1. GİRİŞ
Gelişen teknolojiyle birlikte günlük hayatımızın vazgeçilmez parçaları haline gelmiş olan telefon ve tablet gibi cihazlarda, kullandığımız mobil uygulamalar aracılığıyla sayısız kişisel verinin saniyeler içinde işlenebilmesi mümkün hale gelmiştir. Sağlıktan bankacılığa, sosyal medyadan konum hizmetlerine, alışverişten iletişime kadar akla gelebilecek her konuda hizmet sunan mobil uygulamalar kullanıcıların günlük hayatının her alanına nüfuz etmiş ve uygulamalar aracılığıyla gerek özel nitelikli gerekse özel nitelikli olmayan birçok kişisel veriye erişimi mümkün kılmıştır. Aralık 2023 itibariyle lider konumdaki iki uygulama mağazasından Google Play Store’da yaklaşık 3.71 milyon uygulama, Apple Store’da ise yaklaşık 1.8 milyon uygulama bulunmaktadır. Bu uygulamalar kullanıcılara günlük hayatta birçok kolaylık sağlamakta, ancak beraberinde kişisel verileri koruma endişeleri de getirmektedir.
6698 Sayılı Kişisel Verileri Koruma Kanunu (“Kanun”) kapsamında, “veri sorumlusu” veya “veri işleyen” sıfatlarını alan uygulama sağlayıcıları, uygulama geliştiricileri ve reklam ağları başta olmak üzere birçok aktöre çeşitli sorumluluklar yüklenmiştir.
Bu sorumlulukları detaylandırmak, kişisel verilerin korunmasına yönelik mevcut ve potansiyel riskleri ele almak ve mobil uygulamalar aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetleri bakımından ilgili kişi ve veri sorumlusu niteliğini haiz aktörlere yönelik genel nitelikli tavsiyeler vermek amacıyla Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından “Mobil Uygulamalarda Mahremiyetin Korunmasına Yönelik Tavsiyeler” (“Rehber”) adlı rehber yayımlanmıştır. Bu makalemizde ilgili rehberi Kurum’un çeşitli kararları ışığında incelemeye çalışacağız.
2. MOBİL UYGULAMALAR ARACILIĞIYLA İŞLENEN KİŞİSEL VERİLER
Kanun’nun 3’üncü maddesinde kişisel veri, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmaktadır. Kanun’un 6’ncı maddesinde ise özel nitelikli kişisel veriler; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olarak sınırlı sayma yoluyla sayılmaktadır.
Mobil uygulamalarda, uygulamanın kullanım amacını gerçekleştirmek, kullanıcı deneyimini zenginleştirmek, işlevsellik sağlamak, sunulan hizmeti iyileştirmek ve pazarlama stratejileri oluşturmak gibi amaçlar doğrultusunda hem özel nitelikli hem de özel nitelikli olmayan kişisel veriler işlenmektedir.
Özel nitelikli kişisel veriler, başkaları tarafından öğrenildikleri takdirde bireyin mağdur olmasına ya da ayrımcılığa maruz kalmasına neden olabilecek nitelikteki veriler olarak kabul edildiğinden, bu tür verilerin diğer kişisel verilere göre çok daha sıkı şekilde korunması gerekmektedir. Ses tanıma uygulamalarında ses izi biyometrisi kullanılması suretiyle kişi hakkında biyometrik veri, sağlık uygulamalarında ise doğrudan sağlık verisi toplanmakla birlikte bazı durumlarda fotoğraflar, mesajlar ve kullanıcı girişleri gibi ögeler de özel nitelikli kişisel veri içerebilmektedir.
3. MOBİL UYGULAMALAR BAKIMINDAN VERİ SORUMLUSU
VE VERİ İŞLEYEN KAVRAMLARI
Rehberde kullanıcılar veya kuruluşlar için mobil uygulamalara ve ilgili mobil hizmetlere erişim imkânı sunan gerçek veya tüzel kişi olan uygulama sağlayıcısı, kullanıcıların kişisel verilerini kendi amaçları doğrultusunda kullandığı ölçüde, kişisel verilerin işlenmesinde Kanun kapsamında veri sorumlusu olarak kabul edileceği belirtilmiştir.
