Gelişmiş Arama

Tüm Kararları Filtrele

Ceza miktarı, tarih aralığı, mahkeme türü ve sonuca göre 502 kararı arayın

502 Toplam Karar
471 Yüksek Mahkeme
2014–2025 Tarih Aralığı

Hızlı Filtreler

Son 1 Yıl Son 12 aydaki tüm kararlar
Yüksek Cezalar (>1M TL) 1 milyon TL ve üzeri para cezaları
İlke Kararları KVK Kurulu ilke kararları ve rehberler

Filtreler

Düzenleyici Kurum
Adli Yargı
İdari Yargı
Anayasa Mahkemesi
Avrupa Kurumları
Tüm mahkemeler
İhlal Tespit Edildi
İhlal Tespit Edilmedi
Diğer
Tüm sonuçlar
—
Hızlı Seçim:
Başlangıç yok – Bitiş yok
₺
—
₺
0 ₺ 10M+ ₺
0 ₺ – Sınırsız
502 karar
2025/2120 İlke Kararı

Turizm ve Otelcilik Sektöründe Kimlik Belgesi Fotokopisi Hakkında İlke Kararı

Otel, motel, pansiyon ve benzeri konaklama yerlerinin misafirlerden T.C. kimlik belgesi fotokopisi almasının Kanun'a aykırı olduğuna dair ilke kararı verilmiştir. Konaklama bildiriminde isim, soyisim ve TC kimlik numarası kaydı, Kimlik Bildirme Kanunu kapsamında hukuki olmakla birlikte, kimlik belgesinin fotokopisinin alınması gereğinden fazla veri işleme niteliği taşımakta olup herhangi bir hukuki dayanağı bulunmamaktadır. Ayrıca eski nüfus cüzdanlarında din ve kan grubu gibi özel nitelikli veriler yer aldığından bu uygulama Kanun'un 6. maddesine de aykırılık oluşturmaktadır. Veri sorumlularının bu uygulamaya derhal son vermesi ve daha önce alınmış olan fotokopileri Kanun'un 7. maddesine uygun şekilde imha etmesi gerektiğine karar verilmiştir.

§ İlke Kararı
2025/1072 İlke Kararı

SMS ile Doğrulama Kodu Gönderilmesi Suretiyle Kişisel Verilerin İşlenmesi Hakkında İlke Kararı

Ödeme veya üyelik işlemleri sırasında doğrulama kodu bahanesiyle ilgili kişilerden alınan iletişim bilgilerinin, aydınlatma yapılmadan ve açık rıza alınmadan ticari elektronik ileti göndermek amacıyla kullanılmasının Kanun'a aykırı olduğuna dair ilke kararı verilmiştir.

§ İlke Kararı
2024/1385

Bir e-ticaret platformu tarafından Kurula intikal ettirilen veri ihlal bildirimi” hakkında Kişisel Verileri Koruma Kurulunun 08/08/2024 tarih ve 2024/1385 sayılı Karar Özeti

Veri sorumlusu e-ticaret platformu tarafından Kuruma yapılan ihlal bildiriminde, başka platformlardan elde edilen kullanıcı adı ve şifre bilgilerinin satıcı portalında denenmesi sonucu 673 satıcı ve 7.202 müşterinin kişisel verilerine yetkisiz erişim sağlandığı bildirilmiştir. Kurul, satıcı portalında e-posta adreslerinin bulunup bulunmadığını kontrol eden bir zafiyetin siber saldırganlar tarafından kullanıldığını, bot trafiğini önlemek için kullanılan uygulamanın yetersiz kaldığını ve çift faktörlü kimlik doğrulamanın ancak ihlalden sonra uygulamaya konulduğunu tespit etmiştir. İhlalin 02.02.2024 tarihinde başlamasına rağmen ancak 06.02.2024'te tespit edilmesinin geç kalındığının göstergesi olduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 3.250.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺3.250.000
2024/1176

“Abonelik Tesisi Amacıyla Hukuka Aykırı Kişisel Veri İşlenmesi” Hakkında Kişisel Verileri Koruma Kurulunun 18/07/2024 tarihli ve 2024/1176 sayılı Karar Özeti

Şikayette, ilgili kişinin internet taahhüt süresinin dolması nedeniyle tarife araştırırken abonesi olduğu A Şirketine benzer görsellerle sahte bir internet sitesine yönlendirildiği, buraya sadece telefon numarasını yazmasına rağmen T.C. kimlik numarası sorularak adres ve tarife bilgilerine erişildiği ve aldatılarak X Markasına abone yapıldığı iddia edilmiştir. Kurul, bayi C Şirketinin veri işleyen olarak hareket etmesi gerekirken sözleşme hükümlerine aykırı şekilde başka firmaya ait görselleri kullanarak potansiyel müşterileri yanılttığını ve bu suretle veri sorumlusu sıfatını kazandığını tespit etmiştir. İlgili kişinin iradesinin aldatılarak kişisel verilerinin hukuka aykırı işlendiği değerlendirilerek C Şirketine KVKK m.18/1(b) uyarınca 450.000 TL idari para cezası uygulanmış; B ve D Şirketleri hakkında işlem yapılmasına yer olmadığına karar verilmiştir.

₺ Para Cezası
₺450.000
2023/1892

Sağlık Verilerinin Hukuka Aykırı İşlenmesi

Bir özel hastanenin hasta verilerini üçüncü taraf pazarlama şirketiyle paylaşması değerlendirilmiştir. Tespitler: Sağlık verileri özel nitelikli kişisel veridir (m. 6) Pazarlama amacıyla aktarım için m. 6/3 şartları oluşmamaktadır Hastaların açık rızası alınmamıştır Veri güvenliği tedbirleri yetersizdir Sonuç: Hem m. 6 hem m. 12 kapsamında ihlal tespit edilmiş, yüksek tutarda idari para cezası uygulanmıştır.

₺ Para Cezası
₺500.000
2023/1645

“Geniş katılımlı çevrim içi bir oyunun Türkiye’deki dağıtıcısı ve tek yetkilisi konumundaki veri sorumlusu tarafından kişisel verilerin hukuka aykırı işlenmesi” hakkında Kişisel Verileri Koruma

Kurul, çevrimiçi oyun dağıtıcısı olan veri sorumlusu hakkında e-Devlet şifresi talep edildiği, kişisel verilerin yurt dışına aktarıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddialarıyla resen inceleme başlatmıştır. İncelemede, oyun sunucularının yurt içinde tutulduğu ve oyun kullanıcılarının kişisel verilerinin yurt dışına aktarılmadığı; ancak internet sitesindeki çerezler aracılığıyla yurt dışına veri aktarımı yapıldığı, açık rızanın belirlilik ve özgür irade unsurlarının sağlanmadığı tespit edilmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 750.000 TL idari para cezası uygulanmış; çerez politikalarının Kanun'a uygun hale getirilmesi, aydınlatma metinlerinin düzeltilmesi ve yurt dışı aktarımı için usulüne uygun açık rıza alınması talimatlandırılmıştır.

₺ Para Cezası
₺750.000
2023/1578

“İlgili Kişinin Hasta Dosyasında Yer Alan Özel Nitelikli Kişisel Verilerinin Mahkemeye Aktarılması” Hakkında Kişisel Verileri Koruma Kurulunun 14/09/2023 Tarihli ve 2023/1578 Sayılı Karar Özeti

Şikayette, ilgili kişinin üniversite tıp merkezinde aldığı terapi kayıtlarının boşanma davası kapsamında mahkemeye gönderilirken gizlilik önlemi alınmadığı ve bu kayıtların UYAP'a yüklenerek üçüncü kişilerin erişimine açıldığı iddia edilmiştir. Kurul, mahkeme müzekkeresine cevaben hasta dosyasının gönderilmesinin 6100 sayılı HMK'nın 221'inci maddesi kapsamında zorunlu olduğunu ve KVKK m.8/3 "kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır" kapsamında olduğunu tespit etmiştir. Mahkeme tarafından UYAP'a yükleme işlemlerinin KVKK m.28/1(d) kapsamında yargı makamlarının kişisel veri işlemesi olarak Kanun kapsamı dışında olduğu değerlendirilerek veri sorumlusu tıp merkezi hakkında yapılacak işlem bulunmadığına; ancak gizlilik esaslarına riayet edilerek gönderim yapılması gerektiği yönünde hatırlatma yapılmasına karar verilmiştir.

✓ İhlal Yok
2023/1548

“İlgili kişinin açık rızası alınmadan ses kaydının alınması, paylaşılması ve mahkeme dosyasına sunulması” hakkında Kişisel Verileri Koruma Kurulunun 07/09/2023 Tarihli ve 2023/1548 Sayılı Karar Özeti

Şikayette, ilgili kişinin yüklenici firma bünyesinde sayaç okuma personeli olarak çalışırken rüşvet istediğine dair ses kaydının veri sorumlusu tarafından işlendiği ve mahkemeye sunulduğu iddia edilmiştir. Kurul, müşteri tarafından alınan ses kaydının suç teşkil edebilecek bir eylemin tespitine ilişkin olduğunu, başka türlü delil ile ispat imkanı bulunmadığı ani gelişen durumlarda alınan kayıtların hukuka uygun delil niteliği taşıdığını ve Yargıtay içtihatlarıyla da bu görüşün benimsendiğini tespit etmiştir. Ses kaydının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında hukuka uygun olarak işlendiği ve mahkemeye aktarıldığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/1563

“İlgili kişinin ortaklıktaki paylarının borsada işlem gören niteliğe dönüşmesi için Merkezi Kayıt Kuruluşu AŞ’ye yaptığı başvuru üzerine ad-soyadı ve pay bilgilerinin Kamuyu Aydınlatma Platformu

Şikayette, ilgili kişinin Borsa İstanbul'daki hisselerinin satılabilir hale getirilmesi sürecinde ad ve soyadının Kamuyu Aydınlatma Platformu'nda (KAP) yayımlandığı iddia edilmiştir. Kurul, Pay Tebliği'nin 15'inci maddesinin 3'üncü fıkrasında "MKK, borsada işlem gören niteliğe dönüştürülmek istenen payların nominal değerini, başvuruyu yapan kişilerin isim veya unvanını, günlük olarak toplu halde KAP vasıtasıyla kamuya duyurur" hükmünün yer aldığını tespit etmiştir. Kişisel veri işleme faaliyetinin Pay Tebliği uyarınca KVKK m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında zorunlu olarak gerçekleştirildiği değerlendirilerek veri sorumlusu MKK hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/1509

“İlgili Kişinin Kişisel Verilerinin Bir Banka Tarafından Kredi Kayıt Bürosu AŞ’ye Aktarılması” Hakkında Kişisel Verileri Koruma Kurulunun 31/08/2023 Tarihli ve 2023/1509 Sayılı Karar Özeti

Şikayette, ilgili kişinin kişisel verilerinin KKB Kredi Kayıt Bürosu'na aktarılmasına ilişkin açık rızasını geri çekme talebinin veri sorumlusu banka tarafından reddedildiği iddia edilmiştir. Kurul, 5411 sayılı Bankacılık Kanunu'nun 73/4 ve Ek 1'inci maddesi ile Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik kapsamında bankaların Risk Merkezi ile veri paylaşımının sır saklama yükümlülüğünden istisna olduğunu tespit etmiştir. Kişisel verilerin KKB'ye aktarılmasının KVKK m.5/2(a), (c), (ç) ve (f) bentlerine dayandığı ve açık rızanın geri çekilmesinin bu kapsamda hukuken geçerli olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına; ancak başvuru ret gerekçelerinin açıklanması gerektiğinin hatırlatılmasına karar verilmiştir.

✓ İhlal Yok
2023/1461

“Bir eğitim kurumu tarafından kamera vasıtasıyla görüntü ve ses kaydı alınması” hakkında Kişisel Verileri Koruma Kurulunun 24/08/2023 Tarihli ve 2023/1461 Sayılı Karar Özeti

Şikayette, veri sorumlusu okul tarafından kira uyuşmazlığı nedeniyle ilgili kişilerin açık rızası olmadan ses ve görüntü kaydı alındığı iddia edilmiştir. Kurul, görüntü kaydının güvenlik amacıyla KVKK m.5/2(ç) ve (f) kapsamında meşru olduğunu, ancak ses kaydının güvenlik gerekçesiyle meşru menfaat kapsamında değerlendirilemeyeceğini tespit etmiştir. Ses kaydının alınmasının KVKK m.5'teki işleme şartlarına dayanmadığı ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL ve KVKK m.18/1(a) uyarınca 30.000 TL olmak üzere toplam 230.000 TL idari para cezası uygulanmış; ses verilerinin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺230.000
2023/1465

“Veri sorumlusuna ait internet sitesinde yapılan kullanıcı girişinde üçüncü kişiye ait kişisel verilerin görüntülenmesi” hakkında Kişisel Verileri Koruma Kurulunun 24/08/2023 Tarihli ve 2023/1465

Şikayette, ilgili kişinin araç kiralama şirketinin internet sitesine giriş yaparken başka bir kullanıcının T.C. kimlik numarası, ehliyet ve iletişim bilgilerine eriştiği iddia edilmiştir. Kurul, veri sorumlusunun sistemindeki algoritma hatasının dört farklı kişinin kişisel verilerinin yetkisiz erişime açık hale gelmesine neden olduğunu ve Kuruma veri ihlal bildiriminde bulunulmadığını tespit etmiştir. KVKK m.12 kapsamında kişisel verilere hukuka aykırı erişimi önleme yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış ve veri ihlal bildirimi yükümlülüğü hatırlatılmıştır.

₺ Para Cezası
₺200.000
2023/1414

“İlgili kişiye ait özel nitelikli kişisel verilerin avukat tarafından mahkemeye aktarılması” hakkında Kişisel Verileri Koruma Kurulunun 17/08/2023 Tarihli ve 2023/1414 Sayılı Karar Özeti

Şikayette, ilgili kişinin kendisine ve çocuklarına ait DNA test raporlarının e-posta adresine hukuka aykırı olarak erişilerek veri sorumlusu avukat tarafından ele geçirildiği ve alacak davasında aleyhine kullanıldığı iddia edilmiştir. Kurul, DNA raporlarının ilgili kişinin çocuklarına da ait olması nedeniyle çocuklarla ortak kişisel veri niteliğinde olduğunu, raporun verilere hukuka aykırı erişildiğine dair tevsik edici belge sunulmadığını tespit etmiştir. Genetik verilerin, çocukların vekili olan avukat tarafından işlenmesinin ve mahkemeye aktarılmasının, 1136 sayılı Avukatlık Kanunu ve HMK m.219 kapsamında KVKK m.6/3 ve m.8'e uygun olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/1430

“Yemek kartı hizmeti sunan veri sorumlusuna ait mobil uygulamada T.C. kimlik numarasının işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 17/08/2023 tarihli ve 2023/1430 Sayılı Karar Özeti

Kurul, yemek kartı hizmeti sunan veri sorumlusunun mobil uygulamasına kayıt olurken T.C. kimlik numarası istendiğine ilişkin ihbar üzerine resen inceleme başlatmıştır. İncelemede, fiziksel yemek kartlarının mobil uygulamaya eklenmesinde doğrulama için T.C. kimlik numarası işlendiği tespit edilmiştir. Kurul, T.C. kimlik numarasının telefon numarasına göre daha hassas bir veri olduğunu ve veri ihlali halinde daha büyük zarara yol açacağını, işveren aracılığıyla kart ve telefon bilgisiyle doğrulama yapılmasının mümkün olduğunu değerlendirmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış; T.C. kimlik numarası işlenmeden doğrulama yapılması ve mevcut verilerin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺200.000
2023/1356

“Bir işveren tarafından işe iade davasına, ilgili kişinin mescitte ibadet etme görüntülerinin ibraz edilmesi” hakkında Kişisel Verileri Koruma Kurulunun 10/08/2023 Tarihli ve 2023/1356 Sayılı Karar

Şikayette, veri sorumlusu şirketin iş yerindeki mescitte kamera ile ibadet eden çalışanların görüntülerini kaydettiği, açık rızanın özgür iradeyle alınmadığı ve ayrımcılık yapıldığı iddia edilmiştir. Kurul, mescitteki kamera kaydının ilgili kişinin dini inancına ilişkin özel nitelikli kişisel veri işleme olduğunu, açık rızanın işten çıkarılma korkusuyla geriye dönük olarak imzalatıldığını ve özgür iradeyi yansıtmadığını tespit etmiştir. İbadethanenin kamera ile izlenmesinin KVKK m.4'teki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; veri işlemenin durdurulması ve verilerin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺300.000
2023/1327

“İlgili kişinin kişisel verilerinin, konakladığı otel çalışanı tarafından üçüncü kişilerle paylaşılması hakkında” Kişisel Verileri Koruma Kurulunun 03/08/2023 Tarihli ve 2023/1327 Sayılı Karar Özeti

Şikayette, veri sorumlusu otelin hazırladığı Housekeeping Task Sheet belgesinin sosyal medya üzerinden üçüncü bir kişi tarafından ilgili kişiye gönderildiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, belgede müşteri isim ve soyadına yer verilmesinin KVKK m.4/2(ç)'deki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğunu ve verilerin üçüncü kişilerce elde edilmesinin yeterli teknik ve idari tedbirlerin alınmamış olmasından kaynaklandığını tespit etmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; belgelerin düzenlenmesi, aydınlatma metinlerinin uyumlu hale getirilmesi ve açık rızanın ayrıca alınması talimatlandırılmıştır.

₺ Para Cezası
₺500.000
2023/1321

“İlgili kişinin e-posta verilerinin, önceden ortağı olduğu veri sorumlusu Şirket tarafından işlenmeye devam edilmesi” hakkında Kişisel Verileri Koruma Kurulunun 03/08/2023 Tarihli ve 2023/1321 Sayılı

Şikayette, ilgili kişinin veri sorumlusu şirketten ayrıldıktan sonra eski e-posta adresine gelen iletilerin veri sorumlusu tarafından okunmaya devam ettiği iddia edilmiştir. Kurul, ilgili kişinin pasif durumda bulunan e-posta adresine ileti gönderilmeye devam edildiğini ve bu iletilerin "tanımsız mail" olarak yönetici e-postasına düştüğünü, e-posta verilerinin kişisel veri niteliği taşıdığını tespit etmiştir. Söz konusu kişisel veri işleme faaliyetinin KVKK m.5'teki herhangi bir işleme şartına dayanmadığı değerlendirilerek veri sorumlusuna KVKK m.18 uyarınca 50.000 TL idari para cezası uygulanmış; sistemin düzeltilmesi ve verilerin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺50.000
2023/1309

“Bir havayolu şirketi tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 03/08/2023 Tarihli ve 2023/1309

Şikayette, ilgili kişinin havayolu firmasının mobil uygulamasından check-in yaparken tanımadığı dört kişinin kişisel verilerini (kimlik, pasaport, vize bilgileri) gördüğü iddia edilmiştir. Kurul, veri sorumlusunun PNR + soyadı kombinasyonu ile erişim sağlandığını beyan etmesine rağmen, ilgili kişinin ekran görüntülerinde farklı soyadlı kişilerin verilerinin görüldüğünü tespit etmiştir. KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı erişimini önlemeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış ve ilave teknik tedbirler alınması talimatlandırılmıştır.

₺ Para Cezası
₺300.000
2023/1310

“Banka mobil uygulamasında dijital parola belirlerken yüz verisinin işlenmesi suretiyle kişisel verilerin işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 03/08/2023 Tarihli ve 2023/1310 Sayılı

Şikayette, veri sorumlusu bankanın mobil bankacılık uygulamasından kurumsal hesap için dijital parola alınırken yüz verilerinin işlenmesine rıza verilmediği durumda hizmetin sağlanamadığı iddia edilmiştir. Kurul, şikayet tarihinde kurumsal müşteriler için mobil bankacılıkta yalnızca T.C. kimlik kartı ve yüz verisi ile dijital parola alınabildiğini, ancak şube ve telefon bankacılığı kanallarının alternatif olarak mevcut olduğunu ve bu hususun internet sitesinde belirtildiğini tespit etmiştir. Hizmetin şarta bağlanmadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak rıza vermeyen müşterilere alternatif kanallar hakkında açık bilgilendirme yapılması gerektiği yönünde uyarıda bulunulmasına karar verilmiştir.

✓ İhlal Yok
2023/1234

“Bir Araç kiralama şirketi tarafından ilgili kişiden Findeks raporu talep edilmesi suretiyle kişisel verilerinin işlenmesi” Hakkında Kişisel Verileri Koruma Kurulunun 20/07/2023 tarihli ve 2023/1234

Şikayette, araç kiralama şirketinin ilgili kişiden Findeks raporu talep ettiği ve bu rapor verilmeden araç teslim edilmeyerek rezervasyonun iptal edildiği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde Findeks sorgulaması yapıldığının açıkça belirtildiğini ve Findeks raporu bilgilerinin işlenmesinin ancak KVKK m.5/1 kapsamında açık rıza ile mümkün olduğunu tespit etmiştir. Hizmetin açık rıza şartına bağlanmasının özgür iradeyi ortadan kaldırdığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmış; başvuruların usulüne uygun yanıtlanması ve verilerin imha edilmesi gerektiği hatırlatılmıştır.

₺ Para Cezası
₺100.000
2023/1130

“İlgili Kişinin Rapor ve İlaç Kayıtlarının Eczane Tarafından Eski Eşi ile Paylaşılması” Hakkında Kişisel Verileri Koruma Kurulunun 06/07/2023 Tarih ve 2023/1130 Sayılı Karar Özeti

Şikayette, eczacının Medula sisteminden ilgili kişinin hastane rapor ve ilaç kayıtlarını alarak boşandığı eşine verdiği iddia edilmiştir. Kurul, eczacının Medula sistemi kapsamında veri işleyen sıfatını haiz olduğunu, ancak bu sistemin işlevi dışında verileri üçüncü kişilerle paylaşması halinde veri sorumlusu sıfatını kazanacağını değerlendirmiştir. Eczacının, çalışanının seçimi ve denetiminde gerekli özeni göstermediği, ilgili kişinin sağlık verilerini KVKK m.6'daki şartlara dayanmadan paylaştığı tespit edilmiştir. Veri sorumlusu eczacıya KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış ve özel nitelikli kişisel verilerin korunmasına ilişkin uyarıda bulunulmuştur.

₺ Para Cezası
₺50.000
2023/1041

“Veri sorumlusunun internet sitesinde aydınlatma yükümlülüğünü usulüne uygun olarak yerine getirmemesi ve sunduğu hizmeti açık rıza şartına bağlaması hakkında” Kişisel Verileri Koruma Kurulunun

Şikayette, veri sorumlusunun internet sitesinden şeker ölçüm cihazı satın alabilmek için yurt dışına veri aktarımına açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, internet sitesi üzerinden satışta açık rıza alınmakla birlikte, müşteri hizmetleri aracılığıyla alternatif satış kanalının mevcut olduğunu ve bu kanalın ek maliyet öngörmediğini tespit etmiştir. Hizmetin açık rıza şartına bağlanmadığı değerlendirilmiş; ancak alternatif satış kanalının anlaşılır biçimde gösterilmesi için veri sorumlusunun talimatlandırılmasına karar verilmiştir. Gizlilik metinlerinin işaretlenmesi şartı aydınlatma yükümlülüğü kapsamında değerlendirilmiş ve Kanun'a aykırılık bulunmamıştır.

§ İlke Kararı
2023/789

İlgili Kişi Başvurusuna Cevap Verilmemesi

İlgili kişinin m. 11 kapsamındaki başvurusuna süresinde cevap verilmemesi değerlendirilmiştir. Tespitler: İlgili kişi, verilerinin silinmesi talebinde bulunmuştur Veri sorumlusu 30 günlük sürede cevap vermemiştir Kurul'a şikayet sonrası veri sorumlusu cevap vermiştir Sonuç: m. 13/2'deki süreye uyulmaması nedeniyle idari para cezası uygulanmıştır. Silme talebinin yerine getirilmesi emredilmiştir.

₺ Para Cezası
₺30.000
2023/1050

“Veri sorumlusu Banka’nın, müşteri temsilcisi ile ilgili kişi arasında gerçekleştirilen görüşmeye ilişkin ses kaydı dökümünün ilgili kişiye sağlanması yönündeki talebi yerine getirmemesi” hakkında

Şikayette, ilgili kişinin veri sorumlusu bankaya sanal kartının kopyalandığı iddiasıyla yaptığı başvurunun yanıtsız bırakıldığı ve müşteri temsilcisi ile görüşme kaydının paylaşılmadığı iddia edilmiştir. Kurul, bankanın sır saklama yükümlülüğünün üçüncü kişilere bilgi verilmemesini gerektirdiğini, ancak KVKK m.11/1(b) kapsamında ilgili kişilerin kendi verilerine erişim hakkının bulunduğunu değerlendirmiştir. Görüşme dökümünün, üçüncü kişi verileri maskelenerek ilgili kişiye gönderilmesi ve başvuruların KVKK m.13 ile Tebliğ hükümlerine uygun şekilde yanıtlanması gerektiği yönünde veri sorumlusu talimatlandırılmıştır.

⚠ Talimat
2023/938

“Bir üniversite tarafından, öğrencisi olan ilgili kişinin elektronik posta adresine günlük elektronik postalar gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 01/06/2023 Tarihli ve 2023/938

Şikayette, üniversite öğrencisi olan ilgili kişinin kendisine tahsis edilen kurumsal e-posta adresine istemediği günlük duyuru e-postaları gönderildiği ve gönderim listesinden çıkarılma talebinin reddedildiği iddia edilmiştir. Kurul, e-postaların içeriğinde öğretim hakkıyla ilgili akademik ve idari duyurular, kampüs etkinlikleri, iş sağlığı ve güvenliği ile bilgi güvenliği bilgilendirmelerine yer verildiğini tespit etmiştir. İlgili kişinin kişisel verisi niteliğindeki kurumsal e-posta adresine gönderim yapılmasının KVKK m.5/2(f) "veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak aydınlatma metninde bu hususa yer verilmek üzere güncelleme yapılması talimatlandırılmıştır.

✓ İhlal Yok
2023/932

“İlgili kişinin Bankaya iletişim numarası olarak bildirmediği telefon numarasının kredi işlemleri ile ilgili olarak bilgilendirme yapılması suretiyle işlenmesi” hakkında Kişisel Verileri Koruma

Şikayette, ilgili kişinin veri sorumlusu bankaya kredi başvurusunda bulunduğu, bankaya verdiği telefon numarası dışında sistemde kayıtlı olmayan başka bir telefon numarasına da kredi işlemiyle ilgili mesaj gönderildiği iddia edilmiştir. Kurul, bankanın Kredi Kayıt Bürosu'ndan (KKB) temin ettiği alternatif iletişim bilgisini, dolandırıcılığın önlenmesi ve başvuru güvenliğinin sağlanması amacıyla kullandığını, Bankacılık Bilgi Sistemleri Yönetmeliği'nin 36'ncı maddesi uyarınca riskli işlemleri tespit etme yükümlülüğünün bulunduğunu tespit etmiştir. Söz konusu kişisel veri işleme faaliyetinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" ve m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir.

✓ İhlal Yok
2023/924

“Otopark işletmecisi veri sorumlusu tarafından ilgili kişinin kişisel verilerinin hukuka aykırı işlenmesi ve aydınlatma yükümlülüğünün yerine getirilmemesi” Hakkında Kişisel Verileri Koruma Kurulunun

Şikayette, veri sorumlusu otopark işletmecisinin ilgili kişinin aracının park borcu olduğu iddiasıyla icra takibi başlattığı, araç ruhsat bilgilerinin nasıl temin edildiğinin belirsiz olduğu ve internet sitesinde plaka sorgusuyla borç bilgisine alenen ulaşılabildiği iddia edilmiştir. Kurul, otopark hizmetinden yararlanan ilgili kişinin kimlik bilgilerine ulaşılmasının ve aracın fotoğraflarının dava dosyasına sunulmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması" kapsamında olduğunu tespit etmiştir. Ancak yalnızca plaka ile tek kademeli sorgulama yapılmasının veri güvenliği açısından yetersiz olduğu ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(a) uyarınca 75.000 TL idari para cezası uygulanmış; çift faktörlü doğrulama sistemi kurulması talimatlandırılmıştır.

₺ Para Cezası
₺75.000
2023/928

“Bir üniversite tarafından ilgili kişilerin kişisel ve özel nitelikli kişisel verilerinin yer aldığı belgenin e-posta ekinde üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun

Şikayette, üniversite rektörü tarafından gönderilen toplu e-posta ekinde ilgili kişilere ve üçüncü kişilere ait telefon numaraları, e-posta adresleri, HES kodları, aşı bilgileri ve risk durumu gibi kişisel ve özel nitelikli verilerin paylaşıldığı iddia edilmiştir. Kurul, söz konusu Excel dosyasının sehven değil, daha önceki e-postada da benzer paylaşım yapıldığından kasıtlı olarak gönderildiğini, sağlık verilerinin KVKK m.6'daki işleme şartlarına dayanmadan üçüncü kişilerle paylaşıldığını tespit etmiştir. Veri ihlali niteliği taşıyan söz konusu olay için Kurula bildirim yapılmadığı değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan sorumlular hakkında disiplin hükümlerine göre işlem yapılması ve Kurula bilgi verilmesi talimatlandırılmıştır.

⚖ Disiplin
2023/890

“Bir hava yolu şirketinin özel yolcu programı hizmetinin açık rıza şartına bağlanması” hakkında Kişisel Verileri Koruma Kurulunun 25/05/2023 Tarih ve 2023/890 Sayılı Karar Özeti

Şikayette, veri sorumlusu havayolu şirketinin özel yolcu programında biriken millerin görüntülenmesi için pazarlama faaliyetlerinde kullanılmaya ilişkin kutucuğun işaretlenmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, özel yolcu programının bir sadakat programı olduğunu, ilgili kişinin programa katılmaksızın da temel hizmet olan uçak bileti satışından faydalanabildiğini ve biriken millerin çağrı merkezi, web sitesi veya satış ofisleri üzerinden de görüntülenebildiğini tespit etmiştir. Ek menfaatlerin açık rıza koşuluna bağlanmasının özgür iradeyi ortadan kaldırmayacağı, Kurulun 2019/198 sayılı Kararında da bu hususun değerlendirildiği ve açık rızanın koşul olarak dayatılması niteliği taşımadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir.

✓ İhlal Yok
2023/892

“İlgili kişinin kişisel verilerinin, Kooperatif ortaklığından ayrılmasına rağmen hukuka aykırı olarak işlenmeye devam edilmesini konu şikâyet hakkında” Kişisel Verileri Koruma Kurulunun 25/05/2023

Şikayette, ilgili kişinin kişisel verilerinin KOOPBİS'e hukuka aykırı işlendiği, kooperatif ortaklığından noter ihtarnamesiyle ayrılmasına rağmen genel kurul davetiyesi gönderilmeye devam edildiği ve imha talebinin yerine getirilmediği iddia edilmiştir. Kurul, KOOPBİS'in veri kayıt sisteminin kurulmasından Ticaret Bakanlığının sorumlu olduğunu, 1163 sayılı Kooperatifler Kanunu'nun 13'üncü maddesi uyarınca noter bildirimi tarihinden itibaren ortaklığın sona erdiğini tespit etmiştir. Kooperatif ortaklığından ayrılmasına rağmen ilgili kişinin kişisel verilerinin KVKK m.5'teki işleme şartlarına dayanmadan işlenmeye devam edildiği değerlendirilerek veri sorumlusu kooperatife KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış; başvuruların süresinde sonuçlandırılması gerektiği hatırlatılmıştır.

₺ Para Cezası
₺50.000
2023/845

“Bir kargo şirketi çalışanı tarafından kargo teslimi akabinde ilgili kişinin telefonuna kısa mesaj gönderilmesi suretiyle kişisel verilerin hukuka aykırı işlenmesi” hakkında Kişisel Verileri Koruma

Şikayette, veri sorumlusu kargo şirketinin kuryesi tarafından kargo teslimatı sonrasında ilgili kişinin cep telefonu numarasına taciz içerikli mesaj gönderildiği iddia edilmiştir. Kurul, eylemi gerçekleştiren kişinin veri sorumlusu adına geçici olarak çalıştığını, TBK m.66 ve İş Kanunu m.2 uyarınca veri sorumlusunun sorumluluğunun bulunduğunu tespit etmiştir. Söz konusu kişiye kişisel verilerin korunması konusunda eğitim verilmediği ve bilgilendirme yapılmadığı, KVKK m.5'teki işleme şartlarına dayanılmadan cep telefonu numarasının hukuka aykırı paylaşıldığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺250.000
2023/767

“Evli çifte ait sağlık verilerini içeren özel nitelikli kişisel verilerin gazetede yayımlanmak suretiyle işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 11/05/2023 Tarihli ve 2023/767 Sayılı

Şikayette, ilgili kişilerin özel hastanede yaşadıkları sağlık sorununa ilişkin özel nitelikli kişisel verilerinin gazetede haberleştirildiği ve bu haberin çok sayıda internet sitesinde yayımlandığı iddia edilmiştir. Kurul, haberde olayın bir gazete haberinin gerektirdiğinden fazla detay ile anlatıldığını, ilgili kişilerin sağlık sorununa ilişkin tüm detaylar, sarf edilen sözler gibi bilgilerin özel hayatın gizliliğini ihlal ettiğini tespit etmiştir. KVKK m.28/1(c)'deki ifade özgürlüğü istisnasının kişilik haklarını ihlal etmemek kaydıyla geçerli olduğu, özle biçim arasındaki dengenin korunmadığı değerlendirilerek veri sorumlusu gazete hakkında KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
2023/787

“Bir hastanenin reklam ve tanıtım faaliyetleri kapsamında sağlık verileri de dahil kişisel verilerin işlenmesine ilişkin olarak hastalardan açık rıza almasının hukuka aykırı olduğuna yönelik ihbar

İhbarda, özel hastanenin hastalara imzalattığı onam formlarında görüntü ve videoların reklam ve tanıtım amacıyla paylaşılmasına açık rıza istendiği ve bu verilerin sosyal medyada yayımlandığı iddia edilmiştir. Kurul, Özel Hastaneler Yönetmeliği'nin 60'ıncı maddesinde özel hastanelerin talep yaratmaya yönelik reklam yapmasının yasak olduğunu, açık rıza bulunsa dahi sektörel düzenlemeye aykırı veri işlemenin meşru olmadığını tespit etmiştir. Toplum bilinci oluşturma amacının kişisel veri işlenmeden de gerçekleştirilebileceği ve ölçülülük ilkesine aykırılık bulunduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmış; verilerin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺250.000
2023/692

Bir özel sağlık kuruluşu tarafından sunulan sağlık hizmetinin açık rıza şartına bağlanması hakkında Kişisel Verileri Koruma Kurulunun 02/05/2023 tarihli ve 2023/692 sayılı Karar Özeti

İhbarda, sağlık kuruluşunun internet sitesinden randevu alınırken tanıtım amacıyla kişisel veri işlemeye açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, ihbar tarihinde tanıtım kutucuğu işaretlenmeden randevu işleminin tamamlanamadığını, ancak inceleme başladıktan sonra veri sorumlusunun bu durumu düzelttiğini tespit etmiştir. Sağlık hizmetiyle doğrudan bağlantılı olmayan tanıtım faaliyetine yönelik açık rızanın zorunlu tutulmasının KVKK m.4'teki "hukuka ve dürüstlük kurallarına uygunluk" ilkesine aykırı olduğu ve özgür iradenin sakatlandığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; aydınlatma ve açık rıza metinlerinin düzenlenmesi talimatlandırılmıştır.

₺ Para Cezası
₺300.000
2023/695

“Özel Bir Tıp Merkezi Tarafından İlgili Kişinin e-Nabız Sistemindeki Verilerine Hukuka Aykırı Erişilmesi” Hakkında Kişisel Verileri Koruma Kurulunun 02/05/2023 tarihli ve 2023/695 sayılı Karar Özeti

Şikayette, veri sorumlusu tıp merkezi çalışanı hekimin e-Nabız sistemi üzerinden ilgili kişinin sağlık verilerine yetkisiz ve onaysız eriştiği iddia edilmiştir. Kurul, hekimin e-imza şifresini sekreteri ile paylaştığını, sekreterin de bir tanıdığının talebiyle ilgili kişinin e-Nabız bilgilerini sorguladığını tespit etmiştir. İlgili kişinin e-Nabız gizlilik ayarlarını "Tüm Hekimler Görsün" şeklinde ayarlamış olmasının, herhangi bir hekime amacı dışında verilere erişim hakkı vermediği, KVKK m.6'daki işleme şartlarına dayanılmadan özel nitelikli kişisel verilere erişildiği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺200.000
2023/646

“Bir üniversite bünyesinde çalışanların özlük bilgilerinin tüm personelle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 27/04/2023 Tarihli ve 2023/646 Sayılı Karar Özeti

Şikayette, üniversite fakülte dekanı tarafından gönderilen e-posta ekinde ilgili kişinin ve tüm öğretim üyelerinin sicil numaraları, çalıştıkları birim ve izin durumlarını gösteren verilerin tüm personelle paylaşıldığı iddia edilmiştir. Kurul, izin kullanımı hususunda uyarı amacıyla kişisel verilerin birimde görevli diğer tüm personelle paylaşılmasının gereklilik arz etmediğini ve yalnızca ilgili kişinin muhatap alınarak alternatif süreçlerin işletilebileceğini tespit etmiştir. Söz konusu veri paylaşımının KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığı ve m.12/1'e aykırılık teşkil ettiği değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan ilgili personel hakkında disiplin hükümlerine göre işlem yapılması talimatlandırılmıştır.

