilgilerinin hiçbir şekilde ad-soyadı-telefon numarası şeklinde depolanmadığı, bu haliyle kişisel veri veya özel nitelikli kişisel verilerin şirketleri tarafından depolanması veya üçüncü kişilerin kullanımına sunulmasının söz konusu olmadığı, bu verilerin taraflarınca işlenmediği,
- Kişilerin isimlerinin baş harflerinin yazılı ve geri kalan kısmının yıldızlı şekilde tabloya kaydedildiği, telefon numaralarının da aynı şekilde doğrudan maskeleme yapılarak girildiği, bu bilgilerle kişilerin kim olduklarına veya hangi numarayı kullandıklarına dair herhangi bir açıklık bulunmadığı,
- Kişisel verilerin güvenliğinin sağlanması amacıyla öncelikle doğrudan maskeleme yolu izlendiği, hiçbir zaman ad, soyadı, telefon bilgisinin tam olarak ve kişilerin kimliğini belli edebilecek şekilde herhangi bir yerde depolanmadığı
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kurulun 22/02/2024 Tarihli ve 2024/275 Sayılı Kararı ile;
- Kanun’un 3’üncü maddesinde kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü veri olarak tanımlanmış olup Kanun’un söz konusu tanıma ilişkin maddesinin gerekçesinde; “… sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veridir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar…” ifadelerine yer verildiği,
- Dolayısıyla kişisel verinin, ilgili kişinin doğrudan kimliğini gösterebileceği gibi o kişinin kimliğini doğrudan göstermemekle birlikte herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsadığı, kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm verilerin kişisel veri olarak kabul edildiği, buna ilişkin Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberinde doğrudan tanımlayıcıların, tek başlarına ilişki içinde oldukları kişiyi doğrudan açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılar; dolaylı tanımlayıcıların ise diğer tanımlayıcılar ile bir araya gelerek ilişki içinde oldukları kişiyi açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılar olarak tanımlandığı,
- Öte yandan, Kanun’un 3’üncü maddesinin (1) numaralı fıkrasının (b) bendinde anonim hale getirmenin, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi olarak tanımlandığı, bununla birlikte, Kurumun “6698 Sayılı Kanunda Yer Alan Terimler” başlıklı rehberinde ise anonim hale getirilmiş verinin, başlangıçta kime ait olduğu bilinen bir verinin kişi ile arasındaki bağın daha sonra ortadan kaldırılması olarak ifade edildiği,
- Anketin belirli bir bölgede yaşamakta olan gerçek kişileri hedeflediği dikkate alındığında her ne kadar anket sonuçlarının yayımlandığı tabloda ad-soyadı bilgisinin çaprazlama yapılmak suretiyle ilk harflerine yer verilmiş olsa da dolaylı tanımlayıcı niteliğinde olan telefon numarası bilgisinin yalnızca son dört hanesinin maskelenmesi ve bazı kayıtlarda ek olarak dolaylı tanımlayıcı niteliğindeki mahalle bilgisine yer verilmesinin, söz konusu kayıtların gerçek bir kişiyle ilişkilendirilemez hale getirilmesini sağlamadığı sonucuna ulaşıldığı, zira, ankete katılan bir ilgili kişi hakkında ankete katılım sağladığı bilgisi ile beraber ilgili kişinin telefon numarasına sahip olan üçüncü bir kişi nezdinde ilgili kişinin kimliğinin belirlenebilir olacağı,
- Ayrıca, bu bilgilere ek olarak bazı kayıtlarda ilgili kişinin ikamet ettiği mahalle bilgisine yer verilmesinin, ilgili kişiler hakkında yeterli düzeyde bilgiye sahip olan üçüncü kişilerce ilgili kişilerin kimliğinin belirlenebilir hale gelmesi riskini daha da artıracağı, dolayısıyla, anket sonuçlarına ilişkin paylaşılan tabloda verilerin maskelendiği ve açıkça depolanmadığı öne sürülse de verilerin kimlik tespitini engelleyecek düzeyde anonim hale getirilmediği, bu doğrultuda söz konusu verilerin ilgili kişilerin kimliğini belirlenebilir kılabileceğinden kişisel veri niteliğinde olduğu,
- Kanun’un 6’ncı maddesinde siyasi düşünce bilgisi özel nitelikli kişisel veriler arasında sayılmış olup anılan madde kapsamında siyasi düşünce bilgisinin kanunlarda öngörülen hallerde veya ilgili kişilerin açık rızası ile işlenebileceğinin düzenlendiği, bu durumda veri sorumlusu tarafından yapılan anket bağlamında özel nitelikli kişisel verilerin işlenmesinin kanunda öngörülmediği dikkate alındığında söz konusu verilerin ilgili kişilerin açık rızası ile işlenebileceği,
- Kanun’un 3’üncü maddesine göre açık rızanın; belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması olmak üzere üç unsurunun bulunduğu, açık rızanın Kanun kapsamında geçerli bir işleme şartı olarak nitelendirilebilmesi için bu unsurları taşıması gerektiği,
- Anketin sonuçlarının duyurulması aşamasında sonuçların herkese açık bir tabloya işlenerek yayımlandığı, ancak paylaşılan veriler üzerinde uygulanan maskeleme işleminin anonimliğin sağlanması noktasında yeterli olmadığı ve dolaylı tanımlayıcı niteliğindeki verilerin ilgili kişilerin kimliğini belirlenebilir kılması ile özel nitelikli kişisel veri olan siyasi düşünce bilgisinin işlendiği; bu doğrultuda ilgili kişilere mesaj olarak iletilen metnin açık rızanın unsurlarını taşımaması sebebiyle özel nitelikli kişisel verilerin işlenmesinde geçerli bir işleme şartının bulunmadığı anlaşıldığından özel nitelikli kişisel verilerin herkese açık bir şekilde yayımlanması suretiyle işlenmesinin Kanun’un 6’ncı maddesi uyarınca bir hukuki dayanağının bulunmadığı, dolayısıyla Kanun’un 12’nci maddesinin (1) numaralı fıkrası kapsamında veri sorumlusu tarafından uygun güvenlik düzeyini temin etmeye yönelik gerekli tedbirlerin alınmadığı
değerlendirmelerinden hareketle;
- Herkese açık bir şekilde veri sorumlusunun internet sitesinde yayımlanan seçim anketi sonuçlarının, ilgili kişileri belirlenebilir kılan veriler ile birlikte paylaşılması ve bu veriler üzerinde yapılan maskeleme işleminin anonimliğin sağlanması noktasında yeterli olmaması sebebiyle özel nitelikli kişisel veri olan siyasi düşünce bilgisinin işlendiği, ancak bu hususta ilgili kişilere mesaj olarak iletilen metnin açık rızanın unsurlarını taşımaması sebebiyle şikayete konu özel nitelikli kişisel veri işleme faaliyetinin Kanun’un 6’ncı maddesi uyarınca bir hukuki dayanağının bulunmadığı dikkate alındığında Kanun’un 12’nci maddesinin (1) numaralı fıkrası kapsamında uygun güvenlik düzeyini temin etmeye yönelik gerekli tedbirleri almayan veri sorumlusu hakkında Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 40.179 TL idari para cezası uygulanmasına,
- Açık rıza ve aydınlatmaya ilişkin olarak yükümlülüklerinin Kanun ve ilgili Tebliğ’e uygun olarak yerine getirilmesi, bu kapsamda Kanun’un 12’nci maddesinin (1) numaralı fıkrası kapsamında kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli tedbirlerin alınması gerektiği hususunda veri sorumlusuna hatırlatmada bulunulmasına
karar verilmiştir.