Mobil uygulamaya üçüncü taraf bir hizmetin entegre edildiği durumlarda ise karşımıza birden fazla veri sorumlusu çıkabilecektir. İki faktörlü kimlik doğrulaması yapmak üzere üçüncü taraf hizmet sağlayıcının mobil uygulamaya dahil olması ya da mobil uygulamada yer alan reklam ağları buna örnektir. Ayrıca işletim sistemi sağlayıcısı da cihazdaki uygulamaların kullanım verilerini işliyorsa ya da uygulamalardan topladığı kişisel verileri kendi amaçları doğrultusunda kullanıyorsa Kanun kapsamında veri sorumlusu sayılacaktır.
Uygulama sağlayıcısı ve geliştiricisi ayrı kuruluşlar ise, aralarındaki sözleşmeye göre, uygulama geliştirici kişisel veri işlemede yalnızca teknik bir rol üstlenir ve kendi amaçları doğrultusunda kişisel veri işlemeyeceği güvence altına alınırsa, uygulama geliştiricisi veri işleyen sayılacaktır. Diğer yandan uygulama geliştiricileri tarafından kullanılan bulut hizmetleri kişisel verileri işleme faaliyetinde rol alıyorsa bu hizmetleri sağlayanlar da veri işleyen sayılabilirler.
4. KULLANICILARA YÖNELİK TAVSİYELER
Kurum, rehberde kullanıcıların uygulamaları güvenilir kaynaklardan indirmelerini tavsiye etmiştir. Bu anlamda cihazın üreticisi ya da işletim sistemi tarafından sağlanan resmi uygulama mağazaları veya mobil uygulama sağlayıcısının resmi internet sitesi güvenli olarak değerlendirilebilir. Uygulamaların güvenilir kaynaklardan indirilmesi ayrıca başka uygulamaları taklit eden uygulamaları indirme riskini de azaltacaktır.
Uygulamanın hangi verilere erişim izni istediği kontrol edilmeli ve uygulamanın gizlilik politikası gözden geçirilmelidir. Uygulamanın sunduğu hizmet ile herhangi bir ilişkisi bulunmayan ya da hizmetin sunulması için gerekli olandan fazla kişisel veri talep eden uygulamalara karşı dikkatli olunmalıdır.
Verdiği hizmet nedeniyle cihazdaki konum, ses ve görüntü araçlarına erişen uygulamalara iznin “sürekli” değil “yalnızca uygulamayı kullanırken” izin verilmesi daha uygun olacaktır. Uygulamanın sosyal medya hesabından bilgi toplamasına olanak tanıması mümkün olduğundan uygulamalarda giriş yaparken ise sosyal medya hesapları bilgileriyle giriş yapılmaması önerilmektedir. Ayrıca güçlü şifreler ve güncel uygulamalar saldırı risklerini azaltabilmektedir.
5. KİŞİSEL VERİ İŞLEYENLERE TAVSİYELER
5.1 – Genel İlkelere Uygunluk
Veri işleme faaliyetine başlamadan önce mobil uygulamanın geliştirilmesi, sunulması, kullanılması süreçlerinde yer alacak aktörlerin veri sorumlusu ya da veri işleyen sıfatları belirlenmelidir. Böylece bu aktörlere Kanun kapsamında yüklenen sorumluluklar netleştirilmelidir. Rehberde Kanun’un 4. maddesinde yer alan genel ilkelere uyumluluğun her veri işleme faaliyeti için hayati olduğu ve mobil uygulamalar kapsamında da dikkate alınması gerektiği vurgulanmıştır.
