İlgili kişinin kişisel verisi niteliğindeki cep telefonu numarasının, Digiturk kampanyaları hakkında bilgilendirmede bulunmak amacıyla aranması ve SMS gönderilmesi suretiyle işlenmesi” hakkındaki 02/12/2021 tarih ve 2021/1210 sayılı Karar Özetinde ilgili kişi tarafından Kuruma yapılan şikâyetten özetle;

  • Kullanmakta olduğu cep telefonu numarasına Digitürk Bayisi olduğu belirtilen farklı numaralardan farklı tarihlerde aramalar gerçekleştirilerek “Digiturk” kampanyaları hakkında bilgilendirmede bulunulduğu,
  • Akabinde Digiturk hizmetlerinin reklam ve pazarlamasının yapılması amacıyla SMS gönderildiği,
  • Ancak iletişim bilgilerinin ticari elektronik ileti gönderilmesi suretiyle işlenmesi hususunda açık rızasının bulunmadığı,

belirtilerek konu ile ilgili gerekli incelemenin yapılması talep edilmiştir.

Konuya ilişkin başlatılan incelemede Krea İçerik Hizmetleri ve Prodüksiyon Anonim Şirketi’ (Krea İçerik Hizmetleri) savunmasında özetle;

  • Şirket nezdinde ilgili kişinin abonelik kaydının bulunmadığı ve Şirket sistemlerinde ilgili kişiye ait herhangi bir kişisel verinin yer almadığı,
  • İlgili kişinin başvurusunda belirtilen telefon numaralarının Şirket’e ait olmadığı ve söz konusu aramalar ile SMS gönderimlerinin Şirket tarafından gerçekleştirilmediği,
  • Söz konusu telefon numaralarının Şirket bayilerinden birine ait olup olmadığının tespit edilemediği, bayilerin Şirket’ten bağımsız şekilde telefon numaraları elde etmiş olabilecekleri,
  • Şirket ürün ve hizmetlerinin son kullanıcılara satışının bir kısmına aracılık eden bayilerin tüm pazarlama süreçlerinde Şirket’ten bağımsız şekilde ayrı birer veri sorumlusu sıfatı ile hareket ettikleri,
  • İlgili aramalar üzerinde Şirket’in herhangi bir denetim imkânının bulunmadığı bununla birlikte Şirket tarafından bayilere mevcut ya da potansiyel müşterilere ilişkin herhangi bir kişisel veri aktarılmadığı ve dolayısıyla şikâyete konu olayda Şirket’in veri sorumlusu olarak hareket etmediği,

hususları belirtilmiştir.

Krea İçerik Hizmetleri’nden alınan cevabi yazının incelenmesinin ardından, ilgili kişinin başvurusunda belirtilen telefon hatlarını tahsis eden bayiler ve sahıslar tespit edilmiş ve İncelemenin devamında belirtilen kişilerden savunmaları istenmiştir.

Bayi’nin savunmasından özetle;

  • İlgili kişinin rızası olmaksızın aranmasının Şirket’in operatör-çağrı merkezi bölümünü ilgilendirdiği ve operatör hizmetinin M.D. isimli şahsa (M. İletişim) devredildiği,
  • Taşeronun numaraları nasıl temin ettiği, görüşme içerikleri ve ilgili kişiye yönelik aramalar gerçekleştirip gerçekleştirmediği hususlarında bilgi sahibi olunmadığı ve bu konudaki tüm sorumluluğun taşeron firmaya ait olduğu belirtilerek taşeron M.D. (M. İletişim) ile aralarındaki taşeronluk sözleşmesi gönderilmiştir.

 Bayi’nin taşeronu olduğu anlaşılan M.D. (M.İletişim) alınan savunmadan özetle;

  • Sistemlerinde kayıtlı olan verilerin 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanunun yürürlük tarihinden önce numara türetme yöntemiyle elde edilmiş olduğu,
  • Şikâyete konu olayın 6698 sayılı Kanun kapsamı dışında olduğu ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun çerçevesinde değerlendirilmesi gerektiği ifade edilmiştir.

M.A isimli şahısın savunmasından özetle;

  • Bazı dönemlerde sosyal medya hesapları üzerinden verilen reklamların, kişilerin sosyal medya hesaplarında karşılarına çıktığı ve bu kapsamda kendi istekleri ile form doldurmalarının ardından kendilerine kampanya duyurusu yapıldığı,
  • İlgili kişinin bir internet sitesi üzerinden doldurduğu formun ekte sunulduğu belirtilmiş ve kişilere arama yapılmasında kullanılan sistemin çalışma şekline ilişkin bilgi verilmiştir.

