Kuruma intikal eden şikâyet dilekçesinde özetle;
- İlgili kişinin evde internet hizmeti kurulumu sırasında abonelik sözleşmesi imzaladığı ve kurulum için gelen ekip tarafından nüfus cüzdanının fotoğrafının çekildiği, sözleşmesinin, ilerleyen süreçte tekrar sözleşme imzalamayıp kimlik bilgilerini ibraz etmemesi nedeniyle evrak eksikliği gerekçe gösterilerek feshedildiği,
- Aynı durumla daha önce de karşı karşıya kaldığı, kendisinden yine evrak eksikliği gerekçe gösterilerek sözleşmeyi imzalamasının istendiği, elinde bulunan sözleşme nüshasını e-posta kanalı ile ulaştırması üzerine “mobil başvuru ile yapılan kurulumlarda böyle aksaklıkların yaşanabileceği” söylenerek sözleşmesinin ve kimlik bilgilerinin kaybedildiğinin açıklanmaya çalışıldığı,
- Sözleşmesinin feshedilmesi üzerine, e-posta ile başvurarak, içerisinde kimlik bilgileri de yer alan ıslak imzalı abonelik sözleşmesinin ikamet adresine gönderilmesini, kişisel verisi bulunan her türlü evrak ve bilginin 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında imha edilmesini, kişisel verilerinin üçüncü kişiler ile paylaşılmamasını, kişisel verilerinin paylaşıldığı üçüncü kişileri içeren listenin kendisine gönderilmesini talep ettiği, ancak başvurusunun, “İletmiş olduğunuz e-mail tarafımıza ulaşmış olup abonelik eksik evrak üzerinden iptal olmuş, bu durumda tarafımızdan yapılacak bir işlem bulunmamaktadır.” şeklinde cevaplandırıldığı
ifade edilerek, Kanun kapsamında gereğinin yapılması talep edilmiştir.
Diğer taraftan, ilgili kişi tarafından şikâyet dilekçesi ekinde Kurum’a intikal ettirilen abonelik sözleşmesinin incelenmesi neticesinde; sözleşmenin içerisinde açık rıza alındığına ilişkin hususlara yer verilmesi ve kişisel verilerin grup şirketlerine aktarılması hususlarının ayrıca incelenmesi gerektiği mütalaa edilmiştir.
Konuya ilişkin şikayet üzerine ve resen başlatılan inceleme çerçevesinde veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- Başvuru sahibinin internet hizmetini kullandığı adresi değiştirmek üzere Şirketlerine nakil talebini ilettiği ve nakil işleminin gerçekleştiğinin tespit edildiği, nakil gerçekleştirilen adreste alt yapı farklılık gösterdiğinden yeni adresinin desteklediği internet altyapısı üzerinden Şirketleri tarafından sunulan internet hizmetlerine ilişkin kampanyalardan birine geçiş yaparak Şirketlerinden hizmet almaya devam ettiği,
- Mevcut siparişten farklı bir paket tanımlanmasından kaynaklı olarak taahhüt edilen hizmetin niteliğinin değişmesi gerekçesi ile sözleşmenin değiştiği,
- Abonenin yeni taşındığı adresteki mevcut alt yapının kullanmakta olduğu fiber internet altyapısını desteklemediği için taraflar arasındaki sözleşmede ifa imkansızlığı doğduğu ve nakil istenen adreste mevcut olan ADSL altyapısı ile paket değişikliği hakkında bilgilendirme sağlanarak nakil işlemleri başlatıldığı,
- Abonelerden sözleşme akdi esnasında kimlik belgesi talep edildiği, bu hususun Bilgi Teknolojileri ve İletişim Kurumu tarafından yayımlanan Yönetmelik’te emredici şekilde düzenlendiği, bu kapsamda sözleşme tipi değiştiği ve yeniden sözleşme akdedildiği için kimlik teyidi ihtiyacı doğduğu ve aboneden sözleşmede belirtilen gerekli tüm bilgi ve belgeleri temin etmesinin talep edildiği,
- Bu hususta ilgili kişiye ait ve sistemlerinde iletişim adresi olarak tanımlanmış olan GSM numarasına, konu ile ilgili olarak SMS gönderileri yapıldığı,
- Bireysel Tip Bilgi Formu’nda yer alan düzenlemenin Bilgi Teknolojileri ve İletişim Kurumu tarafından onaylanan tip abonelik sözleşmesinin eki olduğu,
- Sözleşmede bu düzenlemeye, işin niteliğinin gerektirdiği hallerde iş süreçlerinin devamını sağlamak için “veri sorumlusunun meşru menfaati” kapsamında Grup Şirketlerine ait müşteri verilerine erişim sağlamalarının gerekmesi gerekçesiyle yer verildiği, örneğin huzurdaki uyuşmazlığa ilişkin savunmalarının Kurumumuza sunulması sürecinde dahi pek çok Holding bordrolu çalışanının görev alarak cevap yazısının hazırlanmasına katkı sağladığı, bu gereklilik nedeniyle aboneleri bu hususta aydınlatmak amacıyla ilgili düzenlemeye yer verildiği