İlgili ilkelerden ilki “hukuka ve dürüstlük kurallarına uygun olma” olup; bu ilke ayrıca ilgili kişilerin çıkarlarını ve makul beklentilerini dikkate almakla da yakından ilgilidir. İlgili kişinin beklemediği ve beklemesinin de gerekmediği sonuçların ortaya çıkmasını önleyici şekilde hareket edilmelidir. Ayrıca ilke uyarınca şeffaflığın sağlanması ve bilgilendirme yükümlülüğünün yerine getirilmesi gerekmektedir. Bu kapsamda uygulama geliştiricileri ile sağlayıcılarından veriyi işlemenin bir hukuki sebebinin olup olmadığını sorgulamaları, dürüst ve şeffaf olmaları, uygulamaları tasarlarken bireylerin haklarını kullanabilmelerine imkân sağlamaları beklenmektedir.
Uygulamaya entegre üçüncü taraflara ayrı ayrı izin verme imkânı sağlanmalıdır. Bir uygulama, yalnızca üçüncü bir tarafın belirli bir veri türüne erişmek istediği veya bu veriye ihtiyaç duyduğu için cihazdaki bu veri türüne erişim talebinde bulunuyorsa üçüncü taraf işlemeleri hakkında şeffaf olunması ve uygulamaya entegre edilen üçüncü taraf hizmet aracılığıyla kişisel veri işlenmesinde hukuki bir sebep bulunmadığı takdirde bu hizmetin uygulamada kullanılmaması önem taşımaktadır.
Google Asistan ya da Siri gibi sesli komut ile çalışan asistanları barındıran mobil uygulamalar, ilk kullanılmaya başlandığında, dinleme özelliğinin cihazda kural olarak açık hale gelmesi, hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil edebilecektir.
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) benzer konudaki 13/04/2021 tarih ve 2021/361 sayılı kararında yüklenilen bankacılık mobil uygulamasının ayarlarında elektronik ileti alma tercihinin otomatik olarak onaylı olması, kullanıcının bu ayarı değiştirmediği sürece elektronik ileti almaya devam etmesi mevzuat hükümlerine aykırı bulunmuştur.
İkinci ilke olan “doğru ve gerektiğinde güncel olma” ilkesi Kanun’da öngörülen ilgili kişinin verilerinin düzeltilmesini talep etme hakkıyla bağlantılıdır. Veri sorumlusu kişisel verilere dayalı olarak ilgili kişiyle alakalı bir sonuç ortaya koyuyor ise bu verilerin doğru ve gerektiğinde güncel olmasının sağlamasında aktif bir özen yükümlülüğünün varlığından söz edilebilecektir. Ayrıca veri sorumlusu her zaman ilgili kişinin bilgilerinin doğru ve güncel olmasını temin edecek kanalları açık tutmalıdır. Mobil uygulamalar bağlamında kullanıcılara kişisel verilerini düzeltme imkânı tanınmalı ve uygulamanın tasarımı sürecinde bu husus göz önünde bulundurulmalıdır.
Kullanıcı, üyelik esnasında e-posta adresini hatalı girmiş ve uygulama üzerinden gerçekleştirdiği alışverişe ilişkin sipariş bilgileri bu e-posta adresine gönderilmişse kişisel verilerin üçüncü bir kişiye ifşa olması ihtimali gündeme gelebilecektir. Dolayısıyla kullanıcının e-posta adresini alırken doğrulama gibi yöntemlere başvurulmalıdır.
Belirli, açık ve meşru amaçlar için işlenme ile işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri kapsamında mobil uygulamalar aracılığıyla işlenen kişisel veriler açısından işleme faaliyetinin amacının ortaya konulmasının ardından, mümkün olan en az çeşit ve sayıda kişisel veri toplanması hedeflenerek, kişisel verilerin işlenmesi bağlamında bireylerin temel hak ve özgürlüklerinin en üst düzeyde korunmasını sağlayacak bir yaklaşım benimsenmelidir.
