WhatsApp Zorunlu Güncellemelerine Hukuki Perspektif

GİRİŞ 04.01.2021 tarihinde WhatsApp duyurduğu güncel Kullanım Koşulları ve Gizlilik Politikası ile Avrupa Birliği ve İngiltere dışında kalan kullanıcılarına Facebook Şirketler grubu ile bilgilerinin paylaşılmasını zorunlu kılmıştır. Kullanıcıların mobil cihazlarından WhatsApp’e girdiğinde karşılaştığı bu bildirim sayesinde kısa sürede mesajlarım okunabilir, kişisel bilgilerim çalınabilir korkusu meydana gelmiştir. Peki işin aslı gerçekten böyle mi? Bunun için WhatsApp’ın daha öncesinde yayınlamış olduğu gizlilik protokolleri ve son olarak yaptığı bildirimler ile Kişisel Verileri Koruma Kurulu’nun ve Rekabet Kurulu’nun açıklamalarını incelemek gerekmektedir.

1. Duyurulan WhatsApp Kullanım Koşulları ve Gizlilik Politikası Karşısında Mesajlarımızın Güvenliği

WhatsApp 02.04.2016 tarihi sonrasındaki sürümlerini kullanan kullancılarının uçtan uca şifreleme sistemi ile mesajlarının tam bir gizlilik içerisinde kaldığını ifade etmektedir. Tam bir gizlilik denmesinin sebebi olarak ise mesajların WhatsApp tarafından dahi okunamamasını göstermektedir. WhatsApp’ın sitesinde detaylı bir şekilde açıklamasına yer verdiği “uçtan uca şifreleme” protokolüne ilişkin biraz tarama yaptığımızda protokolün bir çok ters mühendislik işleminden geçirildiğini, pek çok denemeye rağmen gerçekten mesajlara ulaşım izni vermediğini görmekteyiz. Prokol “SignalProtocool” isimli olup yaratıcısı; şu sıralar gündemde olan ve gizliliği ile önplana çıkan, pek çok WhatsApp kullanıcısının da geçiş yapmış olduğu Signal isimli mesajlaşma uygulamasının kurucusu olan Moxie Marlinspike’dır. Marlinspike “Signal Protocool”ü yaratmış ve WhatsApp bunu yazılımına entegre etmiştir. Ancak Marlinspike, mesaj içeriklerine erişilmediğini bilmesine karşın WhatsApp’ın kendi sitesinde yer aldığı şekilde kullanıcıların pek çok diğer bilgisine erişmeyi istemesi nedeniyle WhatsApp’tan ayrılmış ve kendi uygulaması olan Signal’i oluşturmuştur. Yani şu an itibariyle mesajlarımız güvende diyebilmekteyiz.

2. Kişisel Verileri Koruma Kurulu’nun 12.01.2021 Tarihli ve 2021/28 Sayılı Kararı

Kurul, yayımlamış olduğu karar ile verilerin işlenmesi ve aktarılması hususlarını mevzuata (Kişisel Verilerin Korunması Kanunu) uygunluk yönünden derhal re’sen soruşturulmaya başlandığını bildirmiştir. Kurul’un soruşturduğu hususlar aşağıda yer almaktadır;

• Kullanıcılardan kişisel verilerinin işlenmesine ve yurtdışında yerleşik üçüncü taraflara aktarılmasına yönelik rıza alınması işleminin ayrıştırılmadığı ancak kullanıcıların kişisel verilerinin işlenmesine rıza verirken yurtdışında başka bir veri sorumlusuna aktarılmasına rıza vermeyebileceği dikkate alındığında söz konusu uygulamanın kullanım yaygınlığı da göz önünde bulundurularak bu durumun Kanunda belirlenen açık rızanın unsurlarından “özgür iradeyle açıklanması” açısından bir ihlal oluşturup oluşturmadığı,
• Yurtdışında bulunan başka bir şirkete aktarım yapılmak şartıyla uygulamanın kullanılmasına izin verilmesinin Kanunun 4 üncü maddesinde sayılan ilkelerden “hukuka ve dürüstlük kurallarına uygun olma”, “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkeleri açısından bir ihlale sebebiyet verip vermediği,
• Whatsapp Inc. tarafından yapılan güncelleme ile hizmetin rıza şartına bağlanması durumunun ortaya çıkıp çıkmadığı ve
• WhatsApp Inc. tarafından yurtdışında yerleşik veri sorumlularına yapılacak aktarım hususunda Kanunun 9 uncu maddesi hükümlerine aykırılık olup olmadığıdır.

WhatsApp’ın güncellemiş olduğu Kullanım Koşulları ve Gizlilik Politikası’nda açıkça, WhatsApp sunucuları aracılığıyla toplanmış bilgileri Facebook Şirketler ailesiyle ve diğer üçüncü taraf hizmet sağlayıcıları ile paylaşılacağını belirtmektedir. Burada dikkat çekilmesi gereken husus, tek bir sözleşme için verilmiş olan açık rızanın kişisel verilerin depo edilmesi, yurt dışına aktarılması, Facebook Şirketleri’ne aktarılması ve ayrıca üçüncü taraf hizmet sağlayıcıları tarafından da işlenebilmesine yönelik yeterli kabul edilip edilemeyeceği hususudur. Yukarıda atıfta bulunmuş olunan Kişisel Veriler Koruma Kurulu kararında da yer verildiği üzere açık rızanın unsurlarının “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeye dayanan” şeklinde sayıldığı görülmektedir. WhatsApp kullanıcıları ile paylaştığı gizlilik politikasında hangi bilgilerimizi işleyeceğine ilişkin açıkça bilgilendirme yapmış olmasına karşın bu bilgilerin hangi amaçlarla diğer şirketler ve üçüncü taraf hizmet sağlayıcılarıyla paylaşacağına ilişkin açık bir bilgilendirmede bulunmadığından bahisle burada veri aktarımına ilişkin verilen rızanın Kanunun tanımladığı unsurlara sahip ve aktarımı mevzuat çerçevesinde hukuka uygun bir aktarım haline getirmeyeceğinden söz edilebilecektir. Kurul soruşturması sonucunda WhatsApp’ın politikasını Kanuna aykırı bulması halinde, Kanunun 18.maddesinin kendisine tanımış olduğu yetki kapsamında idari para cezasına hükmedebilecektir. Burada akla WhatsApp’ın ülkemizde yerleşik olmaması nedeniyle idari para cezasının bir yaptırımı olmayacağı gelse de 6183 sayılı Amme Alacaklarının Tahsili Usulü Hakkında Kanun’un öngörmüş olduğu düzenlemeler ile şirket, Kurulun vermiş olduğu kararları dikkate almak zorundadır. Kaldı ki Kurul’un 11.04.2019 tarih ve 2019/104 sayılı Kararı ile KVKK mevzuatına aykırılık oluşturan faaliyetler nedeniyle Facebook aleyhine hükmetmiş olduğu toplamda 1.650.000TL tutarıdaki idari para cezası da Facebook tarafından itiraz hakkı saklı kalmak kaydı ile ödenmiştir.

