MARKET ZİNCİRLERİNİN “SADAKAT KARTLARI” HAKKINDA KİŞİSEL VERİLERİ KORUMA KURULU’NDAN YENİ KARAR

Sadakat kartı olarak bilinen ve “işletmelerin müşterilerini teşvik etmek, hizmetlerini kullanmaya devam etmesini sağlamak için ücretsiz veya küçük bir ücret karşılığında müşterilere verdiği kartlar[1]” genellikle kişilerin alışveriş alışkanlıkları ile ilgili bilgi toplamakta ve bu doğrultuda kişilere özel indirimler sunarak, müşterilerin işletmeye bağlılığını arttırmayı hedeflemektedir.

İşbu uygulamayı kullanan bir işletmeye ilişkin Kurul’a (“Kişisel Verileri Koruma Kurulu”)  yapılan şikayette;

Söz konusu Şirketin internet sitesinde “Kişisel Verilerin Korunması Kanunu kapsamında izninizi lütfen güncelleyiniz. İzni güncel olmayan müşterilerimiz, kişisel bilgileri silineceği için kasalarımızdan cep telefonu söyleyerek alışveriş yapamayacaklar.” şeklinde açıklamalara yer verildiği ve bu anlamda açık rızanın bir ürün veya hizmetin sunulmasına ilişkin koşul olarak ileri sürüldüğü, ayrıca müşterilerden açık rıza alınması esnasında “Veri İzni Alma Uygulaması” adı altında 0,01 TL hizmet bedeli alındığından bahisle işbu işlemlerin, 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun öngördüğü şartları taşımadığı öne sürülmüştür.

Kurul’un 27.05.2019 tarihli duyurusunda yer verilen 25.03.2019 tarihli ve 2019/82 sayılı Kararında yer verilen incelemede;

• Söz konusu sadakat karta ilişkin web sitesinde yayınlanan “Kart Üyelik ve Rıza Metni”nde üyelerin otomatik ya da otomatik olmayan yöntemlerle elde edilen verilerinin işleneceği ve “Şirket Ailesi” kapsamında verilerin paylaşılabileceğine yer verildiği,
• Sadakat kart programına üye olmayanların Şirketin sunduğu kişiye özel fırsatlardan yararlanamayacağının beyan edildiği ancak genel hizmetlerden yararlanabilmek için sadakat kart uygulamasının dolayısıyla veri işlenmesine ilişkin rıza verilmesinin zorunlu tutulmadığı,
• Şirket tarafından rıza aranması işleminin geriye dönük işlemeleri yasal hale getirmekten çok, kayıt altına alınmış ancak eski-eksik-yıpranmış vb. durumdaki rızayı gösterir beyanların güvenilir şekilde tekrar kayıt altına alınması amacıyla yapıldığı,
• Yine sitede yer verilen “Aydınlatma Metni” ve “Üyelik ve Rıza Metni” arasında tutarsızlıkların bulunduğu ayrıca aydınlatma metninde işlenecek veriler ve veri paylaşımıı gerçekleştirilecek kişiler noktasında muğlaklıkların bulunduğu,
• Ayrıca aydınlatma metninde, şirketin faaliyetleriyle bağdaşmayan nitelikte ceza mahkumiyeti  ve benzeri gibi özel nitelikli kişisel verilerin işlenebileceğinin ön görüldüğü

tespit edilmiştir.

SONUÇ

Bu tespitler neticesinde Kurul;

• Açık rızanın verilmesinin genel hizmetlerden yararlanabilmek noktasında zorunlu tutulmaması ve sadakat kart aracılığıyla sunulan hizmetlerle sınırlı olması sebebiyle kanuna aykırı bir durum bulunmadığına,
•  “Kart Üyelik ve Rıza Metni” ile “Aydınlatma Metni” arasındaki tutarsızlıkların giderilmesi gerektiğine,
• Veri işleme ve paylaşılması noktasında muğlaklıkların giderilmesi gerektiği aksi halde açık rızadan bahsedilemeyeceği, Şirket’in savunma olarak, verilerin anonim hale getirilerek sosyal paylaşım sitelerine aktarıldığını ifade etmesine karşılık anonimleştirmenin “verinin kişilerle tekrar ilişkilendirilemeyecek nitelikte olması” anlamına geldiği ve bu halde anonim verinin “kişiye özel pazarlama” noktasında işlevsiz hale geldiği göz önüne alındığında, Şirket uygulamasının Kanun’da yer alan anonimleştirme tanımı ile bağdaşmadığına ve bu nedenle anonimleştirmenin Kanun’a uygun olarak gerçekleştirilmesi gerektiği yönünde Şirketin talimatlandırılmasına,
• Kişi hakkında alınan güvenlik tedbirleri ya da ceza mahkumiyeti gibi özel nitelikli kişisel verilerin Şirketin söz konusu faaliyetleriyle bağdaşmadığı bu sebeple Kanun ve ilgili Tebliğlerin dikkate alınarak aydınlatma ve rıza metinlerinin güncellenmesi gerektiğine,
• Son olarak söz konusu “Veri İzni Alma Uygulaması” adı altında alınan 0,01 TL’lik bedelin bilgi teknolojileri sistemindeki bir hatadan kaynaklandığının tespiti sebebiyle, konu hakkında bir işlem yapılmasına gerek bulunmadığına,

karar verilmiştir.

27.05.2019 Tarihli Kararın tam metnine buradan ulaşabilirsiniz.

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr