Решение Совета по защите персональных данных Турции в отношении приложения WhatsApp

Совет по защите персональных данных Турции («Совет») провёл проверку по собственной инициативе в отношении WhatsApp (в качестве оператора данных) после установления факта обновления Условий использования и Политики конфиденциальности, которые были признаны соглашением между пользователем и WhatsApp и предусматривали получение явного согласия пользователей на обработку персональных данных и их передачу третьим лицам, находящимся за пределами Турции.

В отношении обработки персональных данных

Советом были установлены следующие обстоятельства:

• Пользователям предоставлялся единый механизм получения явного согласия как на обработку их персональных данных, так и на передачу таких данных третьим лицам, находящимся за рубежом, без предоставления возможности выбора между указанными действиями. Кроме того, процесс, который выглядел как принятие Условий использования, фактически включал получение явного согласия, включённого непосредственно в договор, что нарушало требование о том, что явное согласие должно выражаться на основе «свободного волеизъявления».

• Поскольку обработка полученных данных не являлась соразмерной и ограниченной целями, указанными при их сборе, такая обработка была признана нарушающей принципы «обработки данных для конкретных, чётких и законных целей» и «обработки данных в соответствии с целями их обработки, в ограниченном объёме и соразмерно этим целям».

• Обработка персональных данных посредством файлов cookie в целях профилирования без получения явного согласия была признана незаконной.

В отношении передачи персональных данных за рубеж

Советом были установлены следующие обстоятельства:

• Поскольку использование приложения было поставлено в зависимость от передачи персональных данных, интересы пользователей и их разумные ожидания были проигнорированы. Данная ситуация была признана противоречащей принципу «соответствия законодательству и правилам добросовестности».

• Поскольку серверы оператора данных не находятся на территории Турции, передача персональных данных за границу требует получения явного согласия. Неподача оператором данных заявления о предоставлении обязательства (taahhütname) в Совет была признана нарушением статьи 9 Закона Турции о защите персональных данных.

На основании вышеуказанных оценок было установлено, что оператор данных не принял все необходимые технические и административные меры для обеспечения надлежащего уровня безопасности с целью предотвращения незаконной обработки персональных данных.

В связи с этим в отношении оператора данных был назначен административный штраф в размере 1 950 000 турецких лир.