⚖ Disiplin
AYM Bireysel Başvuru İkinci Bölüm
B. 2020/7518

AYM M.I.I. Başvurusu

Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezasına ilişkin bireysel başvuru. Başvurucu, KVKK kapsamında hakkında verilen idari para cezasının adil yargılanma hakkını ihlal ettiğini ileri sürmüştür.
2023/567

“Bir e-ticaret sitesinden alışveriş yapılabilmesi için kredi/banka kartı bilgilerinin kaydedilmesinin zorunlu tutulması hakkında” Kişisel Verileri Koruma Kurulunun 11/04/2023 Tarihli ve 2023/567

Şikayette, veri sorumlusu e-ticaret sitesinde alışveriş yapabilmek için kredi/banka kartı bilgilerinin zorunlu olarak kaydedilmesinin talep edildiği iddia edilmiştir. Kurul, alışverişin tamamlanması için girilen kart bilgilerinin işlem sonrasında cüzdan bölümünde kayıtlı olmaya devam ettiğini, EDPB'nin 02/2021 sayılı Tavsiye Kararında sonraki alışverişleri kolaylaştırmak amacıyla kart bilgilerinin işlenmesinde dayanılması gereken işleme şartının açık rıza olduğunun belirtildiğini tespit etmiştir. Veri sorumlusunun kart bilgilerini zorunlu olarak kaydettirmesinin KVKK m.4/2'deki genel ilkelere ve m.5'teki işleme şartlarına aykırı olduğu değerlendirilerek KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; açık rızaya dayalı kayıt sistemi geliştirilmesi talimatlandırılmıştır.

₺ Para Cezası
₺500.000
2023/570

“İlgili kişinin kripto varlık hizmet sağlayıcısı nezdinde bulunan üyeliğinin seviyesinin artırılması için gereğinden fazla kişisel veri talep edilmesi hakkında” Kişisel Verileri Koruma Kurulunun

Şikayette, kripto varlık hizmet sağlayıcısı olan veri sorumlusunun üyelik seviyesinin yükseltilmesi için kimlik belgesinin ön ve arka yüzü fotoğrafı ile birlikte kişinin kendi fotoğrafını talep ettiği ve ölçüsüz veri işleme yapıldığı iddia edilmiştir. Kurul, veri sorumlusunun 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve Tedbirler Hakkında Yönetmelik kapsamında yükümlü olduğunu, müşteri tanıma yükümlülüğü çerçevesinde kimlik tespiti yapmasının zorunlu olduğunu tespit etmiştir. Kullanıcının kimliğinin tespit edilmesinde kamusal bir menfaat bulunduğu ve kişisel verilerin işlenmesinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/437

“Bir avukatlık ortaklığı tarafından borçlu ilgili kişiye kısa mesaj gönderilmesi suretiyle kişisel verilerinin işlenmesi” hakkında Kişisel Verileri Koruma Kurulu’nun 22/03/2023 Tarihli ve 2023/437

Şikayette, avukatlık ortaklığının vekili olduğu şirketin borç takibi kapsamında ilgili kişiye beş kez kısa mesaj gönderdiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatlık ortaklığının Şirketten aldığı vekalete dayanarak icra takibi öncesi borç bilgilendirmesi yapmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında olduğunu tespit etmiştir. Ayda bir kez, hafta içi mesai saatlerinde gönderilen mesajların KVKK m.4/2(a) "hukuka ve dürüstlük kuralına uygunluk" ve m.4/2(ç) "ölçülülük" ilkelerine aykırı olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/426

“Tüketici Finansman Kredisiyle Alışveriş İmkânı Sunan Şirket Tarafından İlgili Kişilerden e-Devlet Şifrelerinin Talep Edilmesi” hakkında Kişisel Verileri Koruma Kurulu’nun 22/03/2023 tarihli ve

Kurul, tüketici finansman kredisiyle alışveriş yapan müşterilerden e-Devlet şifresi talep edildiğine ilişkin ihbarlar üzerine resen inceleme başlatmıştır. İncelemede, veri sorumlusunun müşterilerden kredi değerlendirmesi için sigorta hizmet dökümünü e-Devlet üzerinden temin etmelerini istediği ve bu amaçla e-Devlet şifresi ile şubeye davet edildiğine dair kısa mesajlar gönderildiği tespit edilmiştir. e-Devlet şifresinin ele geçirilmesi halinde kişilerin tüm verilerine erişim sağlanabilecek ciddi riskler oluştuğu, veri sorumlusunun savunmalarının tutarlılık içermediği ve kamuoyunda çok sayıda benzer şikayet bulunduğu değerlendirilerek KVKK m.18/1(b) uyarınca 400.000 TL idari para cezası uygulanmış; hukuka aykırı işlenen verilerin imha edilmesi talimatlandırılmıştır.

₺ Para Cezası
₺400.000
AYM Bireysel Başvuru Birinci Bölüm
B. 2020/7358

AYM K.B.A. Başvurusu

UYAP kayıtlarında "şikayet edilen" ibaresinin yer almasının kişisel verilerin korunmasını isteme hakkını ihlal ettiği iddiasına ilişkin bireysel başvuru.
2023/134

TikTok Pte. Ltd. hakkında Kişisel Verileri Koruma Kurulunun 2023/134 sayılı Karar Özeti

Kurul, TikTok uygulaması hakkında internet ve sosyal medyada yer alan açık rıza, veri güvenliği ve gizlilik açıklarına ilişkin haberler üzerine resen inceleme başlatmıştır. İncelemede, 2021 öncesinde 13-15 yaş arası kullanıcıların profillerinin varsayılan olarak herkese açık olduğu, 13 yaş altı çocuklardan uygun ebeveyn izni olmadan veri toplandığı, Gizlilik Politikasında hangi verilerin hangi amaçla işlendiğinin net belirtilmediği, açık rızanın aydınlatmadan ayrı alınmadığı ve profilleme için çerez kullanımında açık rıza alınmadığı tespit edilmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 1.750.000 TL idari para cezası uygulanmış; Hizmet Koşullarının Türkçeye çevrilmesi, Gizlilik Politikasının düzeltilmesi ve usulüne uygun aydınlatma yapılması talimatlandırılmıştır.

₺ Para Cezası
₺1.750.000
2023/224

“Bir belediyenin meclis toplantısı videosunun sosyal medya hesabından paylaşılması suretiyle ilgili kişinin kişisel verilerinin hukuka aykırı olarak işlenmesi” hakkında Kişisel Verileri Koruma

Şikayette, belediye meclis toplantısında belediye başkanı tarafından ilgili kişinin dava sürecine ilişkin bilgilerinin paylaşıldığı ve toplantı kaydının sosyal medyada yayımlandığı iddia edilmiştir. Kurul, ilgili kişinin eski meclis üyesi olduğunu, 5393 sayılı Belediye Kanunu'nun 20'nci maddesinde meclis toplantılarının sesli ve görüntülü cihazlarla kaydedilebileceğinin öngörüldüğünü ve Belediye Meclisi Çalışma Yönetmeliği'nin 11'inci maddesinde toplantıların halka açık olduğunun düzenlendiğini tespit etmiştir. Kamuoyunun konuya ilişkin bilgilendirilmesinde kamu ilgi ve yararının mevcut olduğu değerlendirilerek video kaydının yayımlanmasının KVKK m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında olduğuna ve belediye başkanlığı hakkında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2023/86

“Veri sorumlusunun çalışanlarına tahsis ettiği kurumsal e-posta adresindeki içerikleri izleme, erişme ve depolama suretiyle kişisel verileri işlemesi” hakkında Kişisel Verileri Koruma Kurulunun

Şikayette, ilgili kişinin iş akdinin feshedildiği, fesih gerekçesi olarak şirket e-posta hesabından kişisel e-postasına ilettiği verilerin ve gizlice kaydedilen telefon görüşmesinin gösterildiği, e-posta denetiminin hukuka aykırı olduğu iddia edilmiştir. Kurul, veri sorumlusunun e-posta denetimi aracılığıyla gerçekleştirilen veri işleme hakkında ilgili kişiye aydınlatma yaptığını, şirket bilgilerinin dışarı aktarılmasının tespiti amacıyla denetim yapmasında meşru menfaatinin bulunduğunu tespit etmiştir. AYM ve AİHM kararlarında belirlenen kriterlere uygun olarak şüpheli konulu e-postaların tespit edildikten sonra içerik denetimine geçilmesinin KVKK m.5/2(e) ve (f) kapsamında ve m.4/2(ç)'deki ölçülülük ilkesine uygun olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir.

✓ İhlal Yok
2023/78

“İlgili kişinin borç bilgisinin ortağı olduğu şirketin kurumsal numaralarına kısa mesaj olarak gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 19/01/2023 tarihli ve 2023/78 sayılı Karar Özeti

Şikayette, GSM operatörü tarafından ilgili kişinin ortağı olduğu şirkete ait 4 farklı cep telefonu numarasına ilgili kişinin ad-soyadı ve borç bilgilerini içeren kısa mesaj gönderildiği ve bu suretle üçüncü kişilerle kişisel verilerin paylaşıldığı iddia edilmiştir. Kurul, kurumsal iletişim numaralarının ilgili kişinin bireysel sözleşmelerinde iletişim numarası olarak kullanılmasının KVKK m.4/2(b)'deki "doğru ve güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusu GSM operatörünün hatalı veri paylaşması nedeniyle borca konu işlemle ilgisi olmayan üçüncü kişilerle kişisel verilerin paylaşıldığı değerlendirilerek KVKK m.18/1(b) uyarınca 85.000 TL idari para cezası uygulanmış; veri işleyen avukatlık ortaklığı hakkında ise işlem yapılmasına yer olmadığına karar verilmiştir.

₺ Para Cezası
₺85.000
2023/67

“Veri sorumlusu bir banka tarafından ilgili kişinin para transferleri ile hesap bilgilerinin üçüncü kişiye ait e-postaya gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 12/01/2023 tarihli ve

Şikayette, ilgili kişinin banka hesabına ilişkin ekstre ve anlık hesap hareketlerinin bilgisi ve rızası dışında üçüncü bir kişinin e-posta adresine gönderildiği iddia edilmiştir. Kurul, şikayete konu e-posta adresinin ilgili kişinin ortağı olduğu şirketin vekili tarafından banka ile paylaşıldığını, sonrasında ilgili kişinin bireysel emeklilik başvurusu sırasında formu imzalayarak e-posta adresini onayladığını ve başvuru üzerine bankanın hemen düzeltme yaptığını tespit etmiştir. Veri sorumlusu bankanın özen yükümlülüğü çerçevesinde hareket ettiği değerlendirilerek hakkında işlem yapılmasına yer olmadığına; ancak Kurulun 2020/966 sayılı İlke Kararı doğrultusunda iletişim bilgilerinin belirli periyotlarla doğrulanması hususunda uyarılmasına karar verilmiştir.

✓ İhlal Yok
2023/4

“Bir kargo firmasının çapraz barkodlama hatası nedeniyle kişisel verilerin hukuka aykırı olarak paylaşımına sebep olması” hakkında Kişisel Verileri Koruma Kurulunun 05/01/2023 tarihli ve 2023/4 sayılı

Şikayette, veri sorumlusu kargo firmasının barkodlama hatası nedeniyle ilgili kişiye ait kargo paketini üçüncü kişiye, üçüncü kişiye ait paketi ise ilgili kişiye teslim ettiği ve bu suretle kişisel verilerin hukuka aykırı olarak paylaşıldığı iddia edilmiştir. Kurul, çapraz barkodlama hatası nedeniyle gerçekleşen veri paylaşımının KVKK m.5'teki herhangi bir işleme şartına dayanmadığını ve KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünün yerine getirilmediğini tespit etmiştir. Söz konusu durumun veri ihlali olmasına rağmen Kurula bildirimde bulunulmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 75.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺75.000
2022/1357

“Spor salonu işletmecisi olan veri sorumlusunun, özel nitelikli kişisel veri niteliğini haiz kan grubu verisini ilgili kişinin açık rızasını almaksızın işlemesi” hakkında Kişisel Verileri Koruma

Şikayette, spor salonunun üyelerden sağlık verileri (kan grubu), biyometrik veriler (parmak izi) ve kamera görüntüleri işlediği ancak aydınlatma yapılmadığı ve açık rıza alınmadığı iddia edilmiştir. Kurul, üyelik sözleşmesinde özel nitelikli kişisel veri olan kan grubu bilgisinin işlendiğini ancak açık rıza alınmadığını, aydınlatma metninin sözleşmeden ayrı olarak sunulmadığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1 kapsamındaki yükümlülüklerini yerine getirmediği değerlendirilerek, çok sayıda üyenin verisinin işlenmesi ve özel nitelikli verilerin bulunması riski dikkate alınarak Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış, aydınlatma ve açık rıza metinlerinin düzenlenmesi hususunda veri sorumlusu talimatlandırılmıştır.

₺ Para Cezası
₺100.000
2022/1358

“Bir internet sitesinde yer alan çerezlere ilişkin aydınlatma ve açık rıza metinlerinin sunulmaması” hakkında Kişisel Verileri Koruma Kurulunun 23/12/2022 tarihli ve 2022/1358 sayılı Karar Özeti

Şikayette, oyun platformunun internet sitesinde çerez işleme süreçleriyle ilgili aydınlatma yapılmadığı ve zorunlu olmayan çerezler için açık rıza alınmadığı iddia edilmiştir. Kurul, sitede çok sayıda çerezin mevcut olduğunu, herhangi bir aydınlatma yapılmadığını ve reklam/istatistik amaçlı çerezler için açık rıza alınmadığını tespit etmiştir. Kesinlikle gerekli çerezler dışındaki çerezler için "opt-in" mekanizmasıyla açık rıza alınması gerektiği, veri sorumlusunun Kanun'un 12/1 kapsamındaki yükümlülüklerini yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 300.000 TL idari para cezası uygulanmış ve aydınlatma yükümlülüğünün yerine getirilmesi hususunda veri sorumlusu talimatlandırılmıştır.

₺ Para Cezası
₺300.000
2022/1281

“İcra takibi dolayısıyla veri sorumlusu avukat tarafından borçlunun borç bilgisinin oğlu ile paylaşılması ve kendisi ile borç bilgisi paylaşılan borçlunun oğlunun telefon numarasının bu suretle hukuka

Şikayette, icra takibi kapsamında borçlunun oğlunun cep telefonu numarasının veri sorumlusu avukat tarafından aranarak borca ilişkin bilgi verildiği iddia edilmiştir. Kurul, haciz tutanağından borçlunun oğlunun haciz mahallinde bulunduğu, yediemin olarak tayin edildiği ve borç bilgisinden zaten haberdar olduğunu tespit etmiştir. Kanun'un 5/2(e) bendi uyarınca "bir hakkın tesisi, kullanılması veya korunması" amacıyla oğlunun cep telefonu numarasının işlenmesinin hukuka uygun olduğuna karar verilmiştir. Ancak veri sorumlusunun başvurularda özel yetki talep ederek başvuruları zorlaştırmaması hususunda uyarılmasına karar verilmiştir.

✓ İhlal Yok
2022/1249

“İlgili kişinin döviz bürosundaki güvenlik kamerası ile kayıt altına alınmış görüntülerinin haber ajansları ile paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 24/11/2022 tarihli ve 2022/1249

Şikayette, döviz bürosunda hatalı işlem sonucu fazla ödeme yapılan ilgili kişinin görüntülerinin yerel TV kanalına aktarılarak yayınlandığı iddia edilmiştir. Kurul, döviz bürolarında kamera bulundurulmasının Türk Parası Kıymetini Koruma Tebliği gereği zorunlu olduğunu ve aydınlatma levhalarının asılı olduğunu tespit etmiştir. Fazla ödemenin iadesini sağlamak amacıyla, yalnızca göz çevresi ve siluetin göründüğü görüntülerin ilan amacıyla TV kanalına aktarılmasının Kanun'un 5/2(f) bendi kapsamında "veri sorumlusunun meşru menfaatleri için zorunlu olması" şartına uygun olduğuna ve ilgili kişinin temel hak ve özgürlüklerine zarar vermediğine karar verilmiştir. Her iki şikayet hakkında Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2022/1201

“İlgili kişinin Resmî Gazete’nin internet sayfasından erişilebilen bir ilana ilişkin olarak arama motorunda adı ve soy adı ile yapılan aramada ulaşılan sonuçların indeksten çıkarılması talebi”

Şikayette, ilgili kişinin adıyla veri sorumlusu arama motorunda yapılan aramada Resmi Gazete'de yayınlanan beraat kararına ilişkin sayfanın çıktığı ve unutulma hakkı kapsamında bu sonucun indeksten çıkarılması talep edilmiştir. Kurul, 23/06/2020 tarihli ve 2020/481 sayılı kararında belirlenen kriterler çerçevesinde değerlendirme yaparak; içeriğin 20 yılı aşkın süre öncesine ait olması nedeniyle güncelliğini yitirdiğini, tebligat amacının gerçekleştiğini, beraat kararı olsa bile önyargıya sebep olabileceğini ve kamu yararı bulunmadığını tespit etmiştir. URL adresinin ilgili kişinin ad ve soyadıyla ilişkilendirilemeyecek şekilde indeksten çıkarılması hususunda veri sorumlusu talimatlandırılmıştır.

⚖ Disiplin
AYM Norm Denetimi Genel Kurul
E. 2015/41 K. 2017/98

kişisel sağlık verilerinin işlenmesi ve paylasilmasina ilişkin kanuni düzenlemelerin Anayasa'ya uygunluğunun değerlendirilmesine ilişkin karar.
2022/1147

“İlgili kişinin kişisel verilerinin iş akdinin feshinden sonra işveren tarafından işlenmeye devam edilmesi” hakkında Kişisel Verileri Koruma Kurulunun 20/10/2022 tarihli ve 2022/1147 sayılı Karar

Şikayette, mobilya-dekorasyon şirketinde çalışan ilgili kişinin iş akdinin feshinden sonra da görüntülerinin TV reklamlarında ve sosyal medyada kullanıldığı, cep telefonu numarasının kargo süreçlerinde işlendiği ve satış işlemlerinde işlem yetkilisi olarak gösterildiği iddia edilmiştir. Kurul, iş akdi feshedilmiş bir çalışanın kişisel verilerinin reklam/pazarlama amacıyla kullanılmaya devam edilmesinin Kanun'un 4/2(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendindeki yükümlülüklerini yerine getirmediği, negatif sonuç doğurma riskinin yüksek olduğu değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 250.000 TL idari para cezası uygulanmış ve hukuka aykırı işlenen verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır.

₺ Para Cezası
₺250.000
2022/1072

“İlgili kişinin kişisel verisi niteliğindeki e-posta adresinin reklam amaçlı ileti gönderilmesi suretiyle işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 07/10/2022 tarihli ve 2022/1072 sayılı

Şikayette, ilaç sektöründe faaliyet gösteren bir şirketin çalışanı tarafından ilgili kişiye reklam amaçlı e-posta gönderildiği ve e-posta adresinin ecza depoları vasıtasıyla paylaşıldığı iddia edilmiştir. Kurul, veri sorumlusunun eski çalışanı tarafından kurumsal e-posta üzerinden ilgili kişinin e-posta adresine izinsiz reklam içerikli ileti gönderilmesinde Kanun'un 5. maddesinde yer alan işleme şartlarından herhangi birinin bulunmadığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendi kapsamındaki yükümlülüğünü yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 50.000 TL idari para cezası uygulanmış ve ilgili kişinin e-posta adresinin imha edilerek sonucunun Kurula bildirilmesi hususunda veri sorumlusu talimatlandırılmıştır.

₺ Para Cezası
₺50.000
AYM Bireysel Başvuru Genel Kurul
B. 2018/16857

AYM Alper Erarslan Başvurusu

Aleni olmayan konuşmanın rıza dışında kayıt altına alınmasına ilişkin şikâyet üzerine yapılan soruşturmanın kişisel verilerin korunması hakkının gerektirdiği güvenceleri karşılayıp karşılamadığı değerlendirilmiş, pozitif yükümlülüklerin yerine getirilmediği tespit edilmiştir.
AYM Bireysel Başvuru Birinci Bölüm
B. 2019/25604

AYM Fırat Gerçek Başvurusu

Isverenin calisanin e-posta yazismalarini incelemesi ve is akdini feshetmesi nedeniyle kişisel verilerin korunması hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
2022/925

“İlgili kişinin e-posta adresine başka abonelere ait e-faturaların gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 08/09/2022 tarihli ve 2022/925 sayılı Karar Özeti

Şikayette, daha önce hakkında Kurul kararı verilen veri sorumlusu telekomünikasyon şirketinin, üçüncü kişilere ait e-faturaları ilgili kişinin e-posta adresine göndermeye devam ettiği iddia edilmiştir. Kurul, veri sorumlusunun mevcut ve yeni abonelerin e-posta adreslerini doğrulamaya yönelik bir mekanizma bulundurmadığını, KVKK m.4/2(b)'deki "doğru ve güncel olma" ilkesine aykırı davrandığını tespit etmiştir. Daha önce talimatlandırılmış olmasına rağmen gerekli tedbirleri almayan veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış ve üçüncü kişi verilerinin ilgili kişiye iletilmemesi için tedbir alınması talimatlandırılmıştır.

₺ Para Cezası
₺200.000
2022/923

“İlgili kişinin telefon numarasının hastaneden ayrılan doktor tarafından SMS gönderilmesi suretiyle işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 08/09/2022 tarihli ve 2022/923 sayılı Karar

Şikayette, ilgili kişinin hastanede muayene olduğu doktorun hastaneden ayrılarak özel muayenehane açtığı ve ilgili kişiye reklam amaçlı SMS gönderdiği iddia edilmiştir. Kurul, ilgili kişinin telefon numarasının hastane kayıtlarından alındığının tevsik edilemediğini, doktorun muayene sırasında aldığı iletişim verisini hasta-doktor ilişkisi dışında reklam amacıyla kullanmasının KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığını tespit etmiştir. Hastane hakkında işlem yapılmasına yer olmadığına, veri sorumlusu doktor hakkında ise KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmasına karar verilmiştir.

₺ Para Cezası
₺100.000
2022/896

“Veri sorumlusu eski işveren tarafından ilgili kişinin kişisel verilerinin yer aldığı adli yazışma bilgilerinin kardeşi ile paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 02/09/2022 tarihli

Şikayette, veri sorumlusu işveren tarafından ilgili kişiye ait kişisel verilerin işlenirken aydınlatma yapılmadığı ve Savcılık şikayet dilekçesinin ilgili kişinin kardeşine e-posta ile iletildiği iddia edilmiştir. Kurul, özlük dosyası kapsamındaki verilerin KVKK m.5/2(a) ve (ç) bentlerine dayalı olarak işlenmesinde hukuka aykırılık bulunmadığına, ancak Savcılık dilekçesinin üçüncü kişiye iletilmesinin KVKK m.12/1 kapsamındaki veri güvenliği yükümlülüklerine aykırı olduğuna karar vermiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 150.000 TL idari para cezası uygulanmış; aydınlatma yükümlülüğü ve başvuruya cevap verme konusunda uyarıda bulunulmuştur.

₺ Para Cezası
₺150.000
2022/902

“İlgili kişinin açık rızası alınmadan pazarlama amacıyla kısa mesaj gönderilmesi suretiyle kişisel verilerinin işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 02/09/2022 tarihli ve 2022/902

Şikayette, veri sorumlusu şirketin, iletişim onayı olmadan ve aydınlatma yapmadan ilgili kişiye pazarlama amaçlı SMS gönderdiği iddia edilmiştir. Kurul, veri sorumlusunun kendi sitesinden onay veren müşterilere gönderilmesi gereken mesajın sehven satış platformu müşterilerine gönderildiğini ve bu durumun KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığını tespit etmiştir. KVKK m.12/1 kapsamında veri güvenliği tedbirlerinin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 30.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺30.000
2022/863

“Bir bankanın müşteri hizmetlerinin aydınlatma yükümlülüğünü yerine getirmeden ve açık rızasını almadan ilgili kişiyi telefonla aramak suretiyle kişisel verilerini işlemesi” hakkında Kişisel Verileri

Şikayette, ilgili kişinin başka bir bankadan veri sorumlusu bankaya para gönderdiği ve akabinde rızası olmadan tanıtım amacıyla arandığı iddia edilmiştir. Kurul, bankanın devam eden müşteri ilişkisi kapsamında 6563 sayılı Kanun'un 6'ncı maddesi ile Ticari İletişim Yönetmeliği'nin 6'ncı maddesi uyarınca ilgili kişiyi aramasının KVKK m.5/2(a) "kanunlarda açıkça öngörülme" şartına dayandığını değerlendirmiştir. Veri sorumlusunun, ilgili kişinin başvurusuna yasal sürede ve usulüne uygun cevap vermesi ve adi posta yerine güvenli yöntemlerle yanıt iletmesi gerektiği yönünde uyarıda bulunulmasına karar verilmiştir.

✓ İhlal Yok
2022/853

“Bir yasal bahis platformu tarafından ilgili kişinin e-posta adresinin işlenerek bir üyesinin kişisel verilerinin üçüncü şahıs konumundaki ilgili kişinin e-posta adresine gönderilmesi” hakkında

Şikayette, yasal bahis platformunun ilgili kişinin e-posta adresine üyelik bilgilerini ve ticari elektronik ileti onayı bildirimini gönderdiği, ancak ilgili kişinin platforma herhangi bir üyeliğinin bulunmadığı iddia edilmiştir. Kurul, üçüncü bir kişinin üyelik oluştururken sehven ilgili kişinin e-posta adresini girdiğini, platformda e-posta doğrulama mekanizması bulunmadığını tespit etmiştir. İlgili kişinin e-posta adresinin ve asıl üyenin isim-soyad ile üyelik numarasının Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadan işlendiği ve aktarıldığı değerlendirilerek 2020/966 sayılı İlke Kararı kapsamında e-posta teyit mekanizması kurulması hususunda veri sorumlusu talimatlandırılmıştır.

₺ Para Cezası
₺250.000
2022/861

“İlgili kişinin internet arama motorlarında yapılan aramalardan elde edilen iş yeri e-postasının açık rızası alınmaksızın veri sorumlusu bir pazarlama şirketi tarafından ticarî elektronik ileti

Şikayette, avukatlık büroları için yazılım üreten şirketin ilgili kişinin iş e-posta adresine reklam içerikli e-posta gönderdiği, e-posta adresinin internet arama motorlarından temin edildiği iddia edilmiştir. Kurul, veri sorumlusunun 6563 sayılı Kanun'un esnaf ve tacirlere ilişkin hükmüne dayandığını ancak Avukatlık Kanunu'nun 11. maddesi uyarınca avukatların tacir veya esnaf sıfatıyla hareket edemediğini tespit etmiştir. İlgili kişinin e-posta adresinin avukatlık mesleğine yönelik iletişim amacıyla alenileştirildiği, pazarlama amacıyla işlenmesinin Kanun'un 5. maddesindeki işleme şartlarına dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 150.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺150.000
2022/790

“Bir üniversite hastanesi tarafından ilgili kişinin sağlık verilerinin idari bir davaya esas teşkil etmek üzere talebine binaen davalı kamu kurumuna aktarılması” hakkında Kişisel Verileri Koruma

Şikayette, idare mahkemesinde devam eden davada davalı kamu kurumunun talebi üzerine üniversite hastanesinin ilgili kişiye ait sağlık verilerini kamu kurumuna aktardığı iddia edilmiştir. Kurul, sağlık verilerinin Kanun'un 6. maddesindeki özel nitelikli kişisel veri olduğunu, aktarımın dava amacıyla talep edildiğini ancak Kanun'un 6/3 kapsamında şartların mevcut olmadığını tespit etmiştir. Ayrıca talep edilenden fazla bilgi paylaşılarak veri minimizasyonu ilkesine aykırı davranıldığı değerlendirilerek Kanun'un 18/3 kapsamında sorumlular hakkında disiplin hükümlerine göre işlem yapılmasına ve verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır.

⚖ Disiplin
2022/797

“Veri sorumlusu tarafından iş yerinde güvenlik kamerası vasıtasıyla ve işe giriş-çıkışlarda yüz tanıma sistemi kullanılması suretiyle kişisel verilerin hukuka aykırı işlenmesi” hakkında Kişisel

Şikayette, kağıt fabrikasında çalışanların işe giriş-çıkışlarda yüz tanıma sistemine tabi tutulduğu, açık rıza ve aydınlatma unsurlarının yetersiz olduğu, ayrıca tuvalet alanlarına yakın konumda güvenlik kameraları bulunduğu iddia edilmiştir. Kurul, fabrikada kullanılan yüz tanıma sisteminin biyometrik veri işleme niteliğinde olduğunu, Kanun'un 6. maddesinde açık rıza dışında yalnızca kanunlarda öngörülen hallerde işlenebileceğini ancak iş sağlığı ve güvenliği mevzuatının biyometrik veri işlemeye açıkça izin vermediğini tespit etmiştir. Biyometrik verilerin hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 500.000 TL idari para cezası uygulanmış, yüz tanıma uygulamasının durdurulması ve verilerin imha edilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺500.000
2022/798

“İlgili kişinin bir şirket ile iş görüşmesi yaptığı bilgisi ile görüşmenin içeriği hakkındaki muhtelif bilgilerin iş görüşmesi yapılan şirket tarafından halihazırdaki iş yeri ile paylaşılması”

Şikayette, ilgili kişinin halihazırda çalışmakta olduğu şirketten ayrı bir şirkete iş görüşmesine gittiği, görüşme yapan veri sorumlusunun ilgili kişinin mevcut işvereni hakkındaki beyanlarını mevcut işverenle paylaştığı ve bunun sonucunda ilgili kişinin ücretsiz izne çıkarıldığı iddia edilmiştir. Kurul, mevcut işverenin ilgili kişiye gönderdiği ihtarnamede görüşme yapılan şirket tarafından kendilerine bilgi verildiğinin açıkça belirtildiğini tespit etmiştir. İş görüşmesi bilgilerinin üçüncü kişiyle paylaşılmasının Kanun'un 8. maddesindeki aktarım şartlarına dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
2022/787

“Ev eşyası satan veri sorumlusu tarafından ilgili kişinin telefon numarasının üçüncü bir kişinin borcu için iletişim kurulmak suretiyle işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 04/08/2022

Şikayette, ev eşyası satan veri sorumlusunun ilgili kişiyi borç tahsili amacıyla aradığı, ancak ilgili kişinin söz konusu borçla herhangi bir ilgisinin bulunmadığı, silme talebine rağmen aramalara devam edildiği iddia edilmiştir. Kurul, veri sorumlusunun üçüncü kişi ile imzaladığı sözleşmede ilgili kişinin telefon numarasından farklı bir numaranın bulunduğunu, ilgili kişiye ait olmadığı öğrenilen numaranın 2019-2021 yılları arasında defalarca arandığını tespit etmiştir. Kanun'un 4. maddesindeki "doğru ve gerektiğinde güncel olma" ilkesine ve 5. maddesindeki işleme şartlarına aykırı davranıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 200.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺200.000
2022/768

“Veri sorumlusu banka tarafından ilgili kişinin kişisel verilerinin açık rızası alınmaksızın bir sigorta şirketine aktarılması” hakkındaki Kişisel Verileri Koruma Kurulunun 03/08/2022 tarihli ve

Şikayette, ilgili kişinin telefonunun bir sigorta şirketi tarafından arandığı, telefon numarasının veri sorumlusu banka aracılığıyla elde edildiği iddia edilmiştir. Kurul, bankanın ilgili sigorta şirketi ile acentelik sözleşmesi bulunduğunu, ancak sunulan "Kampanya İletişim Tercihleri Talimatı" belgesinin kişisel verilerin aktarımına yönelik bilgilendirme içermediğini ve açık rıza şartlarını karşılamadığını tespit etmiştir. Bankacılık Kanunu'nun 73. maddesi uyarınca müşteri sırrının paylaşımı için gizlilik sözleşmesi ve müşteri talebi/talimatı gerektiği, bunların sunulmadığı değerlendirilerek Kanun'un 8. maddesine aykırı aktarım nedeniyle veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 250.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺250.000
2022/776

“Veri sorumlusu bir pazarlama şirketi tarafından çocuğun kişisel verilerinin velisinin açık rızası alınmaksızın tanıtım amaçlı broşür gönderilmesi suretiyle işlenmesi” hakkında Kişisel Verileri Koruma

Şikayette, pazarlama şirketinin serbest girişimcisi tarafından 8 yaşındaki bir çocuğa mektup yoluyla tanıtım amaçlı broşür gönderildiği, velisinin açık rızası olmaksızın çocuğun ev adresi ve isminin işlendiği iddia edilmiştir. Kurul, serbest girişimcinin şirketten bağımsız olarak veri sorumlusu sıfatını haiz olduğunu, e-ticaret sitesi üzerinden daha önce yapılan siparişle broşür gönderimi arasında dört buçuk aylık süre bulunduğunu tespit etmiştir. Tanıtım ve pazarlama amacıyla broşür gönderilmesinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadığı değerlendirilerek serbest girişimci hakkında Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺30.000
2022/774

“Veri sorumlusu bir e-ticaret sitesinden alışveriş yapan üçüncü kişiye ait sipariş bilgilerinin ilgili kişinin e-posta adresine gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 03/08/2022

Şikayette, e-ticaret sitesinden alışveriş yapan üçüncü bir kişinin isim benzerliği nedeniyle sehven ilgili kişinin e-posta adresini girerek sipariş verdiği, bu siparişe ilişkin gönderici ve alıcı bilgilerini içeren bilgilendirme e-postalarının ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir müşteri girişiyle yapılan alışverişlerde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve üçüncü kişilerin kişisel verilerinin hukuka aykırı işlenmesine zemin hazırladığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında teyit mekanizması kurmadan kişisel veri işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 120.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺120.000
2022/655

“Tasfiye edilmiş şirketin yönetim kurulu üyeleri olan ilgili kişilerin kişisel verilerinin, şirket borcu kapsamında kısa mesaj gönderme ve arama suretiyle veri sorumlusu avukat tarafından hukuka

Şikayette, tasfiye edilmiş limited şirketin eski ortaklarına ait kişisel verilerin veri sorumlusu avukat tarafından borç tahsili amacıyla işlendiği, ısrarla arama yapıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatın ilgili kişilerin ad, soyad, T.C. kimlik numarası ve telefon numaralarını UHAP ve bilinmeyen numara servisleri gibi yasal platformlardan edindiğini, bu işlemenin Kanun'un 5/2(ç) "hukuki yükümlülük" ve 5/2(e) "hak arama hürriyeti" şartlarına dayandığını tespit etmiştir. "Defaten/ısrarla" arama iddiasının sunulan belgelerden ispat edilemediği, aydınlatma yükümlülüğüne ilişkin iddiaların ise veri sorumlusuna yapılan başvuruda yer almadığı değerlendirilerek Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2022/653

“İlgili kişinin, çevrimiçi alışveriş hizmeti veren veri sorumlusundan gerçekleştirdiği alışverişine ilişkin kredi kartı ve cep telefonu bilgilerinin kendisine bildirilmesi talebi” hakkında Kişisel

Şikayette, veri sorumlusu e-ticaret platformundan yapılan alışverişlere ilişkin kredi kartı bilgileri ve teslimat telefon numarasının Kanun kapsamında talep edildiği ancak veri sorumlusunun bu talebi reddettiği iddia edilmiştir. Kurul, kredi kartı bilgilerinin PCI DSS uyumluluğu gereği mobil ödeme teknolojisi sağlayıcısı aracı şirket bünyesinde tutulduğunu, veri sorumlusunun bu bilgilere erişiminin olmadığını tespit etmiştir. İlgili kişinin üyelik hesabından verilen siparişlerde üçüncü kişinin telefon numarasının bulunduğu durumlarda, ilgili kişinin makul gerekçesi olması ve dolandırıcılık riski bulunmaması halinde bu bilginin kimlik doğrulama mekanizmalarıyla paylaşılabileceği değerlendirilerek veri sorumlusu bu hususta talimatlandırılmıştır.

