Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik

4 Aralık 2020 tarihinde Resmi Gazete’de “Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik” ("Yönetmelik") yayımlandı. 5809 sayılı Elektronik Haberleşme Kanunu ("Kanun") kapsamında düzenlenen Yönetmelik, yayım tarihinden altı ay sonra yürürlüğe girecek olup, yürürlüğe girmesiyle, yani 04/06/2021’de, 24/7/2012 tarihli ve 28363 sayılı Resmî Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğinin Korunması Hakkında Yönetmelik (burada “mülga yönetmelik” olarak anılacaktır) yürürlükten kalkacaktır.

YÖNETMELİĞİN KAPSAMI

Yönetmelik, Bilgi Teknolojileri ve İletişimi Kurumu tarafından verilen yetkilendirme çerçevesinde elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten şirketlere ("İşletmeciler") yükümlülükler getirmektedir. Bu yükümlülükler işletmecilerin hizmet sundukları gerçek ve tüzel kişi kullanıcı/abonelere ait verilerin üzerinde gerçekleştirilen işleme faaliyetlerini kapsamaktadır. Yönetmelik kapsamında “abone”, “bir İşletmeci ile elektronik haberleşme hizmetinin sunumuna yönelik olarak yapılan bir sözleşmeye taraf olan gerçek ya da tüzel kişi”yi ifade ederken; “kullanıcı”, “aboneliği olup olmamasına bakılmaksızın elektronik haberleşme hizmetlerinden yararlanan gerçek veya tüzel kişi” anlamına gelmektedir.

GETİRİLEN DÜZENLEMELER VE MÜLGA YÖNETMELİKLE KARŞILAŞTIRILMASI

İlkeler

Yönetmelik, kişisel verilerin işlenmesinde uyulacak ilkeleri 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 4.maddesinde yer alan ilkelere uyumlu olacak şekilde düzenlemiştir. Mülga Yönetmelikte yer alan milli güvenlik gerekçesiyle kişisel verilerin yurtdışına çıkarılamayacağı yasağı, Yönetmelikte daraltılarak yalnızca ‘trafik verileri’ ve ‘konum verileri’ ile sınırlandırılmıştır.

Güvenlik Tedbirleri ile Riskin ve Kişisel Veri İhlalin Bildirilmesi

Mülga Yönetmelik işletmecilerin, abonelere/kullanıcılara ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla hazırlanacak güvenlik politikalarını belirleme yükümlülüğünü düzenlemişken Yönetmelik, İşletmeciler’e 5 Kasım 2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanunu’na, KVKK’ya ve ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbirleri alma yükümlülüğü getirilmiştir. Böylece kişisel verilerin güvenliği bakımından alınacak asgari tedbirlerin kapsamı genişlemiştir.

İşletmeciler ayrıca, kişisel verilerin güvenliği için gerekli teknik ve idari tedbirleri almak ve kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtlarını iki yıl saklamakla yükümlü olacaktır.

Mülga Yönetmelik’ten farklı olarak Kurum tarafından gerekli görülmesi halinde değil, İşletmeciler’e, şebekelerinin ve sundukları hizmetlerin güvenliğini tehdit eden belirli bir risk olması durumunda her halükarda, (i) bu risk hakkında ve (ii) bu riskin İşletmeci tarafından alınan tedbirlerin dışında kalması halinde, söz konusu riskin kapsamı ve giderilme yöntemleri hakkında ilgili aboneleri / kullanıcıları en kısa sürede bilgilendirme yükümlülüğü getirilmiştir. Ayrıca İşletmeciler, kişisel veri ihlali olması durumunda KVKK ve ilgili mevzuata uygun yöntemlerle Kurum’a, Kişisel Verileri Koruma Kurumu’na ve ilgili abonelere / kullanıcılara en kısa sürede bildirimde bulunmakla yükümlü kılınmışlardır.

Açık Rıza Şartları

Kanun çerçevesinde açık rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi anlamını taşımaktadır. Yönetmelik, 6698 Sayılı KVKK’na ve Kişisel Verileri Koruma Kurumu’nun kararlarına paralel şekilde açık rıza alma şartlarını haberleşme sektörü bakımından özelleştirmiştir. Buna göre;

• Açık rıza beyanının, belirli bir konuya ilişkin olarak işlem öncesinde alınması gerekir. Belli bir konu ile sınırlandırılmaksızın genel nitelikteki rızalar geçersizdir.

• Açık rıza beyanının özgür iradeyle açıklanmış olması gerekmekte olup, abonelik tesis edilmesi ve temel elektronik haberleşme hizmetleri veya cihazların sunulması, abonenin/kullanıcının verilerinin işlenmesine yönelik açık rıza verme ön şartına bağlanmamalıdır. Bununla birlikte, hediye dakika, SMS ve veri gibi ek fayda sağlanması karşılığında ise aboneden/kullanıcıdan açık rıza talep edilmesi mümkün kılınmıştır.

• Açık rıza beyanının alınmasından önce ilgili kişiye işlenecek kişisel veri türü ile elektronik haberleşmeye ilişkin trafik ve elektronik cihaz konum verisi türleri, kapsamı, işlenme amacı ve süresi hakkında açık ve anlaşılır bilgi, en az 12 punto yazı büyüklüğünde karakter kullanılan metin ile verilecektir.

• İşletmeci’nin gerekli bilgilendirmeyi yapması sonrasında abonenin/kullanıcının “evet/onay/kabul” şeklindeki irade beyanı yazılı veya elektronik ortamda alınabilecektir. Söz konusu irade beyanı, rıza alınan duruma özgü olmalı ve bir sözleşmenin veya hizmetin kabulü ya da pazarlama amaçlı haberleşmelere onay verilmesi ve benzeri hukuki işlemlere yönelik irade beyanları ile birleştirilmemelidir.