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 22/02/2024 Tarihli ve 2024/282 Sayılı Kararı ile;
- Somut olayda nakil işleminden önceki sözleşmeye konu olan borcun ifasının veri sorumlusu tarafından imkânsız hale gelmesi nedeniyle söz konusu borcun niteliğinin değiştiği, sözleşmenin objektif esaslı unsurunun değişmesi nedeniyle yeni bir sözleşme akdedilmesi gerektiğinin anlaşıldığı,
- İlgili kişiden kurulacak yeni sözleşme için kimlik belgesinin ibraz edilmesinin talep edilmesinin, sözleşmenin kuruluşunun Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği’nin 7’nci maddesi 5’inci fıkrasında yer alan hüküm ile bu şarta bağlanması dolayısıyla Kanun’un 5’inci maddesinin 2’nci fıkrası (c) bendinde yer alan “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” hükmü kapsamında kaldığı, ayrıca Yönetmelik hükmünün, Yönetmelik kapsamında “işletmeci” niteliğini haiz veri sorumlusu bakımından emredici olarak düzenlenmesi nedeniyle de aynı zamanda Kanun’un 5’inci maddesinin 2’nci fıkrasının (ç) bendinde yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” hükmü kapsamında kaldığı, bu minvalde ilgili kişinin gerekli bilgi ve belgeleri temin etmemesi üzerine kendisine sağlanan internet hizmetinin iptal edilmesinin, nakil işleminden önce ibraz edilen kişisel verilerin veri sorumlusu tarafından muhafazasının sağlanamamasından kaynaklanmadığı, somut olayda gerçekleştirilen kişisel veri işleme faaliyetinde Kanun’a aykırılık bulunmadığı,
- Somut olayda ilgili kişinin kendisinin veya diğer resmi kurumların/adli mercilerin veri sorumlusundan ilgili kişi ile ilgili bilgi talep etmesi durumunda ilgili kişinin bilgilerine ulaşılabilmesini, yine ilgili kişinin veri sorumlusu ile yaşayabileceği olası hukuki uyuşmazlıklarda veri sorumlusunun savunma hakkını kullanabilmesini teminen ilgili kişinin kimlik bilgilerinin işlenmesinin zorunlu olduğu, söz konusu kişisel veri işleme faaliyetinin Kanun’un 5’inci maddesinin 2’nci fıkrası (e) bendinde yer alan “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” hükmü kapsamında kaldığı, ayrıca Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği’nin 7’nci maddesinin 7’nci fıkrasının “işletmeci” niteliğini haiz veri sorumlusu bakımından emredici olarak düzenlenmesi nedeniyle de aynı zamanda Kanun’un 5’inci maddesinin 2’nci fıkrası (ç) bendinde yer alan “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” hükmü kapsamında kaldığı, bu doğrultuda, kimlik bilgilerinden oluşan kişisel verilere ilişkin işlenmelerini gerektiren sebep ortadan kalkmadığı için söz konusu kişisel verilerin Kanunun 7’nci maddesi kapsamında imha edilemeyeceği, bununla birlikte, ilgili kişinin kimlik bilgisinden oluşan kişisel verilerinin amaçla bağlantılı ve asgari süreyle sınırlı olarak saklanması ve amacı dışında kullanılmaması gerektiği hususunda veri sorumlusuna hatırlatmada bulunulmasının uygun olacağı,
- Öte yandan, ilgili kişinin kişisel verilerinin Kanun’un 5’inci maddesinin 2’nci fıkrasının (e) ve (ç) bentleri kapsamında işlenmesi ve kişisel verilere ilişkin işlenmelerini gerektiren sebep ortadan kalkmaması nedeniyle ıslak imzalı sözleşme nüshasının aslının veri sorumlusu tarafından ilgili kişiye gönderilemeyeceği, ancak, ıslak imzalı sözleşme nüshasının bir örneğinin ilgili kişi ile paylaşılabileceği,
- Veri sorumlusunun veri aktarımının Kanun’un 5’inci maddesinin 2’nci fıkrası (f) bendinde yer alan “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” hükmü kapsamında gerçekleştirildiğini ifade ettiği, somut olayda açık rıza dışında bir kişisel veri işleme şartının mevcut olduğunu savunduğu, somut olayda bir kişisel veri işleme şartı mevcut iken veri sorumlusunun kişisel veri aktarımına ilişkin sözleşme ile açık rıza almasının, kişisel veriler işlenirken uyulması gereken temel ilkelerden Kanun’un 4’üncü maddesinin 2’nci fıkrası (a) bendinde yer alan “Hukuka ve dürüstlük kurallarına uygun olma.” ilkesine aykırılık teşkil ettiği, zira, açık rıza dışındaki veri işleme şartlarından biri varken ayrıca ilgili kişiden açık rıza alınmasının, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi sonucunu doğurabileceğinden, öncelikle veri sorumlusu tarafından kişisel veri işleme faaliyetinin açık rıza dışındaki işleme şartlarından birine dayanıp dayanmadığının değerlendirilmesi, açık rıza dışında bir veri işleme şartı söz konusu değilse veri işleme faaliyetini gerçekleştirebilmek için ilgili kişinin açık rızasının alınması yoluna gidilmesi gerektiği,
