- within Privacy and Corporate/Commercial Law topic(s)
Mobil uygulamalar üzerinden gönderilen anlık bildirimler, bugünlerde hem Kişisel Verileri Koruma Kurumu'nun ("KVKK") hem de Reklam Kurulu'nun ortak gündeminde.
Her iki kurumun da yakın zamanda attığı adımlar dikkate alındığında, mobil uygulama sahiplerinin bildirim için açık rıza aldıkları süreçlerin ve uygulama içi "Ayarlar" bölümlerinin mevzuata ne kadar uyumlu olduğunu gözden geçirmesi faydalı olabilir.
Özellikle kullanıcıyı her türlü bildirimi almaya zorlayan veya seçenek sunmayan yapıların hem Kişisel Verilerin Korunması Hukuku hem de Reklam Hukuku bakımından uyumsuzluk riski taşıdığını net biçimde söyleyebiliriz. Şöyle ki;
KVKK Neyi İnceledi?
KVKK, mobil uygulamalar üzerinden kullanıcılara iletilen anlık bildirimlere (push notifications) ilişkin olarak Kurum'a intikal eden benzer nitelikteki şikayetler kapsamında yürütülen incelemeler sonucunda, söz konusu bildirimlerin kişisel verilerin korunması mevzuatına uyumuna ilişkin bir kamuoyu duyurusu ("Duyuru") yayımladı.
KVKK'ya intikal eden somut bir olayda, bir mobil uygulamanın kurulum aşamasında kullanıcılardan alınan anlık bildirim izninin, birden fazla amaca yönelik olacak şekilde tek bir onay mekanizması altında sunulduğu tespit edildi.
KVKK tarafından incelenen yapıda, "sipariş durumunun anlık takibi" gibi hizmetin doğal bir parçası olan operasyonel bildirimler ile "kampanya ve pazarlama içerikli bildirimler"in aynı rıza beyanı kapsamında birleştirildiği; kullanıcıların hizmetten yararlanabilmek için pazarlama bildirimlerini de kabul etmeye zorlandığı görülmüştür.
KVKK'nın Değerlendirmesi
Bilindiği üzere KVKK kapsamında açık rızanın geçerli olabilmesi için; belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür irade ile açıklanması gerekmektedir.
Bu çerçevede KVKK, Duyuru'da yer alan görüşünde; bir hizmetin sunulmasının, o hizmetle doğrudan bağlantılı olmayan başka bir veri işleme faaliyetine rıza gösterilmesi şartına bağlanmasının ilgili kişinin özgür iradesini ortadan kaldırdığını ortaya koymuştur.
Bu kapsamda, birden fazla veri işleme amacının bulunduğu durumlarda her bir amaç için ayrı ve bağımsız seçim imkânı sunulması gerektiği; aksi halde "parçalı açık rıza (granularity)" ilkesinin ihlal edilmiş olacağı belirtilmiştir.
Duyuruda ayrıca, mobil uygulamaların teknik mimarisinin, kullanıcıların hangi tür bildirimleri almak istediklerini ayrı ayrı seçebilecekleri şekilde yapılandırılması gerektiği ifade edilmektedir. Aksi halde kullanıcılara uygulama içi ayarlar veya işletim sistemi üzerinden bildirim tercihlerini yönetme imkânı sunulmaması, Kişisel Verilerin Korunması Hakkında Kanun'un 12. maddesi kapsamında veri sorumlularına yüklenen gerekli teknik ve idari tedbirleri alma yükümlülüğünün ihlali anlamına gelecektir.
Reklam Kurulu Ne Dedi?
KVKK'nın ele aldığı konunun yakın zamanda Reklam Kurulu'nun da gündeminde olduğunu belirtmek gerekir.
Reklam Kurulu, Basın Bülteni'nde yayımlanan 2024/4177 sayılı Trendyol kararında ("Karar"):
- pazarlama ve
- bilgilendirme amaçlı anlık bildirimler
için izin alma yöntemlerinin birbirinden ayrılması gerektiği vurgulamıştı.
Karar'da esasen tüketicilerin onay vermemesine rağmen kampanya ve reklamlara ilişkin bildirimlerin tüketicilere gönderilmeye devam edildiğine, uygulama içi ayarlarda bildirim tercihlerinin yalnızca e-posta, SMS ve telefon görüşmesi seçenekleriyle sınırlandırıldığına, uygulama bildirimlerinin ise yalnızca telefonun genel ayarları üzerinden kapatılabildiğine dikkat çekilmişti.
Bu kurgu nedeniyle, tüketicilerin sipariş ve destek bildirimlerini alabilmek için reklam ve promosyon içerikli bildirimlere de maruz kalmak zorunda bırakıldığı; bu durumun tüketicilerin özgür tercih ve karar verme iradesini olumsuz etkilediği ve söz konusu uygulamanın haksız ticari uygulama niteliğinde olduğu değerlendirilmişti.
Sonuç ve Öneri
Veri sorumlularının, mobil uygulamalar üzerinden anlık bildirimlere ilişkin onay alma süreçlerini "parçalı açık rıza" ve "belirlilik" ilkeleri doğrultusunda yeniden tasarlamaları ve uygulama içi tercih yönetimi altyapılarını bu ilkelere uyumlu hale getirmeleri gerekmektedir.
Bu kapsamda veri sorumlularının özellikle;
- Anlık bildirim amaçlarını operasyonel bildirimler ve pazarlama bildirimleri şeklinde ayrıştırmaları,
- Uygulama içi ayarlar veya cihazın işletim sistemi ayarları üzerinden kullanıcılara, hangi tür bildirimleri almak istediklerini özelleştirme imkânı tanınması,
- Rıza ve tercih yönetiminin uygulama içi ayarlardan her zaman erişilebilir ve değiştirilebilir olmasını sağlamaları,
- Mevcut uygulama mimarilerinde bu ayrıştırmayı engelleyen tasarımları yeniden yapılandırmaları
gerek kişisel veriler gerek reklam mevzuatına uyum açısından kritiktir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
[View Source]
