Kuruma iletilen ihbar dilekçesinde özetle, sağlık kuruluşuna (veri sorumlusu) ait internet sayfasında randevu almak üzere form doldurulması esnasında sağlık kuruluşuna ait hizmetlerden ve duyurulardan haberdar olmak üzere başvuru sahiplerinin verilerinin işlenmesine ve bu amaçla kişilerle iletişime geçilmesine onay verilmesinin zorunlu tutulduğu, tanıtım kutucuğuna onay verilmediği sürece randevu işleminin tamamlanmadığı ve bu suretle veri sorumlusunca hizmetin açık rıza şartına bağlanmış olduğu ifade edilmiştir.

Konuya ilişkin başlatılan inceleme çerçevesinde veri sorumlusundan savunması istenmiş olup alınan cevabi yazıda özetle,

Başvuru sahibi kişiye telefon ve e-posta yoluyla ulaşılarak randevusunun düzenlendiği, Söz konusu görüşmeden sonra internet sitesindeki işleyişin gözden geçirildiği ve mevzuat uyumuna dair bir iç denetim gerçekleştirildiği

belirtilerek internet sitesi üzerinden randevu taleplerinde kişisel verilerin işlenmesine dair süreç hakkında bilgi verilmiştir. Buna göre,

İnternet sitesinde üç farklı alandan randevu alınabildiği ve randevu almak isteyen kişilerin ad ve soyadlarını, T.C. kimlik numaralarını, doğum tarihlerini ve cep telefonu numaralarını ekrana girmeleri gerektiği, Veri sorumlusu bir hastane işletmesi olduğu için hastanın kimlik bilgilerinin kontrolü ve aydınlatma metninin gönderileceği telefon numarasının tespiti adına randevu aşamasında talep edilen bu bilgilere ihtiyaç duyulduğu, içi boş olarak gelen kutucukları ise kişilerin rızalarına göre işaretleyebilecekleri, Kişilerin “Kişisel verilerimin işlenmesine ilişkin aydınlatma metnini okudum. Kişisel Verilerin Korunması Kanunu’na uygun şekilde verilerimin işlenmesine onay veriyorum” seçeneğini işaretlediklerinde telefon numaralarına bir doğrulama kodu geldiği ve bu kodun girişi ile işleme devam edilebildiği, Kişilere gelen kısa mesajda internet sitesinde de ilan edilen aydınlatma metninin uzantısının görüntülendiği, Randevu almak isteyen kişilerin “… Sağlık Grubu hizmetleri ve duyurularından haberdar olmak için kişisel verilerinin kullanılmasına ve benimle iletişime geçilmesine onay veriyorum” kutucuğunu işaretlemelerinin kendi tercihlerine bırakıldığı ve bu kutucuk işaretlenmeksizin de ilerlenip randevu oluşturulabildiği, Randevu sürecinde Kanun’un 5’inci maddesinin (2) numaralı fıkrasında sayılan, “Bir sözleşmenin kurulması/ifasıyla ilgili olmak kaydıyla taraflara ait kişisel verilerin işlenmesinin gerekli olması”, “Hukuki yükümlülüğün yerine getirilmesi için işlemenin zorunlu olması” ve “Meşru menfaatler için veri işlemenin zorunlu olması” şartlarına dayanılarak kişisel verilerin işlenmekte olduğu, İlgili kişiye sağlık hizmetinin verilmesine yönelik bir randevu oluşturulabilmesi ve randevu bilgilerinin kişiye gönderilebilmesi için kişinin adı, soyadı, T.C. kimlik numarası, doğum tarihi ve iletişim bilgilerinin bulunmasının şart olduğu ve diğer taraftan kalite denetimi ve hasta-hekim planlaması için de doğru randevunun oluşturulmasının işleyiş verimliliği için bir gereklilik olduğu, Hastaneye dair duyurulardan randevu aşamasında haberdar olmak için talep edilen kişisel verilerin ise ad, soyad ve telefon numarasından ibaret olduğu, bu bilgilerin Elektronik Ticaretin Düzenlenmesi Hakkındaki Kanun ve bu Kanun’a dayanılarak çıkarılan Ticari İletişim ve Ticari Elektronik İletiler Hakkındaki Yönetmelik kapsamında “Açık rıza şartına” dayalı olarak işlendiği, Kişisel verilerin elde edilmesi sırasında Kanun’da açık rıza aranmadan işlenebilecek verilere ilişkin aydınlatma yükümlülüğünün ilgili kişiler talep etmese dahi yerine getirilmekte olduğu, Kişisel verilerin işlenmesinde ayrıca Kanun’un 4’üncü maddesinde yer verilen temel ilkelere uygun davranıldığı

ifade edilmiştir.

Konuya ilişkin olarak yapılan inceleme neticesinde Kişisel Verileri Koruma Kurulunun 02/05/2023 tarihli ve 2023/692 sayılı Kararı ile,

İhbar ekinde gönderilen ekran görüntüleri incelendiğinde, veri sorumlusuna ait internet sitesinde randevu amacıyla doldurulan form sayfasında kişilere ait ad, soyad, T.C. kimlik numarası, doğum tarihi ve cep telefonu bilgileri talep edilmekle birlikte aynı sayfanın altında “… Sağlık Grubu hizmetleri ve duyurularından haberdar olmak için kişisel bilgilerimin kullanılmasına ve benimle iletişime geçilmesine izin veriyorum” ibaresinin yanındaki kutucuğun yer aldığı, form bilgilerini içeren tablonun yeşil, kutucuğun ise (işaretlenmediği an itibariyle) kırmızı r