Mobil Uygulama Bütün Telefon Rehberine Erişim İsteyebilir mi?

Bir mobil uygulamanın telefondaki bütün kişilere erişim istemesi, bu erişimin hukuken gerekli ve uygun olduğu anlamına gelmez. Uygulamanın işlevi, toplanan veri, işleme amacı ve kanundaki şartlar birlikte değerlendirilir. Telefon ekranındaki teknik izin düğmesine basılması da her durumda bütün işlemler için geçerli KVKK açık rızası oluşturmaz.

Kısaca bu yazıda

Aşağıdaki maddeler, yazıda ayrıntılı olarak ele alınan başlıca noktaları özetler. Somut durumunuzda hangi kuralın uygulanacağı, olayın ayrıntılarına ve belgelere göre değişebilir.

• Cihaz izni ile hukuki dayanak farklıdır: İşletim sistemi izni, uygulamanın teknik olarak belirli verilere ulaşmasını sağlar.
• Rehberde yalnız sizin veriniz bulunmaz: Ad, telefon numarası ve kişiye eklenen notlar başka gerçek kişilere ait kişisel veri olabilir.
• Hangi sorular uygulamanın amacını açıklar: Rehbere neden erişildiği, hangi alanların okunduğu, verilerin cihaz dışına çıkıp çıkmadığı ve kimlerle paylaşıldığı sorulabilir.
• İzin reddedilince hizmet kullanılamaz mı: Belirli izin gerçekten talep edilen işlev için zorunluysa o işlev teknik olarak çalışmayabilir.
• Önceden verilmiş izin nasıl ele alınır: Cihaz ayarlarından izin kaldırılabilir; ayrıca veri sorumlusuna hangi verilerin toplandığı ve şartları sona eren kayıtların silinmesi için başvurulabilir.
• Rehberdeki kişi uygulamayı hiç kullanmadıysa: Bir kişi kendi telefon numarasının böyle bir hizmette bulunduğunu öğrenirse, uygulamanın kullanıcısı olmaması hak başvurusuna engel değildir.

Cihaz izni ile hukuki dayanak farklıdır

İşletim sistemi izni, uygulamanın teknik olarak belirli verilere ulaşmasını sağlar. KVKK ise verilerin hangi amaçla ve hangi şartla işlenebileceğini düzenler. Kullanıcının neye izin verdiğini anlayabilmesi, gerekli aydınlatmanın yapılması ve işlemin ölçülü olması gerekir. “Telefon zaten izin sordu” açıklaması şirketin bu yükümlülüklerini ortadan kaldırmaz.

Uygulama yalnız seçilen bir kişiye davet göndermek için kullanılacaksa bütün rehberin sürekli sunucuya aktarılmasının gerekliliği ayrıca açıklanmalıdır. Cihaz üzerinde sınırlı işlem yapılmasıyla bütün kayıtların merkezi veri tabanına alınması aynı değildir. Teknik tasarım, toplanan verinin kapsamını ve riskini doğrudan etkiler.

Rehberde yalnız sizin veriniz bulunmaz

Ad, telefon numarası ve kişiye eklenen notlar başka gerçek kişilere ait kişisel veri olabilir. Telefon sahibinin kendi uygulama kullanımını kabul etmesi, rehberdeki herkes adına sınırsız rıza açıklayabildiği anlamına gelmez. Veri sorumlusu, bu kişilerin bilgilerinin işlenmesi ve aktarılması için de uygun hukuki şartları değerlendirmelidir.

Kurulun 2017/61 sayılı ilke kararı, hukuki dayanak bulunmadan isimden numara veya numaradan isim sorgulama hizmeti sunan uygulamaları ele alır. Başkasının rehberinde kişinin hangi isimle kayıtlı olduğunun yayımlanması gibi işlemler, basit bir kullanıcı kolaylığı olarak görülemez. İletişim verilerinin dolaşımı ayrıca önem taşır.