⚠ Talimat
2022/662

“İlgili kişinin ‘el geometrisi’ bilgisinin bir işletmenin hizmet binasına giriş yapabilmek amacıyla veri sorumlusu tarafından açık rıza alınmaksızın işlenmesi” hakkındaki Kişisel Verileri Koruma

Şikayette, bir işletmenin hizmet alanına girişte avuç içi ve parmak izi tarandığı, açık rıza alınmadığı iddia edilmiştir. Kurul, kullanılan cihazın "el geometrisi" bilgisini işlediğini, bu cihazın elin 31.000 noktadan üç boyutlu taranarak karakteristiklerini analiz ettiğini, yanılma oranının çok düşük olduğunu tespit etmiştir. El geometrisinin fizyolojik özellik aracılığıyla gerçekleştirilen biyometrik bir kimlik doğrulama yöntemi olduğu, Kanun'un 6. maddesindeki özel nitelikli kişisel veri işleme şartlarının bulunmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış, biyometrik veri işleme uygulamasının durdurulması ve işlenen el geometrisi verilerinin yok edilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺100.000
AYM Norm Denetimi Genel Kurul
E. 2018/137 K. 2021/31

7145 sayılı Kanun'un MİT'in bilgi edinme hakkı dışında tutulmasina ilişkin hükümlerinin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
2022/630

“İlgili kişinin ameliyat sırasında çekilen fotoğraflarının veri sorumlusu hastanede çalışan bir doktorun sosyal medya hesabında paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 29/06/2022

Şikayette, özel bir hastanede burun ameliyatı sırasında baygın olduğu esnada çekilen fotoğraflarının, hastanede çalışan doktorun sosyal medya hesabında reklam amaçlı paylaşıldığı iddia edilmiştir. Kurul, görsellerde yüzün kaş, bıyık gibi bölümlerinin açıkça yer aldığını ve ilgili kişinin kimliğini belirlenebilir kıldığını tespit etmiştir. Muvafakatnamede açık rıza gösterilen tarafın hastane olduğu, doktorun bu verileri paylaşması için ayrı bir rızanın bulunmadığı değerlendirilerek Kanun'un 12/1 kapsamında gerekli tedbirlerin alınmadığı sonucuna varılmış ve veri sorumlusu hastane hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
AYM Bireysel Başvuru İkinci Bölüm
B. 2018/6161

AYM Ümit Eyüpoğlu Başvurusu

Başvurucunun telefon hattına ait internet verileri, log kayıtları ve IP bilgilerinin kendisine verilmesi talebinin reddedilmesi nedeniyle kişisel verilerin korunması hakkıyla bağlantılı etkili başvuru hakkının ihlal edildiğine karar verilmiştir.
2022/594

“Özel nitelikli kişisel sağlık verisi niteliğindeki bağımlılık yapıcı madde testinin sonuçlarının ilgili kişilerin açık rızası alınmaksızın veri sorumlusu özel bir sağlık kuruluşu tarafından ilgili

Şikayette, işveren bünyesinde çalışan ilgili kişilerin uyuşturucu testine zorlandığı, test sonuçlarının işyerindeki üçüncü bir kişinin e-posta adresine gönderildiği, dolayısıyla sağlık verilerinin rızaları olmaksızın paylaşıldığı iddia edilmiştir. Kurul, veri sorumlusu sağlık kuruluşunun test sonuçlarını gönderdiği üçüncü kişinin işyeri hekimi olmadığını, Kanun'un 6. maddesi kapsamında sır saklama yükümlülüğü altında bulunan kişilerden olmadığını tespit etmiştir. Açık rızayı kanıtlayıcı belge sunulmadığı, özel nitelikli kişisel verilerin hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺75.000
2022/545

“İlgili kişinin kişisel verilerinin hesabının bulunmadığı veri sorumlusu banka tarafından aydınlatma yükümlülüğü yerine getirilmeksizin ve açık rızası alınmaksızın işlenmesi” hakkında Kişisel Verileri

Şikayette, ilgili kişinin bir elektronik eşya mağazasından kredi sorgulaması için veri sorumlusu bankaya SMS gönderdiği, bankanın daha önceden kişisel verilerini işlediği, aydınlatma yapılmadığı ve başvuruya usulüne uygun yanıt verilmediği iddia edilmiştir. Kurul, bankanın ilgili kişinin iradesiyle başlattığı kredi hesaplama sürecinde kişisel verilerini KPS, Kredi Kayıt Bürosu ve TBB Risk Merkezi aracılığıyla işlediğini, bu verilerin banka bünyesinde önceden tutulmadığını tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak Aydınlatma Tebliği'ne uyum açısından bazı eksiklikler bulunduğu değerlendirilerek aydınlatma metninin Tebliğ'e uygun hale getirilmesi ve başvurulara eksiksiz yanıt verilmesi hususlarında veri sorumlusu talimatlandırılmıştır.

§ İlke Kararı
2022/491

“Veri sorumlusu bir giyim mağazası için katalog modeli olarak çalışan ilgili kişinin fotoğraflarının, iş ilişkisinin sona ermesinden sonraki süreçte açık rızası olmaksızın veri sorumlusuna ait

Şikayette, giyim mağazasında katalog modeli olarak çalışan ilgili kişinin iş ilişkisinin sona ermesine rağmen fotoğraflarının veri sorumlusunun internet sitesinde yayınlanmaya devam ettiği iddia edilmiştir. Kurul, ilgili kişi ile veri sorumlusu arasında yazılı olmayan bir fotomodellik sözleşmesinin bulunduğunu, bu sözleşme kapsamında çekilen fotoğrafların Kanun'un 5/2(c) bendi uyarınca "sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması" şartına istinaden işlendiğini tespit etmiştir. Kıyafet stoklarının bitmesiyle fotoğrafların kaldırıldığı ve ilgili kişinin belirttiği linklerin artık açılmadığı anlaşıldığından veri sorumlusu hakkında Kanun kapsamında yapılacak işlem bulunmadığına karar verilmiştir.

✓ İhlal Yok
2022/489

Kamu tüzel kişiliğini haiz Birlik tarafından ilgili kişinin kişisel verilerini içeren belgelerin Birliğin vekili tayin edilen avukat ile paylaşılması ve müteakiben söz konusu belgelerin avukat

Şikayette, ilgili kişinin hukuki danışmanlık sözleşmesi bulunan Birlik ile arasındaki anlaşmazlık sonrasında, kendisini Birlik vekili olarak tanıtan bir avukatı Baroya şikayet ettiği, bu avukatın savunma dilekçesi ekinde ilgili kişiye ait serbest meslek makbuzu ve stopaj ödeme listesi fotokopilerine yer verdiği iddia edilmiştir. Kurul, Birliğin kamu tüzel kişiliğini haiz olarak dışarıdan avukatlık hizmeti aldığını, ilgili kişinin kişisel verilerini içeren belgelerin avukat ile paylaşılmasının Kanun'un 5/2(e) bendi kapsamında "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu tespit etmiştir. Avukatın bu belgeleri Baro soruşturması kapsamında savunma dilekçesine eklemesinin de aynı hukuki sebebe dayandığı değerlendirilerek her iki veri sorumlusu hakkında Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2022/456

Yurt Dışına Veri Aktarımı - Bulut Hizmetleri

Bir şirketin müşteri verilerini yurt dışındaki bulut sunucularında barındırması değerlendirilmiştir. Tespitler: Veriler ABD merkezli bulut sağlayıcısında depolanmaktadır ABD yeterli korumaya sahip ülke değildir Açık rıza alınmamış, taahhütname sunulmamıştır Sonuç: m. 9 kapsamında hukuka aykırı yurt dışı aktarım tespit edilmiş, veri sorumlusuna aktarımı durdurması ve uyum sağlaması için süre verilmiştir.

₺ Para Cezası
₺200.000
2022/388 İlke Kararı

Belediyelerin Ödeme ve Borç Sorgulama Hizmetleri Hakkında İlke Kararı

Belediyelerin emlak vergisi sorgulama sayfalarında yalnızca TC kimlik numarası ile vatandaşların emlak bilgilerine erişilmesinin Kanun'un 12. maddesine aykırılık oluşturduğu, ek güvenlik tedbirlerinin alınması gerektiğine dair ilke kararı verilmiştir.

§ İlke Kararı
2022/386

“Veri sorumlusu bünyesinde çalışan bir kişinin iş akdinin sonlandırılması hususunun veri sorumlusuna ait sosyal medya hesabında paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 21/04/2022

Şikayette, iş akdi feshedilen ilgili kişinin ad ve soyadının veri sorumlusunun sosyal medya hesabında "usulsüzlükler nedeniyle işten atıldığına" dair ifadelerle paylaşıldığı iddia edilmiştir. Kurul, duyurunun şirket müşterilerine değil herkese açık bir platformda yapıldığını, Kanun'un 4. maddesindeki ölçülülük ilkesine aykırı olduğunu ve Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadığını tespit etmiştir. Veri sorumlusunun ilgili kişinin kişisel verilerini hukuka aykırı şekilde işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmış ve sosyal medya paylaşımındaki kişisel verilerin imha edilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺30.000
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

Özel güvenlik görevlilerinde aranan güvenlik soruşturması şartının, kişisel verilerin korunması hakkı bakımından Anayasa'ya aykırılığına ilişkin iptal kararı.
2022/328

“İlgili kişinin kişisel verilerinin yer aldığı ihtarnamenin, bordrolama hizmeti sunan veri sorumlusu tarafından başka çalışanlara da gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 07/04/2022

Şikayette, veri sorumlusu tarafından gönderilen ücretsiz izin ihtarnamesinde ilgili kişinin T.C. kimlik numarası ve adresinin yedi başka çalışanla birlikte paylaşıldığı iddia edilmiştir. Kurul, ihtarnamenin noterliğe iletilmesinin Kanun'un 5/2(e) "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu, ancak sekiz çalışanın bilgilerinin aynı ihtarnamede karartma veya ayrı keşide işlemi yapılmadan yer almasının kişisel verilerin birbirleriyle paylaşılmasına yol açtığını tespit etmiştir. Bu işleme faaliyetinin Kanun'un 5. maddesindeki şartlardan herhangi birine dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
2022/325

“İlgili kişi ile ilgisi bulunmayan bir işletme adına düzenlenmiş e-faturaların, ilgili kişinin e-posta adresine gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 07/04/2022 tarih ve 2022/325

Şikayette, pazarlama şirketinin Trabzon bölge yetkilileri tarafından ilgili kişinin e-posta adresine bir market adına düzenlenmiş faturaların gönderildiği iddia edilmiştir. Kurul, şirketin dağıtım ağında yetkili satıcının son satıcı bilgilerini DBS'ye kaydettiğini, e-posta adresinin el yazısıyla iletilmesi nedeniyle sehven farklı şekilde kaydedildiğini tespit etmiştir. İlk sözleşme imzalanan şirketin olayda sorumluluğu bulunmadığı, veri işleyen yetkili satıcı tarafından kasıtsız şekilde hatalı kayıt yapıldığı ve düzeltildiği değerlendirilerek ikinci pazarlama şirketi hakkında işlem yapılmadığına, ancak 2020/966 sayılı İlke Kararı kapsamında e-posta teyit mekanizması kurulmasının hatırlatılmasına karar verilmiştir.

✓ İhlal Yok
2022/277

“İlgili kişiye ait kişisel verileri içeren bir kargo paketinin üçüncü bir şahsın eline geçmesi” hakkında Kişisel Verileri Koruma Kurulunun 24/03/2022 tarihli ve 2022/277 sayılı Karar Özeti

Şikayette, elektronik perakende zincirine onarım için teslim edilen kulaklığın distribütör firmaya gönderilmesi amacıyla kargo şirketine teslim edildiği, ancak kargonun sehven üçüncü bir şahsa teslim edildiği iddia edilmiştir. Kurul, onarım için gerekli bilgilerin distribütör firmaya aktarılmasının Kanun'un 5/2(c) ve (ç) bentlerine uygun olduğunu, kargo paketinin içeriğini bilmeyen kargo şirketinin veri sorumlusu veya veri işleyen sıfatını haiz olmadığını tespit etmiştir. Hatalı teslimatın kargo şirketinden kaynaklandığı, ancak veri sorumlusunun gelecekte benzer olaylar için Kanun'un 12/5 uyarınca bildirim yükümlülüğüne uyması ve formlarda minimum düzeyde kişisel veri paylaşılması hususunda talimatlandırılmasına karar verilmiştir.

✓ İhlal Yok
2022/249

“Bir teknoloji şirketi tarafından ilgili kişinin kişisel verilerinin açık rızası olmaksızın yurt dışına aktarılması” hakkında Kişisel Verileri Koruma Kurulunun 17/03/2022 tarihli ve 2022/249 sayılı

Şikayette, veri sorumlusunun internet sitesinde çerez politikası bulunmadığı, yurt dışına veri aktarıldığı ve başvuruya yanıt verilmediği iddia edilmiştir. Kurul, veri sorumlusunun sunucuları yurt dışında bulunan bir bulut hizmeti kullandığını, Kurula onaylı taahhütname sunulmadığını ve açık rıza alınmadığını tespit etmiştir. Veri sorumlusunun yurt dışına sistemli şekilde kişisel veri aktardığı, bu durumun icrai hareketle kasten gerçekleştirildiği, çok sayıda ilgili kişinin etkilendiği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 950.000 TL idari para cezası uygulanmış, yurt dışına aktarımın Kanun'un 9. maddesine uygun hale getirilmesi ve başvurulara etkin yanıt verilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺950.000
2022/243

“Aynı isme sahip bir kişi tarafından internet üzerinden sipariş verilirken ilgili kişinin e-posta adresinin kullanılması üzerine faturanın ilgili kişiye gönderilmesi suretiyle kişisel verilerinin

Şikayette, ilgili kişi ile aynı isme sahip üçüncü bir kişinin e-ticaret sitesine üye olmadan misafir girişiyle sipariş verirken ilgili kişinin e-posta adresini sehven girmesi sonucu faturanın ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir girişlerinde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve Kanun'un 4/2(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun e-posta adresinin işlenmesinde Kanun'un 5. maddesindeki işleme şartına dayanmadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış ve 2020/966 sayılı İlke Kararı'na uyum hatırlatılmıştır.

₺ Para Cezası
₺100.000
2022/224

“Bir bankanın çağrı merkezi tarafından ilgili kişinin telefon numarasının üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 10/03/2022 tarihli ve 2022/224 sayılı Karar Özeti

Şikayette, banka ATM'sinde bulunan banka kartını çağrı merkezine bildiren ilgili kişinin ad, soyad ve telefon numarasının kart sahibi ile paylaşıldığı iddia edilmiştir. Kurul, çağrı merkezi personelinin "kart sahibine kartı sizin bulduğunuzu ileteceğim" ifadesine verilen "tamam" cevabının açık rıza unsurlarını karşılamadığını, ilgili kişinin kişisel verilerinin paylaşılacağı bilgisini içermediğini tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak kişisel verilerin Kanun'un 5. maddesindeki işleme şartlarından birine dayanmadan üçüncü kişiyle paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmıştır.

₺ Ceza (Tutar ?)
2022/229

“E-ticaret sektöründe faaliyet gösteren veri sorumlusu şirket tarafından internet sitesinde/mobil uygulamalarında kullanılan çerezler aracılığıyla hukuka aykırı olarak kişisel veri işlenmesi” hakkında

Şikayette, bir e-ticaret sitesinin çerez politikasının yetersiz olduğu, kesinlikle gerekli olmayan çerezler için açık rıza alınmadığı ve kişisel verilerin yurt dışına aktarıldığı iddia edilmiştir. Kurul, veri sorumlusunun reklam/pazarlama ve analitik çerezleri için açık rıza almadan işlem yaptığını, Kanun'un 9. maddesine uygun olmadan yurt dışına veri aktardığını ve aydınlatma metninin Tebliğ'e uygun olmadığını tespit etmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 800.000 TL idari para cezası uygulanmış, kesinlikle gerekli olmayan çerezler için "opt-in" mekanizmasıyla açık rıza alınması ve yurt dışına aktarımın Kanun'a uygun hale getirilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺800.000
2022/184

“Bir alacak yönetim şirketi tarafından ilgili kişinin borç bilgilerinin üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 04/03/2022 tarihli ve 2022/184 sayılı Karar Özeti

Şikayette, alacak yönetim şirketinin ilgili kişinin kardeşi ve eşine ait telefon numaralarına borç tahsilatı SMS'i gönderdiği iddia edilmiştir. Kurul, veri sorumlusunun çağrı merkezini arayan kişilerin telefon numaralarını otomatik olarak ilgili kişinin numaraları olarak kaydettiğini ve bu numaralara borç bilgisi içeren SMS gönderildiğini tespit etmiştir. Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadan üçüncü kişilerin telefon numaralarının işlendiği ve borç bilgisinin paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 50.000 TL idari para cezası uygulanmış ve bu uygulamaya son verilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺50.000
2022/172

“Yurt dışında mukim veri sorumlusunun Türkiye’deki irtibat bürosu tarafından işe alım sürecinde adaylardan özel nitelikli kişisel veri talep edilmesi” hakkında Kişisel Verileri Koruma Kurulunun

Şikayette, yurt dışında mukim veri sorumlusunun Türkiye'deki irtibat bürosunun işe kabulde adli sicil kaydı, sağlık raporu, kan grubu belgesi ve aile bireylerinin nüfus cüzdanı fotokopilerini istediği, açık rıza almadığı ve başvuruya yanıt vermediği iddia edilmiştir. Kurul, irtibat bürosunun tüzel kişiliği bulunmadığından veri sorumlusu sıfatının yurt dışındaki ana şirkete ait olduğunu, iş akdi kapsamında kişisel verilerin yurt dışına aktarılmasının hukuka uygun olduğunu tespit etmiştir. Ancak ilgili kişinin başvurusuna yasal süre içinde yanıt verilmediği ve imha işlemlerini tevsik edici belge sunulmadığı belirlenmiştir. Veri sorumlusunun başvurulara azami dikkat göstermesi ve imha belgelerini ilgili kişiye ileterek Kurula bilgi vermesi hususunda talimatlandırılmasına karar verilmiştir.

⚠ Talimat
AYM Norm Denetimi Genel Kurul
E. 2016/150 K. 2017/179

Hazine ve Maliye Bakanlığı teşkilatına ilişkin Cumhurbaşkanlığı Kararnamesi hükümlerinin Anayasa'ya uygunluğunun denetlendiği iptal davası; Hazinenin şirketlere iştirakini ve Teftiş Başkanlığı düzenlemelerini kapsamaktadır.
2022/137

“Veri sorumlusu bir alışveriş merkezi tarafından senetli alışverişler için ilgili kişilerden e-Devlet şifresi, internet sayfasında üyelik oluşturulması için ise T.C. kimlik numarası temin edilmesi

Resen incelemede, bir alışveriş merkezinin internet sitesinde senetli alışveriş için müşterilerden e-Devlet şifresi istendiği ve üyelik için T.C. kimlik numarası zorunlu tutulduğu tespit edilmiştir. Kurul, e-Devlet şifresi ve T.C. kimlik numarasının zorunlu bilgi olarak talep edilmesinin özgür iradeye dayalı geçerli bir açık rıza oluşturmadığını, veri işleme şartlarına dayanılmadan kişisel veri işlendiğini belirlemiştir. Ayrıca T.C. kimlik numarası girildiğinde daha önce üye olan kişilerin kişisel verilerinin görüntülenmesinin veri güvenliği açığına işaret ettiği tespit edilmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 300.000 TL idari para cezası uygulanmış, e-Devlet şifreleri ve T.C. kimlik numaralarının imha edilmesi ile güvenlik açığının giderilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺300.000
2022/107

“Bir tasarruf finansman şirketi tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili numaraya reklam içerikli SMS gönderilmesi”

Şikayette, tasarruf finansman şirketinin ilgili kişiye rızası olmadan ticari elektronik ileti gönderdiği, İleti Yönetim Sistemi'ne (İYS) kayıt yapılmasına temel teşkil edecek bir ilişki bulunmadığı iddia edilmiştir. Kurul, veri sorumlusu tarafından sunulan bilgi ve belgeler çerçevesinde ilgili kişinin veri sorumlusu ile bir ilişkisinin tespit edilemediğini ve ilgili kişinin kişisel verisinin işlenmesi hususunda açık rızasının olduğunun tevsik edilemediğini belirlemiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında gerekli tedbirleri almadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmış ve hukuka aykırı işlenen verinin imha edilerek sonucundan Kurula bilgi verilmesi hususunda talimat verilmiştir.

₺ Para Cezası
₺75.000
2022/103

“Unvanında ilgili kişinin adının geçtiği bir şirket hakkında başlatılan icra takibine ilişkin dosya içeriğinin sosyal medyada paylaşılması hakkında” Kişisel Verileri Koruma Kurulunun 10/02/2022

Şikayette, veri sorumlusu tekstil firmasının çalışanı tarafından ilgili kişinin adının geçtiği şirkete ait icra takibi evrakının sosyal medyada paylaşıldığı iddia edilmiştir. Kurul, şirket unvanında ilgili kişinin adı ve soyadı geçse de, yapılan paylaşımlarda tüzel kişiliğin hedeflendiğini, şirket unvanının veya borç bilgisinin gerçek kişinin hak ve menfaatlerinde bir etkiye sahip olmadığını veya gerçek kişiye belirli bir şekilde davranılması amacıyla kullanılmadığını tespit etmiştir. Bu nedenle paylaşılan verilerin Kanun'un 3. maddesindeki kişisel veri tanımını karşılamadığına ve şikayet konusunun Kanun'un 2. maddesi uyarınca Kanun kapsamında olmadığına karar verilmiştir.

✓ İhlal Yok
2022/31

“Sağlık sektöründe faaliyet gösteren veri sorumlusu tarafından ilgili kişinin kişisel verilerinin açık rızası alınmaksızın ticarî elektronik ileti gönderilmesi amacıyla işlenmesi” hakkında Kişisel

Şikayette, sağlık kuruluşunun hasta kaydı sırasında elde edilen e-posta adresine rızası olmadan ticari içerikli e-posta gönderdiği iddia edilmiştir. Kurul, e-posta adresinin hasta kaydı açılırken Kanun'un 5/2(c) ve (ç) bentleri kapsamında hukuka uygun şekilde elde edildiğini, ancak pazarlama amacıyla kullanılmasının Kanun'un 4/2(ç) "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğunu tespit etmiştir. Kişisel verilerin elde edilme amacı dışında kullanılması suretiyle hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
2022/13

“Yerel bir haber sitesi tarafından ilgili kişinin açık rızası olmaksızın sınav sonuç belgesinin paylaşılmasına ilişkin” Kişisel Verileri Koruma Kurulunun 06/01/2022 tarihli ve 2022/13 sayılı Karar

Şikayette, ilgili kişinin YKS sınav sonuç belgesinin (ad, soyad, fotoğraf, yerleştiği program, yerleştirme puanı) yerel haber sitesi tarafından açık rızası olmadan paylaşıldığı iddia edilmiştir. Kurul, sınav sonuç bilgilerinin kişisel veri niteliğinde olduğunu, haberin toplumda sık rastlanan bir olay olması nedeniyle kamu yararı bulunmadığını, dolayısıyla Kanun'un 28/1(c) bendindeki ifade özgürlüğü istisnası kapsamında değerlendirilemeyeceğini tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendine aykırı davrandığı, ancak karar tarihi itibarıyla haberin kaldırılmış olması hafifletici unsur olarak dikkate alınarak Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺30.000
2022/6

“İlgili kişinin eski ortağı olduğu şirketin sicil bilgilerinin görüntülendiği internet adresinde kişisel verilerinin hukuka aykırı olarak paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun

Şikayette, ilgili kişinin eski ortağı olduğu şirkete ait bilgilerin Ticaret Odası'nın internet sitesinde yer aldığı, eski ortak olarak adının görünmesini istemediği ve silme talebinin reddedildiği iddia edilmiştir. Kurul, Türk Ticaret Kanunu'nun 35 ve 587. maddeleri ile Ticaret Sicili Yönetmeliği'nin 15. maddesi uyarınca herkesin sicilin içeriğini inceleyebileceğini, tescil edilen olgularda meydana gelen değişikliklerin de tescil edileceğini tespit etmiştir. Ticaret Sicil Gazetesi'nde yayınlanan bilgilerin ticaret odasının sayfasında da yer almasının aynı amaca hizmet ettiği, Kanun'un 7. maddesi uyarınca işlenmesini gerektiren sebeplerin ortadan kalkmadığı değerlendirilerek ilgili kişinin talebiyle ilgili Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
AYM Norm Denetimi Genel Kurul
E. 2016/150 K. 2017/179

kişisel verilerin kamu kurumlari tarafından islenmesine ilişkin yasal düzenlemelerin Anayasa'ya uygunluğunun değerlendirilmesine yonelik norm denetimi kararı.
2021/1303

“Araç kiralama programları yazılımcısı ve satıcısı firmalar tarafından, ilgili kişilerin verilerinin işlenmesi ve bu verilerin araç kiralama firmaları arasında paylaşılmasını sağlayan bir kara liste

Kuruma yapilan ihbarda, arac kiralama sektorunde faaliyet gosteren yazilim sirketlerinin 'kara liste' uygulamasi araciligiyla musteri kisisel verilerini paylastigi iddia edilmistir. Kurul, resen inceleme baslatarak ilgili yazilim sirketlerinden bilgi talep etmis, arac kiralama firmalarinin musterilerine ait iyi/kotu yorumlari diger program ortaklariyla paylastigini tespit etmistir. Yazilim sirketlerinin veri sorumlusu veya veri isleyen sifatlari ve kisisel veri isleme faaliyetlerinin hukuki dayanagi incelenmis, ilgili kisilerin acik rizasi alinmaksizin kara liste olusturulmasinin Kanun'a aykiri oldugu degerlendirilerek idari yaptirim uygulanmasina karar verilmistir.

⚖ Disiplin
2021/1324

“Yemek Sepeti Elektronik İletişim Perakende Gıda Lojistik AŞ veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 23/12/2021 tarih ve 2021/1324 sayılı Karar Özeti

Kararda, bir veri sorumlusunun kisisel veri isleme faaliyetleri incelenmistir. Kurul, ilgili kisinin sikayet dilekçesinde belirttigi hususlari ve veri sorumlusunun savunmasini degerlendirmis, Kanun'un ilgili maddeleri cercevesinde inceleme yapmistir. Veri isleme faaliyetlerinin hukuka uygunlugu degerlendirilmis ve karara baglanmistir.

₺ Para Cezası
₺1.900.000
2021/1304 İlke Kararı

Araç kiralama sektöründeki kara liste uygulamaları hakkında İlke Kararı

Araç kiralama sektöründe kullanılan kara liste uygulamalarının Kanun'a aykırılık teşkil ettiği tespit edilmiştir. Müşterilerin kişisel verilerinin diğer firmalarla paylaşılması ve olumsuz yorumların işlenmesi konusunda veri sorumluları uyarılmıştır.

§ İlke Kararı
2021/1262

“Bir sigorta şirketi tarafından ilgili kişinin banka verilerinin işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 16/12/2021 tarihli ve 2021/1262 sayılı Karar Özeti

Ilgili kisi, bir sigorta sirketi ile paylasmadigini iddia ettigi banka bilgilerinin hukuka aykiri olarak islendigini ve veri sorumlusuna yaptigi basvurunun yanitlanmadigini sikayet etmistir. Kurul, ilgili kisinin banka bilgilerinin sigorta acentesi sifatiyla hareket eden banka tarafindan poliçe kapsaminda sigorta sirketine aktarildigini, bu verilerin Tuketici Hakem Heyeti kararinin yerine getirilmesi amaciyla Kanun'un 5'inci maddesinin (c) ve (ç) bentleri kapsaminda islendigini tespit etmistir. Veri sorumlusuna yapilan basvurunun ozel vekaletname gerektirdigi, ancak genel vekaletname ile yapildigina dair itirazin incelendigi, sonuc olarak sikayetin reddine karar verilmistir.

✓ İhlal Yok
2021/1258

“İlgili kişinin kişisel verilerinin iş akdinin sona erdiği veri sorumlusu şirket tarafından hukuka aykırı olarak işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 16/12/2021 tarihli ve 2021/1258

Ilgili kisi, veri sorumlusu sirkette calistigi surecte parmak izi ve yuz tarama sistemiyle giris yapildigini, aydinlatma yukumlulugunu yerine getirilmedigini, ozel nitelikli verilerinin acik rizasi olmaksizin islendigini ve kisisel verilerinin yurt disina aktarildigini sikayet etmistir. Kurul, is sozlesmesinin aydinlatma ve acik riza metinlerinin ayri ayri duzenlenmesi gerektigi halde karma bir metin seklinde kaleme alindigini, bu nedenle aydinlatmanin usulune uygun yapilmadigini tespit etmistir. Parmak izi gibi ozel nitelikli verilerin islenmesi icin acik riza alinmadigi belirlenmis, veri sorumlusuna Kanun'un 18'inci maddesi uyarinca idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺125.000
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

Sözleşmeli er alımında güvenlik soruşturması ve arşiv araştırması şartı öngören düzenlemenin Anayasa'ya uygunluğunun denetlendiği itiraz başvurusu; kişisel verilerin korunmasına ilişkin kanuni güvencelerin yetersizliği nedeniyle iptal kararı verilmiştir.
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

Genel kolluk personelinin yetkisiz olarak kişisel verilerle ilgili sorgulama yapmasının meslekten çıkarma cezası gerektirmesine ilişkin kuralın Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
2021/1239

“Veri sorumlusu Banka tarafından ilgili kişinin ailesinin telefonları üzerinden arama gerçekleştirilmesi suretiyle kişisel verilerinin paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, bir banka ile kredi sozlesmesi akdettigi, ancak borcun tahsili icin acik rizasi olmaksizin anne ve babasinin sabit telefonundan arandigini ve bu aramalarda aile uyelerine bilgi paylasildigini sikayet etmistir. Kurul, bankanin Risk Merkezi'nden elde ettigi alternatif telefon numarasini aradigini, ancak yapilan aramalarda ucuncu kisilere sadece not birakildigini ve bilgi paylasilmadigini tespit etmistir. Banka tarafindan ilgili kisinin talep etmesine ragmen numaranin arama engelli listeye alinmamasi nedeniyle aramalarin devam ettigi belirlenmis, bu hususta talimat verilmesine karar verilmistir.

✓ İhlal Yok
2021/1243

“İlgili kişinin kişisel verisi niteliğindeki e-posta adresinin bir insan kaynakları firması tarafından reklam ve pazarlama amaçlı e-posta gönderilmesi amacıyla işlenmesi hakkında” Kişisel Verileri

Ilgili kisi, bir insan kaynaklari firmasindan ticari tanitim amacli e-postalar aldigini, kisisel verilerinin nereden temin edildigini bilmedigini ve acik rizasi bulunmadigini sikayet etmistir. Kurul, veri sorumlusunun ilgili kisinin e-posta adresini Kanun'un 5'inci maddesinin (d) bendi kapsaminda 'alenilestirme' sartina dayanarak isledigini iddia ettigini, ancak alenilestirme iradesine iliskin herhangi bir kanitlayici belge sunmadigini tespit etmistir. Veri sorumlusunun hukuka aykiri veri isleme faaliyetinde bulundugu sonucuna varilarak Kanun'un 18'inci maddesi uyarinca 50.000 TL idari para cezasi uygulanmasina ve kisisel verilerin imha edilmesine karar verilmistir.

₺ Para Cezası
₺50.000
2021/1217

“İlgili kişi anne ve ilgili kişi sıfatını haiz çocuğunun fotoğrafları da kullanılmak suretiyle ilgili kişi hakkında gerçek dışı, şeref ve haysiyet kırıcı bir televizyon haberi yapıldığı iddiası”

Ilgili kisi, bir medya sirketinin televizyon kanalinda gercege aykiri bir haber yapilarak kendisinin ve cocugunun fotograflarinin kullanildigini, haberde bicaklanma olayi ile iliskili gosterildigini sikayet etmistir. Kurul, haberdeki fotograflarin buzlanarak yayinlanmasina ragmen isim benzerligi nedeniyle yanlis kisi hakkinda haber yapildigini tespit etmis, ancak fotograflarin aleni bir sosyal medya hesabindan alindigini ve 6112 sayili Kanun kapsaminda RTUK denetimine tabi olan medya kuruluslarinin bu tur sikayet ve duzeltme taleplerini oncelikle yargi yoluyla cozumlemesi gerektigini belirterek Kanun kapsaminda islem yapilmasina yer olmadigina karar vermistir.

₺ Para Cezası
₺300.000
2021/1218

“İlgili kişi işçinin hakkında yürütülen kişisel verilerin işlenmesi faaliyetleri kapsamında yurtdışında mukim olan veri sorumlusu işverence aydınlatılmaması, ilgili kişiye ait kişisel verilerin Nisan

Ilgili kisi, yurt disinda mukim veri sorumlusunun Istanbul Irtibat Burosu'nda calistigi surecte aydinlatma yapilmadigini, is sozlesmesinin eylemli fesihle sona erdirilmesinden sonra fotografinin internet sitesinde yayinlanmaya devam ettigini ve Kanun kapsamindaki basvurusuna yeterli cevap verilmedigini sikayet etmistir. Kurul, veri sorumlusunun is iliskisi surecinde Kanun'un 10'uncu maddesi kapsamindaki aydinlatma yukumlulugunu yerine getirmedigini, ilgili kisinin verilerinin yurt disina aktarilip aktarilmadigi konusunda bilgilendirme yapmadigini ve Kanun'un 13'uncu maddesi kapsamindaki basvuruya yeterli cevap vermedigini tespit ederek veri sorumlusuna idari para cezasi uygulanmasina ve talimat verilmesine karar vermistir.

§ İlke Kararı
2021/1214

“Bir üniversite tarafından verilen eğitimde, eğitim alan kişilerin kişisel verilerini içeren yoklama listesinin diğer katılımcılar tarafından görülebilir şekilde düzenlenmesi hakkında” Kişisel

Ilgili kisi, Bakanlik tarafindan yetkilendirilen bir universite egitim merkezinde verilen egitim programinda, yoklama listelerinde T.C. kimlik numaralarinin yer aldigi ve bu listelerin elden ele dolastirilarak imzalandigini, ayrica aydinlatma yapilmadigini sikayet etmistir. Kurul, egitim kuruluslarinin devam cizelgelerini duzenlerken T.C. kimlik numaralarini cikararak veya listeleri elden ele dolastirmayarak islem yapabilecegini, Bakanligin ise veri sorumlusu sifatiyla sorumlulugunun bulunmadigini degerlendirmis ve egitim kurulusunun veri isleme faaliyetlerinde olculuuluk ilkesine uygun hareket etmesi gerektigi sonucuna varmistir.

⚖ Disiplin
2021/1210

“İlgili kişinin kişisel verisi niteliğindeki cep telefonu numarasının, Digiturk kampanyaları hakkında bilgilendirmede bulunmak amacıyla aranması ve SMS gönderilmesi suretiyle işlenmesi” hakkında

İlgili kişi, Digiturk bayisi olduğunu belirten farklı numaralardan reklam amaçlı arandığını ve SMS gönderildiğini şikayet etmiştir. Kurul, Krea İçerik Hizmetleri ve bayisinin veri sorumlusu olmadığını, ancak taşeron M.D.'nin numara türetme yöntemiyle telefon numarasını elde ettiğini ve M.A.'nın sunduğu açık rıza formunun geçerli olmadığını tespit etmiştir. Kanunun 5. maddesindeki işleme şartlarına dayanmadan kişisel veri işleyen M.D. ve M.A. hakkında Kanunun 18/1-b maddesi kapsamında idari para cezası uygulanmasına ve verilerin imha edilmesi talimatı verilmesine karar verilmiştir.

