Mobil Uygulamalarda Anlık Bildirimler (Push Notification) Hakkında KVKK Kamuoyu Duyurusu
Kişisel Verileri Koruma Kurumu (Kurum), mobil uygulamalar üzerinden kullanıcılara gönderilen anlık bildirimlere ilişkin yayımladığı kamuoyu duyurusunda, veri sorumlularına yönelik önemli hatırlatmalarda bulunmuştur.
Açık Rıza ve Hizmet Şartına Bağlama Meselesi: Duyuruda; hukuka ve dürüstlük kurallarına uygunluk, belirlilik ve özgür iradeye dayalı açık rıza ilkeleri çerçevesinde, sipariş ve kargo gibi hizmetin doğal parçası olan operasyonel bildirimler ile kampanya ve reklam içerikli pazarlama bildirimlerinin aynı onay kapsamında sunulamayacağı açıkça ifade edilmiştir. Kurum’a iletilen şikâyetler üzerine yapılan incelemelerde, kullanıcıların yalnızca hizmetten faydalanabilmek için pazarlama amaçlı bildirimlere de onay vermek zorunda bırakıldığı uygulamaların bulunduğu; bu tür bir rıza kurgusunun, açık rızanın özgür irade unsurunu ortadan kaldırdığı değerlendirilmiştir.
Veri Sorumlularının Alması Gereken Tedbirler: Bu kapsamda Kurum tarafından aşağıdaki hususların gerekliliği vurgulanmıştır:
- Operasyonel ve pazarlama bildirimlerinin amaç bazlı olarak ayrıştırılması,
- Kullanıcılara hangi tür bildirimi almak istediklerini ayrı ayrı seçme imkânı tanınması,
- Bu tercihlerin mobil uygulamanın teknik altyapısında fiilen uygulanabilir olması.
Duyuruda ayrıca, kullanıcı tercihlerini yönetmeye imkân tanımayan uygulama kurgularının; Kanun’un 12. maddesi kapsamında veri güvenliğine ilişkin gerekli teknik ve idari tedbirlerin alınmaması olarak da değerlendirilebileceğine işaret edilmiştir.
GRC LEGAL Değerlendirmesi: Mobil uygulama hizmeti sunan veri sorumlularının, anlık bildirim (push notification) onaylarını yalnızca metinler üzerinden değil; ilke bazlı, amaç ayrımlı ve teknik olarak uygulanabilir bir yaklaşımla ele almaları kritik önem arz etmektedir. Konuyla ilgili yayımlanan “Mobil Uygulamalarda Mahremiyetin Korunmasına İlişkin Tavsiyeler” de izin yönetiminin önemini vurgulayan açıklamalar içermektedir.
Kurul’un bu alandaki yaklaşımı uzun süredir tutarlı olmasına rağmen güncel bir duyuru yayımlanmasının gerekli görülmesi; sürecin halen mevzuata tam uyumlu yürütülmediğini ve pazarlama odaklı yaklaşımların veri mahremiyetinin önüne geçtiği senaryoların yaygınlığını ortaya koymaktadır.