Hangi sorular uygulamanın amacını açıklar?

Rehbere neden erişildiği, hangi alanların okunduğu, verilerin cihaz dışına çıkıp çıkmadığı ve kimlerle paylaşıldığı sorulabilir. Uygulama geliştiricisiyle analiz veya reklam hizmeti sağlayıcısının rolleri farklı olabilir. Aydınlatma metninde genel “hizmet geliştirme” ifadesi bulunması, her tür veri toplamanın gerekliliğini açıklamaz.

Örneğin fotoğraf düzenleyen bir uygulamanın temel işlevi için bütün rehberi zorunlu istemesini düşünelim. Uygulama rehberin hangi özelliğe hizmet ettiğini açıklamıyorsa ölçülülük sorgulanır. Buna karşılık iletişim uygulamasındaki belirli kişi bulma işlevi için farklı teknik ihtiyaçlar bulunabilir; yine de gerekli kapsamın aşılmaması gerekir.

İzin reddedilince hizmet kullanılamaz mı?

Belirli izin gerçekten talep edilen işlev için zorunluysa o işlev teknik olarak çalışmayabilir. Ancak isteğe bağlı bir özellik için gerekli iznin reddi, ilgisiz bütün hizmetleri otomatik olarak kapatmayı haklı kılmaz. Hangi özelliğin neden çalışmadığı kullanıcıya açık anlatılmalıdır. Uygulamanın tamamını kullanabilmek için gereksiz erişime zorlanması ayrıca değerlendirilir.

İzin ekranı, uygulama sürümü ve aydınlatma metni kaydedilebilir. Sürüm değiştikçe erişim talebinin kapsamı da değişebileceği için tarih önemlidir. Teknik izin sonradan kapatıldığında uygulamanın artık erişememesiyle önceden sunucuya aktardığı kopyaların silinmesi farklı sonuçlardır.

Önceden verilmiş izin nasıl ele alınır?

Cihaz ayarlarından izin kaldırılabilir; ayrıca veri sorumlusuna hangi verilerin toplandığı ve şartları sona eren kayıtların silinmesi için başvurulabilir. Uygulamayı telefondan silmek, şirket sunucusundaki verilerin mutlaka yok edildiğini göstermez. Başvuruda hesap bilgileriyle birlikte rehber verisinin özellikle sorgulandığı belirtilmelidir.

Uygulamanın web sayfasındaki takip araçları farklı işlemler içeriyorsa çerez ve reklam teknolojilerinde açık rıza koşulları ayrıca incelenir. Rehber erişimine verilen teknik izin, internet sitesindeki bütün izleme faaliyetlerine de verilmiş genel onay sayılmamalıdır.

Rehberdeki kişi uygulamayı hiç kullanmadıysa

Bir kişi kendi telefon numarasının böyle bir hizmette bulunduğunu öğrenirse, uygulamanın kullanıcısı olmaması hak başvurusuna engel değildir. Verinin kaynağını, işleme amacını ve aktarımını sorabilir; koşulları varsa düzeltme veya silme isteyebilir. Kendi kaydını göstermek için başka kişilerin bütün rehberini toplamak gerekli değildir.

Yanıt alınamazsa veya açıklama yetersizse Kurula şikâyet yolu değerlendirilir. Uygulamanın mağazada bulunması ya da çok kullanıcıya sahip olması, bütün veri işleme faaliyetlerinin hukuka uygunluğunun önceden denetlendiği anlamına gelmez. İnceleme somut erişim ve paylaşım üzerinde kurulmalıdır.

Hukuki kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — m.3-5,7,8,10-14.
• KVKK mobil uygulamalarda mahremiyet tavsiyeleri — rehber erişimi, veri minimizasyonu ve mobil izinler.
• KVKK rehberlik uygulamaları ilke kararı — 2017/61, iletişim bilgilerinin dayanaksız paylaşımı.