Araştırma Şirketlerine Uyarı; Önce Aydınlat Sonra Onay Al 28 Ekim 2024

Şikayetlerin Konusu Ne?

İlgili kişiler telefon numaralarını araştırma şirketleri ile hiçbir şekilde paylaşmadıkları halde araştırma şirketleri tarafından aranmalarına ve bu konuda kendilerine herhangi bir bilgilendirme yapılmamasına ilişkindir.

Araştırma Şirketlerinin Savunması

Araştırma şirketleri, telefon numaralarının rastgele ve otomatik olarak sistem/yazılım vasıtası ile üretildiğini ve aramalar için kullanılan yöntemin "rastgele numara çevirme ile yapılan telefon mülakatı" yöntemi olarak bilinen ve dünya çapında uygulanan bir istatistik metodolojisi olduğunu belirtmişlerdir. Ayrıca, ilgili kişilerin onaylarını aldıklarını; eğer ilgili kişiler tarafından onay verilmez ise verileri takma adlandırma (Pseudonymisation) yöntemi ile sakladıklarını ifade etmişlerdir.

Kurum'un Tespiti

Kurum, söz konusu olaya ilişkin aşağıdaki değerlendirmeleri yapmıştır.

• Otomatik yolla üretilmiş telefon numarası ile ilgili kişi belirlenebilir hale geleceğinden kişisel veri işleme faaliyeti söz konusudur.
• Takma adlandırma yöntemi ile kişisel verilerin saklanması durumunda kişisel veri işleme faaliyeti söz konusu olacaktır. Bu yöntem bir anonimleştirme yöntemi değildir.
• Tasarımla veri koruma (privacy by design), varsayılan ayarlarla veri koruma (privacy by default) ilkelerine uyum sağlanması gerekmektedir. Veri sorumlusu kullandığı yazılımın fabrika ayarlarında sadece işlemenin amacı için gerekli olan işleme faaliyetleri yapacak şekilde tedbirleri almalıdır.
• İlgili kişilerle temas kurulduğu ilk anda ilgili kişilerin aydınlatma metninin sunulması gerekmektedir.
• Aydınlatma yapılması sonrasında ilgili kişilerin açık rıza vermesi halinde telefon görüşmesine devam edilmelidir.

Değerlendirme
 

Kurum Kamuoyu Duyurusu'nda takma ad kullanımı ile kişisel verilerin anonim hale getirilmemiş olacağının altını çizmiştir. Ek olarak, kişisel veri işleme faaliyeti için doğrudan ilgili kişinin belirlenmesi kıstasının yeterli değildir; ilgili kişi belirlenebilir olduğu durumda da bir kişisel veri işleme faaliyetinin söz konusu olacaktır. Örnek olarak, kişinin isim - soy isim gibi kimlik bilgisi olmadan yalnızca yaşadığı yer, ekonomik özelliklerine ilişkin bilgiler gibi bilgileri bir araştırma şirketi toplar ise; bu veriler ilgili kişiler ile ilişkilendirilebileceğinden yine kişisel veri işleme faaliyeti söz konusu olacaktır.

Kamuoyu Duyurusu bakımından bir diğer önemli nokta, araştırma şirketlerinin yalnızca kâr elde edilmesi ya da ekonomik yararın sağlanması amacı ile kişisel veri işlemesinin meşru menfaat değerlendirmesi bakımından yeterli olmayacağına ilişkin Kurum'un İlke Kararı¹ ile paralel şekilde bu süreç özelinde açık rıza hukuki şartına dayanılmış olmasıdır. Bununla beraber araştırma için gerekli olduğu ölçüde ilgili kişilerin aranma tarihi ve süresi, arayan numara ve aranan numara şeklindeki trafik logu gibi bilgilerin işlenmesinde veri sorumlusunun meşru menfaatine dayanabilecek, bu verilerin bu amaç ile sınırlı olarak işlenmesi için açık rıza alınması gerekmeyecektir.
 

Sonuç

Kurum'un kararlarına uyulması zorunludur. Bu kapsamda veri sorumluları, Kamuoyu Duyurusu'nun kendi kişisel veri işleme süreçleri bakımından etkilerini analiz etmelidir.

Kamuoyu Duyurusu'nun tamamına buradan² ulaşabilirsiniz.