Bulaşıcı hastalıklarla mücadele amacıyla temas takibinde kullanılmak üzere hazırlanan bir mobil uygulama, yalnızca bireylerin Bluetooth ile birbirlerine hangi süre zarfında ne kadar yakın olduğunu gösterir bilgiyi işleyebilecekken kullanıcılarının tam konumunu ve hareketlerini izlemesi, uygulamanın amacı bakımından gereksiz olup bu nitelikteki bir işleme faaliyeti amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırılık teşkil edebilecektir. Ayrıca mobil uygulamanın verdiği hizmet kapsamında gerçekleştirilecek işleme faaliyetlerinin, yalnızca mobil uygulamanın kullanıldığı cihazın yerel depolama alanında tutulacak kişisel veriler ile yürütülebilmesi mümkün ise, söz konusu kişisel verilerin mobil uygulama sağlayıcısının veri kayıt sistemlerine iletilmemesi tavsiye edilmektedir.
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkesi uyarınca veri sorumluları, ilgili kişisel veriler için mevzuatta öngörülmüş bir süre varsa bu süreye uyacak; eğer böyle bir süre öngörülmemişse verileri ancak işlendikleri amaç için gerekli olan süre kadar saklayabileceklerdir. Öngörülen sürenin dolmasıyla daha fazla saklanması için geçerli bir sebep bulunmaması hâlinde, o veri silinmeli, yok edilmeli ya da anonimleştirilmelidir. Bir mobil uygulama geliştiricisinin bulutta depoladığı kişisel veriler açısından saklama süresi de bu esasa göre belirlenmelidir. Örneğin mobil uygulama üzerinden sunulacak hizmetin niteliğine göre sınıflandırılacak aktif ve aktif olmayan kullanıcıların kişisel verilerinin saklanma süreleri bu aktiflik durumuna göre belirlenmesi ve aktif olmayan kullanıcıların kişisel verilerinin aktif olanlara oranla daha kısa olacak şekilde belirlenmesi iyi bir uygulama örneği kabul edilmektedir.
5.2 – Şeffaflık
Rehberde şeffaflığın sağlanmasına ilişkin olarak Kanun’un 10. maddesinde düzenlenen aydınlatma yükümlülüğünün ve VERBİS’e kayıt yükümlülüğünün üstünde durulmuştur. Aydınlatma metni yanında gizlilik politikası da hazırlanması tavsiye edilmiş ve ikisinin de kullanıcıların ve uygulamayı indirecek olan potansiyel kullanıcıların kolayca erişebileceği şekilde konumlandırılması gerektiği vurgulanmıştır. Bu kapsama kullanıcılar uygulamadaki varsayılan gizlilik ayarlarından haberdar olmalı ve gizlilik ayarlarını yönetmelerinde anlaşılması kolay, kullanıcı dostu arayüzler kullanılmalıdır. Ayrıca uygulamadaki kişisel verileri ilgilendiren değişiklikler konusunda da kullanıcılar aydınlatılmalıdır.
Mobil uygulamalar, yalnızca yerleşik bulundukları ülkelere değil uygulama mağazaları aracılığıyla dünya genelinde kullanıcıların hizmetine sunulmaktadır. Yurt dışında yerleşik sağlayıcıların sundukları mobil uygulamalarda; Türkiye’ye atıfta bulunarak mal ve hizmet sunulması, Türkiye’deki kişilere yönelik hizmetin verildiğini gösteren tanıtıcı açıklamalar yapılması, mal ve hizmet sunulmasında Türkçe dil seçeneği, Türkiye’ye ürün teslimatı seçeneğinin sunulması gibi hususların bulunması, mal ve hizmet sunumunda Türkiye’deki ilgili kişilerin hedeflenmesi; yahut davranışsal reklamcılık faaliyeti gerçekleştirilmesi, benzersiz tanımlayıcılar aracılığıyla çevrimiçi takip yapılması ve pazarlama amacıyla coğrafi yerelleştirme faaliyetleri yürütülmesi gibi işlemler gerçekleştirilmesi Türkiye’deki ilgili kişilerin davranışlarının izlenmesi anlamına gelecektir. Mobil uygulamalarda Türkiye’deki kullanıcıların hedeflenmesi veya davranışlarının izlenmesi söz konusu olduğunda, mobil uygulama aracılığıyla işlenen kişisel veriler bakımından Kanun’un 16. maddesinde yer alan VERBİS’e kayıt ve bildirim yükümlülüğünün de göz önünde bulundurulması önem taşımaktadır.