Somut olay bazında Kurum yapılan değerlendirmede;

Krea İçerik Hizmetleri ile Bayi arasındaki ilişkiye yönelik olarak bir değerlendirme yapıldığında, kişisel verilerin işlenmesi faaliyetine ilişkin karar alma ve talimat verme yetkisinin Krea İçerik Hizmetleri’nde bulunduğu durumda Krea İçerik Hizmetleri’nin veri sorumlusu, kendisine verilen talimatlar çerçevesinde hareket eden Bayi’nin ise veri işleyen sıfatını haiz olacağının düşünülebileceği,

Ancak konuya ilişkin olarak tarafların Kuruma sundukları beyanlar değerlendirildiğinde Krea İçerik Hizmetleri’nin somut olayda veri sorumlusu olmadığı,

Bayi ile taşeronu M.D. (M. İletişim) arasındaki taşeronluk sözleşmesi incelendiğinde, Bayi nezdinde kayıtlı olan hattın kullanımı için taşeron firmanın yetkilendirildiği, bu hattın kullanımı ile ilişkili sorumluluğun taşerona bırakıldığı ve sözleşmenin içeriğinde taşeronun Bayi’nin verdiği talimatlar çerçevesinde faaliyette bulunduğunu gösterir nitelikte hükümlerin yer almadığı görüldüğünden, Bayi’nin veri sorumlusu olmadığı,

M.D.’nin (M. İletişim) irtibata geçilecek kişileri belirleme konusunda yetkinin kendisinde bulunduğu, kendi inisiyatifi ile numara türetmek suretiyle ilgili kişinin telefon numarası verisine ulaştığından hareketle M.D.’nin somut olayda veri sorumlusu sıfatını haiz olduğu,

M.A. açısından bir değerlendirme yapıldığında ise internet sitesi üzerinden doldurduğunu iddia ettiği formu sunduğu, kendi veri tabanını oluşturan ve bu veri tabanını kullanmak suretiyle ticari elektronik ileti gönderimi yapan M.A.’nın somut olay kapsamında veri sorumlusu sıfatını haiz olduğu,

Şikâyete konu kişisel veri işleme faaliyetinde ticari elektronik ileti gönderen M.D.’nin (M. İletişim) sisteminde kayıtlı verilerin numara türetme yöntemi ile elde edildiğine yönelik beyanı esas alındığında ilgili kişinin telefon numarasının işlenmesinde ilgili Kanunun 5 inci maddesinde yer alan herhangi bir işleme şartına dayanılmadığının anlaşıldığı,

Diğer veri sorumlusu M.A. isimli şahsın ilgili kişinin bir internet sitesi üzerinden doldurduğu iddia edilen formun geçerliliğinin sorgulanarak   ilgili formun internet sitesinde gösterilen biçimde ve log kaydı veya benzeri bir formatta Kuruma sunulmadığı, M.A.’nın iddia ettiği üzere formun ilgili kişi tarafından doldurulduğuna yönelik yeterli kanaatin oluşmadığı ve sunulan bu formun hukuka uygun bir açık rıza olarak kabul edilemeyeceği belirtilmiştir.

Konuya ilişkin yapılan değerlendirme neticesinde Kurul  ;

  • Krea İçerik Hizmetleri ve Prodüksiyon Anonim Şirketi ile Bayi’nin somut olayda veri sorumlusu olarak hareket ettiklerine yönelik bir tespitte bulunulamadığından anılan Şirketler hakkında KVKK m.12 kapsamında tesis edilecek bir işlem bulunmadığına,
  • İlgili kişinin kişisel verisi niteliğindeki telefon numarasının işlenmesinde KVKK 5. maddesinde yer alan herhangi bir işleme şartına dayanılmadığı, dolayısıyla KVKK m.12/1’e aykırı hareket edildiği kanaatine varıldığından veri sorumlusu D. hakkında idari yaptırım uygulanmasına,
  • A. isimli şahsın Kuruma sunduğu formun hukuka uygun bir açık rıza olarak kabul edilemeyeceği dikkate alındığında, ilgili kişinin kişisel verisinin işlenmesine ilişkin KVKK m.5’te yer alan herhangi bir işleme şartına dayanmayan veri sorumlusu M.A. hakkında KVKK m.12’de yer alan veri güvenliğine ilişkin yükümlülüklerini yerine getirmemesi nedeniyle M.A. hakkında idari yaptırım uygulanmasına,
  • İlgili kişi tarafından kullanılmakta olan telefon numarası verisinin imha edilmesi ve sonucundan Kurula bilgi verilmesi hususunda M.D. ve M.A.’nın talimatlandırılmasına,
  • Öte yandan, yeni müşteri kazandırma süreçlerinde Kanuna uyum hususunda azami dikkat ve özenin gösterilmesi hususunda bayilerini yönlendirmesi/bilgilendirmesi ve bayiler ile yapılacak sözleşmelerde veri sorumlusu ve veri işleyenin kim olduğu hususunda açık hükümlere yer verilmesi hususunda Krea İçerik Hizmetleri ve Prodüksiyon Anonim Şirketi’nin talimatlandırılmasına,

 karar verilmiştir.