- Bu minvalde somut olayda ilgili kişinin kişisel verilerini hukuka ve dürüstlük kurallarına aykırı olarak işleyerek veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen veri sorumlusu hakkında Kanun’un 12’nci maddesinin 1’inci fıkrasının (a) bendinde bulunan kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğüne aykırılık nedeniyle Kanun’un 18’inci maddesinin 1’inci fıkrasının (b) bendi uyarınca idari para cezası uygulanmasının uygun olacağı,
- Ayrıca, açık rıza dışında veri işleme şartının bulunduğunun savunulmasına rağmen sözleşme hükümlerine açık rıza niteliğinde ifadeler koyulmasının Kanun’a aykırı olması nedeniyle sözleşmenin ilgili hükümlerinin değiştirilmesi ve ilgili kişinin bu şekilde kişisel verilerinin aktarıldığı üçüncü kişilerin listesinin Kanun’un ilgili kişinin haklarını düzenleyen 11’inci maddesi doğrultusunda ilgili kişi ile paylaşması hususunda veri sorumlusunun talimatlandırılmasının uygun olacağı
değerlendirmelerinden hareketle;
- İlgili kişinin gerekli bilgi ve belgeleri temin etmemesi üzerine kendisine sağlanan internet hizmetinin iptal edilmesinin, nakil işleminden önce ibraz edilen kişisel verilerin veri sorumlusu tarafından muhafazasının sağlanamamasından kaynaklanmaması, somut olayda kimlik bilgilerinin elde edilmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetinin Kanun’un veri güvenliğine ilişkin yükümlülükleri düzenleyen 12’nci maddesine aykırılık teşkil etmemesi dolayısıyla veri sorumlusu hakkında Kanun kapsamında tesis edilecek bir işlem bulunmadığına,
- Açık rıza dışındaki veri işleme şartlarından biri mevcut iken ayrıca ilgili kişiden açık rıza alınmasının, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi sonucunu doğurabileceğinden, abonelik sözleşmesinde açık rıza niteliğinde hükme yer vermek suretiyle ilgili kişilerin kişisel verilerini hukuka ve dürüstlük kurallarına aykırı olarak işleyen veri sorumlusu hakkında Kanun’un 12’nci maddesinin 1’inci fıkrasının (a) bendinde bulunan kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğüne aykırılık nedeniyle Kanun’un 18’inci maddesinin 1’inci fıkrasının (b) bendi uyarınca 350.000 TL idari para cezası uygulanmasına,
- İşlenmesini gerektiren sebepler ortadan kalkmadığı için ilgili kişinin kimlik bilgisinden oluşan kişisel verilerinin amaçla bağlantılı ve asgari süreyle sınırlı olarak saklanması ve amacı dışında kullanılmaması gerektiği hususunda veri sorumlusuna hatırlatmada bulunulmasına,
- İlgili kişiye ait abonelik sözleşmesinin ıslak imzalı nüshasının bir örneğinin ilgili kişiye gönderilmesi ve gönderildiğine ilişkin tevsik edici belgeler ile Kurula bilgi verilmesi konusunda veri sorumlusunun talimatlandırılmasına,
- İlgili kişinin kişisel verilerinin aktarıldığı veri sorumlusunun grup şirketlerine ilişkin listenin ilgili kişi ile paylaşılması ve paylaşıldığına ilişkin tevsik edici belgeler ile Kurula bilgi verilmesi konusunda veri sorumlusunun talimatlandırılmasına,
- Sözleşmenin “Gizlilik” başlıklı bölümünde yer alan ve kişisel verilerin işlenmesine ve aktarılmasına açık rıza verildiği izlenimi uyandıran cümlelerin metinden çıkarılarak Sözleşmenin yeniden düzenlenmesi ve açık rıza kapsamında işlenecek kişisel veriler için açık rızanın tüm unsurları içerecek şekilde sözleşme ve aydınlatma metninden ayrıştırılarak alınmasını teminen gerekli değişikliklerin yapılarak sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına
karar verilmiştir.