⚠ Talimat
2021/1187

“Veri sorumlusu işveren tarafından eski çalışanı olan ilgili kişinin kurumsal e-posta hesabına aydınlatma yapılmaksızın erişilmesi” hakkında Kişisel Verileri Koruma Kurulunun 25/11/2021 tarihli ve

Eski çalışan olan ilgili kişi, veri sorumlusu tarafından kurumsal e-posta hesabındaki özel yazışmalarına, banka hesap dökümlerine ve harcama kayıtlarına erişilerek dava dosyasına sunulduğunu şikayet etmiştir. Kurul, Anayasa Mahkemesi ve AİHM kararlarına atıfla, çalışanların e-postalarının denetlenebileceğine dair önceden aydınlatma yapılmadığı hallerde çalışanların haklı beklenti içinde olacağını değerlendirmiştir. İlgili kişiye Kanun kapsamında aydınlatma yapılmadan e-postalarının incelenmesinin Kanunun 5. maddesindeki işleme şartlarına dayanmadığı tespit edilerek veri sorumlusuna 250.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺250.000
2021/1234

Açık Rıza Şartlarının İhlali

Açık rızanın geçerlilik şartlarının değerlendirildiği karar. Tespitler: Rıza metni, hizmet sözleşmesinin içine gömülmüştür "Kabul etmiyorum" seçeneği sunulmamıştır Rıza vermeden hizmetten yararlanmak mümkün değildir (coupled consent) Kurul değerlendirmesi: Açık rıza özgür iradeyle açıklanmalıdır. Hizmetin rızaya bağlanması, rızanın geçerliliğini ortadan kaldırır. Sonuç: m. 5/1 kapsamında ihlal tespit edilmiştir.

₺ Para Cezası
₺75.000
BAM İstanbul BAM - 43. Hukuk Dairesi
E. 2020/448 K. 2021/1394

İstanbul BAM - 43. Hukuk Dairesi (E. 2020/448)

Taraflar arasında görülen dava neticesinde ilk derece mahkemesince verilen hükmün Davacı vekilince istinaf edilmesi üzerine düzenlenen rapor ve dosya kapsamı incelenip gereği görüşülüp düşünüldü; TARAFLARIN İDDİA VE SAVUNMALARININ ÖZETİ DAVA: Davacı vekili dava dilekçesinde özetle; müvekkili ...'in, 30/08/1971 tarihinden bu yana Birleşik Krallıkta ikamet etmekte ve 23/04/1986 yılından bu yana da Birleşik Krallıkta süresiz ve sınırsız oturma iznine sahip olduğunu, Birleşik Krallık'ta...

RED✓
2021/1153

“Tıbbi ürünler satan veri sorumlusu tarafından ilgili kişiye reklam içerikli SMS gönderilmesi suretiyle kişisel verilerinin işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 11/11/2021 tarihli ve

İlgili kişi, tıbbi ürün satan veri sorumlusundan açık rızası olmaksızın ticari elektronik ileti gönderildiğini şikayet etmiştir. Veri sorumlusu, ilgili kişinin cep telefonu numarasının başka bir müşteri tarafından sehven bildirildiğini açıklamıştır. Kurul, numaranın veri sorumlusu kayıtlarında ilgili kişi ile ilişkilendirilmediğini, müşterinin hatalı numara bildirmesi sonucu olayın gerçekleştiğini tespit etmiştir. Veri sorumlusu hakkında yapılacak işlem olmadığına, ancak numaranın kara listeye alınmak yerine Kanunun 7. maddesine uygun şekilde imha edilmesi talimatı verilmiştir.

§ İlke Kararı
2021/1127

“Veri sorumlusu Üniversitenin ilgili kişinin kişisel verilerini içeren belgeleri internet sitesinde yayımlaması” hakkında Kişisel Verileri Koruma Kurulunun 04/11/2021 tarihli ve 2021/1127 sayılı Karar

TÜBİTAK Araştırma ve Yayın Etiği Kurulu tarafından yağmacı yayıncılık tespiti yapılan ilgili kişinin bilgilerini içeren gizli ibareli belgenin üniversite tarafından internet sitesinde yayınlandığı şikayet edilmiştir. Kurul, belgenin fakülte dekanları ile EBYS üzerinden paylaşılmasının Kanunun 5/2-ç ve 5/2-e bentleri kapsamında hukuka uygun olduğunu değerlendirmiştir. Ancak bilgilendirme amacını aşacak şekilde tüm kişisel verilerin internet sitesinde paylaşılmasının ölçülülük ilkesine aykırı olduğu tespit edilerek Kanunun 18/3 maddesi kapsamında sorumlular hakkında işlem yapılması talimatı verilmiştir.

⚖ Disiplin
2021/1104

“Banka tarafından ilgili kişinin cep telefonu numarasına SMS gönderilmesi suretiyle kişisel verilerinin hukuka aykırı olarak işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 02/11/2021 tarihli ve

İlgili kişi, banka hesaplarını kapattırmasına rağmen COVID-19 pandemisi döneminde bilgilendirme SMS'leri gönderilmeye devam edildiğini şikayet etmiştir. Banka, yasal saklama süreleri devam ettiğinden silme talebinin yerine getirilemediğini ancak pazarlama amaçlı iletişimin durdurulduğunu belirtmiştir. Kurul, Bankacılık Kanunu kapsamında 10 yıllık saklama süresinin devam ettiğinden silme talebinin reddinin hukuka uygun olduğunu, ancak hesap kapatıldıktan sonra bilgilendirme amaçlı SMS gönderilmesinin Kanunun 5. maddesindeki işleme şartlarına dayanmadığını tespit ederek 50.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺50.000
2021/1111

“İlgili kişinin ceza mahkûmiyeti bilgisinin avukat olan veri sorumlusu tarafından hukuka aykırı olarak elde edilmesi ve mahkeme dosyasına sunulması” hakkında Kişisel Verileri Koruma Kurulunun

İlgili kişi, veri sorumlusu avukatın vekillik yaptığı bir davada tanık olarak dinlenmesinin ardından adli sicil kaydının mahkemeye sunularak paylaşıldığını şikayet etmiştir. Kurul, Adli Sicil Kanununun 7. maddesi uyarınca avukatlara ilgili kişilerin adli sicil bilgilerine resen erişim yetkisi verilmediğini, dolayısıyla verilerin hukuka aykırı elde edildiğini tespit etmiştir. Özel nitelikli kişisel veri olan adli sicil kaydının Kanunun 6. maddesindeki işleme şartlarına dayanmadan işlenmesi nedeniyle avukata 75.000 TL idari para cezası uygulanmış ve verilerin imha edilmesi talimatı verilmiştir.

₺ Para Cezası
₺75.000
2021/1110

“Veri sorumlusunun icra takibi başlattığı müşterilerinin kişisel verilerini herkesin erişimine açık bir internet sitesinde yayımlaması” hakkında Kişisel Verileri Koruma Kurulunun 02/11/2021 tarih ve

Bir holding bünyesindeki şirketin icra takibi başlattığı müşterilerin T.C. kimlik numarası, telefon, adres ve araç plakası bilgilerinin bir internet sitesinde yayınlandığına dair ihbarda bulunulmuştur. Kurul, internet sitesinde yayınlanan kişisel verilerin İcra İflas Kanunu kapsamındaki işlemlerin ötesinde herhangi bir işleme şartına dayanmadığını tespit etmiştir. Kişisel verilerin çokluğu, önemi ve internet ortamında ifşa edilmesinin oluşturduğu güvenlik riski dikkate alınarak veri sorumlusuna 200.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺200.000
2021/1107

“İlgili kişinin kredi notunun Banka tarafından düzeltilmemesi ve kişisel verilerinin üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 02/11/2021 tarihli ve 2021/1107 sayılı

İlgili kişi, bireysel kredi kartı ödemelerinde gecikme olmamasına rağmen bankanın Türkiye Bankalar Birliği Risk Merkezine yanlış bildirim yaparak kredi notunun düşürülmesine sebep olduğunu şikayet etmiştir. Banka, ticari kredi kartından kaynaklanan gecikmenin bireysel kredi kartı kaydına yansıtıldığını kabul etmiş ve sistem geliştirmesi yaptığını belirtmiştir. Kurul, Kanunun 4. maddesindeki doğru ve güncel olma ilkesinin ihlal edildiğini, bankanın Risk Merkezine düzenli bildirim yükümlülüğü nedeniyle aktif özen yükümlülüğü bulunduğunu değerlendirerek 150.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺150.000
2021/1069

“Bankanın avukatı tarafından borçlu yakını olan ilgili kişiye haciz ihbarnamesi gönderilmesi suretiyle kişisel verilerinin işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 21/10/2021 tarihli ve

İlgili kişi, borçlu yakını olarak banka avukatı tarafından İcra İflas Kanununun 89/1 maddesi kapsamında haciz ihbarnamesi gönderilmesiyle kişisel verilerinin paylaşıldığını şikayet etmiştir. Kurul, haciz ihbarnamesinin icra müdürlüğü tarafından düzenlendiğini ve veri sorumlusunun banka avukatı olduğunu tespit etmiştir. Banka alacağının tahsili amacıyla yürütülen işlemlerin Kanunun 5/2-e bendi kapsamında bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu değerlendirilerek hem banka hem avukat hakkında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2021/1051

“İş arama ve işe alım süreçlerini yürüten bir istihdam platformunun Kişisel Verilerin Korunması Kanunu’na aykırı uygulamalarda bulunması” hakkında Kişisel Verileri Koruma Kurulunun 14/10/2021 tarihli

İlgili kişi, iş arama platformunda yaptığı başvurulara ilişkin işverenlere sunulan verilerine erişim talebinin yerine getirilmediğini ve rızası olmadan verilerinin silineceğinin bildirildiğini şikayet etmiştir. İncelemede, ilgili kişinin Kurula şikayetten önce veri sorumlusunun cevabını beklemediği, erişim talebinin 30 gün içinde karşılandığı ve Kanunun 11. maddesinin tüm bentlerini kullanma talebi nedeniyle silme talebinin de bulunduğunun anlaşıldığı tespit edilmiştir. Kurul, tüm taleplerin karşılandığını ve veri kaybının olmadığını değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
AYM Norm Denetimi Genel Kurul
E. 2016/150 K. 2017/179

Cumhurbaşkanlığı Kararnamesi ile Strateji ve Bütçe Başkanlığına yurt dışı teşkilatı kurma yetkisi verilmesi ve bilgi isteme yetkisinin kişisel veriler bağlamında değerlendirildiği Anayasa'ya uygunluk denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2018/34 K. 2018/61

kişisel verilerin işlenmesi ve korunmasına ilişkin kanuni düzenlemelerin Anayasa'ya uygunluguna yonelik norm denetimi kararı.
Yargıtay 7. Ceza Dairesi
E. 2021/21566 K. 2021/13832

Dernek bağış belgelerinde T.C. kimlik numarası gibi kişisel verilerin toplanmasının KVKK kapsamında açık rıza gerektirdiğine ilişkin kanun yararına bozma dosyası.

BOZMA
2021/1021

“Mağazacılık faaliyeti yürüten bir veri sorumlusunun veri ihlal bildirimi” hakkında Kişisel Verileri Koruma Kurulunun 07/10/2021 tarih ve 2021/1021 sayılı Karar Özeti

Bir forum sitesinde 4792 müşteriye ait kişisel verilerin satışa çıkarıldığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, ihlalin daha önce hizmet alınan veri işleyen bünyesinde gerçekleştiğini ancak Kanunun 12/2 maddesi kapsamında veri sorumlusunun müşterek sorumluluğunun devam ettiğini tespit etmiştir. Veri işleyene sızma testi yaptırılmaması ve ticari ilişki sonlandıktan sonra verilerin imhasının sağlanmaması nedeniyle veri sorumlusuna 450.000 TL idari para cezası uygulanmış ve aynı veri işleyenden hizmet alan diğer veri sorumluları hakkında resen inceleme başlatılmasına karar verilmiştir.

₺ Para Cezası
₺450.000
2021/993

“Veri sorumlusu kargo firması tarafından ilgili kişi adına sehven fatura düzenlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 30/09/2021 tarihli 2021/993 sayılı Karar Özeti

Şikayette, kargo şirketinin ilgili kişi adına sehven fatura düzenlediği, bu faturanın başka bir firmaya gönderilen kargoya ait olduğu ve kişisel verilerin silinmesi talebinin yerine getirilmediği iddia edilmiştir. Kurul, ilgili kişinin kişisel verilerinin meslek kuruluşu ile yapılan indirim sözleşmesi kapsamında temin edilmesinin hukuka uygun olduğunu, ancak hukuka uygunluk sebebi bulunmaksızın ilgili kişi adına fatura düzenlenmesinin hukuka aykırı veri işleme faaliyeti olduğunu tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendi kapsamındaki yükümlülüğünü yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmıştır. Verilerin mevzuat gereği saklanması nedeniyle silme talebinin reddinde hukuka aykırılık bulunmadığına karar verilmiştir.

⚖ Disiplin
2021/989

“İlgili kişiye ait görselin, açık rızası alınmaksızın bir internet sitesinde yer alan haber içeriğinde kullanılması” hakkında Kişisel Verileri Koruma Kurulunun 30/09/2021 tarihli 2021/989 sayılı Karar

Şikayette, bir haber sitesinde yayınlanan içerikte ilgili kişinin (kısıtlı bir çocuğun) fotoğrafının rızası olmadan ve yanlış bilgilerle birlikte kullanıldığı, fotoğrafın kaldırılması talebinin yerine getirilmediği iddia edilmiştir. Kurul, içeriğin veri sorumlusu bünyesinde çalışan bir editör tarafından oluşturulduğunu, dolayısıyla şirketin veri sorumlusu sıfatını haiz olduğunu tespit etmiştir. Haber içeriğinin kamu yararı taşımadığı ve kişilik haklarını ihlal ettiği değerlendirilerek Kanun'un 28/1(c) istisna kapsamında olmadığına, Kanun'un 5. maddesindeki işleme şartları bulunmadan veri işlendiğine ve veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmasına karar verilmiştir.

₺ Ceza (Tutar ?)
2021/925

“İlgili kişinin sendika üyeliği bilgisinin hukuka aykırı şekilde elde edilmesi ve paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 16/09/2021 tarihli ve 2021/925 sayılı Karar Özeti

Şikayette, iş sözleşmesi sendikal nedenlerle feshedilen bir işçi adına açılan işe iade davasında, ilgili kişinin sendika üyeliğinden istifa ettiği bilgisinin dava dilekçesinde paylaşıldığı iddia edilmiştir. Kurul, sendika üyeliği bilgisinin Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri olduğunu, ancak sendikal nedenle fesih iddiasının ispatı yükünün işçide olduğu davalarda, Avukatlık Kanunu'nun 2. maddesi ve Hukuk Muhakemeleri Kanunu'nun 119. maddesi uyarınca bu bilginin dava dilekçesinde kullanılmasının Kanun'un 6/3. fıkrası kapsamında kanunlarda öngörülen hal olarak değerlendirilebileceğini tespit etmiştir. Şikayetin Kanun'a aykırılık teşkil etmediğine karar verilmiştir.

✓ İhlal Yok
2021/909

“İlgili kişinin kardeşine ait borca dair yürütülen icra takibi kapsamında, veri sorumlusu avukat tarafından ilgili kişinin kişisel verilerinin İcra Müdürlüğüne iletilmesi” hakkında Kişisel Verileri

Şikayette, bir avukatın icra takibi kapsamında ilgili kişinin T.C. kimlik numarası ve adresini rızası olmadan icra dairesine verdiği iddia edilmiştir. Kurul, İcra ve İflas Kanunu'nun 89. maddesi uyarınca borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla haciz ihbarnamesi gönderilmesi için gerekli bilgilerin paylaşılmasının Kanun'un 5/2(a) "kanunlarda açıkça öngörülmesi" ve 5/2(e) "bir hakkın tesisi, kullanılması veya korunması" şartlarına dayandığını tespit etmiştir. Şikayete ilişkin Kanun kapsamında işlem yapılmasına yer olmadığına karar verilmiş, ancak veri sorumlusuna başvuru cevaplama süresine uyması hatırlatılmıştır.

✓ İhlal Yok
2021/889

“İlgili kişinin, bir spor tesisi tarafından açık rızası alınmaksızın yer aldığı müsabakaların kaydedilip yayınlanması” hakkında Kişisel Verileri Koruma Kurulunun 03/09/2021 tarihli ve 2021/889 sayılı

İhbarda, halı saha tesislerinde spor yapan kişilerin görüntülerinin açık rızaları alınmadan kaydedildiği ve internet sitesinde yayınlandığı iddia edilmiştir. Kurul, görüntü kayıtlarının Kanun'un 5. maddesinde yer alan işleme şartlarından herhangi birine dayanmaksızın işlendiğini, veri sorumlusunun Kanun'un 12/1(a) bendi kapsamında kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünü yerine getirmediğini tespit etmiştir. Bu nedenle veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmış ve açık rıza alınması yönünde gerekli düzenlemelerin yapılması için talimat verilmiştir.

⚠ Talimat
2021/850

“Şikayetçinin ablasının kimlik bilgilerinin numara taşıma işlemi adına bir telekomünikasyon şirketinin bayi çalışanına ait telefon marifetiyle fotoğraflanarak kullanılan sisteme yüklenmesi” hakkındaki

İhbarda, telekomünikasyon şirketinin bayilerinde numara taşıma işlemi sırasında müşteri kimlik belgelerinin çalışanların kişisel telefonlarıyla fotoğraflandığı ve bu durumun veri güvenliği riski oluşturduğu iddia edilmiştir. Kurul, kimlik fotokopisi alınmasının Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği uyarınca zorunlu olduğunu, veri sorumlusunun Kanun'un 5/2(a), (c), (ç) bentleri ile 12. maddesi kapsamındaki yükümlülüklerini yerine getirdiğini tespit etmiştir. Ancak genel ilkelere uyum için kurumsal cihaz kullanımının yaygınlaştırılması ve aydınlatma yükümlülüğünün yerine getirilmesi hususunda veri sorumlusu talimatlandırılmıştır.

✓ İhlal Yok
2021/847

“İlgili kişinin bir web sitesinden kişisel verilerinin silinmesi talebinin veri sorumlusu tarafından yerine getirilmemesi” hakkında Kişisel Verileri Koruma Kurulunun 26/08/2021 tarihli ve 2021/847

İlgili kişinin Kuruma intikal eden şikâyetinde özetle; bir şirkete ait web sitesi üzerinden daha önce kullandığı ancak şu anda kullanmadığı adres bilgilerinin silinmesini talep ettiği ancak bu yöndeki talebinin iki kez reddedildiği ve silme işleminin gerçekleştirilmeyeceğinin bildirildiği beyan ve iddiaları ile veri sorumlusu hakkında gerekli yasal işlemlerin yapılması talep edilmiştir.

§ İlke Kararı
2021/859

“İlgili kişinin internet hizmeti aboneliğini sağlamak üzere evine gelen şirket yetkilisinin aboneliği oluşturmak adına ilgili kişiye ait kimliğin fotoğrafını cep telefonu aracılığıyla çekmesi

Şikayette, internet hizmeti almak isteyen ilgili kişinin kimlik fotoğrafı çekilmek istendiği ancak "Müstenidattır" yazısı ekleme talebinin reddedildiği, sözleşme yapılmaması üzerine verilerinin silinmesi talebinin karşılanmadığı iddia edilmiştir. Kurul, kimlik fotoğrafı çekilmesinin Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği gereği zorunlu olduğunu, sözleşme kurulmasa da veri sorumlusunun savunma hakkını korumak için Kanun'un 5/2(e) bendi kapsamında asgari kimlik verisi işleyebileceğini tespit etmiştir. Ancak bu verilerin asgari süreyle sınırlı saklanması ve diğer verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır.

✓ İhlal Yok
2021/799

“İlgili kişinin uluslararası geçerliliği olan bir dil sınavı konusunda Türkiye’deki akredite kuruluş tarafından kişisel verilerinin hukuka aykırı işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, uluslararasi gecerliligi olan bir dil sinavina giris icin biyometrik fotograf ve parmak izinin herhangi bir veri isleme sartina dayanilmaksizin alindigini, kisisel verilerinin yurt disina aktarimi konusunda bilgilendirilmedigini ve reklam icin acik rizasi alinmadan e-posta gonderildigini sikayet etmistir. Veri sorumlusu, fotografin biyometrik olmayip vesikalik fotograf oldugunu, parmak tarama kayitlarinin sinav guvenligi icin alindigini ve yurt disina aktarilmadigini savunmustur. Kurul, kisisel verilerin sozlesmenin ifasi kapsaminda islendigini, aydinlatma metninde gerekli bilgilerin yer aldigini, ancak reklam icin acik riza alinmadigi tespit edilerek veri sorumlusu hakkinda talimat verilmesine karar vermistir.

⚠ Talimat
2021/761

“Kişisel sağlık verilerinin hastanedeki yetkisiz çalışanlar tarafından velayete sahip olmayan ebeveyn ile paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 06/08/2021 tarihli ve 2021/761 sayılı

Sikayetci, bosanma davasinda yargilanan esinin, musterek cocuklarina ait saglik ve epikriz raporlarini ustinaf dilekcesin ekinde kullandigini, bu raporlarin hastane tarafindan izni olmadan esinin vekiline verildigini sikayet etmistir. Hastane, cocuk hastaliklari uzmani doktorun belgeleri vekile verdigi ikrar edilerek, doktorun yogun poliklinik kosullari nedeniyle yasal duzenlemeleri hatirlamasinin mumkun olmadiginin degerlendirildigini bildirmistir. Kurul, veri sorumlusunun ozel nitelikli kisisel verilerin aktariminda Kanun'un 6'nci ve 8'inci maddelerine aykiri davrandigini, veri guvenligi tedbirlerinin yetersiz oldugunu tespit ederek idari para cezasi uygulanmasina ve personele kisisel verilerin korunmasi egitimlerinin verilmesi yonunde talimat verilmesine karar vermistir.

⚖ Disiplin
2021/664

“İlgili kişinin, doğal gaz dağıtımı yapan bir şirket tarafından düzenlenen faturasında kişisel verisi niteliğindeki banka bilgisine yer verilmesi” hakkında Kişisel Verileri Koruma Kurulunun 06/07/2021

Ilgili kisi, dogal gaz dagitim sirketi tarafindan duzenlenen faturalarda otomatik odeme talimati bolumunde banka adi bilgisine yer verildigini, bu bilginin kisisel veri niteliginde oldugunu ve ucuncu kisilerle paylasilmasi anlamina geldigini sikayet etmistir. Veri sorumlusu, banka bilgisinin otomatik odeme talimati veren musterilerin bankalari araciligiyla sistem entegrasyonu kapsaminda aktarildigini savunmustur. Kurul, ilgili kisinin talebinin veri sorumlusu tarafindan karsilandigini, tum musterilerin faturalarinda banka adi yerine sadece VAR ifadesinin yazilacak sekilde duzenleme yapildigini tespit ederek sikayetin reddine karar vermistir.

✓ İhlal Yok
2021/666

“Şikâyetçinin yeni doğan bebeğine ait doğum belgesinde yer alan kişisel verilerin üçüncü kişiler tarafından Özel Hastane olarak faaliyet gösteren veri sorumlusundan hukuka aykırı olarak ele

Sikayetci, bosanmis esi tarafindan cocugunun dogum belgesinin hastaneden temin edilerek yargilamanin iadesi davasina delil olarak sunuldugunu, hastaneye yaptigi basvuruya cevap alinmadigini sikayet etmistir. Hastane, evrak yogunlugu nedeniyle basvurunun ilgili birimlere iletilemedigini, belgenin ucuncu kisilerce gizlice fotograflandigini ve bununla ilgili suc duyurusunda bulunuldugunu savunmustur. Kurul, veri sorumlusunun Kanun'un 13'uncu maddesi kapsaminda basvuruya 30 gun icinde cevap vermedigini, bu durumun hukuka aykiri oldugunu belirleyerek basvurulara yasal sureler icinde cevap verilmesi ve veri guvenligi tedbirlerinin gozden gecirilmesi hususunda talimat verilmesine karar vermistir.

⚠ Talimat
2021/670

“İlgili kişinin veri sorumlusu bankaya yaptığı iş başvurusunun olumsuz sonuçlanması sonrası kişisel verilerinin işlenmeye devam etmesi” hakkında Kişisel Verileri Koruma Kurulunun 06/07/2021 tarih ve

Ilgili kisi, veri sorumlusunun internet sitesi uzerinden is basvurusunda bulundugunu, mulakattin olumsuz sonuclanmasi uzerine kisisel verilerinin silinmesini talep ettigini, ancak isim-soyisim ve kimlik numarasinin gelecekte yapilacak basvurularda degerlendirilmek uzere saklanacaginin bildirildigini sikayet etmistir. Veri sorumlusu, kisisel verilerin Kanun'un 5'inci maddesinin (2) numarali fikrasinin (c), (e) ve (f) bentleri kapsaminda islendigini, ilgili kisinin talepleri uzerine tum verilerin silindigini savunmustur. Kurul, veri sorumlusunun ilgili kisinin taleplerini karsiladigini ve verilerin silindigini tespit ederek sikayetin reddine karar vermistir.

⚠ Talimat
2021/603

“İlgili kişinin internet alışveriş sayfası üzerinden ev adresine teslim talepli olarak vermiş olduğu siparişlerinin veri sorumlusu kargo şirketi tarafından, hiçbir suretle belirtmediği halde işyeri

Ilgili kisi, internet alisveris sitesinden ev adresine teslim talepli verdigi siparislerin, belirtmedigi halde isyeri adresine gonderildigini tespit ederek kargo sirketi hakkinda sikayet etmistir. Veri sorumlusu kargo sirketi, ilgili kisinin basvurusunda T.C. kimlik numarasinin bulunmadigini, isyeri adresinin onceki kargolardan elde edildigini ve yasal zorunluluklar nedeniyle silinemedigini savunmustur. Kurul, ilgili kisinin adresinin onceki siparislerde verilen bilgilerden elde edildigini, hatali teslimat nedeniyle musterinin magdur edilmemesi icin gerekli tedbirlerin alindigini tespit ederek sikayetin reddine karar vermistir.

⚠ Talimat
2021/584

“Sigortacılık ve bireysel emeklilik alanında faaliyet gösteren bir şirket tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, sigortacilik alaninda faaliyet gosteren sirket tarafindan cep telefonuna, 24 saat icinde iptal yaniti verilmezse aranmak icin olumlu yanit verildigi varsayilacak icerikli SMS gonderildigini sikayet etmistir. Veri sorumlusu, ilgili kisinin telefon numarasini bir Baronun resmi internet sitesinden temin ettigini ve Kanun'un 5'inci maddesinin (2) numarali fikrasinin (d) bendi kapsaminda aleni veri oldugunu savunmustur. Kurul, aleni verinin serbest olmadigi surece islenemeyecegini, mesajdaki zimni onay mekanizmasinin acik riza kosuluyla bagdasmadigini tespit ederek veri sorumlusu hakkinda idari para cezasi uygulanmasina ve ilgili kisinin verilerinin silinmesi yonunde talimat verilmesine karar vermistir.

⚠ Talimat
2021/572

“İlgili kişinin fotoğrafının öğrencisi olduğu okul tarafından kullanılması’’ hakkında Kişisel Verileri Koruma Kurulunun 09/06/2021 tarihli 2021/572 sayılı Karar Özeti

Ilgili kisi, ogrenci olarak ogretmenleri ile yaptigi bir gorusmede rizasi olmaksizin fotografinin cekilerek okulun brosurunde ve internet sitesinde kullanildigini sikayet etmistir. Veri sorumlusu okul, fotografin ozel olarak cekilmedigini, tum ogrencilerin katildigi etkinlik sirasinda cekildigini ve veliden izin alindigini savunmustur. Kurul, veliden alinan yazili iznin bulundugunu, ancak ilgili kisinin okul degistirmesi uzerine acik rizasini geri alabilecegini degerlendirmis, veri isleme sartlarinin ortadan kalkmasi halinde fotograflarin silinmesi gerektigi yonunde veri sorumlusuna talimat verilmesine karar vermistir.

✓ İhlal Yok
2021/548

“İlgili kişinin cep telefonu numarasının kampanya adı altında bir dijital platform bayisi tarafından edinilmesi, işlenmesi ve rızası olmaksızın arama yapılması” hakkında Kişisel Verileri Koruma

Ilgili kisi, sikayette bulunan dijital platform ile hicbir iliskisi olmamasina ragmen surekli olarak cagri merkezinden aranarak uyelik icin pazarlama yapildigini sikayet etmistir. Dijital platform, ilgili kisinin sistemlerinde kayitli olmadigini ve aramanin bir bayii tarafindan yapildigini bildirmistir. Kurul, bayiinin dijital platformdan bagimsiz olarak kisisel verileri elde ederek arama yaptigini, ancak dijital platformun bayii ile olan iliskisinde kisisel verilerin korunmasina iliskin gerekli denetim ve kontrolu saglamadigini tespit ederek dijital platformun veri isleme sureclerini gozden gecirmesi ve bayilerini bilgilendirmesi yonunde talimat verilmesine karar vermistir.

₺ Ceza (Tutar ?)
2021/545

‘‘Veri sorumlusu tarafından ilgili kişinin cep telefonu numarasına reklam amaçlı SMS gönderilmesi’’ hakkında Kişisel Verileri Koruma Kurulunun 04/06/2021 tarihli 2021/545 sayılı Karar Özeti

Ilgili kisi, veri sorumlusu hastane tarafindan telefonuna acik rizasi olmaksizin reklam ve pazarlama amacli SMS gonderildigini sikayet etmistir. Hastane, sikayetcinin sistemlerinde kaydi olmadigini savunmus, ancak gonderilen SMS'lerdeki MERSİS numarasinin hastaneye ait oldugu tespit edilmistir. Kurul, ilgili kisiye vekili araciligiyla ihtarname gonderildigini ve hastane tarafindan cevap verilmedigini belirlenmis, Kanun'un 5'inci maddesindeki sartlardan birine dayanmaksizin kisisel veri islendigi icin veri sorumlusu hakkinda idari para cezasi uygulanmasina ve kisisel verinin imha edilmesi yonunde talimat verilmesine karar vermistir.

⚠ Talimat
AYM Norm Denetimi Genel Kurul
E. 2020/24 K. 2020/13

4045 sayılı güvenlik soruşturması ve arşiv araştırması Kanunu'nun Anayasa'ya aykırılığı iddiasının incelenmesi. kişisel verilerin güvenlik sorusturmasinda kullanilmasinin anayasal sinirlari belirlenmistir.
2021/470

“İlgili kişinin yemek kartı hesap hareketlerine ilişkin kişisel verilerine erişim talebinin veri sorumlusu tarafından yerine getirilmediği iddiası” hakkında Kişisel Verileri Koruma Kurulunun

İlgili kişi, işvereni tarafından tahsis edilen yemek kartına ait hesap hareketlerinin kendisine iletilmesini talep etmiş, veri sorumlusu ise kimlik doğrulama için ek bilgi istemiş ve gmail adresine şifrelenmiş dosya göndererek şifre için telefon aramasını talep etmiştir. İlgili kişi bu güvenlik önleminin hukuka aykırı olduğunu ve verilerine erişiminin engellendiğini şikayet etmiştir. Kurul, veri sorumlusunun ilgili kişinin verilerine erişim talebini şifreleme yöntemi ile güvenli bir şekilde karşıladığını, bu uygulamanın Kanun'un 12'nci maddesi kapsamında veri güvenliğini sağlamaya yönelik meşru bir tedbir olduğunu değerlendirerek şikayetin reddine karar vermiştir.

✓ İhlal Yok
2021/424

“Bir bankanın, varlık yönetim şirketinin ve üç farklı avukatın borçlu olmayan ilgili kişinin kişisel verisini işleyerek icra takibi başlattıkları iddiası” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, farkli bir sahis yerine sehven T.C. kimlik numarasinin kaydedilmesi nedeniyle Banka, Varlik Yonetim Sirketi ve avukatlar tarafindan borclu olmadigi halde icra takibi baslatildigini, KKB kayitlarina kara liste olarak islendigini sikayet etmistir. Banka, 2017'de basvuru uzerine hatanin duzeltildigini ve Varlik Yonetim Sirketine bildirim yapildigini savunmustur. Kurul, Bankanin sehven yanlis T.C. kimlik numarasi kaydederek veri isleme ilkelerine aykiri davrandigini, ilgili kisinin talebine ragmen duzeltmenin gecikmeli yapildigini tespit ederek Banka hakkinda Kanun'un 18'inci maddesi uyarinca 100.000 TL idari para cezasi uygulanmasina ve Varlik Yonetim Sirketi ile avukatlarin kayitlarini duzeltmesi yonunde talimat verilmesine karar vermistir.

⚠ Talimat
2021/426

“Yardım masası paneli hizmeti veren bir veri sorumlusunda gerçekleşen veri ihlali hakkında yapılan resen inceleme” hakkında Kişisel Verileri Koruma Kurulunun 27/04/2021 tarihli ve 2021/426 sayılı

Bir e-ticaret sitesinin hizmet aldigi yardim masasi panelinde yapilan toplu yetkilendirme calismasinda SQL Script kodundaki hata sonucu, partner firmaya yanlis yetki verilmis ve 13 farkli firmanin yardim masasi bildirimlerine erisim saglanmistir. Kurul, ihlalin veri sorumlusunun ihmalinden kaynaklandigini, 950'den fazla kisinin etkilendigini ve veri guvenligine yonelik gerekli teknik tedbirlerin alinmadigini tespit etmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 300.000 TL idari para cezasi uygulanmasina ve bilgi belge talebine iliskin gerekli dikkat ve ozenin gosterilmesi hususunda talimat verilmesine karar verilmistir.

₺ Para Cezası
₺400.000
2021/427

“Bir e-ticaret sitesi (veri sorumlusu) nezdinde gerçekleşen veri ihlali hakkında yapılan resen inceleme” hakkında Kişisel Verileri Koruma Kurulunun 27/04/2021 tarih ve 2021/427 sayılı Karar Özeti

E-ticaret sitesinde pazar yeri modeli ile satis yapmak isteyen partner firma, sisteme giris sirasinda bir guvenlik acigi kesfederek ucuncu kisilerin bilgilerine eristiklerini veri sorumlusuna bildirmistir. Veri sorumlusu, partner firma ile gizlilik sozlesmesi imzalayarak durumu kapatmaya calismis, ancak ihbarin Kuruma yapilmasi uzerine inceleme baslatilmistir. Kurul, ihlalin 22.10.2019'da gerceklesip ayni gun tespit edilmesine ragmen Kuruma bildirilmedigini tespit etmis, veri guvenligini saglamaya yonelik teknik tedbirleri almayan ve bildirim yukumlulugune aykiri davranan veri sorumlusu hakkinda toplam 800.000 TL idari para cezasi uygulanmasina karar vermistir.

₺ Para Cezası
₺800.000
2021/422

“İlgili kişinin fotoğraflarının veri sorumlusuna ait bir sosyal medya hesabında paylaşılması suretiyle gerçekleşen kişisel veri işleme faaliyeti” hakkında Kişisel Verileri Koruma Kurulunun 27/04/2021

Ilgili kisi, veri sorumlusunun is yerinde pilates egitmeni olarak calistigi donemde cekilen fotograflarinin, is iliskisi sona erdikten sonra veri sorumlusunun sosyal medya hesabinda herkese acik sekilde paylasildigi ve talebine ragmen kaldirilmadigini sikayet etmistir. Veri sorumlusu Kuruma savunma sunmamis, ancak ilgili kisiye verdigi cevapta fotograflarin izinle cekildigini ve talepten sonra kullanimdan vazgecildigini belirtmistir. Kurul, veri isleme sartlarinin ortadan kalkmasi halinde verilerin silinmesi gerektigini, veri sorumlusunun Kanun'un 15'inci maddesi kapsaminda Kurul kararini uygulamasi gerektigi yonunde talimat verilmesine karar vermistir.

⚠ Talimat
2021/389

“Bir sigorta şirketi tarafından hizmetin açık rıza şartına bağlanması hakkındaki ihbar” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 20/04/2021 tarihli ve 2021/389 sayılı Karar Özeti

Ihbar eden ilgili kisi, bireysel emeklilik sigorta sirketinin internet sayfasindan police bilgilerine ulasmak icin giris yaparken kisisel verilerin islenmesine riza gostermeye zorlandigi, bu kutuyu isaretlemeden hicbir islem yapilamadigini bildirmistir. Kurul, veri sorumlusunun aydinlatma ve acik riza metinlerini ayirmadigi, bu haliyle aydinlatma yukumlulugunu usulune uygun yerine getirmedigi ve acik rizayi hizmet sartinamit baglama ihtimali bulundugu tespit edilmistir. Veri sorumlusunun aydinlatma yukumlulugunu mevzuata uygun hale getirmesi ve acik rizayi hizmet sartina baglamamasi yonunde talimat verilmesine karar verilmistir.

