Veri Koruma: Hollanda Veri Koruma Kurumu’ndan TikTok’a Çocukların Mahremiyetini İhlal Ettiği Gerekçesiyle Para Cezası

Hollanda Veri Koruma Kurumu (“DPA”), 22 Temmuz 2021 tarihinde, çocukların mahremiyetini ihlal ettiği gerekçesiyle TikTok’a 750.000 Euro para cezası verildiğini açıklamıştır. DPA, TikTok’un 25 Mayıs 2018'den 28 Temmuz 2020'ye kadar olan dönemde gizlilik politikasını çocuklar da dahil olmak üzere Hollandalı kullanıcılara yalnızca İngilizce olarak sağladığını ve bu nedenle kolayca anlaşılamadığını tespit etmiştir.

DPA, bir şirketin merkezi Avrupa’da değilse, herhangi bir AB üye devletinin, faaliyetleriyle ilgili gözetimde bulunabileceğini, ancak merkezi Avrupa’da olan şirketler söz konusu olduğunda, bu sorumluluğun esas olarak merkezin bulunduğu ülkeye düşeceğini belirtmiştir.

Arka Plan

Öncelikle, TikTok tarafından 7 Ağustos 2020'ye kadar sağlanan bilgilere dayanarak DPA, TikTok’un, ana kuruluşunun İrlanda’da olduğunu henüz yeterince kanıtlamadığını değerlendirmiştir. Bu bağlamda, İrlanda Veri Koruma Komisyonu, 13 Ağustos 2020 tarihli mektupla, çeşitli hususlar hakkında daha fazla açıklama elde etmek için TikTok’a çok sayıda ek soru göndermiştir. Karşılıklı soru-cevapların ardından 7 Ekim 2020 ve 25 Ocak 2021 tarihlerinde verilen bilgiler, TikTok’un İrlanda’da kalıcı bir amaçla yapılmış fiili bir ana kuruluşuna sahip olduğunu ortaya koymuştur. Fakat bahsi geçen tarihi tibariyle ihlalin kendisinin sona ermesi sebebiyle DPA’ya yalnızca TikTok’un gizlilik bildirimini değerlendirme yetkisi verildiği belirtilmiştir. Bu kapsamda DPA tarafından başlangıçta TikTok’un Avrupa’daki genel merkezi olmaması sebebiyle bu konunun Hollanda’da incelenebildiği, ancak araştırmalar sırasında TikTok İrlanda’da operasyonlar kurması sebebiyle birtakım araştırmaların sonucunun İrlanda Veri Koruma Komisyonu’na aktarıldığı ve DPA’nın araştırmasının tamamlanması ve DPA tarafından araştırılan diğer olası gizlilik ihlalleri hakkında nihai bir karar verilmesi yetkisinin artık İrlanda Veri Koruma Komisyonu’na ait olduğu açıklanmıştır.

DPA tarafından Aralık 2019 ve Şubat 2020'de gerçekleştirilen çevrimiçi testler, TikTok’un gizlilik politikasının kayıt işlemi sırasında İngilizce olarak görüntülendiğini göstermiştir. Bunun aynı zamanda bir kullanıcı giriş yaptığında ve TikTok uygulamasında gizlilik politikasına danışmak istediğinde de geçerli olduğu tespit edilmiştir. 1 Mayıs 2020 tarihinde TikTok, DPA’nın TikTok’un Hollandalı çocukları kişisel verilerinin işlenmesi hakkında nasıl bilgilendirdiğiyle ilgili sorusuna yanıt olarak , bilgilendirmenin diğer araçların yanı sıra gizlilik politikası aracılığıyla yapıldığını bildirmiştir. Ancak DPA, TikTok tarafından sağlanan gizlilik politikasının sadece İngilizce olduğunu tespit etmiştir.

26 Haziran 2020'de TikTok, DPA’ya gizlilik politikasını 29 Temmuz 2020'den itibaren 16 yaşın altındaki Hollandalı çocuklar da dahil olmak üzere Hollandalı veri sahiplerine Felemenkçe dilinde sağlayacağını bildirmiştir. TikTok ayrıca yazılı açıklamasında, 29 Temmuz’dan itibaren Temmuz 2020 de Felemenkçe konuşan çocuklar için dil ve biçim açısından uygun olan ayrı bir belge derlediğini belirtmiştir. Bunlara dayanarak, DPA, TikTok ‘un 25 Mayıs 2018’den 28 Temmuz 2020'ye kadar olan dönemde gizlilik politikasını çocuklar dahil Hollandalı kullanıcılara yalnızca İngilizce olarak sağladığını tespit etmiştir.

Değerlendirme

Genel Veri Koruma Yönetmeliğinin (“GDPR”) 12. Maddesine göre veri sorumlusu özellikle bir çocuğa yönelik her türlü bilgi başta olmak üzere işleme faaliyeti ile alakalı olarak özel olarak hedeflenen her türlü bilgi ve bildirimi öz, şeffaf, anlaşılır ve kolayca erişilebilir bir biçimde, açık ve sade bir dil kullanarak veri sahibine sağlamak için gerekli tedbirleri almak zorundadır. Ayrıca veri sorumlusu bilgileri yazılı olarak veya uygun olduğu hallerde, elektronik yollar da dahil olmak üzere diğer yollarla sağlamalıdır. Ek olarak, veri sahibi tarafından talep edilmesi durumunda, veri sahibinin kimliğinin diğer yollarla doğrulanması koşuluyla, bilgilerin sözlü olarak sağlanması mümkündür.

Bu kapsamda, DPA tarafından, TikTok’un, gizlilik bildirimlerini Felemenkçe olarak sunmayarak, uygulamanın kişisel verileri nasıl topladığı, işlediği ve kullandığı konusunda yeterli bir açıklama sağlayamadığı değerlendirilmiştir. Bu durumun, kişilere kişisel verileriyle ne yapıldığına dair her zaman net bir fikir verilmesi gerektiği ilkesine dayanan bir gizlilik yasası ihlali olduğu vurgulanmakla birlikte GDPR 12(1) Maddesine aykırı olduğu da belirtilmiştir.

Tüm bu gerekçelere dayanarak DPA, mevcut davada 750.000 Euro’luk bir para cezasının uygun ve gerekli olduğunu değerlendirmiş ve TikTok’a 750.000 Euro para cezası verildiğini açıklamıştır.

Simge Kılıç, Esra Temur