5.3 – Mobil Uygulamalarda İşleme Şartları
Açık rıza, kanunda öngörülen diğer veri işleme şartlarından birinin olmadığı durumlarda başvurulması gereken ve geçerliliği için belirli bir konuya ilişkin olma, bilgilendirmeye dayanma ve özgür iradeyle açıklanma unsurlarını taşıması gereken bir veri işleme şartıdır.
Mobil uygulamalar üzerinden gerçekleştirilecek kişisel veri işleme faaliyetlerinde, uygulamanın asıl işlevinin yerine getirilmesi için ihtiyaç duyulmayan kişisel verilerin işlenmesi durumunda kullanıcının açık rızasının alınması gerekliliği ortaya çıkabilecektir. Bu ek kişisel verilere izin verilmemesi durumunda kullanıcının uygulamanın asıl hizmetinden mahrum bırakılmaması gerekmektedir.
Konu ile ilgili olarak Kurul’un 27/01/2020 tarih ve 2020/65 sayılı kararında ulaşım hizmeti sunan bir platformun mobil uygulaması vasıtasıyla yapılan yolculukların şoförler tarafından puanlanarak bu puanların ortalamalarının alındığı ve bu ortalama puan bilgilerinin şoförler tarafından erişilebilir olup yolcular tarafından erişime kapalı olduğu ve yolcuların böyle bir puanlama yapılacağı hususunda bilgilendirilmedikleri anlaşılmıştır.
Bilgilendirmede bulunulmaması ve aydınlatma metninde işlenen veriler arasında sayılmaması hususunun genel ilkelerden ilk olarak hukuka ve dürüstlük kurallarına uygun olma ve belirli, açık ve meşru amaçlar için işlenme ilkelerine aykırılık teşkil ettiği tespit edilmiştir. Puanlama verilerinin işlenme şartına ilişkin olarak veri sorumlusu platform tarafından verinin üyelik sözleşmesinin kurulması ve ifasıyla doğrudan doğruya ilişkili olmasını öne sürmüş fakat “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” şartı kapsamında sözleşmenin ifasına ilişkin ana kurucu öge olmadığı veya sözleşmenin ifasıyla doğrudan doğruya bir ilişkisinin var olmaması sebebiyle ve bu veri işleme faaliyetinin aynı maddede belirtilen diğer veri işleme şartlarından herhangi birine dayanmadığı gerekçesiyle idari para cezasına hükmedilmiştir.
Açık rıza, kullanıcıların aktif eylemleriyle alınmalıdır. Bu bağlamda uygulamalardaki gizlilik ayarlarında çeşitli eylemlerin default olarak onaylı işaretlenmemesi gerekmektedir. Yukarıda bahsettiğimiz 13/04/2021 tarih ve 2021/361 sayılı Kararda da bu husus vurgulanmıştır.
5.4 – Veri Güvenliğinin Sağlanması
Veri güvenliğinin sağlanması kapsamında Kurum aşağıdaki teknik yöntemleri önermektedir:
- Veri güvenliğinin sağlanması hususunda uygulamalar, tasarımdan itibaren mahremiyet (privacy by design) ve başlangıçtan itibaren mahremiyet (privacy by default) ilkeleri ile uyumlu şekilde tasarlanmalı ve kişisel verilerin korunmasını en üst düzeyde sağlayacak şekilde kullanıma sunulmalıdır. Yukarıda bahsettiğimiz 2021/361 sayılı kararda olduğu gibi kullanıcıların ek bir eylemine gerek duyulmaksızın mobil uygulamaların yüklendiklerinde mahremiyet odaklı ayarların açık olması, hem kişisel verilerin işlenmesinde dürüstlük kuralına uyulması hem de kullanıcıda güven tesis edilmesi bakımından büyük önem arz etmektedir.