₺ Para Cezası
₺250.000
2021/407

“Bir hastanenin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 20/04/2021 tarih ve 2021/407 sayılı Karar Özeti

Veri sorumlusu hastanede calisan bir hekim, 789 hastaya ait dosyalarin arsivden alinarak hastane disina cikarilmasini saglamis, bu durum 17 gun sonra kamera kayitlarinin incelenmesiyle tespit edilmistir. Dosyalarin 54'u yediemine teslim edilmis, geriye kalanlarinin akibeti bilinmemektedir. Kurul, dosya guvenligine yonelik yeterli tedbirlerin alinmadigini, calisanlara kisisel verilerin korunmasi egitiminin tamamlatilmadigini ve ihlalin tespitinden 25 gun sonra Kuruma bildirildigini, ilgili kisilere bildirim yapilmadigini tespit etmistir. Kanun'un 12'nci maddesi kapsaminda veri guvenligini saglamamak ve bildirim yukumlulugunu yerine getirmemek nedeniyle toplam 600.000 TL idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺600.000
Danıştay İDDK
E. 2019/2273 K. 2021/778

Danıştay Kararı - İDDK. (E. 2019/2273)

E:2015/2769, K:2019/1432 sayılı kararının aleyhlerine olan kısımlarının temyizen incelenerek bozulması taraflarca karşılıklı olarak istenilmektedir. Dava konusu istem: 28/03/2015 tarih ve 29309 sayılı Resmî Gazete'de yayımlanan Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliğinde Değişiklik Yapılmasına İlişkin Yönetmeliğin 22. maddesiyle Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliği'ne eklenen "Serbest Tüketici Veri Tabanı" başlıklı 30/B maddesinin iptali istenilmiştir. Daire...

ONAMA
Yargıtay 12. Ceza Dairesi
E. 2020/974 K. 2021/3641

Eşin cep telefonuna yüklenen casus programla görüşmelerin kaydedilmesinin haberleşmenin gizliliğini ihlal suçu kapsamında değerlendirilmesi gerektiğine, boşanma davasında delil olarak sunma amacının hukuka uygunluk sebebi oluşturmadığına karar verilmiştir.

K.BOZMA
2021/359

“İlgili kişinin kişisel verilerinin site yönetim hizmetini sağlayan veri sorumlusu şirket tarafından bir mobil uygulama ile hukuka aykırı olarak paylaşılması” hakkında Kişisel Verileri Koruma

Ilgili kisi, oturdugu sitenin yonetim sirketinin telefon numarasini rizasi disinda bir mobil uygulama ile paylastigini ve bilgi mesajlari gonderildigini sikayet etmistir. Yonetim sirketi, uygulamayi yonetim hizmetleri icin kullandigini ve ilgili kisinin kendisinin programa kaydoldugunu iddia etmistir. Kurul, ilgili kisinin ikamet ettigi sitede Kat Mulkiyeti Kanunu'ndan kaynaklanan yukumlulukler icin verilerin islenmesinin zorunlu oldugunu, ancak veri aktarimi sirasinda aydinlatma yapilmasi gerektigini tespit ederek yonetim sirketinin aydinlatma yukumlulugunu yerine getirmesi yonunde talimat verilmesine karar vermistir.

₺ Para Cezası
₺100.000
2021/361

“Bir bankanın mobil uygulamalar üzerinden ilgili kişiye rızası dışında tanıtım iletileri göndermesi” hakkında Kişisel Verileri Koruma Kurulunun 13/04/2021 tarihli ve 2021/361 sayılı Karar Özeti

Ilgili kisi, maas musterisi oldugu bankanin mobil uygulamalari uzerinden acik rizasi alinmadan tanitim iletileri gonderildigini, kisisel verilerinin silinmesi talebine cevap olarak hesap ve kredi kartlarinin iptal edildigini sikayet etmistir. Banka, kullanicilarin uygulamayi indirdikten sonra bildirim tercihi istendigini, izin vermeyenlere pazarlama iletisi gonderilmedigini ve ilgili kisinin silme talebine istinaden hesabinin kapatildigini, ancak sonrasinda yeniden hesap acildigini savunmustur. Kurul, veri sorumlusunun Kanun'un 7'nci maddesi kapsaminda hareket ettigini ve ilgili kisiye zarar olusmadigini belirleyerek sikayetin reddine karar vermistir.

⚠ Talimat
2021/358

“İlgili kişiye bir banka tarafından SMS gönderilmesi ve ilgili kişinin bu banka nezdindeki kişisel verilerinin imha edilmesi talebinin yerine getirilmemesi hakkında” Kişisel Verileri Koruma Kurulunun

İlgili kişi, 2003 yılında kurulan bankacılık ilişkisinin sona ermesine rağmen kişisel verilerinin 16 yıldır saklandığını, SMS'ler gönderildiğini ve kredi kartı teklifleri için arandığını şikayet etmiştir. Banka, 5411 sayılı Bankacılık Kanunu'nun 42'nci maddesi gereğince müşteri bilgilerinin son işlem tarihinden itibaren 10 yıl saklanması gerektiğini, e-haciz iptali gibi yasal bilgilendirme içeren SMS'lerin iletişim izni gerektirmediğini savunmuştur. Kurul, veri sorumlusunun başvuruya 2 gün gecikmeli cevap vermesinin hukuka uygun olmadığını belirleyerek bu konuda dikkatli olunması gerektiği yönünde talimat verilmesine karar vermiştir.

✓ İhlal Yok
Danıştay 10. Daire
E. 2018/3449 K. 2021/1714

Danıştay Kararı - 10. Daire (E. 2018/3449)

Açıklanan nedenlerle; 1. 02/06/2018 tarih ve 30439 sayılı Resmi Gazete'de yayımlanan Hukuk Uyuşmazlıklarında Arabuluculuk Kanunu Yönetmeliği'nin 5. maddesinin 1. fıkrasının, 24. maddesinin 2. fıkrasının ve 25. maddesinin 2. fıkrasının "Arabulucu adliye arabuluculuk bürosu tarafından görevlendirildikten sonra ilk önce başvuran taraftan başlamak üzere asiller ile ön görüşme yapar, başvurucudan ve diğer taraftan uyuşmazlığın esasını öğrenir.'' hükmü dışında kalan diğer kısımlarının iptali...

DİĞER✓
Danıştay İDDK
E. 2020/1038 K. 2021/735

Danıştay Kararı - İDDK. (E. 2020/1038)

E:2014/11070, K:2019/8510 sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: Milli Eğitim Bakanlığı Özel Öğretim Kurumları Genel Müdürlüğünün 23/09/2014 tarih ve 4145908 sayılı onayı ile işleme konulan "Özel Eğitim ve Rehabilitasyon Merkezlerinde Kullanılan Sayısallaştırılmış Kimlik Bilgisi Doğrulama Sisteminin Uygulama Usul ve Esasları"nın 5. maddesinin 3. fıkrasının iptali istenilmiştir. Daire kararının özeti: Danıştay Sekizinci Dairesinin 09/10/2019 tarih...

ONAMA
Danıştay İDDK
E. 2020/1455 K. 2021/733

Danıştay Kararı - İDDK. (E. 2020/1455)

E:2019/4434, K:2019/10746 sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: 18/05/2012 tarih ve 28296 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren Milli Eğitim Bakanlığı Özel Eğitim Kurumları Yönetmeliği'nin 3. maddesinin 1. fıkrasının (e) bendinin, 16. maddesinin 3. fıkrasının, 19. maddesinin 1. fıkrasının, 20. maddesinin 1. fıkrasının, 22. maddesinin 2. fıkrasının, 25. maddesinin 2., 3. ve 4. fıkralarının, 29. maddesinin 1. fıkrasının (f) bendinin,...

BOZMA
Danıştay İDDK
E. 2020/1454 K. 2021/732

Danıştay Kararı - İDDK. (E. 2020/1454)

E:2019/4435, K:2019/10747 sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: 18/05/2012 tarih ve 28296 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren Milli Eğitim Bakanlığı Özel Eğitim Kurumları Yönetmeliği'nin 3. maddesinin 1. fıkrasının (e) bendinin, 16. maddesinin 3. fıkrasının, 19. maddesinin 1. fıkrasının, 20. maddesinin 1. fıkrasının, 22. maddesinin 2. fıkrasının, 25. maddesinin 2., 3. ve 4. fıkralarının, 29. maddesinin birinci fıkrasının (f)...

BOZMA
2021/333

“Bir sigorta şirketi tarafından işlenen kişisel verilerin üçüncü kişiye aktarılması ve ilgili kişiye veri aktarımına ilişkin aydınlatma yapılmaması” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, trafik kazasi sonrasi kasko policesi kapsaminda hasar dosyasi acildigini, ancak aracinin pert sureci islemlerinin bilgisi ve onay olmadan ucuncu bir sirkete aktarildigini sikayet etmistir. Veri sorumlusu sigorta sirketi, sovtaj yonetimi hizmetleri kapsaminda ucuncu kisi sirketle sozlesme imzaladigini ve kisisel verilerin sozlesmenin ifasi icin aktarildigini savunmustur. Kurul, aktarimin Kanun'un 8'inci maddesi kapsaminda sozlesmenin ifasi ile ilgili oldugunu, aydinlatma metninde bu hususun belirtildigini tespit ederek sikayetin reddine karar vermistir.

§ İlke Kararı
2021/311

“Bir kozmetik şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 25.03.2021 tarih ve 2021/311 sayılı Karar Özeti

Veri sorumlusu e-ticaret sitesinde yeni bir kampanya nedeniyle yuksek erisim yasanmis, veri isleyen tarafindan eklenen yeni sunucularda DDos koruma fonksiyonunun hatali calismasi sonucunda 48 dakika boyunca uye girisi yapan musterilere rastgele diger uyelerin profil bilgileri (ad-soyad, e-posta, adres) gorunur olmustur. Kurul, fonksiyonun canli ortama alinmadan once yeterli test yapilmadan uygulamaya konuldugunu, sitenin yogun oldugu saatlerde degisiklik yapildigini ve kisisel verilerin sifreleme/maskeleme ile korunmadigini tespit etmistir. Kanun'un 12'nci maddesinin (1) numarali fikrasi kapsaminda gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkinda Kanun'un 18'inci maddesi uyarinca 200.000 TL idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺200.000
2021/242

“İlgili kişinin kişisel verilerinin bir tur şirketi tarafından üçüncü kişilerle paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun 18/03/2021 tarihli ve 2021/242 sayılı Karar Özeti

Ilgili kisi, bir tur sirketinden tatil paketi satin aldiktan sonra paylastigi kisisel verilerinin ucuncu bir kisiye aktarildigini ve mahkeme dosyasina sunuldugunu sikayet etmistir. Veri sorumlusu, tum satis kanallarindan yapilan rezervasyonlarin tek bir satis altyapisinda saklandigini, log kayitlarinin tutuldugunu ve ilgili kisinin verilerinin hicbir sekilde ucuncu kisilerle paylasilmadigini savunmustur. Kurul, log kayitlarini inceleyerek veri sorumlusunun ilgili kisinin verilerini Kanun'a aykiri sekilde ucuncu kisilerle paylastigina dair yeterli delil bulunmadigini belirlemis ve sikayetin reddine karar vermistir.

✓ İhlal Yok
2021/241

“Ölenin sigorta poliçesine yasal mirasçısının erişim talebinin sigorta şirketi tarafından reddedilmesi” hakkında Kişisel Verileri Koruma Kurulunun 18/03/2021 tarihli ve 2021/241 sayılı Karar Özeti

Sikayetci, olen esinin hayat sigortasi policesisnin, is kazasi nedeniyle yapilmasi gereken odeme miktarinin tespiti icin gerekli oldugunu, ancak veri sorumlusu sigorta sirketi tarafindan ozel vekaletname gerektiği gerekçesiyle policenin verilmedigini sikayet etmistir. Kurul, muteveffanin Grup Hayat Sigortasi Policesi kapsaminda sigortali oldugunu, sigorta teminatinin tamaminin murislere odendigini, muteveffanin taraf olmadigi Grup Sigortasi Sozlesmesi'nin paylasilma yukumlulugu bulunmadigini tespit etmistir. Sikayetcinin policenin tam metnini sigorta ettiren bankadan veya yargi yoluyla talep edebilecegi degerlendirilerek sikayetin reddine karar verilmistir.

✓ İhlal Yok
Danıştay 10. Daire
E. 2019/7092 K. 2021/1182

Danıştay Kararı - 10. Daire (E. 2019/7092)

Açıklanan nedenlerle; 1\. Konusu kalmayan dava hakkında karar verilmesine yer olmadığına, 2\. Davalı idare tarafından davanın açılmasına sebebiyet verilmiş olması nedeniyle kararın verildiği tarihte yürürlükte olan Avukatlık Asgari Ücret Tarifesine göre belirlenen ... TL avukatlık ücretinin ve aşağıda dökümü yapılan toplam ... TL yargılama giderinin davalı idarelerden alınarak davacıya verilmesine, 3\. Posta giderleri avansından artan tutarın kararın kesinleşmesinden sonra davacıya iadesine,...

DİĞER
2021/230

“İlgili kişinin kişisel verisinin kamu kurumu personeli olarak görev yapan eski eşi tarafından sorgulanarak elde edilmesi ve adli makamlar ile paylaşılması” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, kamu kurumu personeli olan bosanma surecindeki esinin, gorev geregi eristigi SGK sisteminden T.C. kimlik numarasi ile maas bilgilerini sorguladigini ve bosanma davasinda mahkeme ile paylaştığını sikayet etmistir. Kurul, ilgili personelin evlilik devam ederken ve esinin bilgisi dahilinde sorgulama yaptigini beyan ettigini ancak sistemin amaci disinda kullanildigini, bunun veri isleme ilkelerine aykiri oldugunu tespit etmistir. Ilgili personelin Il Mudurlugu tarafindan yazili olarak uyarildigi belirtilmis, veri sorumlusu kamu kurumunun erisim yetkilerini gozden gecirmesi ve gerekli tedbirleri almasi yonunde talimat verilmesine karar verilmistir.

⚖ Disiplin
2021/238

"Veri Sorumluları Siciline Kayıt Tarihlerinin Uzatılması İle İlgili Kişisel Verileri Koruma Kurulunun 11/03/2021 Tarihli ve 2021/238 Sayılı Kararı

COVID-19 salgini nedeniyle yasanan zorluklar gerekce gosterilerek cesitli veri sorumlulari, ust kuruluslar ve kamu kurumlari tarafindan Veri Sorumlulari Sicili'ne (VERBİS) kayit surelerinin uzatilmasi talep edilmistir. Kurul, yillik calisan sayisi 50'den cok veya yillik mali bilanco toplami 25 milyon TL'den cok olan veri sorumlulari, ana faaliyet konusu ozel nitelikli kisisel veri isleme olan veri sorumlulari ve kamu kurum ve kuruluslari icin Sicile kayit yukumlulugunu yerine getirme suresinin 31.12.2021 tarihine kadar uzatilmasina oybirligi ile karar vermistir.

§ İlke Kararı
2021/228

“Hukuk Bürosu tarafından ilgili kişinin kişisel verilerinin muhatabı ve tarafı olmadığı icra takibi ile ilgili işlemlerde hukuka aykırı olarak işlenmesi ve icra dosyasına ilişkin ilgili kişinin

Ilgili kisi, taraf olmadigi bir icra dosyasi ile ilgili telekomunkasyon sirketi adina hareket eden hukuk burosu tarafindan telefon numarasina mesajlar gonderildigini, her iki tarafa yaptigi basvuruya yasal surede cevap alamadigini sikayet etmistir. Kurul, avukatin muvekkili ile arasindaki vekalet sozlesmesi kapsaminda ayri bir veri sorumlusu sifatini haiz oldugunu, borclu sirketin ortagi olarak Ticaret Sicil Gazetesi'nden ilgili kisinin ismini ogrendigini ve BTK yetkilisi bir kurulustan telefon numarasina ulastigini tespit etmistir. Avukatin Kanun'un 5'inci maddesinin (2) numarali fikrasinin (e) bendi kapsaminda bir hakkin tesisi icin veri islemesinin meşru sayilabilecegine, ancak Kanun'un 10'uncu maddesi kapsaminda aydinlatma yukumlulugunu yerine getirmesi gerektigi yonunde talimat verilmesine karar verilmistir.

⚠ Talimat
2021/227

“Bir eğitim kurumu tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili numaraya reklam içerikli SMS gönderilmesi” hakkında Kişisel

Ilgili kisi, bir egitim kurumu tarafindan cep telefonuna acik rizasi olmaksizin reklam/bildirim amacli SMS gonderildigini sikayet etmistir. Yapilan incelemede, SMS gonderiminin isim hakki sozlesmesi kapsaminda faaliyet gosteren baska bir sirket tarafindan gerceklestirildigini, bu sirketin telefon numarasini anket yapan firmalardan aldigini beyan ettigi tespit edilmistir. Kurul, ilgili kisinin telefon numarasinin ucuncu bir kisi tarafindan anket formuna sehven girildigini, veri sorumlusunun acik rizanin alindigina dair ispat yukumlulugunu yerine getiremedigini belirleyerek Kanun'un 18'inci maddesi uyarinca idari para cezasi uygulanmasina karar verilmistir.

⚠ Talimat
2021/205

“İşten çıkarma sürecinde veri sorumlusu işveren tarafından ilgili kişinin kişisel verilerinin hukuka aykırı olarak işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 09/03/2021 tarihli ve 2021/205

Ilgili kisi, is sozlesmesinin feshedilmesi surecinde sahsi esyalarina el konuldugunu, sirket bilgisayarinin ve kisisel harici hard diskinin alindigini, e-postalarinin incelendigini ve sifreleri ile banka bilgilerinin ekrana yansitildigini sikayet etmistir. Kurul, ilgili kisinin ayni iddialari daha once is mahkemesinde dava konusu yaptigini ve mahkemenin bu iddialari hakli bulmadigini, davalarin halen istinaf asamasinda oldugunu tespit etmistir. Dilekce Hakkinin Kullanilmasina Dair Kanun'un 6'nci maddesinin (b) bendi kapsaminda konunun yarginin gorev alanina girdigi degerlendirilerek Kurul'un bu konuda karar almasina yer olmadigina karar verilmistir.

✓ İhlal Yok
2021/190

“Bankacılık sektöründeki veri sorumlusunun veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 04.03.2021 tarih ve 2021/190 sayılı Karar Özeti

Bir bankanin sube calisaninin, musteri sikayet uzerine yapilan incelemede, kendisine tanimlanan Musteri Bilgileri ve Belgeleri gozlem yetkisini amaci disinda kullanarak bir musterinin kimlik goruntusunu sahsi cep telefonu ile fotograflayip ucuncu kisiyle paylastigi tespit edilmistir. Kurul, calisanlarin sinirsiz sayida musteri bilgisi sorgulayabildigini, sorgulama kota limitlerinin ihlalden sonra getirildigini ve verilen egitimler ragmen calisanin rol ve sorumluluklari hakkinda farkindaliginin saglanamdigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 100.000 TL idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺100.000
2021/187

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 04.03.2021 tarih ve 2021/187 sayılı Karar Özeti

Veri sorumlusu emeklilik sirketi, bilgi sistemleri hizmeti aldigi veri isleyende meydana gelen sistemsel hata nedeniyle 28 musteri sirkete, diger 31 musteri sirketin calisanlarina ait kisisel verileri iceren raporlari hatali sekilde gondermistir. Kurul, ihlalin 2018 yilinda gerceklesmesine ragmen 2020 yilinda tespit edildigini, uygulama yaziliminda gerekli kontrollerin yapilmadigini ve veri guvenliginin takibinin saglanmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 125.000 TL idari para cezasi uygulanmasina ve ilgili kisilere yapilacak bildirimlerin Kurulun 2019/271 sayili Kararina uygun olmasi yonunde talimat verilmesine karar verilmistir.

₺ Para Cezası
₺125.000
AYM Norm Denetimi Genel Kurul
E. 2016/150 K. 2017/179

Cumhurbaşkanlığı Kararnamesi ile İletişim Başkanlığına bilgi isteme yetkisi verilmesinin anayasallığı incelenmiş, kişisel verilerin korunmasına ilişkin mevzuat hükümlerinin uygulanmasını engelleyen bir düzenleme olmadığı değerlendirilmiştir.
2021/140

“Belediyeler tarafından sunulan internet hizmetleri”ne ilişkin Kişisel Verileri Koruma Kurulunun 25/02/2021 tarih ve 2021/140 sayılı Karar Özeti

Kararda, ilgili kisinin kisisel verilerinin islenmesine iliskin sikayeti incelenmistir. Kurul, veri sorumlusunun savunmasini ve ileri surulen iddialari Kanun huumleri cercevesinde degerlendirmis, kisisel verilerin islenmesinin hukuki temelini incelemistir. Yapilan degerlendirmeler sonucunda karar verilmistir.

⚠ Talimat
2021/154

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 25.02.2021 tarih ve 2021/154 sayılı Karar Özeti

Veri sorumlusu sigorta acentesinin eski bir calisaninin, gorev geregi eristigi 544 musteriye ait kimlik, iletisim ve arac plaka numaralarini kurumsal e-posta adresinden sahsi gmail hesabina gonderdigi ve sonrasinda yeni isyerine aktardigi tespit edilmistir. Kurul, DLP sistemlerinin dogru yapilandirilmadigi, log kayitlarinin duzenli kontrol edilmedigi ve calisana verilen kisisel veri koruma egitimlerinin tamamlanmadan isten ayrilmasina izin verildigi icin veri guvenligine yonelik gerekli teknik ve idari tedbirlerin alinmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 150.000 TL idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺150.000
2021/111

“İlgili kişinin telefon numarası bilgisinin farklı veri sorumluları tarafından hukuka aykırı olarak işlenmesi”ne ilişkin Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli ve 2021/111 sayılı Karar

İlgili kişi, yakınına ait borca ilişkin cep telefonuna SMS gönderildiğini şikayet etmiştir. İncelemede, borç tahsilatı için kullanılan Yasal Takip Sistemine ilgili kişinin telefon numarasının ilk Hukuk Bürosu çalışanı tarafından girildiği ve ikinci Hukuk Bürosu tarafından bu numaraya SMS gönderildiği tespit edilmiştir. Kurul, her iki Hukuk Bürosu Avukatının veri sorumlusu sıfatını haiz olduğunu, alacaklı Şirketin ise verilerin doğruluğunu denetlemeden paylaştığını değerlendirerek ilk Avukata 50.000 TL, Şirkete 115.000 TL ve SMS gönderen ikinci Avukata 50.000 TL olmak üzere toplam 215.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺215.000
2021/115

“Bankaya olan borcundan dolayı ilgili kişinin yakınına Bankanın sözleşmeli avukatı tarafından ilgili kişinin borç bilgisinin iletilmesi” hakkında Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli

İlgili kişi, bankaya olan borcu nedeniyle kız kardeşinin cep telefonunun banka avukatı tarafından aranarak ve SMS gönderilerek kişisel verilerinin hukuka aykırı paylaşıldığını şikayet etmiştir. Kurul, kız kardeşinin telefon numarasının banka sistemine açık rıza olmadan kaydedildiğini ve Yasal Takip Sisteminde avukat ile paylaşıldığını tespit etmiştir. Bankanın borçlu dışındaki kişilerin verilerini avukat ile paylaşmasının hukuka aykırı olduğu değerlendirilerek bankaya 175.000 TL idari para cezası uygulanmış, numaranın borçluya ait olmadığını bilemeyecek durumda olan avukat hakkında ise yapılacak işlem olmadığına karar verilmiştir.

₺ Para Cezası
₺175.000
Yargıtay 19. Ceza Dairesi
E. 2020/4751 K. 2021/1235

Beraatle sonuçlanan yargılamaya ilişkin internet haberlerinin unutulma hakkı kapsamında erişiminin engellenmesi talebi; kişilik hakları ile basın özgürlüğü arasındaki dengenin gözetilmesi gerektiğine hükmedilmiştir.

BOZMA
2021/85

“İlgili kişinin Kanunun 11 nci maddesi kapsamındaki başvurusuna veri sorumlusu tarafından verilen cevabın yeterli bulunmaması” hakkında Kişisel Verileri Koruma Kurulunun 03/02/2021 tarihli ve 2021/85

Şikayette, bir e-ticaret sitesinden alışveriş yapan ilgili kişinin aydınlatma yükümlülüğünün gereği gibi yerine getirilmediği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde yer alan "Kişisel Veriler Politikası" metninin Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesinin (g), (ğ) ve (j) bentlerine aykırı olduğunu tespit etmiştir. Karar kapsamında Kanun'un 10. maddesi uyarınca aydınlatma yükümlülüğünün usulüne uygun yerine getirilmesi ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusu talimatlandırılmıştır.

⚠ Talimat
2021/78

“Telekomünikasyon hizmetleri sunan bir veri sorumlusunun ürün satışı esnasında müşterilerinin pasaport fotoğraflarını çekerek depolaması hakkında Kişisel Verileri Koruma Kurulunun 03/02/2021 tarihli

Kuruma yapilan ihbarda, veri sorumlusunun Istanbul Havalimani subesinde dis hatlara gelen yolculara kontorlü hat satisi yapilirken musteri pasaport fotograflarinin rizasi olmadan cekilip whatsapp grubunda depolandigi ve ucuncu kisilerle paylasildiginin iddia edildigi, ihbarcinin eski calisan olarak bu gruplara uye oldugu belirtilmistir. Veri sorumlusu, sistem uzerinde yapilan her islemin telekomunkasyon sirketi tarafindan kontrol edildigini, sahsi telefonlarin magazada kullaniminin yasak oldugunu savunmustur. Kurul, veri sorumlusunun calisanlarini kisisel verilerin korunmasi konusunda bilgilendirdigini, ancak calisanlarin bu kurallara uygun davranmadiginin tespit edildigini, veri sorumlusunun gerekli teknik ve idari tedbirleri aldigini belirleyerek sikayetin reddine karar vermistir.

⚠ Talimat
2021/84

“Veri sorumlusu sabit telefon hizmeti sağlayan işletmeci tarafından bir hastanenin müşterilerinin kişisel verilerinin hukuka aykırı olarak işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun

Kuruma intikal eden bir şikâyette; başvuru sahibi Hastanenin, kendilerine başvuran hastalarla iletişim kurmak amacıyla kayıt altına alınan telefon numaraları üzerinden hastalara SMS gönderilmesi için sabit telefon hizmeti sağlayan bir işletmeci (1. 125.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺125.000
2021/79

“Veri sorumlusu banka tarafından ilgili kişinin verilerinin yakınları ile paylaşılması hakkında” Kişisel Verileri Koruma Kurulunun 03/02/2021 tarihli ve 2021/79 sayılı Karar Özeti

Ilgili kisi, kredi karti borcuna iliskin banka tarafindan ablasi ve babasina ait telefon numaralarinin arandigini, ailelerinin iletisim bilgilerine nasil ulasildigi ve kisisel verilerinin ucuncu kisilerle neden paylasildigini sikayet etmistir. Banka, ilgili kisiye ulasilamadigi durumlarda Risk Merkezi'nden elde edilen alternatif numaralardan arandigini, yapilan gorusmelerde sadece geri arama notu birakildigini, ilgili kisinin talebi uzerine bu numaralardan aranmama kaydinin olusturuldugunu savunmustur. Kurul, verilerin Risk Merkezi'nden yasal duzenlemeler cercevesinde elde edildigini, ancak ucuncu kisilerin aranmasinin Kanun'a uygun olup olmadiginin degerlendirilmesi gerektigi ve ilgili kisinin talebinin karsilanmis oldugu dikkate alinarak sikayetin reddine karar vermistir.

⚖ Disiplin
İlk Derece İstanbul 10. Asliye Ticaret Mahkemesi
E. 2020/616 K. 2021/64

İstanbul 10. Asliye Ticaret Mahkemesi (E. 2020/616)

Anonim şirket azınlık pay sahibinin TTK m.437 kapsamında bilgi alma ve inceleme hakkı talebi. Davacı, yönetim kurulundan personel maaş bordroları ve genel kurul katılımcı listelerini talep etmiştir. Mahkeme, davacının genel kurulda bu talepleri ileri sürmediğini, hak düşürücü sürenin geçtiğini, istenen bilgilerin 6698 sayılı KVKK kapsamında korunan kişisel veriler olduğunu ve KAPta yayınlandığını tespit ederek davayı usulden reddetmiştir.

✗Ret
2021/32

“İlgili kişinin kişisel verilerinin bilgisi dışında veri sorumlusu banka nezdinde sorgulanması” hakkında Kişisel Verileri Koruma Kurulunun 12/01/2021 tarihli ve 2021/32 sayılı Karar Özeti

Ilgili kisi, bosanma davasinda esi tarafindan kendisine ait karsiliksiz cek bilgilerinin ve tedbir kararlarina iliskin bilgilerin Banka uzerinden sorgulanarak mahkemeye sunuldugunu sikayet etmistir. Banka, sube calisani olan diger esin gorevinden kaynaklanan yetkisini amaci disinda kullandigini tespit ederek disiplin sureci baslattigini, ancak musterilerin birbirini tanimasi nedeniyle Banka sistemlerinden sorgulanmanin onlenemeyecegini savunmustur. Kurul, sorunun tespit edilip gerekli islemlerin yapildigini ve ilgili kisinin ayni iddialari yargi yoluna tasimis olmasini degerlendirerek Kanun kapsaminda yapilacak islem bulunmadigina karar vermistir.

⚠ Talimat
Danıştay 10. Daire
E. 2019/10118 K. 2021/43

Danıştay Kararı - 10. Daire (E. 2019/10118)

Dava konusu istem: Davacı Sendika tarafından, EGO Genel Müdürlüğü bünyesindeki kamu çalışanlarının faaliyet gösterdiği servislerde uygulanan kameralı takip sistemine son verilmesi istemiyle yapılan başvurunun reddine ilişkin ... tarih ve ... sayılı işlemin iptali istenilmektedir. İlk Derece Mahkemesi kararının özeti: ... İdare Mahkemesinin ... tarih ve E: ..., K: ... sayılı kararıyla; kamu hizmeti görevini yerine getiren memur ve diğer kamu görevlilerinin kamuya sunulan bu faaliyeti ifa...

BOZMA
Danıştay 10. Daire
E. 2019/7049 K. 2020/7089

Danıştay Kararı - 10. Daire (E. 2019/7049)

Açıklanan nedenlerle; 1\. 22/03/2017 tarih ve 30015 sayılı Resmî Gazete'de yayımlanan Özel Hastaneler Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmeliğin 26. maddesi ile değiştirilen asıl Yönetmeliğin 49. maddesinin 4. fıkrasının İPTALİNE oyçokluğuyla, 2\. Anılan Yönetmeliğin 26. maddesi ile asıl Yönetmeliğin 49. maddesinin 1. fıkrasına eklenen, "merkezi tıbbi arşivin hastane bünyesinde bulunması zorunlu değildir." ibaresi ve 36. maddesi ile değiştirilen asıl Yönetmeliğin ek 5....

DİĞER✓
Danıştay 10. Daire
E. 2019/7114 K. 2020/7147

Danıştay Kararı - 10. Daire (E. 2019/7114)

Açıklanan nedenlerle; 1\. 12/12/2017 tarihli ve 30268 sayılı Resmî Gazete'de yayımlanan Ayakta Teşhis ve Tedavi Yapılan Özel Sağlık Kuruluşları Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmeliğin 4. maddesi ile değiştirilen asıl Yönetmeliğin 27. maddesinin 8. fıkrasının İPTALİNE oyçokluğuyla, 2\. Anılan Yönetmeliğin; 3. maddesi ile değiştirilen asıl Yönetmeliğin 19. maddesinin 3. fıkrası, 5. maddesi ile değiştirilen asıl Yönetmeliğin ek 1. maddesinin 16. fıkrası; 5. maddesi ile asıl...

DİĞER✓
2020/966 İlke Kararı

Üçüncü Kişilere Ait Kişisel Verilerin Kanuna Aykırı Şekilde İletişim Kanallarına Gönderilmesi Hakkında İlke Kararı

Fatura, ekstre gibi kişisel veri içeren dokümanların SMS/e-posta ile gönderiminde, ilgili kişilerin beyan ettiği iletişim bilgilerinin doğruluğunun teyit edilmesi gerektiğine, aksi halde üçüncü kişilere veri aktarımının Kanun'a aykırılık oluşturacağına dair ilke kararı verilmiştir.

§ İlke Kararı
Danıştay 13. Daire
E. 2018/2910 K. 2020/3772

Danıştay Kararı - 13. Daire (E. 2018/2910)

Açıklanan nedenlerle; 1. DAVANIN REDDİNE, 2. Ayrıntısı aşağıda gösterilen toplam ...-TL yargılama giderinin davacı üzerinde bırakılmasına, 3. Avukatlık Asgari Ücret Tarifesi uyarınca ...-TL vekâlet ücretinin davacıdan alınarak davalı idareye verilmesine, 4. Posta gideri avansından artan tutarın kararın kesinleşmesinden sonra davacıya iadesine, 5. Bu kararın tebliğ tarihini izleyen 30 (otuz) gün içerisinde Danıştay İdari Dava Daireleri Kurulu'na temyiz yolu açık olmak üzere,...

DİĞER✗
2020/957

“Bir ilaç şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 15/12/2020 tarih ve 2020/957 sayılı Karar Özeti

Güvenlik seviyesini artırmak amacıyla yeni sunucuya geçiş sürecinde sistem parametreleri optimize edilmediğinden 337 çalışanın maaş bordrosu yanlış çalışanlara e-posta ile gönderilmiştir. İhlalin gerçekleşmesinden 13 dakika sonra tespit edildiği ve 2 saat içinde sonlandırıldığı görülmüştür. Kurul, ihlalin kısa sürede tespit ve giderildiğini, çalışanlar arasında gerçekleştiğinden olumsuz etki riskinin düşük olduğunu değerlendirerek yapılacak işlem olmadığına, ancak 72 saat içinde bildirim yapılmadığından daha dikkatli olunması talimatı vermiştir.

⚠ Talimat
2020/935

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 08/12/2020 tarih ve 2020/935 sayılı Karar Özeti

Sigorta şirketinin çağrı merkezi çalışanı, sağlık yenileme talebinde bulunan bir müşteriye sehven başka bir müşterinin poliçe muafiyet bildirimini göndermiştir. DLP sistemi kontrolleri sırasında tespit edilen ihlalden 1 kişinin kimlik, iletişim ve sağlık verileri etkilenmiştir. Kurul, ihlalin 72 saat içinde Kurula bildirildiğini ve ilgili kişiye bildirim yapılacağını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına, ancak sehven gönderilen verilerin silindiğine dair belge sunulması talimatı vermiştir.

✓ İhlal Yok
2020/934

“Enerji sektöründe faaliyet gösteren veri sorumlusunun veri ihlali bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 08/12/2020 tarih ve 2020/934 sayılı Karar Özeti

Veri sorumlusunun kurum içi arşiv platformunda, eğitim sorumlusu çalışanın kullanıcı listesini ortak klasörde saklaması sırasında sehven şifre bilgilerinin de görünür hale gelmesiyle veri ihlali gerçekleşmiştir. İhlalden 2 kişi etkilenmiş, 8 kullanıcı tarafından erişilebilmiş ve dosya ivedilikle kaldırılmıştır. Kurul, ihlalin 72 saat içinde bildirilmemesine rağmen çok uluslu yapı dikkate alınarak makul sürede bildirim yapıldığını, gerekli tedbirlerin alındığını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına ve ilgili kişilere bildirim yapılması konusunda daha dikkatli olunması talimatı vermiştir.

§ İlke Kararı
2020/927

“Unutulma hakkı kapsamında ilgili kişinin arama motorunda adı ve soyadı ile bağlantılı sonuçların kaldırılması talebi”ne ilişkin Kişisel Verileri Koruma Kurulunun 08/12/2020 tarihli ve 2020/927 sayılı

Üniversite öğretim üyesi olan ilgili kişi, aile yakınının işe alınmasına ilişkin sosyal medyada yayınlanan haberlerin arama motorundan kaldırılmasını talep etmiştir. Kurul, 2020/481 sayılı Kararında belirlenen kriterleri uygulayarak, ilgili kişinin kamusal alanda görev yapması, haberlerin güncel ve gazetecilik faaliyeti kapsamında olması, bilginin özel nitelikli kişisel veri taşımaması ve suç içermemesi değerlendirmelerini yapmıştır. Arama motorunun indeksten çıkarmayı reddetme işleminin yerinde olduğuna, haberlerin gerçeği yansıtmadığı iddiasının ise yargı mercilerine taşınması gerektiğine karar verilmiştir.

✓ İhlal Yok
2020/915

“Belediyede memur olarak görev yapan ilgili kişinin, veri sorumlusu bünyesinde işe giriş çıkış takibinin biyometrik veri işlenerek yapılması” hakkında Kişisel Verileri Koruma Kurulunun 01/12/2020

Belediye personeli olan ilgili kişi, mesai kontrolü için parmak izinin alınmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, Danıştay kararlarına da atıfla, üstün güvenlik önlemi gerektirmeyen alanlarda mesai kontrolü için parmak izi alınmasının ölçülülük ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun alternatif yöntemler (sicil numarası, şifreli giriş, ıslak imza) kullanabildiği dikkate alınarak biyometrik veri işleme sisteminin kaldırılması, mevcut verilerin imha edilmesi ve disiplin hükümlerinin işletilmesi talimatı verilmiştir.

