Aydınlatma Yükümlülüğünün Zamanı ve Kapsamı
E-ticaret platformlarında veri sorumlusu, 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 10 gereğince kişisel verileri işlemeye başlamadan önce veri sahibini aydınlatmakla yükümlüdür. Bilgilendirmenin veri işleme süreci başlamadan yapılması zorunludur. Sipariş tamamlandıktan sonra kullanıcıya sunulan aydınlatma metinleri hukuka aykırılık teşkil eder; zira veri işleme faaliyeti ilgili kişiye önceden bilgi verilmeksizin başlatılmış olur.
6698 sayılı Kanun m. 10 çerçevesinde veri sorumlusu veya yetkilendirdiği kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ile hukuki sebebi ve kanunda sayılan haklar konusunda ilgili kişiyi açık biçimde bilgilendirmekle yükümlüdür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 10Kaynağı aç
Mesafeli Sözleşmeler Yönetmeliği uyarınca tüketicinin korunması amacıyla yerine getirilmesi gereken ön bilgilendirme zorunluluğu ile 6698 sayılı Kanun kapsamındaki aydınlatma yükümlülüğü birbirinden tamamen farklı niteliktedir. Tüketici sözleşmesi öncesinde yapılan bilgilendirme beyanları, kişisel verilerin korunması mevzuatının aradığı aydınlatma şartının yerine geçtiği kabul edilemez.
Genel İlkeler ve Açık Rıza Aranmayan Haller
Kişisel veriler 6698 sayılı Kanun ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenir. 6698 sayılı Kanun m. 4 uyarınca verilerin hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel tutulması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 4Kaynağı aç
Kişisel verilerin işlenmesinde temel kural ilgili kişinin açık rızasının bulunmasıdır. Bununla birlikte 6698 sayılı Kanun m. 5/2-c bendi uyarınca, taraflar arasındaki bir sözleşme ilişkisinin kurulması ya da yerine getirilmesiyle doğrudan bağlantılı ve zorunlu olan veri işleme süreçlerinde açık rıza şartı aranmaz. Bu kapsamda e-ticaret sitelerinde fatura düzenlenmesi, sipariş teslimatının gerçekleştirilmesi ve müşteri hizmetleri gibi zorunlu amaçlar açık rıza gerektirmeyen işleme faaliyetleridir. Ayrıca kanunlarda açıkça öngörülme, fiili imkânsızlık hali, veri sorumlusunun hukuki yükümlülüğü, verinin bizzat alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması ile temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat hallerinde de açık rıza şartı aranmaksızın veri işlenebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Açık Rızanın Geçerlilik Koşulları ve Hukuka Aykırı Uygulamalar
Açık rıza; belirli bir konuya ilişkin olan, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir izin beyanıdır. Alışverişin tamamlanması, sitenin kullanılması veya sunulan hizmetten yararlanılması için açık rıza kutusunun işaretlenmesinin zorunlu tutulması, kişiyi rıza vermeye zorladığından verilen onayı hukuken geçersiz kılar.
Aydınlatma metni ile açık rıza metninin birleştirilerek tek bir kabul veya onay beyanına bağlanması hukuka aykırıdır. Bununla birlikte birden fazla veri işleme amacının tek bir onay kutusuna bağlanarak kullanıcıdan toplu şekilde rıza talep edilmesi de açık rızayı sakatlar ve geçersiz sayılır.
Çerez Uygulamaları ve Ticari Elektronik İletiler
E-ticaret sitelerinde zorunlu çerezler haricindeki performans, reklam ve üçüncü taraf çerezlerinin kullanılabilmesi için kullanıcıdan açık rıza alınması zorunludur. Çerezlerin kabul edilmemesi halinde sitenin kullanımını engelleyen çerez duvarı uygulamaları özgür iradeyi ortadan kaldırdığı için geçersizdir. Hukuka uygun bir çerez yönetiminde kullanıcıya kabul et, reddet ve tercihleri düzenle seçeneklerinin aynı ekran üzerinde sunulması gerekir.
Kullanıcılara ticari elektronik ileti gönderilebilmesi için 6563 sayılı Kanun m. 6 uyarınca önceden onay alınması ve opt-in sisteminin işletilmesi zorunludur. Onaylar yazılı olarak veya elektronik iletişim araçlarıyla temin edilebilir. Kullanıcının iradesi yerine geçecek biçimde önceden işaretlenmiş olarak sunulan onay kutuları hukuken geçersiz kabul edilir.
6563 sayılı ELEKTRONİK TİCARETİN DÜZENLENMESİ HAKKINDA KANUN m. 6Kaynağı aç
Veri Minimizasyonu, Rıza Kayıtları ve Saklama Süresi
Bir zorunluluk bulunmaksızın TCKN istenmesi, doğum tarihinin zorunlu tutulması, gereksiz konum verisinin talep edilmesi, cinsiyet veya medeni hâl bilgilerinin toplanması 6698 sayılı Kanun m. 4 kapsamında ölçülülük ilkesinin ihlali anlamına gelir. İşletmeler ayrıca kullanıcılardan temin edilen açık rızaların tarihini, kanalını, içeriğini ve isteğe bağlı olup olmadığını ispat yükümlülüğü kapsamında kaydetmek zorundadır.
Kişisel veriler 6698 sayılı Kanun m. 7 uyarınca mevzuatta öngörülen veya işleme amacının gerektirdiği süreden daha uzun süre saklanamaz. Veri işleme şartları başlangıçta hukuka uygun olsa dahi, bu sebeplerin ortadan kalkması durumunda veriler resen yahut ilgili kişinin talebi doğrultusunda silinmeli, yok edilmeli veya kimliği belirlenemez hale getirilmelidir. Bu işlemlerin icrasına ilişkin usul ve esaslar ilgili yönetmelikle düzenlenir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 7Kaynağı aç
Sipariş tamamlandıktan sonra aydınlatma yapılması geçerli midir?
Geçerli değildir; 6698 sayılı Kanun m. 10 uyarınca aydınlatma yükümlülüğü kişisel verilerin elde edilmesi sırasında yerine getirilmelidir, sipariş sonrasına bırakılan bilgilendirme hukuka aykırıdır.
Sipariş ve fatura süreçleri için müşteriden açık rıza alınmalı mıdır?
Hayır; 6698 sayılı Kanun m. 5/2-c uyarınca sözleşmenin kurulması veya ifası için zorunlu olan fatura düzenlenmesi, teslimat ve müşteri hizmetleri süreçlerinde ayrıca açık rıza gerekmez.
Alışverişin sürdürülmesi açık rıza verilmesi şartına bağlanabilir mi?
Bağlanamaz; hizmet sunumunun veya alışverişin açık rıza onayına zorunlu tutulması özgür iradeyi ortadan kaldırdığı için verilen açık rızayı geçersiz kılar.
Tüm internet sitesi çerezleri için açık rıza almak zorunlu mudur?
Yalnızca sitenin çalışması için zorunlu olan çerezler rıza dışındadır; performans, reklam ve üçüncü taraf çerezleri için kullanıcıdan açık rıza alınması zorunludur.
Ticari elektronik ileti onay kutusu önceden işaretlenmiş olabilir mi?
Olamaz; 6563 sayılı Kanun m. 6 uyarınca ticari elektronik iletiler için önceden onay alınması zorunlu olup önceden işaretlenmiş onay kutuları hukuken geçersiz sayılır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy