关于个人数据保护委员会（KVKK）针对 WhatsApp 应用程序作出的决定

个人数据保护委员会（“委员会”）针对 WhatsApp（数据控制者）开展了依职权调查。调查的依据是发现 WhatsApp 更新了其《服务条款》和《隐私政策》，并将该更新作为用户协议的一部分，其中包含要求用户同意处理其个人数据以及将相关数据传输至境外第三方的条款。

关于个人数据处理

委员会认定：

• WhatsApp 在获取用户关于个人数据处理以及向境外第三方传输数据的同意时，并未向用户提供可选择的权利，而是以单一整体方式取得用户的明确同意。此外，表面上是对《服务条款》的确认，实际上包含在协议中的明确同意机制，损害了“基于自由意愿作出同意”的要求。

• 由于所收集数据的处理范围并未与所声明的目的保持适当比例，也未受到必要限制，因此违反了个人数据处理应遵循的“为了特定、明确且合法目的进行处理”以及“处理活动应与目的相关、必要且适度”的原则。

• 为实现用户画像（Profiling）目的，通过 Cookie 技术在未取得用户明确同意的情况下进行个人数据处理的行为属于违法处理。

关于个人数据向境外传输

委员会认为：

• WhatsApp 将应用程序的正常使用与个人数据向境外传输条件相绑定，因此忽视了用户的利益以及合理期待，该做法违反了个人数据处理应符合“合法性及诚信原则”的要求。

• 由于数据控制者的服务器并不位于土耳其，个人数据向境外传输需要取得用户明确同意。同时，WhatsApp 未向委员会提交关于境外数据传输的承诺声明申请（Taahhütname），违反了《个人数据保护法》第9条的规定。

行政处罚

根据上述评估，委员会认定 WhatsApp 作为数据控制者，未采取所有必要的技术和行政措施，以确保适当的安全水平并防止个人数据被非法处理。

因此，委员会对 WhatsApp 处以 1,950,000 土耳其里拉的行政罚款。

该决定再次强调，数据控制者在处理个人数据及向境外传输数据时，应确保用户同意真实、自由、明确，并遵守《个人数据保护法》规定的数据处理基本原则。