⚖ Disiplin
Danıştay İDDK
E. 2020/937 K. 2020/2778

Danıştay Kararı - İDDK. (E. 2020/937)

E:2014/5529, K:2019/4587 sayılı kararının iptale ilişkin kısmının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: 22/12/2012 tarih ve 28505 sayılı Resmi Gazete'de yayımlanan ... tarih ve ... sayılı Bakanlar Kurulu kararı ile yürürlüğe konulan Sporda Şiddet ve Düzensizliğin Önlenmesine Dair Kanunun Uygulanmasına İlişkin Yönetmeliğin 6., 11. ve 21. maddelerinin iptali istenilmiştir. Daire kararının özeti: Danıştay Onuncu Dairesinin 30/05/2019 tarih ve E:2014/5529,...

BOZMA
Danıştay 10. Daire
E. 2017/4211 K. 2020/5468

Danıştay Kararı - 10. Daire (E. 2017/4211)

Açıklanan nedenlerle; 1\. 28/10/2017 tarih ve 30224 sayılı Resmi Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 7. maddesinin 1. ve 5. fıkrasının, 8. maddesinin 2. fıkrasının, 9. maddesinin 2. fıkrasının, 10. maddesinin 3. fıkrasının, 11. maddesinin ve 12. maddesinin 1. fıkrasının (a) bendinin "Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; veri sorumlusu talebe konu kişisel verileri siler, yok eder ve veya...

DİĞER✗
BAM İstanbul BAM - 41. Hukuk Dairesi
E. 2020/1833 K. 2020/1649

İstanbul BAM - 41. Hukuk Dairesi (E. 2020/1833)

DAVANIN KONUSU: Tespit (İşe İade İstemli) Lüleburgazİş Mahkemesi' nin 07/05/2020 tarih ve 2019/404 Esas- 2020/179 Karar sayılı kararına karşı istinaf kanun yoluna başvurulması üzerine dosyanın dairemize tevzi edildiği anlaşılmakla, dosya ve ekleri incelendi. TALEP: Davacı vekili dava dilekçesinde özetle; davacının 10.11.2004 - 04.10.2019 tarihleri arasında son 11 yılı mağaza sorumlusu olarak 15 yıl sürekli çalıştığını, 04.10.2019 Cuma günü bölge sorumluları K1 ve K2'ın çalıştığım...

GERİ✓
2020/905

“Bir sigorta şirketinin kişisel veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 24.11.2020 tarih ve 2020/905 sayılı Karar Özeti

Sigorta şirketinin test sunucusuna siber saldırı gerçekleştirildiğine ve 311 kişinin T.C. kimlik no, isim ve e-posta bilgilerinin etkilendiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, test sunucusunun sızma testlerine dahil edilmediğini, zayıf parola kullanıldığını, test için gerçek veri işlendiğini ve SSL VPN gibi güvenlik önlemlerinin alınmadığını tespit etmiştir. Teknik tedbirlerin yetersizliği nedeniyle 300.000 TL, 72 saatlik bildirim süresine uyulmaması ve ilgili kişilere bildirim yapılmaması nedeniyle 30.000 TL olmak üzere toplam 330.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺330.000
Danıştay İDDK
E. 2019/2365 K. 2020/2461

Danıştay Kararı - İDDK. (E. 2019/2365)

veE:2015/2532, K:2019/1429 sayılı kararının iptale yönelik kısmının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem:28/03/2015 tarih ve 29309 sayılı Resmî Gazete'de yayımlanan Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliğinde Değişiklik Yapılmasına İlişkin Yönetmeliğin 22. maddesiyle Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliği'ne eklenen "Serbest Tüketici Veri Tabanı" başlıklı 30/B maddesinin iptali istenilmiştir. Daire kararının özeti: Danıştay Onüçüncü...

ONAMA
Danıştay İDDK
E. 2019/2983 K. 2020/2462

Danıştay Kararı - İDDK. (E. 2019/2983)

veE:2015/2587, K:2019/1430 sayılı kararının aleyhlerine olan kısımlarının temyizen incelenerek bozulması taraflarca karşılıklı olarak istenilmektedir. Dava konusu istem: 28/03/2015 tarih ve 29309 sayılı Resmî Gazete'de yayımlanan Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliğinde Değişiklik Yapılmasına İlişkin Yönetmeliğin 22. maddesiyle Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliği'ne eklenen "Serbest Tüketici Veri Tabanı" başlıklı 30/B maddesinin iptaliistenilmiştir. **Daire...

K.BOZMA
Danıştay İDDK
E. 2019/2278 K. 2020/2460

Danıştay Kararı - İDDK. (E. 2019/2278)

veE:2015/2767, K:2019/1431 sayılı kararının iptale yönelik kısmının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem:28/03/2015 tarih ve 29309 sayılı Resmî Gazete'de yayımlanan Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliğinde Değişiklik Yapılmasına İlişkin Yönetmeliğin 22. maddesiyle Elektrik Piyasası Dengeleme ve Uzlaştırma Yönetmeliği'ne eklenen "Serbest Tüketici Veri Tabanı" başlıklı 30/B maddesinin iptaliistenilmiştir. Daire kararının özeti:Danıştay Onüçüncü...

ONAMA
Danıştay 12. Daire
E. 2019/1428 K. 2020/3658

Danıştay Kararı - 12. Daire (E. 2019/1428)

VEKİLİ: Av. ... DİĞER DAVALI: ... Başkanlığı / ... KARŞI TARAF (DAVACI): ... VEKİLİ: Av. ... sayılı kararının onanmasına dair Danıştay Onikinci Dairesinin 14/11/2018 tarih ve E:2016/3765, K:2018/5226 sayılı kararının; 2577 sayılı İdari Yargılama Usulü Kanunu'nun Geçici 8. maddesi uyarınca uygulanmasına devam edilen 3622 sayılı Kanun ile değişik 54. maddesi uyarınca düzeltilmesi istenilmektedir. Dava konusu istem: Dava, Edirne Açık Ceza İnfaz Kurumu'nda infaz ve koruma...

ONAMA
Danıştay İDDK
E. 2019/3003 K. 2020/2056

Danıştay Kararı - İDDK. (E. 2019/3003)

E:2015/11124, K:2019/1305 sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: Serbest muhasebeci mali müşavir olan davacı tarafından, 13/12/2013 tarih ve 28850 sayılı Resmi Gazete'de yayımlanan "Haksız Rekabetle Mücadele Yazılımının Meslek Mensuplarınca Kullanılması Hakkında Mecburi Meslek Kararı" başlıklı düzenlemenin 1, 3, 5, 6, 7, 8, 9 ve 10. maddelerinin iptali istenilmiştir. Daire kararının özeti: Danıştay Sekizinci Dairesinin 25/02/2019 tarih ve...

ONAMA
Yargıtay 19. Ceza Dairesi
E. 2019/28161 K. 2020/13552

5651 sayılı Kanun kapsamında internet ortamindaki yayinlarin düzenlenmesi ve kisilik haklarina saldiri iddiasi uzerine erisimin engellenmesi taleplerinin değerlendirilmesine ilişkin karar.

BOZMA
2020/816

“Bir teknoloji şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 22/10/2020 tarih ve 2020/816 sayılı Karar Özeti

Mağazada alışveriş yapan müşterinin e-faturası, aynı ad-soyada sahip başka bir müşterinin e-posta adresine gönderilmiştir. CRM sistemindeki telefon numarası karışıklığından kaynaklanan ihlalin ertesi gün tespit edildiği, hatalı e-postanın silinmesi sağlandığı ve ilgili kişiye telefon ile bildirim yapıldığı görülmüştür. Kurul, ihlalden 1 kişinin etkilendiğini ve olumsuz etki riskinin düşük olduğunu değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
Danıştay 2. Daire
E. 2020/847 K. 2020/3028

Danıştay Kararı - 2. Daire (E. 2020/847)

E:2020/12, K:2020/64sayılı kararın, dilekçede yazılı nedenlerle 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesi uyarınca temyizen incelenerek bozulması isteminden ibarettir. Dava Konusu İstem: Dava; Bursa Büyükşehir Belediye Başkanlığında Mali Hizmetler Uzman Yardımcısı olarak görev yapmakta iken, Maliye Bakanlığı Vergi Denetim Kurulu Başkanlığı'nca 11 - 12 Mayıs 2013 tarihlerinde yazılı, 30 Temmuz - 02 Ağustos 2013 tarihleri arasında sözlü bölümü yapılan vergi müfettiş...

BOZMA
Danıştay 10. Daire
E. 2020/4379 K. 2020/3834

Danıştay Kararı - 10. Daire (E. 2020/4379)

Karar özeti mevcut değil.

DİĞER
Danıştay 12. Daire
E. 2019/5658 K. 2020/3136

Danıştay Kararı - 12. Daire (E. 2019/5658)

Dairesinin ... tarih ve E:..., K:... sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: ... İli, ... İlçesi ... İmam Hatip Ortaokulu'nda hizmetli olarak görev yapan davacı tarafından; taklit anahtarla kilit açmak suretiyle hırsızlık suçundan dolayı 2 yıl 3 ay hapis cezası aldığı ve bu kararın Yargıtayca onanarak kesinleşmesi üzerine ... Cumhuriyet Savcılığınca ... tarihli ve ... sayılı dosyası ile cezasının infaz edildiği, bu nedenle 657 sayılı Devlet...

ONAMA
2020/787

“Sağlık sektöründe faaliyet gösteren bir şirketin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 09.10.2020 tarih ve 2020/787 sayılı Karar Özeti

Sağlık sektöründe faaliyet gösteren veri sorumlusunun kullandığı yaygın bir uygulamadaki açıktan yararlanılarak sunucuya zararlı yazılım yüklendiğine dair veri ihlali bildiriminde bulunulmuştur. İhlalden 200 kişinin kimlik, iletişim ve fatura bilgileri etkilenmiştir. Kurul, ihlalin veri sorumlusunun tedbir eksikliğinden kaynaklanmadığını, makul teknik ve idari tedbirlerin alındığını ve ihlale kısa zamanda müdahale edildiğini değerlendirerek ilgili kişilere bildirim yapıldığına dair belge sunulması halinde yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
2020/769

“İlgili kişinin eski çalışanı olduğu şirketi devralan veri sorumlusu şirket tarafından kanuna aykırı veri işleme faaliyetinde bulunulması” hakkında Kişisel Verileri Koruma Kurulunun 08/10/2020 tarihli

Eski çalışan olan ilgili kişi, şirket devri sonrası aydınlatma yapılmadığını, sağlık verilerinin açık rızası olmadan işlendiğini ve ticari elektronik ileti gönderildiğini şikayet etmiştir. Kurul, kişisel verilerin 2014-2015 yıllarında Kanun yürürlüğe girmeden önce işlendiğini, özlük dosyasının İş Kanunu ve Sosyal Sigortalar Kanunu kapsamında tutulduğunu, sağlık verilerinin sır saklama yükümlülüğü altındaki iş yeri hekimi tarafından işlendiğini değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
BİM İstanbul BİM - 7. İdari Dava Dairesi
E. 2020/412 K. 2020/1656

İstanbul BİM - 7. İdari Dava Dairesi (E. 2020/412)

Karar özeti mevcut değil.

DİĞER
2020/765

Bir Banka Tarafından Kurul Kararı ile Verilen Talimatın Gereğinin Yerine Getirilmemesi Hakkında Kişisel Verileri Koruma Kurulu’nun 08/10/2020 Tarihli ve 2020/765 Sayılı Karar Özeti

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin Tebliğ hükümlerine uygun hale getirilmesi talimatı verilmişti. İnceleme sonucunda, bankanın aydınlatma metninde kişisel verilerin hangi işleme şartına dayanılarak işlendiğine ilişkin ayrıntılı bilgiye yer vermediği, sadece Kanun maddelerini sıraladığı tespit edilmiştir. Kurul kararına uyulmaması ve Kanunun 15/5 maddesine aykırı hareket edilmesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺120.000
BİM İstanbul BİM - 7. İdari Dava Dairesi
E. 2020/284 K. 2020/1658

İstanbul BİM - 7. İdari Dava Dairesi (E. 2020/284)

Karar özeti mevcut değil.

DİĞER
2020/766

Bir Banka Tarafından Kurul Kararı ile Verilen Talimatların Gereğinin Yerine Getirilmemesi Hakkında Kişisel Verileri Koruma Kurulu’nun 08/10/2020 Tarihli ve 2020/766 Sayılı Karar Özeti

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin güncellenmesi ve faaliyet bazlı aydınlatma yapılması talimatı verilmişti. İnceleme sonucunda, bankanın yeni bir aydınlatma metni hazırladığı ancak kişisel verilerin hangi işleme şartına dayanılarak işlendiğini ayrıntılı belirtmediği, farklı bankacılık ürünleri için genel nitelikli aydınlatma metni kullandığı tespit edilmiştir. Kurul kararının yerine getirilmemesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺120.000
BİM İstanbul BİM - 7. İdari Dava Dairesi
E. 2020/288 K. 2020/1648

İstanbul BİM - 7. İdari Dava Dairesi (E. 2020/288)

Karar özeti mevcut değil.

DİĞER
2020/763

“İnternetten market alışveriş hizmeti veren veri sorumlusunun veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 01.10.2020 tarih ve 2020/763 sayılı Karar Özeti

Veri sorumlusunun çalışanı, 400 kişilik alıcı grubuna e-posta gönderirken sehven 43 müşterinin e-posta adresini konu satırına eklemiştir. İhlalin tespiti üzerine ilgili kişilere bildirim yapılmış ve hatalı e-postanın imha edilmesi talep edilmiştir. Kurul, ihlalden yalnızca e-posta adreslerinin etkilendiğini, ilgili kişilere bildirim yapıldığını ve 72 saatlik sürede Kurula bildirimde bulunulduğunu değerlendirerek veri sorumlusu hakkında Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
Danıştay 12. Daire
E. 2019/7364 K. 2020/3108

Danıştay Kararı - 12. Daire (E. 2019/7364)

... tarih ve E:..., K:... sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: ...Terörizmle Mücadele Eğitim ve Tatbikat Merkezi Komutanlığında uzman erbaş kursiyeri olan davacı tarafından, güvenlik soruşturmasının olumsuz sonuçlandığından bahisle sözleşmesinin feshedilmesine ilişkin 09.11.2018 tarih ve MRK.Ş.:17217803-1930-2586020-18 sayılı işleminin iptali ile mahrum kaldığı parasal hakların geriye dönük yasal faiziyle birlikte ödenmesine karar verilmesi...

BOZMA
Danıştay 12. Daire
E. 2019/7283 K. 2020/3109

Danıştay Kararı - 12. Daire (E. 2019/7283)

verilen 16/10/2019 tarihli, E:2019/1237, K:2019/994 sayılı kararının temyizen incelenerek bozulması istenilmektedir. Dava konusu istem: Isparta Terörle Mücadele Eğitim ve Tatbikat Merkez Komutanlığı'nda sözleşmeli uzman erbaş kursiyeri olarak eğitim görmekte olan davacı tarafından, güvenlik soruşturmasının olumsuz sonuçlandığından bahisle sözleşmesinin feshedilmesine ilişkin 09.01.2019 tarih ve MRK.Ş.17217803-1930-62803-18 sayılı işleminiptali istenilmiştir. İlk Derece Mahkemesi kararının...

BOZMA
2020/755

“İlgili kişinin aidat borcu bilgisinin site yönetimi tarafından ev sahibine iletilmesi” hakkında Kişisel Verileri Koruma Kurulunun 29/09/2020 tarihli ve 2020/755 sayılı Karar Özeti

Kiracı olan ilgili kişi, aidat borç bilgilerinin site yönetimi tarafından ev sahibiyle paylaşılmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, 634 sayılı Kat Mülkiyeti Kanununun 22. maddesi uyarınca ev sahibi ile kiracının ortak giderlerden müştereken sorumlu olduğunu değerlendirmiştir. Aidat bilgilerinin paylaşılmasının Kanunun 5/2-e bendi kapsamında bir hakkın tesisi, kullanılması veya korunması çerçevesinde gerçekleştirildiğine ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2020/744

“Bir Bankanın veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 29.09.2020 tarih ve 2020/744 sayılı Karar Özeti

Banka çalışanının 346 müşteriye ait kimlik, iletişim ve finans verilerini üçüncü kişiye e-posta ile gönderdiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, DLP sistemlerinin yetersiz kaldığını ve çalışana verilen eğitimin etkin olmadığını tespit etmiştir. Veri güvenliğine ilişkin tedbirlerin yetersizliği nedeniyle 225.000 TL, 72 saatlik bildirim süresine uyulmaması nedeniyle 50.000 TL olmak üzere toplam 275.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺275.000
2020/746

“İlgili kişinin veri sorumlusu ile abonelik sözleşmesi kurma amacıyla gerçekleştirdiği telefon görüşmesi kayıtlarına erişim talebi” hakkında Kişisel Verileri Koruma Kurulunun 29/09/2020 tarihli ve

İlgili kişi, telekomünikasyon şirketinin müşteri hizmetleriyle yaptığı görüşmelerin ses kayıtlarına erişim talebinin reddedildiğini şikayet etmiştir. Kurul, Kanunun 11/1-b maddesi kapsamında bilgi talep etme hakkının erişim hakkını da kapsadığını değerlendirmiştir. Ses kayıtlarının doğrudan verilmesi yerine, üçüncü kişilerin verileri maskelenerek dökümlerinin ilgili kişiye gönderilmesi ve başvuruların süresinde cevaplanması yönünde veri sorumlusunun talimatlandırılmasına karar verilmiştir.

§ İlke Kararı
2020/710

“İcra Müdürlükleri tarafından ilgili kişilerin yakınlarına haciz ihbarnamesi gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 17/09/2020 tarih ve 2020/710 sayılı Karar Özeti

İlgili kişiler, icra takibi esnasında borçlu olmayan akrabalarının kişisel verilerinin İcra Müdürlüğü tarafından paylaşıldığını şikayet etmiştir. Kurul, İcra ve İflas Kanununun 89. maddesi kapsamında borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla haciz ihbarnamesi gönderilmesinin kanuni bir yükümlülük olduğunu tespit etmiştir. Kişisel verilerin işlenmesinin Kanunun 5/2-a bendi kapsamında 'kanunlarda açıkça öngörülme' şartına dayandığına ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2020/715

“Bir e-ticaret şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 17/09/2020 tarih ve 2020/715 sayılı Karar Özeti

Veri sorumlusunun internet sitesinde, başka sitelerden sızdırılmış e-posta ve şifrelerle 832 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, aynı IP adresinden başarısız giriş denemelerinin sınırlandırılması ve şifre değiştirme politikası gibi tedbirlerin ihlalden önce alınması gerektiğini tespit etmiştir. Veri güvenliğini sağlamaya yönelik gerekli teknik tedbirleri almayan veri sorumlusuna Kanunun 18/1-b maddesi uyarınca 165.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺165.000
2020/691

“İlgili kişinin cep telefonu numarasının, açık rızası olmaksızın bir dernek tarafından reklam içerikli SMS gönderimi için işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 10/09/2020 tarihli ve

İlgili kişi, bir derneğin cep telefonuna açık rızası olmaksızın reklam SMS'i gönderdiğini ve bilgi talebine yanıt verilmediğini şikayet etmiştir. Dernek, telefon numarasının muhtemelen önceki SMS bağışından kaldığını ancak açık rıza tespit edemediğini belirtmiştir. Kurul, kişisel verinin hukuka aykırı olarak elde edilip işlendiğini ve başvuruya yanıt verilmediğini tespit ederek idari para cezası uygulamış, telefon numarasının imha edilmesi talimatı vermiştir.

⚠ Talimat
2020/667

“Bir sigorta şirketinin ilgili kişiye vereceği hizmeti açık rıza şartına bağlaması sebebiyle Kuruma iletilen şikâyet” hakkında Kişisel Verileri Koruma Kurulunun 03/09/2020 tarihli ve 2020/667 sayılı

İlgili kişi, sigorta şirketinin sağlık sigortası poliçesini yenilemek için açık rıza talep etmesinin Kanuna aykırı olduğunu şikayet etmiştir. Kurul, sağlık sigortası poliçesinin özel nitelikli kişisel veri olan sağlık verilerini içerdiğini, bu verilerin Kanunun 6/3 maddesi kapsamında işlenemeyeceğini değerlendirmiştir. Sağlık verilerinin işlenmesinin ancak ilgili kişiden açık rıza alınarak gerçekleştirilebileceği, dolayısıyla açık rıza talebinin Kanuna aykırılık teşkil etmediğine karar verilmiştir.

✓ İhlal Yok
2020/649

“Biyometrik imza verisinin kullanılmasına ilişkin görüş talebi” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 27.08.2020 Tarihli ve 2020/649 Sayılı Karar Özeti

Biyometrik imzanın 6098 sayılı Borçlar Kanunu kapsamında değerlendirilip değerlendirilemeyeceği hakkında görüş talep edilmiştir. Kurul, biyometrik imzanın özel nitelikli kişisel veri olan biyometrik veri niteliğinde olduğunu, Borçlar Kanununun 15. maddesindeki imza düzenlemesinin Kanunun 6/3 maddesindeki 'kanunlarda öngörülme' şartını karşılamadığını belirlemiştir. Biyometrik imza kullanımının ancak açık rıza alınması, aydınlatma yapılması ve Kurul tarafından belirlenen özel nitelikli veri güvenlik önlemlerinin alınması şartıyla mümkün olduğu değerlendirilmiştir.

§ İlke Kararı
2020/622

18 yaşını doldurmamış ilgili kişiye ait sağlık raporunun imha edilmesine yönelik ilgili kişinin babası tarafından veri sorumlusuna başvurulması ve cevap alınamaması üzerine ilgili kişinin kendisi

18 yaşından küçük ilgili kişinin babası tarafından veri sorumlusuna başvuru yapılmış, ilgili kişinin kendisi ise Kurula şikayette bulunmuştur. Kurul, kişisel verilerin korunması hakkının kişiye sıkı sıkıya bağlı haklardan olduğunu, ayırt etme gücüne sahip küçüklerin bu hakkı bizzat kullanabileceğini veya velisinin de onun adına kullanabileceğini değerlendirmiştir. Her iki tarafın iradesinin örtüştüğü dikkate alınarak hem küçüğün hem velisinin şikayet hakkını kullanmada yetkili olduğuna ve inceleme başlatılmasına karar verilmiştir.

§ İlke Kararı
2020/608

“İlgili kişinin, bilet satın almamasına karşın bir havayolu şirketinden uçak bileti satın aldığına dair SMS alması” hakkında Kişisel Verileri Koruma Kurulunun 11/08/2020 tarihli ve 2020/608 sayılı

İlgili kişi, havayolu şirketinin mobil uygulamasından başka biri tarafından alınan bilete ilişkin telefon numarasına SMS gönderildiğini şikayet etmiştir. İnceleme sonucunda, telefon numarasının bileti alan kişi tarafından sehven girildiği ve veri sorumlusunun bu durumdan kastı olmaksızın işlem gerçekleştiği tespit edilmiştir. Kurul, telefon numarası doğrulama sistemi bulunmadığından Kanunun 12. maddesine aykırılık oluşmadığına, ancak veri sorumlusunun ilgili kişi başvurularına süresinde cevap vermesi gerektiğine karar vermiştir.

✓ İhlal Yok
2020/567

Bir oyuncak perakendecisi veri sorumlusunun veri ihlal bildirimi hakkında Kişisel Verileri Koruma Kurulunun 22/07/2020 tarih ve 2020/567 sayılı Karar Özeti

Veri sorumlusunun internet sitesinde, başka sitelerden elde edilen kullanıcı adı ve şifrelerle 29 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, veri sorumlusunun iki faktörlü kimlik doğrulama ve güçlü şifre politikası gibi gerekli teknik tedbirleri almadığını tespit etmiştir. Kanunun 12. maddesi kapsamında veri güvenliğini sağlamayan veri sorumlusuna 75.000 TL idari para cezası uygulanmış ve ilgili kişilere usulüne uygun bildirim yapılması talimatı verilmiştir.

₺ Para Cezası
₺75.000
2020/560

Site Yönetimlerine ilişkin 6698 sayılı Kişisel Verilerin Korunması Kanunu ile 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde Kişisel Verileri Koruma Kurulu’nun 22.07.2020 tarihli ve 2020/560 sayılı

Site yönetimlerinin KVKK karşısındaki durumu incelenmiş, kat malikleri kurulunun tüzel kişiliği olmasa da veri sorumlusu olarak kabul edilebileceği değerlendirilmiştir. Kurul, veri sorumlusu kavramının geniş yorumlanması gerektiğini, apartman ve site yönetimlerinde kural olarak kat malikleri kurulunun veri sorumlusu sayılacağını, yöneticinin ise vekil sıfatıyla görev yapabileceğini belirlemiştir. Her somut olayda kişisel veri işleme kararlarını alan ve veri kayıt sistemlerini yöneten birimlerin tespit edilmesi gerektiği vurgulanmıştır.

§ İlke Kararı
2020/559

“Kişisel verilerin 108 sayılı Sözleşme dayanak gösterilerek yurt dışına aktarılması hakkında” Kişisel Verileri Koruma Kurulunun 22/07/2020 tarih ve 2020/559 sayılı Karar Özeti

Otomotiv sektöründe faaliyet gösteren veri sorumlusunun, müşteri kişisel verilerini yurt dışındaki (AB ülkesi) bulut veri tabanına aktardığı tespit edilmiştir. Kurul, 108 sayılı Sözleşmeye taraf olmanın tek başına güvenli ülke statüsü sağlamadığını, yurt dışı aktarım için Kanunun 9. maddesi şartlarının (açık rıza veya taahhütname ve Kurul izni) sağlanmadığını belirlemiştir. Veri sorumlusuna 900.000 TL idari para cezası uygulanmış, hukuka aykırı aktarılan verilerin silinmesi ve aydınlatma metninin güncellenmesi talimatı verilmiştir.

₺ Para Cezası
₺900.000
2020/542

“Aynı gerçek kişinin, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanması hakkındaki görüş talebi” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 16.07.2020

Turkiye'de yerlesik olmayan veri sorumlulari adina VERBİS kaydinda bir gercek kisinin birden fazla veri sorumlusu icin irtibat kisisi olarak atanamadigi hususunda gorunmus talep uzerine inceleme yapilmistir. Kurul, yurt icinde yerlesik veri sorumlulari icin bir gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun olmadigina, ancak veri sorumlusu temsilcisi atanan yurt disinda yerlesik veri sorumlulari icin ayni gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun bulunduguna karar vermistir.

§ İlke Kararı
2020/530

“Bir bankanın veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 09/07/2020 tarih ve 2020/530 sayılı Karar Özeti

Banka personelinin 01.01.2019-05.12.2019 tarihleri arasinda 23 musterinin KKB skorlari ve TCKN bilgilerini WhatsApp uzerinden ucuncu kisiyle paylaştigi tespit edilmistir. Personelin 1.052 kisi icin 10.529 adet KKB sorgulamasi yaparak bolge ortalamasinin cok ustunde oldugu ancak bu durumun ihbar ile ogrenildigi belirenmistir. Kurul, sorgularin sinirlandirilmadigi ve yeterli denetim yapilmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 200.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺200.000
2020/509

İş Yerinde Biyometrik Veri (Parmak İzi) Kullanımı

Kurul, işverenin parmak izi ile giriş-çıkış takibi yapmasını değerlendirmiştir. Değerlendirme: Biyometrik veriler özel nitelikli kişisel veridir (m. 6) İşleme için açık rıza veya m. 6/3'teki şartlardan birinin bulunması gerekir Orantılılık ilkesi gereği daha az müdahaleci alternatifler değerlendirilmelidir Sonuç: Somut olayda çalışanların açık rızası alındığından ve alternatif yöntemler sunulduğundan ihlal tespit edilmemiştir.

✓ İhlal Yok
2020/532

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 09/07/2020 tarih ve 2020/532 sayılı Karar Özeti

Emeklilik sirketinin destek hizmeti aldigi sistemde 2011 yilinda gelistirilen yazilimdaki bir hata nedeniyle OKS kapsaminda 61 sirketin 367 calisanina ait kisisel veriler yanlis alicilara gonderilmistir. Hata, yil bilgisinin son rakaminin 0 oldugu durumlarda ortaya cikmis ve ilk kez 2020'de gerceklesmistir. Kurul, yazilimdaki sistemsel hatanin surekli takip edilmesi gerektigini ve gecikmiş tespit nedeniyle kontrollerin zamaninda yapilmadigini tespit etmistir. Hatanin istisnai durumu ve ekonomik kosullar goz onunde bulundurularak KVKK m.12/1 ihlali icin 30.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺30.000
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2016/13366 K. 2020/1208

İzmir BAM - 12. Hukuk Dairesi (E. 2019/2210)

DAVANIN KONUSU: Şikayet (İcra Memur Muamelesi) İlk Derece Mahkemesi tarafından verilen karara karşı süresinde istinaf kanun yoluna başvurulması üzerine dosya incelendi, gereği görüşülüp düşünüldü; DAVA: Davacı vekili dava dilekçesinde özetle; İzmir 18. İcra Müdürlüğünün 2016/15982 Esas sayılı dosyasının 02/12/2016 tarihinde açılmış olduğunu, tebligatın 10/03/2017 tarihinde borçlu K1'e 21.mad. göre muhtara teslim edilerek kesinleştiğini, icra dosyasında ve ticari çevrede yaptıkları...

YENİDEN
Danıştay 8. Daire
E. 2017/7307 K. 2020/3063

Danıştay Kararı - 8. Daire (E. 2017/7307)

Karar özeti mevcut değil.

BOZMA
2020/507

“Ölenin sağlık verisinin yasal mirasçısı tarafından talep edilmesi” hakkında Kişisel Verileri Koruma Kurulunun 30/06/2020 tarihli ve 2020/507 Sayılı Karar Özeti

Ilgili kisi, vefat eden babasinin saglik verilerinin tarafina verilmesini Sosyal Guvenlik Kurumundan talep etmis, ancak talebi reddedilmistir. Kurul, KVKK m.3 kapsaminda ilgili kisi taniminin kisisel verileri islenen gercek kisiler oldugunu ve 4721 sayili Turk Medeni Kanunu m.28 uyarinca kisilik olumle sona erdigini degerlendirmistir. Kisisel Saglik Verileri Hakkinda Yonetmelik m.11 uyarinca veraset ilamini ibraz eden yasal mirascilarin murisin saglik verilerini talep edebilecegine, ancak basvurunun KVKK kapsaminda degerlendirilemeyecegine karar verilmistir.

✓ İhlal Yok
2020/504

“Veri sorumlusu bir havayolu şirketi tarafından ilgili kişiye ait çağrı merkezi görüşme kayıtlarının transkriptinin teslim edilmemesi” hakkında Kişisel Verileri Koruma Kurulunun 30/06/2020 tarihli ve

Ilgili kisi, veri sorumlusu havayolu sirketinin cagri merkeziyle yaptigi gorusmeye ait ses kaydinin yaziya dokulerek tarafina iletilmesini talep etmis, sirket prosedurler gerekce gosterilerek talebi reddetmistir. Kurul, KVKK m.11/1-b kapsaminda kisisel verilere erisim hakkinin bilgi talep etme hakkini tamamladigini tespit etmistir. Veri sorumlusunun sonradan ilgili kisiye gorusmenin transkriptini gonderdigini ve benzer taleplerin karsilanmasi yonunde birimlerin bilgilendirildigini gozonunde bulundurarak veri sorumlusu hakkinda yapilacak islem bulunmadigina karar vermistir.

✓ İhlal Yok
2020/508

“Bazı avukatların avukat sorgulama siteleri ile ilgili ihbar başvuruları” hakkında Kişisel Verileri Koruma Kurulunun 30/06/2020 tarih ve 2020/508 sayılı Karar Özeti

Muhtelif avukat sorgulama sitelerinde avukatlara ait kisisel verilerin riza alinmadan yayimlandigi ihbar edilmistir. Kurul, 1136 sayili Avukatlik Kanunu m.6 ve m.66 uyarinca baro levhasina yazilmanin zorunlu oldugunu, Turkiye Barolar Birligi ve il barolari internet sayfalarinda yayimlanan bilgilerin avukatlar tarafindan alenilestirildigi sonucuna varmistir. Sitelerde baro levhalarinda yayimlanan bilgilerden farkli veri bulunmadigi, amac disinda kullanim tespit edilmedigi ve duzeltme/silme imkani saglendigi goz onunde bulundurularak KVKK kapsaminda yapilacak islem bulunmadigina karar verilmistir.

✓ İhlal Yok
2020/511

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 30.06.2020 tarih ve 2020/511 sayılı Karar Özeti

Saglik sigortasi sirketinin eczane provizyon sistemi degistirilirken 683 musterinin ilac kullanim bilgilerini iceren excel dosyasi sehven dokuman yonetim sistemine yuklenmis ve 11 sigortalinin erisebilecegi hale gelmistir. Kurul, ozel nitelikli kisisel veri iceren dosyanin sistemde 7 ay boyunca acik kaldigini, zaafiyet taramalarinin yapilmadigini ve kriptografik onlemler alinmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 100.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir.

₺ Para Cezası
₺100.000
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2019/2033 K. 2020/1101

İzmir BAM - 12. Hukuk Dairesi (E. 2019/2033)

DAVANIN KONUSU: Şikayet (İcra Memur Muamelesi) İlk Derece Mahkemesi tarafından verilen karara karşı süresinde istinaf kanun yoluna başvurulması üzerine dosya incelendi, gereği görüşülüp düşünüldü; DAVA: Şikayetçi vekili şikayet dilekçesinde özetle; müvekkili bankanın alacağının tahsili amacıyla İzmir 24. İcra Müdürlüğü'nün 2017/3203 Esas sayılı dosyasında K1 hakkında ilamsız icra takibi başlatıldığını, hakkında alınmış olan ihtiyati haciz kararı çerçevesinde borçlu adına kayıtlı iken...

YENİDEN
2020/494

“İlgili kişinin bir kargo şirketine karşı açtığı işe iade davasında, kişisel verisi olan kamera görüntülerinin kargo şirketi tarafından mahkemeye sunulması” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, veri sorumlusu kargo sirketinde calismisken is arkdasina fiziksel siddet uygulamasi nedeniyle is akdinin feshedildigini, kamera goruntulerinni acik rizasi alinmadan mahkemeye sunuldugunu sikayet etmistir. Kurul, Bilgi Teknolojileri ve Iletisim Kurulu karari uyarinca posta teslimat merkezlerinde kamera sisteminin zorunlu oldugunu, goruntulerin m.5/2-a kapsaminda kanunda acikca ongorulme ve m.5/2-e kapsaminda hakkin korunmasi amaciyla islenmesinin hukuka uygun oldugunu tespit ederek sikayet hakkinda yapilacak islem bulunmadigina karar vermistir.

✓ İhlal Yok
Danıştay 8. Daire
E. 2017/1388 K. 2020/2838

Danıştay Kararı - 8. Daire (E. 2017/1388)

Karar özeti mevcut değil.

ONAMA
BAM Ankara BAM - 19. Hukuk Dairesi
E. 2019/3312 K. 2020/1218

Ankara BAM - 19. Hukuk Dairesi (E. 2019/3312)

DAVANIN KONUSU: ŞİKAYET Yukarıda tarih ve numarası yazılı mahkeme kararı aleyhine süresi içinde davalı borçlu vekili tarafından istinaf yoluna başvurulmuş olmakla, HMK'nın 353.maddesi gereğince dosya üzerinden yapılan inceleme neticesinde işin gereği görüşülüp düşünüldü: Şikayetçi alacaklı mahkemeye sunduğu şikayet dilekçesinde; 28.11.2016 tarihinde borçlu Sulama Birliği üyelerinin yıl içerisinde Birliğe sulama ücreti, aidat vs.adı altında yaptıkları ödemeler üzerine 89/1 haciz ihbarnamesi...

YENİDEN✓
2020/482

Veri Sorumluları Siciline Kayıt Tarihlerinin Uzatılması ile İlgili Kişisel Verileri Koruma Kurulunun 23/06/2020 Tarihli ve 2020/482 Sayılı Kararı

Covid-19 salgini nedeniyle isyerlerinin kapali olmasi veya uzaktan calisma modelinin uygulanmasi sebebiyle veri sorumlularinin Veri Sorumlulari Siciline kayit yukumlulugunu yerine getiremedigi gerekçesiyle TOBB ve sektor temsilcileri tarafindan sure uzatimi talep edilmistir. Kurul, yillik calisan sayisi 50'den cok veya mali bilancosu 25 milyon TL'den cok olan veri sorumlulari icin kayit suresini 30.09.2020'ye, ozel nitelikli veri isleyen kucuk olcekli veri sorumlulari ve kamu kurumlari icin 31.03.2021'e uzatilmasina karar vermistir.