- Cihazlara gerçekleştirilen yetkisiz erişimlere karşı uygulamada kimlik doğrulama yöntemlerinin kullanılması ve aynı anda farklı cihazlardan oturum açılması bakımından kullanıcılara yönelik kontrol mekanizmaları oluşturulmalıdır. Başarısız girişlerin sayısı sınırlandırılmalıdır. Bot saldırılarına karşı giriş sayfalarında CAPTCHA, dört işlem gibi yöntemler tercih edilmelidir.
- Çok faktörlü kimlik doğrulama yöntemlerinin kullanılmalıdır.
- Kullanıcılara ait şifrelerin güçlü şifreler olması ve periyodik olarak değiştirilmesi sağlanmalıdır. Daha önce kullanılan şifrelerin kullanılması önlenmelidir.
- Siber saldırı risklerine karşı şifreler güncel “özet/karma (hashing) fonksiyonlarından geçirilmelidir.
- Yama yöntemi ve yazılım güncellemeleriyle güvenlik açıkları ve zafiyetler kapatılmalıdır.
- Uygulama sunulmadan önce yazılım testlerinden eksiksiz geçmiş olmalıdır.
- Kişisel verilerin depolanması ve aktarımı sırasında ağ iletişiminde uygun şekilde yapılandırılmış yeterli bir şifreleme katmanı ve şifreleme anahtarlarının güvenli yönetimi sağlanmalıdır. Kişisel veriler cihazda depo ediliyorsa bu verilerin etkili şekilde şifrelenmesi gerekmektedir.
6. SONUÇ
Mobil uygulamalar hayatımızın her alanında dahil olmuş, farklı kategori ve niteliklerde birçok kişisel veriyi hızla ve kolaylıkla işler hale gelmiştir. Kişisel verilerin güvenliğini sağlayabilmek için hem kullanıcıların bilinçlenmesi hem de uygulama geliştiricilerinin ve uygulama sağlayıcıların gerekli önlemleri alması kritik öneme sahip hale gelmiştir.
Kullanıcılar kullanacakları mobil uygulamaları yalnızca güvenilir kaynaklardan indirmeli, uygulamalara verdikleri izinleri gözden geçirmeli, uygulamaların gizlilik politikalarını ve aydınlatma metinlerini okumalıdır.
Kanun kapsamında veri sorumlusu sıfatını alan uygulama sağlayıcıları veya geliştiricileri ise kişisel verileri işlerken genel ilkelere uymalı, veri işleme faaliyetlerini yürütürken şeffaf olmalı ve bu faaliyetleri Kanun’da yer alan veri işleme şartlarına dayandırmalıdır. Bu verileri elde ederken, aktarırken, muhafaza ederken veya başka bir işleme faaliyeti yürütürken veri güvenliğini sağlayacak teknik ve idari tedbirleri almalıdır.
Stj. Av. Selin AYTAÇ
Öztürk&Kuru Avukatlık Ortaklığı
Aralık 2023
KAYNAKÇA
- 6698 Sayılı Kişisel Verileri Koruma Kanunu
- Mobil Uygulamalarda Mahremiyetin Korunmasına Yönelik Tavsiyeler başlıklı rehber
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul Ve Esaslar Hakkında Tebliğ
- Kişisel Verileri Koruma Kurulu’nun 13/04/2021 Tarih ve 2021/361 Sayılı Kararı
- Kişisel Verileri Koruma Kurulu’nun 27/01/2020 Tarih ve 2020/65 Sayılı Kararı