Avrupa Veri Koruma Kurulu (“EDPB”) 28 Temmuz 2021 tarihinde, son Genel Kurul toplant\u0131s\u0131nda, Whatsapp Ireland Limited ile ilgili uyu\u015fmazl\u0131k çözümü karar\u0131 ald\u0131\u011f\u0131n\u0131 aç\u0131klam\u0131\u015ft\u0131r. \u0130lgili karar\u0131n 2016\/679 say\u0131l\u0131 Avrupa Birli\u011fi Genel Veri Koruma Yönetmeli\u011fi'nin (“GDPR”) EDPB’nin, ilgili bir denetim makam\u0131n\u0131n ba\u015f makam\u0131n bir taslak karar\u0131na yerinde ve gerekçeli bir itirazda bulundu\u011fu veya ba\u015f makam\u0131n böylesi bir itiraz\u0131 yerinde veya gerekçeli görmeyerek reddetti\u011fi hallerde ba\u011flay\u0131c\u0131 karar alabilece\u011fini ve bu ba\u011flay\u0131c\u0131 karar\u0131n yerinde ve gerekçeli bir itiraza konu olan tüm hususlar ile özellikle GDPR’a ili\u015fkin bir ihlal olup olmad\u0131\u011f\u0131yla ilgili olaca\u011f\u0131n\u0131 düzenleyen 65 (1) (a) maddesine dayan\u0131larak al\u0131nd\u0131\u011f\u0131 belirtilmi\u015ftir. EDPB özellikle, ba\u011flay\u0131c\u0131 karar\u0131n, \u0130rlanda Veri Koruma Komisyonu (“DPC”) taraf\u0131ndan ba\u015f denetim otoritesi olarak verilen taslak karar\u0131n belirli yönleriyle ilgili fikir birli\u011fi eksikli\u011fini ve denetim otoriteleri taraf\u0131ndan ifade edilen müteakip itirazlar\u0131 ele almay\u0131 amaçlad\u0131\u011f\u0131n\u0131 vurgulam\u0131\u015ft\u0131r.<\/p>\n
Öncelikle EDPB, taslak karar\u0131n Whatsapp'\u0131n GDPR kapsam\u0131ndaki \u015feffafl\u0131k yükümlülüklerine uyup uymad\u0131\u011f\u0131na ili\u015fkin bir soru\u015fturmaya yan\u0131t olarak verildi\u011fini aç\u0131klam\u0131\u015ft\u0131r. Bu kapsamda EDPB, baz\u0131 denetim makamlar\u0131n\u0131n GDPR'\u0131n ba\u015f denetim makam\u0131 ve di\u011fer ilgili denetim makamlar\u0131 aras\u0131nda i\u015f birli\u011fini düzenleyen 60. maddesi uyar\u0131nca itirazlarda bulundu\u011funu ve DPC'nin fikir birli\u011fine varamad\u0131\u011f\u0131n\u0131, bu nedenle konuyu EDPB'ye yönlendirdi\u011fini belirtmi\u015ftir. GDPR kapsam\u0131nda “yerinde ve gerekçeli itiraz” bir taslak karar aç\u0131s\u0131ndan GDPR ile ilgili bir ihlal olup olmad\u0131\u011f\u0131 veya veri sorumlusu veya veri i\u015fleyen ile ilgili olarak öngörülen eylemin GDPR’a uygun olup olmad\u0131\u011f\u0131na yönelik olarak yap\u0131lan ve taslak karar\u0131n veri sahiplerinin temel haklar\u0131 ve özgürlükleri ve uygun oldu\u011fu hallerde, ki\u015fisel verilerin Avrupa Birli\u011fi içerisinde serbest dola\u015f\u0131m\u0131 aç\u0131s\u0131ndan te\u015fkil etti\u011fi risklerin önemini aç\u0131k bir \u015fekilde gösteren bir itiraz olarak düzenlenmi\u015ftir. Sonuç olarak, EDPB, bu düzenleme do\u011frultusunda itirazlar\u0131n esas\u0131n\u0131 ele alan, mevzu bahis ba\u011flay\u0131c\u0131 karar\u0131 kabul etmi\u015ftir. Buna göre DPC’nin, EDPB karar\u0131na dayanarak veri sorumlusuna hitaben nihai karar\u0131n\u0131 gecikme olmaks\u0131z\u0131n ve EDPB'nin karar\u0131n\u0131 bildirdikten en geç bir ay sonra kabul edece\u011fi belirtilmi\u015ftir.<\/p>\n