§ İlke Kararı
2020/471

“Ülkemizde temsilciliği bulunan bir yabancı bankanın 6698 sayılı Kanun kapsamında veri sorumlusu sayılıp sayılmayacağı ve Veri Sorumluları Siciline kayıt yükümlülüğü hakkındaki görüş talebi” ile

Turkiye'de temsilciligi bulunan yabanci bir bankanin KVKK kapsaminda veri sorumlusu sifatini haiz olup olmadigi ve Veri Sorumlulari Siciline kayit yukumlulugune iliskin gorunmus talep uzerine inceleme yapilmistir. Kurul, temsilcilik faaliyetlerinin bankanin kisisel veri isleme faaliyetleriyle siki baglantili oldugunu, bankanin yurtdisinda yerlesik olmasi gerekçesiyle Kanunun uygulama alani bulmayacaginin kabulunun Kanunun amacıyla bagdasmayacagini belirlemistir. Yabanci bankanin Turkiye'de mukim ilgili kisilerin kisisel verilerini islemesi nedeniyle KVKK'ya tabi olduguna ve VERBİS kayit yukumlulugu bulunduguna karar verilmistir.

§ İlke Kararı
2020/481

Arama Motorlarında Sonuçların İndeksten Çıkarılmasına Yönelik Talepler Hakkında Karar

Unutulma hakkı kapsamında, medya kuruluşlarının internet sitelerindeki haberlerde yer alan kişisel verilerin silinmesi veya arama motorları tarafından indekslenmemesi taleplerinin değerlendirilmesine ilişkin ilke kararı verilmiştir. Basın özgürlüğü ile kişisel verilerin korunması hakkı arasındaki denge gözetilmiştir.

§ İlke Kararı
2020/463

“İlaç sektöründe faaliyet yürüten bir veri sorumlusunun veri ihlali bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 16/06/2020 tarih ve 2020/463 sayılı Karar Özeti

Veri sorumlusunun sistemlerine siber guvenlik destegi alinan firmanin eski calisani tarafindan fidye yazilimi saldirisi duzenlenmis, kritik sunucular ve yedek dosyalarin bulundugu Data Domain sunucusundaki veriler silinmistir. Kurul, sizma testleri ve log kaydi takibinin yapilmadigini, yedeklerin ag disinda tutulmamasi nedeniyle ihlal etkisinin buyudugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir.

₺ Para Cezası
₺125.000
2020/465

“Kurumsal yazılım hizmeti sunan bir veri sorumlusunun veri ihlali bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 16/06/2020 tarih ve 2020/465 sayılı Karar Özeti

Siber sucularin parola puskuleme saldirisiyla veri sorumlusunun sistemlerine erisim saglayip 6 terabayt veriyi sIzdirdigi tespit edilmistir. Saldiri Ekim 2018'den Mart 2019'a kadar surdugu halde ancak emniyet birimlerinin bildirimi ile ogrenilmistir. Kurul, zafiyet taramalarinin yapilmamasi ve parola guvenligi farkindaliginin olusturulmamasi gibi tedbir eksikliklerini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 75.000 TL ve 55 gunluk gec bildirim nedeniyle m.12/5 ihlali icin 50.000 TL olmak uzere toplam 125.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺125.000
2020/466

“Bir sigorta şirketinin acentesinde gerçekleşen veri ihlali hakkında” Kişisel Verileri Koruma Kurulunun 16.06.2020 tarih ve 2020/466 sayılı Karar Özeti

Sigorta sirketinin bir acentesinin bilgisayarina hacker tarafindan erisim saglanmis ve 172 kisinin kimlik ve kredi karti bilgileri ihlalden etkilenmistir. Kurul, acentenin denetlenmedigini, Windows 7 gibi guvenlik destegi sona eren isletim sistemi kullanildigini, anti-virus yaziliminin bulunmadigini ve KVKK egitimlerinin ihlal sonrasi verildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 172.000 TL idari para cezasi uygulanmis, ilgili kisilere gecikmiş bildirim yapildigi hatirlatiilmistir.

₺ Para Cezası
₺172.000
2021/464

“Bir otoyol işletmesinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 16.06.2020 tarih ve 2021/464 sayılı Karar Özeti

Veri sorumlusu sirketin bordro programi uzerinden calisanlarin kisisel e-posta adreslerine gonderilen bordrolarda, sistemsel hata nedeniyle bazi calisanlara baskasina ait ad, soyad, T.C. kimlik numarasi ve sicil numarasi goruntulenebilir hale gelmistir. Kurul, hatanin bordro sisteminde Turkce dili icin bir cihaz turu tanimli olmamasindan kaynaklandigini, tum calisanlara kurumsal e-posta hesabi acilmayarak idari eksikligin de mevcut oldugunu tespit etmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 60.000 TL idari para cezasi uygulanmasina karar verilmistir.

₺ Para Cezası
₺60.000
BİM Konya BİM - 4. İdari Dava Dairesi
E. 2020/731 K. 2020/495

Konya BİM - 4. İdari Dava Dairesi (E. 2020/731)

Isparta İdare Mahkemesi'nin 19/12/2018 tarih ve E:2018/994, K:2018/1765 sayılı kararı ile; davacının uzman erbaş sözleşmesinin feshedilmesine neden olarak suç uydurma suçundan 16 gün hapis cezası ile cezalandırılmasının gösterildiği, Konya 3. Çocuk Mahkemesince hükmedilen cezanın otuz günden daha fazla hapis cezası olmadığı, Konya (Kapatılan) 3. Çocuk Mahkemesinin 07.09.2018 tarihli kararı ile davanın düşmesine karar verildiği, bunların yanında ceza mahkemesi kararının içeriği incelendiğinde...

YENİDEN
2020/435

“Bir kargo firmasında çalışan ilgili kişinin iş akdinin haksız feshedilmesi sonrası özlük dosyası kapsamında yer alan kişisel verilerinin birer suretinin tarafına verilmesi talebine veri sorumlusu

İlgili kişi, veri sorumlusu kargo şirketinden iş akdinin feshinden sonra özlük dosyasındaki kişisel verilerinin suretini talep etmiş ancak şirket, talebin Kanun kapsamında olmadığını belirterek cevap vermemiştir. Kurul, savunma yazısı ve istifa dilekçeleri gibi belgelerin kişisel veri niteliğinde olduğunu ve ilgili kişinin bu verilere erişim hakkının bulunduğunu tespit etmiştir. KVKK m.11/1-b kapsamında ilgili kişiye belgelerinin verilmesi ve veri sorumlusunun yasal süresi içinde cevap vermesi hususunda talimat verilmiştir.

⚠ Talimat
2020/429

“İlgili kişinin kişisel verilerinin, hakkında icra takibi yapan avukat tarafından hukuka aykırı olarak işlenmesi ve açıklanmasına ilişkin şikayet” ile ilgili Kişisel Verileri Koruma Kurulunun

İlgili kişi, banka borcuna ilişkin bilgilerinin icra işlemlerini yürüten avukat tarafından iş arkadaşları ve ağabeyine SMS ile gönderildiğini şikayet etmiştir. Avukat, sistemde kayıtlı numaralara hatırlatma mesajı gönderdiğini savunmuştur. Kurul, üçüncü kişilerin telefon numaralarının varsayımlara dayanan şekilde elde edilmesini ve borç bilgilerinin bu numaralarla paylaşılmasını hukuka aykırı bulmuş, ayrıca TCKN ile GSM abonelikleri sorgulamasının ölçülük ilkesine aykırı olduğunu tespit etmiştir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺125.000
2020/421

Kişisel bakım sektöründe faaliyet yürüten bir veri sorumlusunun veri ihlali bildirimi hakkında Kişisel Verileri Koruma Kurulunun 22/05/2020 tarih ve 2020/421 sayılı Karar Özeti

Veri sorumlusunun sistemlerine 14.000'den fazla IP adresinden 500.000'i aşkın e-posta/şifre kombinasyonu denenmiş ve 2.092 kullanıcının hesabına yetkisiz erişim sağlanmıştır. Kurul, bu yoğun denemelerinin veri sorumlusu tarafından fark edilememesinin bilişim ağlarının izlenmesi hususunda eksiklik olduğunu gösterdiği tespit etmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında m.18/1-b uyarınca 210.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺210.000
2020/414

“Hakkında hüküm verildiği suçtan dolayı cezası infaz edilen ilgili kişiye ait haberin yayımlandığı gazetenin internet sitesinden kaldırılması talebi” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, yurt disinda yasadigi bir olay nedeniyle gazetenin internet sitesinde 2009 yilindan bu yana adi ve mahkumiyet bilgilerinin yer aldigini, cezanin infaz edildigini ve haberin kaldirilmasini talep etmistir. Kurul, KVKK m.28/1-c kapsaminda ifade ozgurlugu istisnasini degerlendirmis, haberin kamu ilgi ve yarari tasidigi, gercek ve guncel oldugu, biciim ve oz arasinda denge bulundugu sonucuna varmistir. Insan kacakciligi sucuna iliskin haberin yayinlanmasinda kamunun ortak menfaati bulundugu ve ifade ozgurlugune ustunluk taninmasi gerektigi belirlendiginden sikayet hakkinda Kanun kapsaminda islem yapilmamistir.

✓ İhlal Yok
2020/404

“İşverenin, işçisine ait kişisel verileri ve özel nitelikli kişisel verileri; aydınlatma yükümlülüğünü yerine getirmeden ve hukuka aykırı işlemesi” hakkında Kişisel Verileri Koruma Kurulunun

Ilgili kisi, veri sorumlusu sirketten KVKK m.11 kapsaminda bilgi talep ettigini ancak yeterli cevap alamadigini, aydinlatma ve acik riza metinlerinin ayri olmadan birlikte duzenlendigi ve calisanlarin parmak izinin acik riza alinmadan islendigi sikayet etmistir. Kurul, acik rizanin hizmet sarti olarak dayatildigini, battaniye riza alindigi ve biyometrik verilerin alternatif yontemler varken islenmesinin olculuk ilkesine aykiri oldugunu tespit etmistir. Aydinlatma yukulugunu yerine getirmemek nedeniyle 50.000 TL, m.12/1 ihlali nedeniyle 200.000 TL olmak uzere toplam 250.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺250.000
2020/407

“İlgili kişinin tahlil sonuçlarının veri sorumlusu hastane tarafından hukuka aykırı şekilde üçüncü kişilere aktarılması” hakkında Kişisel Verileri Koruma Kurulunun 20/05/2020 tarihli ve 2020/407

Ilgili kisi, hastanede yaptirdigi Tup Bebek tahlil sonuclarinin e-posta ile gonderilirken tanimedigi baska bir kisiye de gonderildigini sikayet etmistir. Hastane, tahlil sonuclarinin ayni gun ayni test icin hastalarini yonlendiren baska bir doktorun ozel asistanina da gonderildigini kabul etmistir. Kurul, sagliga iliskin ozel nitelikli kisisel verilerin KVKK m.8 kapsaminda hukuki dayanak olmadan ucuncu kisiye aktarilmasinin hukuka aykiri oldugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle Hastane hakkinda m.18/1-b uyarinca 100.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺100.000
2020/396

“İlgili kişinin, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili özel nitelikli kişisel verilerinin özlük dosyasından çıkarılması talebi” hakkında Kişisel Verileri Koruma Kurulunun 20/05/2020

Ilgili kisi, memuriyete ilk giris tarihinden once hakkinda verilmis olan hukmen ceza kararinin ozluk dosyasindan cikarilmasini talep etmistir. Kurul, soz konusu verilerin ozel nitelikli kisisel veri oldugunu, ancak 2 Seri No'lu Kamu Personeli Genel Tebligi ve Devlet Personel Baskanligi gorusu uyarinca yargi organlarinca memur hakkinda verilen tum karar orneklerinin ozluk dosyasinda bulunmasi gerektigini degerlendirmistir. Kanundaki 'kanunlarda ogorulme' sartinin 'maddi kanun' olarak anlasilmasi gerektiginden, soz konusu kararlarin ozluk dosyasindan cikarilmasina yer olmadigina karar verilmistir.

✓ İhlal Yok
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2019/1873 K. 2020/737

İzmir BAM - 12. Hukuk Dairesi (E. 2019/1873)

DAVA: ŞİKAYET İlk Derece Mahkemesi tarafından verilen karara karşı süresinde istinaf kanun yoluna başvurulması üzerine dosya incelendi. DAVA: Davacı vekili dava dilekçesinde özetle: müvekkili bankanın alacağının tahsili amacıyla başlattıkları İzmir 13. İcra Müdürlüğünün 2016/9237 esas sayılı takip dosyasında dava dışı borçlu K1'a ait olduğu tespit edilen 3 adet taşınmazın pasif tapu kayıtlarının celbi için icra müdürlüğünden talepte bulunduklarını, ancak icra müdürlüğünce şikayete konu...

YENİDEN
2020/379

“Bir tıp merkezinin internet sitesinde video tanıtım bölümü içerisinde görsel ve işitsel kişisel verileri işlenen ilgili kişinin başvurusuna veri sorumlusu tıp merkezi tarafından cevap verilmemesi”

Ilgili kisi, eski calistigi Tip Merkezinin internet sitesinde pazarlama amacli video tanitim bolumunde gorsel ve isitsel kisisel verilerinin islendigi, is sozlesmesi sona erdigi halde verilerin kaldirilmadigi ve veri sorumlusunun basvurusuna cevap vermedigini sikayet etmistir. Kurul, silme talebinin makul sure gecmesine ragmen yerine getirilmedigini ve kisisel veri isleme faaliyetine m.5 kapsaminda hukuki dayanak olmadan devam edildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, verilerin silinmesi icin talimat verilmistir.

₺ Para Cezası
₺75.000
2020/359

“Bir bankanın veri ihlali bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 07/05/2020 tarih ve 2020/359 sayılı Karar Özeti

Bankanin eski calisani, Temmuz 2018 - Mayis 2019 arasinda 7.305 adet KKB sorgulamasi yaparak 5.695 kisinin kredi bilgilerine hukuka aykiri erismis ve bu bilgileri ucuncu kisilere aktarmistir. Kurul, kontrolun yillik periyotlarla yapilmasi nedeniyle ihlalin 1 yil boyunca tespit edilemedigini ve sorgulama limitlerinin bulunmamasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 400.000 TL ve 72 saatlik bildirim yukumlulugune aykiri hareket nedeniyle 50.000 TL olmak uzere toplam 450.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺450.000
2020/357

“Bir sigorta şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 07/05/2020 tarih ve 2020/357 sayılı Karar Özeti

Sigorta sirketinin taseron calisani, 91 musteriye ait isim, iletisim ve plaka bilgilerini iceren listeyi kurum e-postasindan sahsi e-posta adresine gondermistir. Veri sizintisi onleme uygulamasinda bu verilerin tanimli olmadigindan uyari olusmadigı ve ihlalin iki ay sonra tespit edilebildigi gorulmustur. Kurul, kisisel veri guvenligine iliskin prosedurün sirketin calisma ve isleyisine uygun sekilde entegre edilmedigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 90.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺90.000
2020/355

“İlgili kişiye ait Medula Eczane çıktılarının eczacının eşi tarafından kullanılması” hakkında Kişisel Verileri Koruma Kurulunun 07/05/2020 Tarihli ve 2020/355 Sayılı Karar Özeti

Il Saglik Mudurlugu, bir eczacinin esinin, sikayet etmek istedigi baska bir eczaciya ait Medula Eczane ciktilarini (tani ve ilac bilgileri) dilekce ekinde sundugunu ihbar etmistir. Kurul, eczanenin SGK ile yaptigi sozlesme kapsaminda kullandigi Medula sistemine ucuncu kisilerin erisimini onlemek uzere gerekli guvenlik tedbirlerini almadigini tespit etmistir. Eczane hakkinda KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 60.000 TL idari para cezasi uygulanmis, verileri ele geciren eczacinin esi hakkinda TCK m.136 uyarinca savciliga suç duyurusunda bulunulmustur.

₺ Para Cezası
₺60.000
2020/335

“İlgili kişinin araç kiralama hizmeti alması esnasında kişisel verilerinin işlenmesine dair açık rıza vermemesi üzerine kiralama hizmetinden yararlandırılmaması”na ilişkin Kişisel Verileri Koruma

Ilgili kisi, arac kiralama sirketinden hizmet almak istediginde kisisel verilerinin islenmesine acik riza vermek istemedigini belirttigi icin arac kiralayamadigini sikayet etmistir. Kurul, 1174 sayili Kimlik Bildirme Kanunu kapsaminda KABİS'e kayit zorunlulugu bulunmasina ragmen, sirketin m.5/2 disindaki hallerde toptan acik riza aldigi ve riza verilmezse hizmet vermedigini tespit etmistir. Hizmetin acik riza sartina baglanmasi m.4 ve m.12'ye aykirilik teskil ettiginden, m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺50.000
2020/344

“Bir bankanın veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 05.05.2020 tarih ve 2020/344 sayılı Karar Özeti

Bankanin ic kontrol faaliyetlerinde 3 personelin KKB sorgu ekranlarindan supheli sorgulamalar yaptigi tespit edilmistir. Personeller, yetkileri olan ekranlari amaci disinda kullanarak 7.706 banka musterisi olmayan kisi dahil toplam 25.288 kisinin kredi bilgilerine hukuka aykiri erismistir. Kurul, ihlal fiillerinin baslangici ile tespiti arasinda 18 aya kadar sure gecmesini guvenlik takibinin yetersizligi olarak degerlendirmistir. KVKK m.12/1 kapsaminda gerekli teknik ve idari tedbirleri almayan Banka hakkinda m.18/1-b uyarinca 1.000.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺1.000.000
2020/336

“İlgili kişinin kendisine iletilmesi gereken cevap yazısının veri sorumlusu tarafından resmi yazı şeklinde, çalıştığı birime gönderilmesi” hakkında Kişisel Verileri Koruma Kurulunun 05/05/2020 tarihli

Ilgili kisi, universiteye yaptigi Bilgi Edinme Kanunu kapsamindaki basvurusuna verilen cevabın kendisine degil, calistigi birime gonderilmesi suretiyle kisisel verilerinin ucuncu kisilerin erisimine acildigini sikayet etmistir. Veri sorumlusu, sistemdeki cevapla butonuyla yanit verildigini, kasit olmadigini savunmustur. Kurul, kisisel verilerin KVKK m.5 kapsaminda hukuki dayanak olmadan ifsa edilmesinin m.12/1 ihlali teskil ettigine karar vermis ve kamu kurumu oldugu icin m.18/3 uyarinca sorumlular hakkinda disiplin islemleri yapilmasini talep etmistir.

⚖ Disiplin
2020/345

“Bilgisayar oyunları alanında faaliyet gösteren veri sorumlusunun veri ihlali bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 05/05/2020 tarih ve 2020/345 sayılı Karar Özeti

Veri sorumlusunun eski calisani (web gelistiricisi) tarafindan kaynak kod ve 62 kisiye ait kisisel veri iceren dosyalar yetkisiz olarak github.com'a yuklenmistir. Ihlal 19.04.2017'de gerceklesmis ancak 09.01.2019'da tespit edilmistir. Kurul, gizlilik politikalarinin etkin uygulanmadigini ve personel farkindalik calismalarin yetersiz kaldigini tespit etmistir. KVKK m.12/1 kapsaminda teknik ve idari tedbirleri almayan veri sorumlusu hakkinda 100.000 TL ve m.12/5 kapsaminda gec bildirim nedeniyle 30.000 TL olmak uzere toplam 130.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺130.000
Danıştay İDDK
E. 2018/4437 K. 2020/788

Danıştay Kararı - İDDK. (E. 2018/4437)

E:2014/10178, K:2018/2789 sayılı kararının aleyhlerine olan kısımlarının temyizen incelenerek bozulması taraflarca karşılıklı olarak istenilmektedir. Dava konusu istem:27/10/2014 tarih ve 29158 sayılı Resmî Gazete'de yayımlanan Geleneksel ve Tamamlayıcı Tıp Uygulamaları Yönetmeliği'nin ekleriyle birlikte tamamının iptali istenilmiştir. Daire kararının özeti: Danıştay Onbeşinci Dairesinin 21/03/2018 tarih ve E:2014/10178, K:2018/2789sayılı kararıyla; 663 sayılı Sağlık Bakanlığı ve Bağlı...

BOZMA
2020/325

Kurumumuza Bir Şahıs Tarafından Vekaleten İntikal Ettirilen Usulen Eksik Nitelikteki Çok Sayıda Başvuru Hakkında Kişisel Verileri Koruma Kurulunun 30/04/2020 Tarihli ve 2020/325 Sayılı Karar Özeti

Kuruma, Otomatik Bilgi Paylasimi anlasmalarindaki kisisel veri paylasimi endisesiyle ayni icerikte cok sayida vekaleten basvuru yapilmistir. Kurum, oncelikle veri sorumlusu SGK'ya basvurulmasi gerektigini bildirmesine ragmen usule aykiri basvurulara devam edilmistir. Kurul, 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun ve TMK m.2 kapsaminda hakkin kotuye kullanilmasi niteligindeki bu basvurularin degerlendirmeye alinmamasina, vekaleten basvuruda bulunan kisinin ilgili kurumlara bildirilmesine karar vermistir.

§ İlke Kararı
2020/315

Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları ile ilgili Kişisel Verileri Koruma Kurulunun 22/04/2020 Tarihli ve 2020/315 Sayılı Kararı

Karar, KVKK m.16 kapsaminda Veri Sorumlulari Siciline kayit yukumlulugunden istisna tutulan veri sorumlularina iliskin 2018/32 sayili kararin guncellenmesini icermektedir. Kurul, dernekler, vakiflar ve sendikalarla ilgili istisna hukumlerinin yorumlanmasinda yasanan tereddutler uzerine inceleme yapmistir. Ilgili maddenin 'yalnizca ilgili mevzuat ve amaclarina uygun, faaliyet alanlariyla sinirli olmak uzere kisisel veri isleyen Turkiye'de yerlesik dernek, vakif ve sendikalar' olarak degistirilmesine karar verilmistir.

§ İlke Kararı
2020/307

“Türkiye Ticaret Sicili Gazetesinde açık bir şekilde ilan edilmeyen kişisel verilerin, talepleri üzerine kamu kurum ve kuruluşlarıyla paylaşılması” hususuna ilişkin Kişisel Verileri Koruma Kurulunun

Karar, ticaret sicili mudurlukleri tarafindan tutulan kisisel verilerin kamu kurum ve kuruluslariyla paylasimina iliskindir. Kurul, ticaret sicilinin aleni olmasinin sicilde yer alan kisisel verilerin KVKK hukumlerinden muaf olacagi anlamina gelmedigini belirlenmistir. Aktarim taleplerinin m.8 kapsaminda yapilmasi, kimlikleri ve yerlesimleri ilgilendiren verilerin 5490 sayili Nufus Hizmetleri Kanunu kapsaminda yetkili kurumlardan talep edilmesi ve m.4 kapsamindaki olculuk ilkesine uyulmasi gerektigi sonucuna varilmistir.

§ İlke Kararı
2020/286

“Bir oyun şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 16.04.2020 tarih ve 2020/286 sayılı Karar Özeti

Oyun sirketinin bulut sistemlerine hackerlar tarafindan hukuka aykiri erisim gerceklestirilmis ve Turkiye'de 39.995 kullanicinin isim, adres, dogum tarihi, e-posta, telefon ve sifre gibi kisisel verileri etkilenmistir. Kurul, zafiyet testlerinin yetersizligini ve ihlal oncesi alinmasi gereken teknik tedbirlerin ihlal sonrasi devreye alinmasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 1.000.000 TL ve 72 saatlik bildirim yukumlulugune uyulmamasi nedeniyle m.12/5 ihlali icin 100.000 TL olmak uzere toplam 1.100.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺1.100.000
2020/255

“Veri sorumlusu eğitim kurumu tarafından şikayetçinin çocuklarının özel nitelikli kişisel verilerinin hukuka aykırı olarak işlenmesi hakkında” Kişisel Verileri Koruma Kurulunun 02/04/2020 tarihli ve

Sikayetci, velisi oldugu ogrencilere okulda CAS (Bilissel Degerlendirme Sistemi) testi uygulanirken acik riza alinmadigini ve aydinlatma yapilmadigini iddia etmistir. Kurul, test sonuclarinin ogrencinin ruh sagligi verilerini (dikkat eksikligi, hiperaktivite bozuklugu) icerdigini, bu verilerin KVKK m.6 kapsaminda ozel nitelikli veri oldugunu tespit etmistir. Acik riza alinmadan ozel nitelikli kisisel veri islenmesi ve aydinlatma yukumlulugunu yerine getirmemesi nedeniyle veri sorumlusu egitim kurumu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺50.000
2020/226

“İlgili kişinin, bir Valilikte görev yapmakta iken, Valilik çalışanı tarafından hukuka aykırı olarak elde edildiği iddia edilen kişisel verilerinin Valiliğe dijital ortamda sunulması” hakkında Kişisel

Ilgili kisi, Valilik calisani tarafindan hukuka aykiri elde edilen kisisel verilerine dayanilarak disiplin sorusturmasi acildigini ve cezalandirildigini iddia etmistir. Kurul, verileri hukuka aykiri elde eden personel hakkindaki iddialarin TCK kapsaminda degerlendirilmesi gerektigine, disiplin sorusturmasi kapsaminda islenen verilerin KVKK m.28/2-c istisnasindan yararlandigina karar vermistir. Ozluk dosyalarinda saklanmasi gereken verilerin silinmesi talebinin m.7 kapsaminda isleme sebeplerinin ortadan kalkmamasi nedeniyle karsilanamayacagina hukmedilmistir.

✓ İhlal Yok
2020/216

“Bir bilişim şirketinin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 12/03/2020 tarih ve 2020/216 sayılı Karar Özeti

Veri sorumlusu sirketin sistemlerine siber saldiri gerceklestirilmis, debugging ozelligi acik olan Pilot uygulamasina erisim saglanarak 65.993 kisiye ait veriler ile 50.000 kredi karti bilgisi tehlikeye girmistir. Kurul, sizma veya anomali tespiti icin kontrol mekanizmalarinin etkin kullanilmadigini, 2018 oncesi kredi karti bilgilerinin imha edilmedigini ve web uygulamalarinda yuksek seviyede acikliklar bulundugunu tespit etmistir. KVKK m.12/1 ve m.4/2 ihlalleri nedeniyle m.18/1-b uyarinca 450.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺450.000
2020/212

“Ses kayıt özelliği bulunan güvenlik kamerası kullanılması” ile ilgili Kişisel Verileri Koruma Kurulunun 12/03/2020 tarihli ve 2020/212 sayılı Karar Özeti

Karar, kamu kurumlarinda guvenlik amacli kullanilan kameralarin goruntu kaydinin yani sira ses kaydi da yapmasi hakkindadir. Kurul, ses kaydinin goruntu kaydina gore cok daha mudahaleci oldugunu, bireylerde her acidan gozetim altinda tutuldugu endisesi yaratabilecegini ve hakkin ozune zarar verecegini degerlendirmistir. Anayasa m.13 ve m.20 ile KVKK m.4 kapsaminda olculuk ilkesi degerlendirilmis, ses kaydi yapan kameralarin kullanilmasinin temel hak ve ozgurluklere orantisiz mudahale teskil edecegi sonucuna varilmistir.

⚖ Disiplin
2020/213

“Bir internet servis sağlayıcısının veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 12.03.2020 tarih ve 2020/213 sayılı Karar Özeti

Veri sorumlusu şirketin online işlem merkezinde fatura ödeme sisteminde yaşanan sorun giderilirken güvenlik açığı ortaya çıkmış ve 69 kişiye ait kredi kartı bilgileri 649 müşteri tarafından görüntülenebilir hale gelmiştir. Kurul, değişikliklerin test ortamı yerine gerçek ortamda yapılmasını ve test süreçlerinin yetersizliğini teknik tedbir eksikliği olarak değerlendirmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamayan veri sorumlusu hakkında m.18/1-b uyarınca 300.000 TL idari para cezası uygulanmasına karar verilmiştir.

₺ Para Cezası
₺300.000
Danıştay İDDK
E. 2019/2425 K. 2020/715

Danıştay Kararı - İDDK. (E. 2019/2425)

Ankara 4. İdare Mahkemesinin 18/10/2017 tarih ve E:2017/2115, K:2017/3031 sayılı ısrar kararının onanmasına ilişkin 18/02/2019 tarih ve E:2017/3749, K:2019/617sayılı karara karşı, davacı karar düzeltme isteminde bulunmaktadır. Dava konusu istem: Gelir uzman yardımcısı olarak görev yapan ve vergi müfettiş yardımcılığı yazılı ve sözlü sınavında başarılı olan davacının, Güvenlik Soruşturması ve Arşiv Araştırması Yönetmeliği'nin 15. maddesi uyarınca atamasının uygun görülmediğine dair 09/04/2014...

K.BOZMA
BİM Ankara BİM - 1. İdari Dava Dairesi
E. 2020/557 K. 2020/780

Ankara BİM - 1. İdari Dava Dairesi (E. 2020/557)

davacının adli yardım istemi Mahkeme aşamasında kabul edilmiş olduğundan, davacıdan alınmayan aşağıda dökümü yapılan, mahkeme ve istinaf safhasına ait toplam 366,60 TL yargılama giderinin İdare Mahkemesince davacıdan tahsil edilmesine ve bu amaçla Mahkemesince Veraset ve Harçlar Vergi Dairesine müzekkere yazılması gerektiğine, dava iptal kararı ile sonuçlandığından davacı tarafından yapılan 366,60 TL'nin davalı idareden alınarak davacıya verilmesine ve hüküm tarihindeki Avukatlık Asgari Ücreti...

YENİDEN✓
BİM Ankara BİM - 1. İdari Dava Dairesi
E. 2020/324 K. 2020/791

Ankara BİM - 1. İdari Dava Dairesi (E. 2020/324)

Karar özeti mevcut değil.

YENİDEN✓
2020/173

Aydınlatma Yükümlülüğünün İhlali - E-ticaret Sitesi

Amazon Turkiye hakkinda yapilan ihbar uzerine baslayan resen incelemede; sirketin ilgili kisilerin iletisim bilgilerini ticari elektronik ileti gondermek icin acik riza almadan isledigi, yurt disina veri aktarimi icin usulune uygun acik riza almadigi ve Gizlilik Bildirimi ile aydinlatma yukumlulugunu yerine getirmedigi tespit edilmistir. Kurul, KVKK m.12 kapsaminda veri guvenligine iliskin yukumluluklerini yerine getirmeyen veri sorumlusuna m.18/1-b uyarinca 1.100.000 TL, aydinlatma yukumlulugunu yerine getirmemesi nedeniyle m.18/1-a uyarinca 100.000 TL olmak uzere toplam 1.200.000 TL idari para cezasi uygulanmasina karar vermistir.

₺ Para Cezası
₺50.000
2020/196

“İlgili kişiye ait kişisel verinin denetim faaliyeti kapsamında bir kamu kurumuna aktarılmasına ilişkin şikayet hakkında” Kişisel Verileri Koruma Kurulunun 03/03/2020 Tarihli ve 2020/196 Sayılı Karar

Bir kamu kurumundaki idari sorusturma kapsaminda veri sorumlusu internet sitesinden habere yapilan tum kullanici yorumlari ve IP adresleri talep edilmis, sirket bu verileri aktarmistir. Kurul, sorusturma konusu olmayan ucuncu kisilerin verilerinin de aktarilmasinin KVKK m.4/2-c bendindeki olculuk ilkesine aykiri oldugunu tespit etmistir. Veri guvenligine iliskin yukumlulukleri yerine getirmeyen veri sorumlusu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmis, sorusturmayla ilgili olmayan verilerin silinmesi icin talimat verilmistir.

₺ Para Cezası
₺50.000
2020/201

“Bir bankanın veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 03/03/2020 tarih ve 2020/201 sayılı Karar Özeti

Veri sorumlusu bankanin ic sistem uygulamasinda yapilan yazilim degisikligi nedeniyle 905 musteriye ait finansman taksit odeme bildirimleri sehven diger musterilere gonderilmistir. Kurul, test sureclerinin yetersizligi ve parametre kontrollerinin eksikligi nedeniyle teknik tedbir alinmadigini tespit etmistir. KVKK m.12/1 kapsaminda veri guvenligini saglamaya yonelik gerekli tedbirleri almayan veri sorumlusu hakkinda m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir.

₺ Para Cezası
₺75.000
2020/167

“Spor salonu hizmeti sunan veri sorumlusunun, üyelerinin giriş-çıkış kontrolünü biyometrik veri işleyerek yapması ile ilgili Kişisel Verileri Koruma Kurulunun 27/02/2020 Tarihli ve 2020/167 Sayılı

Spor salonunun, üyelerin giriş-çıkış kontrolünde el ve parmak izi tarama sistemi kullanması incelenmiştir. Kurul, parmak izi verisinin biyometrik veri niteliğinde özel nitelikli kişisel veri olduğunu, GDPR Recital 51 ve Danıştay 15. Daire kararına atıfla belirlemiştir. Biyometrik veri işlemenin ölçülülük ilkesi kapsamında değerlendirilmesi gerektiği, amacın gerçekleştirilmesi için gerekli olan verilerin dışında veri işlenmemesi gerektiği vurgulanmıştır.

₺ Para Cezası
₺225.000
2020/172

“İlgili kişinin cep telefonunun özel bir hastane tarafından izinsiz aranması” hakkında Kişisel Verileri Koruma Kurulunun 27/02/2020 tarih ve 2020/172 sayılı Karar Özeti

Hastanenin, ilgili kişiyi reklam ve tanıtım amacıyla telefonla araması şikâyet konusu edilmiştir. Kurul, checkup departmanının pazarlama faaliyetleri kapsamında yapılan aramaların incelenmesini başlatmıştır. Hastane ile hizmet sağlayıcılar arasındaki ilişki, telefon numaralarının nasıl temin edildiği ve aydınlatma yükümlülüğünün yerine getirilip getirilmediği araştırılmıştır.

₺ Para Cezası
₺50.000
2020/187

“İlgili kişinin oturmakta olduğu binaya, komşusu tarafından kamera yerleştirilerek kayıt ve izleme gerçekleştirilmesi hakkında” Kişisel Verileri Koruma Kurulunun 27/02/2020 tarihli ve 2020/187 sayılı

Ilgili kisi, komsusunun apartmana yerlestirdigi kameralarla hukuka aykiri sekilde kisisel verilerinin kaydedildigini iddia etmistir. Kurul, sikayet konusu eylemlerin Turk Ceza Kanunu m.135-140 kapsaminda suc unsuru icerebilecegini degerlendirmistir. 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun m.6 uyarinca yargi mercilerinin gorev alanina giren konularla ilgili sikayetlerin incelemeye alinmayacagindan, sikayetin KVKK kapsaminda degerlendirilmesine yer olmadigina karar verilmistir.

§ İlke Kararı
2020/166

“İlgili kişinin kullanımına izin vermediği kredi kartı bilgilerinin veri sorumlusu araç kiralama şirketi tarafından kullanılması hakkında” Kişisel Verileri Koruma Kurulunun 27/02/2020 tarihli ve

Araç kiralama şirketinin, sözleşmede belirtilenden farklı bir kredi kartından HGS bedeli tahsil etmeye çalışması şikâyet konusu edilmiştir. Kurul, ilgili kişinin onayı olmaksızın başka bir kredi kartı bilgisinin kullanılmasının Kanun'un 5. maddesine aykırı olduğunu değerlendirmiştir. Veri sorumlusunun başvuruya yasal sürede cevap vermemesinin Kanun'un 13. maddesine aykırılık teşkil ettiği tespit edilmiştir.