• İşletmeciler, abonelerin/kullanıcıların açık rızalarını gösteren kayıtları, ilgili mevzuat hükümlerinde yer alan süreler saklı kalmak kaydıyla asgari abonelik süresince saklamakla yükümlüdür.

• Trafik ve konum verilerinin üçüncü taraflara aktarımının söz konusu olduğu durumlarda; aktarılacak tarafın adı ve açık adresi, aktarma amacı ve süresi, üçüncü tarafın yurt dışında olması halinde verinin aktarılacağı ülkenin adı şeklindeki bilgiler verilerek ayrıca açık rıza alınmalıdır. Bu bilgilerde değişiklik olması halinde ise tekrar açık rıza alınmalıdır.

• İşletmeciler, trafik ve konum verilerinin açık rıza alınarak üçüncü taraflara aktarımının söz konusu olduğu durumlarda, bu verilerin sadece açık rıza bilgilendirmesinde belirtilen üçüncü taraflarca ve belirtilen amaçla işlenmesini temin etmekle yükümlüdür.
  

Trafik ve Konum Verileri Hakkında Aydınlatma Yükümlülüğü

Trafik ve konum verilerinin işlenebildiği hallerde İşletmeciler’e, KVKK’nın aydınlatma yükümlülüğünü düzenleyen 10. maddesi saklı kalmak kaydıyla işlenebilecek trafik veya konum verisi türleri, işleme amacı ve süresi hakkında abonelere/kullanıcılara ayrıca bilgi verme yükümlülüğü getirilmiştir.

Verilerin İşlenmesi ve Saklanması

Yönetmelikte; kişisel verilerin işlenmesi ve saklanması konusu, Mülga Yönetmelikteki gibi ayrı bir bölüm olarak düzenlenmemiş, kapsamında bulunduğu 5809 sayılı Elektronik Haberleşme Kanunu’nun 27/3/2015 tarihinde yeniden düzenlenen 51. Maddesi ve KVKK’nun ilgili maddeleri ile yetinilmiştir.

Abonelere / Kullanıcılara Tanınan Yeni Haklar

Abonelere/kullanıcılara Mülga Yönetmelikteki düzenlemeden farklı olarak tanınan yeni hakların bazıları aşağıdaki gibidir;

• Abonelerin/kullanıcıların verilerinin işlenmesine yönelik olarak kısa mesaj, çağrı merkezi, internet ve benzeri yöntemlerle vermiş oldukları açık rızayı aynı yöntem ya da daha basit bir yöntem ile her zaman ücretsiz olarak geri almalarına imkan sağlanmalıdır. Bu imkana ilişkin bilgilendirme de açık rıza alınması sırasında yapılmalıdır.

• İşletmeciler her yılın üçüncü çeyreği içinde, mobil numara bilgisi bulunan abonelere/kullanıcılara asgari kısa mesajla, diğerlerine e-posta veya arama yöntemlerinden biri ile olmak üzere, daha önce alınan açık rızaları kapsamında verilerinin işlendiğine dair bilgilendirme yapmakla yükümlüdürler. Aksi durumda daha önce verilen açık rızalar kapsamındaki veri işleme faaliyeti bilgilendirme yapılıncaya kadar durdurulur.

• İşletmeciler tarafından yönetmelik kapsamında engelli tarifelerinden yararlanan abonelere/kullanıcılara yapılacak bilgilendirmeler, işitsel ve/veya görsel yöntemler kullanılarak Bilgi Teknolojileri ve İletişim Kurumu düzenlemelerine uygun şekilde gerçekleştirilmelidir.

• Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılır.

• Yönetmelik kapsamındaki abonelere/kullanıcılara yapılacak tüm bilgilendirmeler, ücretsiz olarak gerçekleştirilmelidir.

• Yönetmelik kapsamındaki bilgilendirmeler, açık rıza, abone/kullanıcı talebi ve onayına ilişkin ispat sorumluluğu tümüyle işletmeciye aittir.

• Açık rızanın geri alınması durumunda işletmeci açık rızaya dayalı olarak yapılan veri işleme faaliyetlerini derhal durdurmakla yükümlüdür.

Çeşitli ve Son Hükümler

İşletmeciler hakkında, Yönetmelik ile belirlenen yükümlülükleri yerine getirmemeleri hâlinde Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği hükümleri uygulanacaktır.

Yönetmelik’in uygulanması sırasında doğacak tereddütleri ve uygulamaya ilişkin aksaklıkları gidermeye ve uygulamayı yönlendirmeye, ilke ve standartları belirlemeye ve uygulama birliğini sağlamaya Kurum yetkili kılınmıştır.

Yönetmeliğin yürürlüğe girdiği tarihten önce hukuka uygun olarak alınmış rızalar geçerli sayılmaktadır. Ancak yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulacaktır.

SONUÇ

Esaslı düzenlemeler içeren Yönetmelik; kişisel veriler konusunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili ikincil mevzuat hükümleri ile yeknesaklık içerisinde olmakla beraber trafik ve konum verilerinin işlenmesi hükümleri gibi bazı düzenlemeleri haberleşme sektörü bakımından özelleştirmiştir.

Bülten içeriği genel bilgilendirme amacıyla hazırlanmıştır. Detaylı bilgi ya da spesifik sorun veya sorularınız için hukukçunuza danışınız.