3. Rekabet Kurulu’nun 11.01.2021 Tarihli ve 21-02/25-M sayılı Kararı

Rekabet Kurulu tarafından 11.01.2021 tarihli ve 21-02/25-M sayılı kararıyla WhatsApp kullanıcılarına getirilen veri paylaşma zorunluluğu hakkında Facebook Inc., Facebook Ireland Ltd., WhatsApp Inc. ve WhatsApp LLC (hepsi birlikte “Facebook” olarak anılacaktır) hakkında 4054 sayılı Rekabetin Korunması Hakkında Kanun’un 6. maddesinin ihlal edip edilmediğinin tespiti amacıyla re’sen soruşturma açılmıştır. Ayrıca bu karar kapsamında verilerin paylaşılmasına ve aktarılmasına ilişkin zorunluluğun şu an için durdurulmasına, bu sebeple de verilerin paylaşılmayacağına karar vermiştir. Anılan karar WhatsApp’a 8 Şubat 2021 tarihine kadar kullanıcılarına veri paylaşımının durdurulmuş olduğunu bildirme yükümlülüğünü de getirmiştir. Nitekim sadece ülkemizde değil yurt dışında da Facebook ve WhatsApp bazı ülkelerin rekabet kurullarının incelemelerine alınmıştır. Alman Rekabet Otoritesi Bundeskartellamt 06.02.2019 tarihli kararı ile Facebook’un diğer şirketleri üzerinden (WhatsApp, Instagram gibi) kullanıcılarının bilgilerini açık rıza olmaksızın işleyemeyeceğine, yine aynı kararda kullanıcıların Facebook üzerinde gerçekleştirdikleri faaliyetleri de üçüncü şirketlerin verileri ile birlikte “açık rıza” olmaksızın işleyemeyeceğine karar vermiştir. Amerika Federal Ticaret Komisyonu ise gerçekleştirdiği inceleme sonrası 9 Aralık 2020 tarihinde kamuya bir açıklama yapmıştır. Açıklamada FTC (Federal Trade Commision) Facebook’un, WhatsApp ve Instagram’ı bünyesine katması ile sosyal medya uygulamaları alanında kullanıcıları sınırlandırdığını, bir tekelleşme yarattığını ve bu tekelleşme nedeniyle reklam veren üçüncü kişi şirketlerin rekabet koşullarından mahrum kaldığını ifade etmiştir. Kaldı ki Rekabet Kurulu’muzun 11.01.2021 tarihli soruşturma kararında yer verdiği üzere konu 4054 sayılı Rekabetin Korunması Hakkında Kanun’un 6.maddesinde yer alan; “Bir veya birden fazla teşebbüsün ülkenin bütününde ya da bir bölümünde bir mal veya hizmet piyasasındaki hakim durumunu tek başına yahut başkaları ile yapacağı anlaşmalar ya da birlikte davranışlar ile kötüye kullanması hukuka aykırı ve yasaktır.” düzenlemesi kapsamında ele alınacaktır. Bu aşamada FTC’nin yapmış olduğu açıklama Kurul’un değerlendirmelerinde önem arz edecektir. 4.Sonuç WhatsApp, 2014 yılında Facebook Şirketleri bünyesine katılmış olup 25.08.2016 tarihinde yayınladığı Gizlilik Politikası’nda belirttiği üzere bu tarihten itibaren sayfasında saymış olduğu bilgileri Facebook Şirketleri ile paylaşmaktadır. Zaten var olan bir uygulamayı tekrarlayan güncel ve 04.01.2021 tarihinde yayınlanan Gizlilik Politikası’nın neden Kurumlar (KVK Kurumu, Rekabet Kurumu) tarafından incelemeye alındığı düşünüldüğünde ise şu farklar göze çarpmaktadır;

• 08.2016 tarihli Gizlilik Politikası’nda WhatsApp, kullanıcılarına uygulama üzerinden gerçekleştirecekleri erişim ayarları ile çeşitli bilgilerinin paylaşılma/paylaşılmama özgürlüğünü tanımakta idi,
• 01.2021 tarihli Gizlilik Politikası’nı kabul etmek uygulamayı kullanmaya devam edebilmek için bir “ön şart” iken 25.08.2016 tarihli güncellemede böyle bir hizmet şartı yer almamaktadır.

Kaldı ki Facebook, özellikle Avrupa Birliği üyesi ülkelerde ve İngiltere’de pek çok kez yaptırımlarla karşı karşıya kalmıştır;

• 05.2017 tarihinde Avrupa Komisyonu; birleşme anlaşmalarında yer alan veri paylaşımına ilişkin hükümleri ihlal etmesi nedeniyle Facebook aleyhinde 110.000.000Euro para cezasına hükmetmiştir,
• Hamburg Veri Koruma ve Bilgi Özgürlüğü Komiserliği, Facebook’un WhatsApp üzerinden kullanıcıların bilgilerini toplamasına ve bu amaçla WhatsApp’ın bilgi depolamasına yasak getirmiştir.
• Son olarak WhatsApp Ireland’ın ICO (İngiliz Bilgi Komisyonu Ofisi) ile yaptığı anlaşma ile 2018’den itibaren Facebook, İngiltere ve Avrupa Birliği ülkelerinde bulunan WhatsApp kullanıcılarının bilgilerine erişim sağlayamayacaktır. Paylaşım yalnızca GDPR’ye uygun ve burada sayılan amaçlarla sınırlı olarak yapılacaktır.

2014’de Facebook Şirketleri ailesi arasına katılmasından itibaren WhatsApp ve Facebook sayılan yaptırımlar ile karşı karşıya kalmış ancak yine de bu yazıya konu güncellemesini yayımlamıştır. İrlanda Veri Koruma Kurulu’nun, mevzuata aykırı şekilde bilgi işleyişinde bulunması nedeniyle WhatsApp’e ve dolayısı ile Facebook’a 50.000.000Euro tutarında bir cezaya hükmetme hazırlığında oluşu, keza ülkemizde hem Kişisel Verileri Koruma Kurumu’nun hem Rekabet Kurumu’nun incelemesine girmesi ve çok sayıda kullanıcısının Signal ve Telegram gibi alternatif uygulamalara geçmesi nedeniyle WhatsApp son olarak yaptığı açıklama ile 15 Mayıs 2021 tarihine kadar güncellenen Kullanım Koşulları ve Gizlilik Politikasını uygulamayı durdurmuştur.