EDPB özellikle, DPC'nin \u015feffafl\u0131k yükümlülükleri ihlalleri, hesaplanan para cezas\u0131 ve emre uyma süresi ile ilgili taslak karar\u0131n\u0131 de\u011fi\u015ftirmesini talep etti\u011fini vurgulam\u0131\u015ft\u0131r. Bununla birlikte EDPB, DPC'nin bulgular\u0131na ek olarak, Whatsapp'\u0131n kullan\u0131c\u0131lara sa\u011flanan bilgilerle ilgili GDPR'\u0131n 12, 13 ve 14. maddelerindeki \u015feffafl\u0131k yükümlüklerini ciddi bir \u015fekilde ihlal etti\u011fini ve ayr\u0131ca sa\u011flanan bilgilerle ilgili eksiklikler tespit etti\u011fini, kullan\u0131c\u0131lar\u0131n takip edilen me\u015fru ç\u0131karlar\u0131 anlama yeteneklerini etkiledi\u011fini ve bu nedenle DPC'nin karar\u0131n\u0131n GDPR'\u0131n 13(1)(d) maddesinin ihlal edildi\u011fine dair bir bulgu içermesini istedi\u011fini belirtmi\u015ftir. GDPR’\u0131n 6(1) maddesinin (f) bendi, i\u015fleme faaliyetinin, özellikle veri sahibinin çocuk olmas\u0131 halinde veri sahibinin ki\u015fisel verilerin korunmas\u0131n\u0131 gerektiren menfaatleri veya temel haklar\u0131 ve özgürlüklerinin veri sorumlusu veya üçüncü bir ki\u015fi taraf\u0131ndan gözetilen me\u015fru menfaatlere a\u011f\u0131r basmas\u0131 haricinde, söz konusu menfaatler do\u011frultusunda i\u015fleme faaliyetinin gerekli oldu\u011fu taktirde hukuka uygun oldu\u011funu düzenlemektedir. \u0130\u015fleme faaliyetinin bu düzenlemeye dayanmas\u0131 ve bir veri sahibine ili\u015fkin ki\u015fisel verilerin veri sahibinden toplanmas\u0131 durumunda, GDPR'\u0131n 13(1)(d) maddesi kapsam\u0131nda veri sorumlusu veya üçüncü bir ki\u015fi taraf\u0131ndan gözetilen me\u015fru menfaatlere dair bilgilerin tamam\u0131 veri sahibine sa\u011flanmal\u0131d\u0131r. Bununla birlikte EDPB, GDPR’\u0131n veri sahibinin ki\u015fisel verilerinin hukuka uygun, adil ve \u015feffaf bir biçimde i\u015flenmesini gerektiren düzenlemesi kapsam\u0131nda \u015feffafl\u0131k ilkesinin de ihlal edildi\u011fini belirtmi\u015f ve bunun nihai para cezas\u0131na yans\u0131t\u0131lmas\u0131n\u0131 istemi\u015ftir.<\/p>\n
Ayr\u0131ca EDPB, cezan\u0131n hesaplanmas\u0131na ili\u015fkin birtak\u0131m taleplerde ve aç\u0131klamalarda bulunmu\u015ftur. Özellikle, EDPB, bir te\u015febbüsün cirosunun münhas\u0131ran GDPR'\u0131n idari para cezalar\u0131 kesilmesine ili\u015fkin genel ko\u015fullar\u0131 düzenleyen 83(4)-(6) maddesi uyar\u0131nca azami para cezas\u0131n\u0131n belirlenmesiyle ilgili olmad\u0131\u011f\u0131na, ancak uygun oldu\u011funda, para cezas\u0131n\u0131n GDPR'\u0131n 83(1) maddesi uyar\u0131nca etkili, orant\u0131l\u0131 ve cayd\u0131r\u0131c\u0131 olmas\u0131n\u0131 sa\u011flamak için para cezas\u0131n\u0131n hesaplanmas\u0131nda de\u011ferlendirilebilece\u011fine karar vermi\u015ftir. Bu nedenle EDPB, Whatsapp'\u0131n ana \u015firketi Facebook Inc'in konsolide cirosunun ciro hesaplamas\u0131na dahil edilmesi gerekti\u011fini tespit etmi\u015ftir. Buna ek olarak EDPB, ayn\u0131 veya ba\u011flant\u0131l\u0131 veri i\u015fleme i\u015flemleri için birden fazla ihlalle kar\u015f\u0131la\u015f\u0131ld\u0131\u011f\u0131nda, para cezas\u0131n\u0131n miktar\u0131 hesaplan\u0131rken tüm ihlallerin dikkate al\u0131nmas\u0131 gerekti\u011fini vurgulayarak, GDPR'\u0131n 83(3) Maddesinin yorumlanmas\u0131na ilk kez aç\u0131kl\u0131k getirmi\u015ftir.<\/p>\n
Bu kapsamda DPC, 2 Eylül 2021 tarihinde, kabul edilen ba\u011flay\u0131c\u0131 karar ile bir dizi faktör temelinde cezay\u0131 yeniden de\u011ferlendirmesi ve artt\u0131rmas\u0131 gerekli tutulduktan sonra, Whatsapp Ireland Limited'e 225 milyon Euro'luk para cezas\u0131 verme karar\u0131 ald\u0131\u011f\u0131n\u0131 duyurmu\u015ftur.<\/p>\n
DPC, karar\u0131n gerekçesinde, Whatsapp taraf\u0131ndan hem kullan\u0131c\u0131lar\u0131na hem kullan\u0131c\u0131 olmayanlara sa\u011flanan bilgilerdeki \u015feffafl\u0131k yükümlülüklerinin ihlalini dikkate alm\u0131\u015ft\u0131r. Bu kapsamda, Whatsapp'\u0131n mevcut ki\u015fi listesi özelli\u011finin, kayba neden olan hesaba dayal\u0131 adresleme i\u015fleminden (Lossy Hash<\/em>) sonra bile ki\u015fisel veri olu\u015fturan, kullan\u0131c\u0131 olmayanlar\u0131n telefon numaralar\u0131n\u0131 içerdi\u011fi belirtilmi\u015ftir. Bu özelli\u011fin, kullan\u0131c\u0131 olmayanlar\u0131 ki\u015fisel verilerinin i\u015flenmesinden haberdar etmedi\u011fi ve böylece GDPR'\u0131n ki\u015fisel verilerin veri sahibinden al\u0131nmad\u0131\u011f\u0131 hallerde sa\u011flanacak bilgileri düzenleyen 14. maddesini ihlal etti\u011fi aç\u0131klanm\u0131\u015ft\u0131r. Ayr\u0131ca DPC kararda, Whatsapp ve Facebook'a ait di\u011fer \u015firketler aras\u0131ndaki veri payla\u015f\u0131m\u0131 hakk\u0131nda kullan\u0131c\u0131lara sa\u011flanan bilgilerin de yetersiz oldu\u011funa karar vermi\u015ftir.<\/p>\n Son olarak DPC'nin nihai karar\u0131, \u015feffafl\u0131k yükümlülüklerine en k\u0131sa sürede uyumun sa\u011flanmas\u0131n\u0131n hayati öneminin alt\u0131n\u0131 çizmi\u015f olan EDPB'nin talep etti\u011fi üzere, DPC'nin taslak karar\u0131n\u0131n ba\u015flang\u0131çta öngördü\u011fü alt\u0131 ayl\u0131k zaman diliminden dü\u015fürülmü\u015f olan üç ayl\u0131k bir süre içinde i\u015fleme operasyonlar\u0131n\u0131n uygunlu\u011fa getirilmesi emrini içermektedir.<\/p>\n Esra Temur, Simge K\u0131l\u0131ç<\/p>","protected":false},"excerpt":{"rendered":"