₺ Para Cezası
₺75.000
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

Güvenlik soruşturması ve arşiv araştırması kapsamında kişisel verilere erişim yetkisi veren düzenlemenin, yeterli güvence içermemesi nedeniyle özel hayatın gizliliği ve kişisel verilerin korunması haklarını ihlal ettiğine ilişkin iptal kararı.
AYM Norm Denetimi Genel Kurul
E. 1990/12 K. 1991/7

Olağanüstü hal kapsamında çıkarılan düzenlemelerin anayasallık denetimi yapılmış, güvenlik soruşturması ve terör örgütleriyle irtibat gerekçesiyle sözleşme feshi hükümleri değerlendirilmiştir.
2020/138

“Veri sorumlusu işveren tarafından, iş sözleşmesi tek taraflı olarak feshedilen ve işe iade davası açan ilgili kişiye ait özlük dosyasında yer alan sağlık raporunun dava savunmasında kullanılmak

İşverenin, işe iade davasında çalışanın özlük dosyasında yer alan sağlık raporlarını mahkemeye sunması incelenmiştir. Kurul, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesi uyarınca işverenin sağlık muayenesi yaptırma yükümlülüğü bulunduğunu, sağlık verilerinin bu kanun kapsamında işlendiğini tespit etmiştir. Raporların ilgili kişi tarafından izin talepleri için bizzat sunulduğu ve iş ilişkisinin feshi gerekçesi olarak mahkemeye ibraz edilmesinin hukuka uygun olduğu değerlendirilmiştir.

✓ İhlal Yok
2020/145

“Veri sorumlusu tarafından ilgili kişilerin kişisel verilerinin hukuka aykırı şekilde internet gazetesi üzerinden yayımlanması hakkında” Kişisel Verileri Koruma Kurulunun 18/02/2020 tarihli ve

İnternet gazetesinin, tekzip ihtarnamesini olduğu gibi yayımlayarak ilgili kişilerin T.C. kimlik numaraları, nüfus bilgileri, anne-baba isimleri ve adres bilgilerini kamuya ifşa etmesi şikâyet konusu edilmiştir. Kurul, söz konusu kişisel verilerin 10 gün boyunca hukuka aykırı şekilde yayımlandığını tespit etmiştir. Veri sorumlusunun kişisel verilerin korunması konusunda gerekli özeni göstermediği belirlenmiştir.

₺ Para Cezası
₺55.000
2020/120

“İlgili kişilerin kişisel verileri olan banka hesap hareketlerinin, mevduat bilgilerinin, para yatırma ve çekme işlemlerinin açık rızaları olmaksızın vergi müfettiş yardımcısı tarafından hukuka aykırı

Vergi müfettişinin, mükellef şirket çalışanlarının banka hesap hareketlerini vergi incelemesi kapsamında sorgulaması şikâyet konusu edilmiştir. Kurul, 213 sayılı Vergi Usul Kanunu'nun 148. maddesi uyarınca vergi idaresinin bilgi toplama yetkisinin bulunduğunu, söz konusu verilerin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi için işlendiğini tespit ederek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
2020/124

“Veri sorumlusu havayolu şirketi bünyesindeki çalışanın ilgili kişiye ait kişisel verileri 6698 sayılı Kişisel Verilerin Korunması Kanununa aykırı şekilde şirket kayıtlarından elde etmesi” hakkında

Havayolu şirketi çalışanının, ilgili kişinin uçuş bilgilerini şirket sisteminden elde ederek rahatsız etmek amacıyla kullanması incelenmiştir. Kurul, veri sorumlusunun çalışanlara verilen eğitimin yetersiz olduğunu ve kişisel verilere erişimle ilgili yeterli sınırlama getirilmediğini tespit etmiştir. Kanun'un 12. maddesinde öngörülen veri güvenliğine yönelik gerekli idari ve teknik tedbirlerin alınmadığı sonucuna varılmıştır.

₺ Para Cezası
₺100.000
2020/118

“İlgili kişinin, veri sorumlusu bir banka nezdindeki kişisel verileri olan hesap ve kiralık kasa bilgilerinin aktarılması” hakkında Kişisel Verileri Koruma Kurulunun 13/02/2020 tarihli ve 2020/118

Bankanın, icra takibi kapsamında İİK'nın 89. maddesi uyarınca gönderilen haciz ihbarnamelerine cevap vermesi şikâyet konusu edilmiştir. Kurul, bankaların icra dairelerinden gelen resmi taleplere yasal zorunluluk gereği cevap verdiğini, bu işlemin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi niteliğinde olduğunu belirleyerek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
2020/113

“Elektronik satış hizmeti sağlayan bir şirketin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 11/02/2020 tarih ve 2020/113 sayılı Karar Özeti

E-ticaret sektöründe faaliyet gösteren veri sorumlusunun yaşadığı veri ihlali incelenmiştir. Şirketin internet ağı dışında kafe ortamlarından sisteme erişildiği, ihlal öncesi SQL Injection ve XSS gibi güvenlik açıklarının bulunduğu, mobil uygulamada SSL sertifikası olmadığı, sızma testlerinin ihlalden sonra yapıldığı tespit edilmiştir. Azami 257.000 kişinin etkilendiği ihlal nedeniyle Kanun'un 12/1. maddesi uyarınca 200.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺200.000
2020/108

“Veri sorumlusu sağlık firması tarafından eski çalışanı olan ilgili kişinin kişisel verilerinin rızası alınmaksızın aktarımı” hakkında Kişisel Verileri Koruma Kurulunun 11/02/2020 tarihli ve 2020/108

Eski işverenin, çalışanının yeni işe başladığı şirkete kişisel verilerini aktarması şikâyet konusu edilmiştir. İlgili kişinin ailesinin yurt dışında yaşadığı, maaş ve prim bilgileri gibi verilerin talep olmaksızın telefon ve e-posta ile paylaşıldığı tespit edilmiştir. Kurul, veri sorumlusunun ilgili kişinin çıkarlarını ve makul beklentilerini göz önüne almadığını, veri aktarımının meşru bir gerekçeye dayanmadığını belirleyerek Kanun'a aykırılık tespit etmiştir.

✓ İhlal Yok
Danıştay 8. Daire
E. 2016/2727 K. 2020/701

Danıştay Kararı - 8. Daire (E. 2016/2727)

Karar özeti mevcut değil.

ONAMA
2020/86

“Bir uçak bileti satış firması olan veri sorumlusu hakkındaki şikayetle ilgili” Kişisel Verileri Koruma Kurulunun 06.02.2020 Tarihli ve 2020/86 Sayılı Karar Özeti

İlgili kişi, uçak bileti satış firmasına üyelik e-posta adresinin güncellenmesi talebini KEP adresi üzerinden ikinci kez iletmiş ancak cevap alamamıştır. Firma, yoğunluk nedeniyle başvurunun gözden kaçtığını savunmuştur. Kurul, daha önce aynı konuda talimat verilmesine rağmen başvuruya cevap verilmemesinin Kanunun 15/5 maddesine aykırılık oluşturduğunu tespit ederek firmaya 50.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺50.000
2020/103

“Bir Bankanın Potansiyel Müşteri Kazanımı Amacıyla İlgili Kişinin Kişisel Verilerini Hukuka Aykırı Şekilde İşleyerek Hesap Açmasına İlişkin Olarak Kurula Yapılan Başvuru Hakkında” Kişisel Verileri

Bankanın, üçüncü taraftan temin edilen listeyle ilgili kişi adına müşteri numarası oluşturması şikâyet konusu edilmiştir. Kurul, Kanun'un yürürlüğe girmesinden önce oluşturulan müşteri numarasının halen aktif olduğunu, kişisel verilerin açık rıza olmaksızın ve Kanun'un 5/2. fıkrasındaki işleme şartları mevcut olmaksızın işlendiğini tespit etmiştir. Geçici 1. maddeye aykırı olarak verilerin silinmediği belirlenmiş ve Kanun'a aykırılık tespit edilmiştir.

₺ Para Cezası
₺210.000
2020/93

“Geçmiş sağlık verilerinin düzeltilmesine/silinmesine yönelik şikâyetler” hakkında Kişisel Verileri Koruma Kurulunun 06/02/2020 tarihli ve 2020/93 sayılı Karar Özeti

İlgili kişiler, sağlık geçmişlerindeki psikiyatrik tanıların yaşamlarını olumsuz etkilediğini belirterek bu kayıtların silinmesini veya düzeltilmesini talep etmişlerdir. Kurul, kişisel verilerin silinmesi hakkının mutlak olmadığını, Kanunun 7. maddesi kapsamında işleme şartlarının ortadan kalkması gerektiğini değerlendirmiştir. Psikiyatrik tanıların kamu güvenliği ve kamu düzeni açısından önem taşıdığı, sehven konulan tanıların Sağlık Bakanlığı prosedürleri kapsamında düzeltilebileceği, ancak işleme şartları devam ettiğinden şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2020/78

“Veri sorumlusu bankanın ilgili kişiye ait kredi kartı ekstresinde yer alan kişisel verileri yanlış e-posta hesabına göndermesi” hakkında Kişisel Verileri Koruma Kurulunun 30/01/2020 tarihli ve

İlgili kişi, bankanın kredi kartı ekstresini yanlış e-posta adresine göndererek kişisel verilerini üçüncü kişilerle paylaştığını şikayet etmiştir. Banka, şube personelinin sehven bireysel kredi kartı ekstresini ticari ortağın e-postasına yönlendirdiğini kabul etmiştir. Kurul, Kanunun 8. maddesine aykırı aktarım gerçekleştirildiğini ve başvuruya telefon yerine yazılı cevap verilmesi gerektiğini tespit ederek bankaya 60.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺60.000
2020/71

“Veri sorumlusu ve veri işleyenin tespitinde göz önünde bulundurulması gereken hususlar ile aydınlatma yükümlülüğünün kim tarafından yerine getirileceği”ne ilişkin Kişisel Verileri Koruma Kurulunun

Kurul, veri sorumlusu ve veri işleyen kavramlarını detaylı olarak açıklamıştır. Veri sorumlusunun kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından sorumlu olan kişi olduğu; veri işleyenin ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi olduğu belirtilmiştir. Aydınlatma yükümlülüğünün bizzat veri sorumlusu veya yetkilendirdiği kişi (veri işleyen dahil) tarafından yerine getirilebileceği değerlendirilmiştir.

§ İlke Kararı
Danıştay 8. Daire
E. 2016/3355 K. 2020/281

Danıştay Kararı - 8. Daire (E. 2016/3355)

Karar özeti mevcut değil.

BOZMA
Danıştay 8. Daire
E. 2016/3316 K. 2020/280

Danıştay Kararı - 8. Daire (E. 2016/3316)

Karar özeti mevcut değil.

BOZMA
2020/67

“İlgili kişiye rızası bulunmamasına rağmen bir gayrimenkul şirketi tarafından SMS aracılığıyla gönderilen reklam ve bildirimler hakkında” Kişisel Verileri Koruma Kurulunun 27/01/2020 tarih ve 2020/67

İlgili kişi, gayrimenkul şirketinin açık rızası olmaksızın reklam amaçlı SMS gönderdiğini şikayet etmiştir. Veri sorumlusu, kişisel verilerin internette herkese açık kaynaklardan temin edildiğini savunmuştur. Kurul, alenileştirme için ilgili kişinin reklam amacıyla iletişim kurulması iradesinin bulunması gerektiğini, somut olayda açık rızanın alınmadığını ve Kanunun 5. maddesindeki şartların sağlanmadığını tespit ederek veri sorumlusuna 50.000 TL idari para cezası uygulamıştır.

₺ Para Cezası
₺50.000
2020/63

“Veri sorumlusu hastanede uygulanan beyaz kod kapsamında ilgili kişinin işlenen kişisel verileri” hakkında Kişisel Verileri Koruma Kurulunun 27/01/2020 tarihli ve 2020/63 sayılı Karar Özeti

İlgili kişi, hastanede yaşanan tartışma sonrası hastane görevlilerinin kişisel verilerini tutanağa işleyerek savcılığa suç duyurusunda bulunduğunu şikayet etmiştir. Kurul, Beyaz Kod uygulaması kapsamında sağlık personelinin hukuki yardımdan faydalanması için olay tutanağı düzenlenmesinin Sağlık Bakanlığı genelgesiyle düzenlendiğini tespit etmiştir. Kişisel verilerin Kanunun 5/2-ç bendi kapsamında veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için işlendiği değerlendirilerek şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2020/59

“İlgili kişinin ortağı olduğu şirkette kullandığı e-posta adresine izinsiz ve hukuka aykırı olarak erişildiği iddiası” hakkında Kişisel Verileri Koruma Kurulunun 27/01/2020 tarihli ve 2020/59 sayılı

İlgili kişi, ortağı olduğu şirkete ait e-posta hesabına izinsiz erişildiğini ve kişisel verilerinin kullanıldığını şikayet etmiştir. Ancak söz konusu e-posta hesabının şirkete ait olduğu, diğer ortağın şirket menfaatini korumak için sunucu yedeklerinden yazışmalara eriştiği ve bu verileri mahkemeye delil olarak sunduğu anlaşılmıştır. Kurul, Kanunun 5/2-e bendi kapsamında hakkın tesisi, kullanılması ve korunması için veri işlemenin zorunlu olduğunu değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir.

✓ İhlal Yok
2020/65

“Ulaşım hizmeti sunan bir mobil uygulama kapsamında işlenen kişisel veriler hakkında” Kişisel Verileri Koruma Kurulunun 27/01/2020 tarih ve 2020/65 sayılı Karar Özeti

Ulaşım platformu kullanıcısı, yolculuklarının şoförler tarafından puanlandığını ancak bu konuda aydınlatılmadığını şikayet etmiştir. Kurul, müşteri puanlamasının sözleşmenin ifasıyla doğrudan ilişkili olmadığını, aydınlatma metninde bu işleme faaliyetine yer verilmediğini tespit etmiştir. Kanunun 4, 10 ve 12. maddelerine aykırılık nedeniyle veri sorumlusuna toplam 110.000 TL (100.000 TL + 10.000 TL) idari para cezası uygulanmış ve aydınlatma metnini güncellemesi talimatı verilmiştir.

₺ Para Cezası
₺110.000
2020/66

“İlgili kişinin irtibat numarasının bir elektrik dağıtım şirketi tarafından herhangi bir işleme şartına dayanılmaksızın işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 27/01/2020 tarihli ve

İlgili kişi, elektrik dağıtım şirketinin kendisine ait olmayan aboneliklere ilişkin bilgilendirme SMS'leri gönderdiğini ve başvurusuna cevap verilmediğini şikayet etmiştir. Kurul, veri sorumlusunun ilgili kişinin telefon numarasını Kanunun 5. maddesindeki işleme şartlarına dayanmadan işlediğini ve başvuruya süresinde cevap vermediğini tespit etmiştir. Kanunun 12/1-a maddesine aykırılık nedeniyle veri sorumlusuna 100.000 TL idari para cezası uygulanmış ve ilgili kişinin talebinin yerine getirildiğine dair bilgi sunması talimatı verilmiştir.

₺ Para Cezası
₺100.000
2020/58

“Bir Sigorta Acentesinin müşterilerine ait kişisel verileri herkese açık sosyal medya platformlarında müşterilerinden habersiz olarak ve reklam amacıyla paylaşması hakkında” Kişisel Verileri Koruma

Sigorta acentesinin müşterilerine ait kişisel verileri (ad, adres, maskelenmiş kimlik numarası, plaka bilgileri) açık rıza almaksızın sosyal medya platformlarında reklam amaçlı paylaştığı tespit edilmiştir. Veri sorumlusu bilgisizlikten kaynaklandığını savunmuş olsa da Kurul, Kanunun 5. ve 12. maddelerine aykırılık oluştuğunu belirlemiştir. Müşteri verilerini herkese açık ortamda izinsiz paylaşan veri sorumlusuna Kanunun 18. maddesi uyarınca 22.500 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺22.500
2020/50

“Bir perakende giyim firmasının veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 20/01/2020 tarih ve 2020/50 sayılı Karar Özeti

Veri sorumlusunun web sayfasinda yeni hesap acilirken kisisel verilerin sehven URL uzerinden ucuncu taraf saglayicilara aktarildigi tespit edilmistir. Ihlal 2018'de gerceklesmis ancak yaklasik bir yil sonra 2019'da tespit edilebilmistir. Kurul, web sayfasi tasariminda testlerin yetersiz yapildigini ve islemlere dair takip/alarm sistemlerinin bulunmamasi nedeniyle ihlal tespitinin gec yapildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 50.000 TL idari para cezasi uygulanmis, 72 saatlik bildirim suresi icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir.

₺ Para Cezası
₺50.000
2020/32

Bir banka tarafından ilgili kişinin kredi kartının rızası dışında üçüncü kişilere teslim edilmesine ilişkin Kişisel Verileri Koruma Kurulu’nun 16/01/2020 Tarih ve 2020/32 Sayılı Karar Özeti

Ilgili kisi, Banka tarafindan yenilenen kredi kartinin rizasi disinda ucuncu kisilere teslim edilerek kisisel bilgilerinin aciga ciktigini sikayet etmistir. Incelemede, kartin eski isyeri adresine teslim edildigi, kurye tarafindan yeterli kontrolun yapilmadigi ve Bankanin veri guncelligini saglamak icin yeterli cabay gostermedigi tespit edilmistir. Kurul, kart teslimi sirasinda kisisel verilerin muhafazasini saglamaya yonelik yukumlulukler dogrultusunda yeterli idari ve teknik tedbirleri almayan Banka hakkinda KVKK m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmasina karar vermistir.

₺ Para Cezası
₺50.000
2020/43

“İlgili kişiye ait verilerin veri sorumlusu bir banka tarafından rızası olmaksızın babası ile paylaşılması karşısında kişinin Bankadan tazminat talep etmesi hakkında” Kişisel Verileri Koruma Kurulunun

Ilgili kisi, bankaya kredi basvurusu sirasinda babasina risk grubu bilgisi verilmek suretiyle borc bilgilerinin ucuncu kisiye ifsa edildigini sikayet etmistir. Kurul, 5411 sayili Bankacilik Kanunu m.49 kapsaminda risk grubu tanimina ragmen, borc bilgisinin detay icermeyecek sekilde verilse bile m.12'deki veri guvenligine iliskin yukumluluklerin ihlal edildigini tespit etmistir. Banka personeli hakkinda KVKK m.18 kapsaminda islem tesis edilmesine ve konu Bankacilik Duzenleme ve Denetleme Kurumuna bildirilmesine karar verilmistir.

⚠ Talimat
2020/41

“İlgili kişinin kişisel verilerinin hukuka aykırı işlendiği iddiası kapsamında veri sorumlusu bankadan talep ettiği tazminat talebinin karşılanmaması hakkında” Kişisel Verileri Koruma Kurulunun

Ilgili kisi, Bankaya kredi borcu nedeniyle yasal takip baslatildigini, sigortali ise basladiginda is yerinin arandigini ve aile bilgilerinin sorgullandigini, bu aramalardan sonra is akdinin sonlandirildigini sikayet etmistir. Kurul, ilgili kisinin veri sorumlusuna yaptigi basvurunun KVKK m.11 kapsaminda bir talep icermedigini ve iddialarini kanitlayici belge sunmadigini tespit etmistir. Zarara ugrama ve tazminat talebi konusunda m.14/3 kapsaminda genel mahkemelere basvurulmasi gerektigi belirtilerek Kanun kapsaminda yapilacak bir islem bulunmadigina karar verilmistir.

§ İlke Kararı
2020/34

“İlgili kişinin dergi aboneliği işlemleri ile ilgili bir çağrı merkezine vermiş olduğu telefon numarasının, anılan çağrı merkezi tarafından bir gıda şirketinin reklamının yapılması amacıyla aranması

Ilgili kisi, bir gida sirketi adina arandigini ve numarasinin yillar once spor dergisi aboneligi icin paylasildigini, simdi farkli amacla kullanildigini sikayet etmistir. Veri sorumlusu cagri merkezi, sistemin hata sonucu aradigini savunmustur. Kurul, Kanunun Gecici 1. maddesi kapsaminda 2015'te sona eren dergi aboneligi sonrasi verilerin silinmesi gerektigini, farkli amacla islenmesinin m.4'teki sinirlilik ilkesine aykiri oldugunu tespit etmistir. KVKK m.12/1-a ihlali nedeniyle m.18/1-b uyarinca 18.000 TL idari para cezasi uygulanmistir.

₺ Para Cezası
₺18.000
2020/13

“İlgili kişi ile veri sorumlusu şirket arasında gerçekleştirilen telefon görüşmelerine ilişkin kayıtların ilgili kişiye verilmesi yönündeki talebin reddedilmesi hakkında” Kişisel Verileri Koruma

Sermaye piyasası kuruluşunun, ilgili kişiyle yapılan telefon görüşmesi kayıtlarını vermemesi şikâyet konusu edilmiştir. Kurul, Anayasa'nın 20/3. maddesi ve Kanun'un 11/1-b bendi uyarınca ilgili kişinin kendisiyle ilgili kişisel verilere erişim hakkının bulunduğunu, bilgi talep etme hakkının erişim hakkını da kapsadığını belirterek telefon görüşmesi kayıtlarının ilgili kişiye verilmesi gerektiğine karar vermiştir.

✓ İhlal Yok
2020/26

“Kişisel verilerin veri sorumlusu bir avukat tarafından kısa mesaj yoluyla üçüncü kişilere ifşa edilmesi hakkında” Kişisel Verileri Koruma Kurulunun 14.01.2020 Tarihli ve 2020/26 Sayılı Karar Özeti

Ilgili kisi, icra takibi nedeniyle veri sorumlusu avukat tarafindan borcuna iliskin bilgilerin yillarca gorusmedigi kardesinin telefonuna SMS olarak gonderildigini sikayet etmistir. Avukat, kimligi belirsiz bir kisiden numarayi edindigini savunmustur. Kurul, borclunun yakininin telefon numarasinin hukuka aykiri sekilde edinilerek borcluya ait kisisel verilerin ucuncu kisiye ifsa edilmesinin KVKK m.5 kapsaminda degerlendirilemeyecegine ve m.12 kapsaminda veri guvenligine iliskin yukumluluklere aykiri hareket eden veri sorumlusu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmasina karar vermistir.

₺ Para Cezası
₺50.000
2020/20

“Bir Eğitim Kurumu tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili numaraya reklam/bilgilendirme içerikli mesaj gönderilmesi”

Ilgili kisi, bir egitim kurumu tarafindan acik rizasi alinmadan cep telefonuna reklam amacli mesaj gonderildigini sikayet etmistir. Egitim kurumu hem ilgili kisiye hem de Kuruma herhangi bir cevap vermemistir. Kurul, KVKK m.5 kapsaminda hukuka uygunluk sarti olmaksizin kisisel verilerin islenmesini degerlendirmis ve m.12/1-a uyarinca gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkinda m.18/1-b kapsaminda 50.000 TL idari para cezasi uygulanmasina karar vermistir.

₺ Para Cezası
₺50.000
BAM Bursa BAM - 6. Hukuk Dairesi
E. 2019/2251 K. 2020/62

Bursa BAM - 6. Hukuk Dairesi (E. 2019/2251)

DAVACI: F1 BANKASI TÜRK ANONİM ORTAKLIĞI VEKİLİ: Av. K1 DAVALILAR: 1 -K2 - N1, 2 -K3 - N2 DAVANIN KONUSU: Şikayet (İcra Memur Muamelesi) Yukarıdaki mahal esas ve karar numarası ayrıntılı olarak belirtilen İlk Derece Mahkeme kararının süresi içinde istinaf kanun yoluna başvurulmuş olmakla dosya mündericatına tüm bilgi ve belger okunup tetkik edildikten sonra heyetçe yapılan müzakere sonunda duruşma açılmasına gerek görülmeksizin gereği görüşülüp düşünüldü. GEREĞİ DÜŞÜNÜLDÜ: ...

RED✓
Yargıtay 20.Hukuk Dairesi
E. 2017/2277 K. 2018/7965

Apartman yonetiminin taktirdigi güvenlik kameralarinin kat malikinin özel yasam alanini gorecek sekilde konumlandirilmasinin elatmanin onlenmesi davasina konu oldugu uyusmazlik. Mahremiyet hakkı vurgulanmistir.

BOZMA½
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/4399

AYM Güzide Defne Samyeli Başvurusu

TUIK Hanehalki Butce Anketi'ne katilmama nedeniyle uygulanan idari para cezasinin özel hayata saygı hakkini ihlal ettigi iddiasina ilişkin bireysel başvuru kararı. kişisel veri toplama sinirlar belirlenmistir.
Yargıtay 12. Ceza Dairesi
E. 2017/2960 K. 2018/1541

Verileri hukuka aykiri olarak verme veya ele geçirme suçundan beraat ve tehdit suçundan mahkumiyet kararlarının temyiz incelemesi. TCK m.136 kapsamında kişisel veri kavramının kapsamına ilişkin değerlendirme yapilmistir.

BOZMA
AYM Norm Denetimi
E. 2018/73 K. 2019/65

kişisel verilerin işlenmesi ve korunmasına ilişkin kanuni düzenlemelerin Anayasa'ya uygunluğunun değerlendirilmesine yonelik norm denetimi kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2016/13011

AYM A.A.Y. Başvurusu

Çalışanın kurumsal e-posta hesabının işveren tarafından incelenmesi ve bu yazışmalar gerekçe gösterilerek iş akdinin feshedilmesinin kişisel verilerin korunması hakkı ve haberleşme özgürlüğünü ihlal ettiğine ilişkin bireysel başvurudur.
Yargıtay 12. Ceza Dairesi
E. 2019/4369 K. 2019/8633

Boşanma davası sürecinde eşin çocuklarla görüşme engelini belgelemek amacıyla yaptığı kayıtların özel hayatın gizliliğini ihlal suçu oluşturup oluşturmadığına ilişkin Yargıtay kararı. Evlilik birliği içinde de rıza şartı aranmaktadır.

BOZMA
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/14187

AYM Nurcan Belin Başvurusu

güvenlik sorusturmasinda ertelenmis ceza mahkumiyetine ilişkin bilgilerin kullanilmasi nedeniyle özel hayata saygı hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru İkinci Bölüm
B. 2020/20874

AYM Ümit Karaduman Başvurusu

güvenlik sorusturmasinda kişisel verilerin hukuka aykiri olarak kullanilmasi nedeniyle özel hayata saygı hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2019/20473

AYM H.Ö. Başvurusu

Isyerinde kurumsal e-posta hesabinin isveren tarafından incelenmesi ve bu kayitlara dayanilarak is akdinin feshedilmesi nedeniyle kişisel verilerin korunması hakkının ihlali iddiasina ilişkin bireysel başvuru.
AYM Bireysel Başvuru Birinci Bölüm
B. 2018/34548

AYM Samet Ayyıldız Başvurusu

İşverenin çalışana tahsis edilen bilgisayardaki WhatsApp yazışmalarını inceleyerek iş akdini feshetmesi nedeniyle özel hayata saygı hakkı ve haberleşme hürriyetinin ihlal edildiğine karar verilmiştir.
AYM Bireysel Başvuru Birinci Bölüm
B. 2016/13010

AYM E.Ü. Başvurusu

İşverenin çalışanın kurumsal e-posta hesabını izlemesinin özel hayata saygı hakkı kapsamında haberleşme hürriyetini ve kişisel verilerin korunmasını isteme hakkını ihlal ettiği iddiasına ilişkin bireysel başvuru.
AYM Bireysel Başvuru İkinci Bölüm
B. 2014/4141

AYM Asım Bayar Ve Veysel Bayar Başvurusu

Internet haber arsivlerinde yer alan icerikler nedeniyle kisilik haklarinin ihlal edildiğine ilişkin iddiarin değerlendirilmesine ilişkin bireysel başvuru kararı.
AYM Norm Denetimi
E. 2018/12 K. 2019/45

kişisel verilerin korunması alanindaki kanuni düzenlemelerin Anayasa'ya uygunluguna ilişkin değerlendirme yapilan norm denetimi kararı.
Yargıtay 14. Hukuk Dairesi
E. 2016/2792 K. 2018/6717

komşu tarafından binaya yerleştirilen güvenlik kameralarinin özel hayatin gizliliğini ihlal ettigi gerekçesiyle kameraların kaldırılmasına ilişkin karar. Mahkeme, kameraların davacilarin giris kapisi ve pencerelerine yoneltilmesini hukuka aykiri bulmustur.

ONAMA✓
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/16026

AYM G.Y. Başvurusu

Internet haber arsivlerinde yer alan icerikler nedeniyle kisilik haklarinin ve özel hayatin gizliliginin ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2018/14040

AYM Ertan Erçıktı (3) Başvurusu

İnternet trafik bilgilerinin mevzuatta belirlenen süreden fazla saklanması ve yargı makamına gönderilmesinin kişisel verilerin korunması hakkını ihlal ettiği iddiasına ilişkin bireysel başvuru; başvuru yollarının tüketilmemesi nedeniyle kabul edilemezlik kararı verilmiştir.
AYM Bireysel Başvuru Birinci Bölüm
B. 2018/11988

AYM Ramazan Şahin Başvurusu

İşyerinde parmak izi kayıt sistemi kullanılmasının özel hayata saygı hakkı kapsamında kişisel verilerin korunmasını isteme hakkını ihlal ettiği iddiasına ilişkin bireysel başvuru.
AYM Bireysel Başvuru İkinci Bölüm
B. 2017/24776

AYM Kemal Karanfil Başvurusu

güvenlik sorusturmasinda kişisel verilerin hukuka aykiri olarak kullanilmasi nedeniyle özel hayata saygı hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2018/31036

AYM Celal Oraj Altunörgü Başvurusu

İşverenin çalışanın kurumsal e-posta hesabını denetlemesi ve bu yazışmaları iş akdinin feshine dayanak yapması nedeniyle kişisel verilerin korunması ve haberleşme özgürlüğünün ihlal edildiği iddiasına ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/15365

AYM Turgut Duman Başvurusu

güvenlik soruşturmasında kanunen verilmemesi gereken kişisel verilerin idari makamlara açıklanması nedeniyle özel hayata saygı hakkının ihlal edildiği iddiasına ilişkin bireysel başvuru kararı.
Yargıtay 22. Hukuk Dairesi
E. 2017/21857 K. 2019/9884

Isveren tarafından calisanin bilgisayarinin takibe alınması ve USB bellekteki verilerin incelenmesinin is sozlesmesinin feshi baglaminida değerlendirilmesine ilişkin is hukuku kararı.

BOZMA
Yargıtay 6. Ceza Dairesi
E. 2021/10682 K. 2022/5430

Ev içi güvenlik kameralarıyla elde edilen görüntülerin nitelikli hırsızlık davasında hukuka uygun delil olarak kullanılabileceğine ilişkin bozma kararı.

BOZMA
AYM Bireysel Başvuru Birinci Bölüm
B. 2015/19298

AYM Ali Çığır Başvurusu

Internet ortaminda yayinlanan icerikler nedeniyle seref ve itibar ile özel hayatin gizliliginin ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru İkinci Bölüm
B. 2014/1808

AYM G.D. (2) Başvurusu

Unutulma hakkı kapsamında internet ortamindaki kişisel verilerin silinmesi talebinin değerlendirilmesine ilişkin bireysel başvuru kararı.
AYM Norm Denetimi
E. 2014/19685

AYM

kişisel verilerin korunması alanindaki kanuni düzenlemelerin Anayasa'ya uygunluguna yonelik değerlendirme yapilan karar.
AYM Norm Denetimi
E. 2014/4 K. 2015/1679

Gazete internet arşivindeki haberlere erişimin engellenmesi talebine ilişkin bireysel başvuru; aynı konuda daha önce ihlal kararı verilmiş olması nedeniyle başvurunun incelenmesinin sürdürülmesini haklı kılan neden kalmadığından düşme kararı verilmiştir.
AYM Norm Denetimi
E. 2014/74 K. 2014/201

Kanunen verilmemesi gereken kişisel verinin idari makamlara açıklanması ve güvenlik soruşturmasına esas alınması nedeniyle özel hayata saygı hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru İkinci Bölüm
B. 2014/18260

AYM Asli Alp Ve Şükrü Alp Başvurusu

İnternet haber arşivlerinde yer alan haberlere erişimin engellenmesi talebinin reddi nedeniyle şeref ve itibarın korunması hakkının ihlal edildiği iddiasına ilişkin bireysel başvuru kararı. Unutulma hakkı kapsamında değerlendirilmiştir.
AYM Norm Denetimi
E. 2014/74 K. 2014/201

güvenlik sorusturmasinda kişisel verilerin kullanilmasi ve özel hayata saygı hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/17943

AYM Fahri Göncü Başvurusu

Internet ortaminda yayinlanan icerikler nedeniyle kisilik haklarinin ihlal edildiği iddiasina ilişkin bireysel başvuru kararı. Unutulma hakkı ve kişisel verilerin korunması degerlendirmesi yapilmistir.
AYM Norm Denetimi
E. 2014/122 K. 2015/123

İdarenin kişisel verileri üçüncü kişilere vermesinin özel hayata saygı hakkını ihlal edip etmediğine ilişkin bireysel başvuru kararı.
AYM Bireysel Başvuru Birinci Bölüm
B. 2014/14189

AYM B.K. Başvurusu

Hatali tibbi uygulama nedeniyle acilan tazminat davasinda durusmalarin gizli yapilmasi talebinin reddi nedeniyle özel hayatin gizliliği hakkının ihlal edildiği iddiasina ilişkin bireysel başvuru kararı.
AYM Norm Denetimi Genel Kurul
E. 2006/123 K. 2009/43

kişisel verilerin korunması ve islenmesine ilişkin kanuni düzenlemelerin Anayasa'ya uygunluğunun değerlendirilmesine ilişkin norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2013/84 K. 2014/183

PTT tarafından oluşturulan adres bilgi kayıt sisteminde tüzel kişilerin rızası alınmadan kişisel veri niteliğindeki adres bilgilerinin toplanıp üçüncü kişilere verilmesinin Anayasanın 20. maddesine aykırı olduğuna karar verilmiştir.
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

Disiplin mevzuatindaki kişisel verilerin islenmesine ilişkin hükümlerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2010/40 K. 2012/8

kişisel verilerin korunması alanindaki yasal düzenlemelerin Anayasa'ya uygunluğunun incelendiği temel norm denetimi kararı.
AYM Norm Denetimi
E. 2014/4 K. 2015/1679

Gazete internet arşivinde yer alan eski haberlerin kaldırılması talebinin reddedilmesinin şeref ve itibarın korunması hakkını ihlal ettiğine ilişkin bireysel başvuru; unutulma hakkı ve kişisel verilerin korunması bağlamında değerlendirilmiştir.
AYM Norm Denetimi
E. 2004/122 K. 2004/116

Genel Bilgi Toplama (GBT) sistemine kaydedilen kişisel verilerin silinmesi talebinin reddedilmesinin özel hayatın gizliliği hakkını ihlal ettiğine ilişkin bireysel başvuru; kolluk tarafından tutulan verilerin hukuki güvenceleri değerlendirilmiştir.
AYM Norm Denetimi Genel Kurul
E. 2011/150 K. 2013/30

Sağlık Bakanlığı ve bağlı kuruluşlarının teşkilat yapısını düzenleyen KHK hükümlerinin anayasallığı incelenmiş, kişisel sağlık verilerinin işlenmesine ilişkin düzenlemelerin kanunla yapılması gerektiği değerlendirilmiştir.
AYM Norm Denetimi
E. 2010/12 K. 2011/135

kişisel verilerin korunması ve özel hayata saygı hakkina ilişkin kanuni düzenlemelerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2012/100 K. 2013/84

İcra ve İflas Kanunu ile çeşitli kanunlarda yapılan değişikliklerin Anayasa'ya uygunluğunun denetlendiği iptal davası; elektronik işlemler, yürütmenin durdurulması ve yargı teşkilatına ilişkin düzenlemeleri kapsamaktadır.
2019/389

Aday Puanlarının Rıza Alınmaksızın, İnternet Sitesinde Paylaşılması Hakkındaki Görüş Talebi ile ilgili Kişisel Verileri Koruma Kurulunun 26/12/2019 Tarihli ve 2019/389 Sayılı Karar Özeti

Öğretim elemanı kadrolarına yapılacak atamalarda değerlendirme puanlarının internet ortamında yayımlanması hakkında görüş verilmiştir. Kurul, değerlendirme puanlarının yalnızca akademik kadrolara müracaat eden ilgili kişilerce görüntülenebilecek şekilde, kimlik doğrulaması yapılarak ilan edilmesi gerektiğine karar vermiştir. Ad-soyad ve T.C. kimlik numarası gibi verilerin maskeleme yöntemiyle gizlenmesi uygun bulunmuştur.

✓ İhlal Yok
2019/393

Kişisel Veri Güvenliği Rehberinde geçen “personel gizlilik sözleşmesi” imzalatılmasının 657 sayılı Devlet Memurları Kanununa tabii olarak çalışanlar için gerekli olup olmadığı ile ilgili Kişisel

Devlet memurlarının görev ve sorumluluklarına ilişkin kişisel veri işleme sınırları değerlendirilmiştir. Kurul, 657 sayılı Devlet Memurları Kanunu ve Anayasa'nın 128-129. maddeleri çerçevesinde memurların hak ve yükümlülüklerinin kanunla düzenlendiğini hatırlatmıştır. Kamu görevlilerinin görevleriyle ilgili kişisel verilerinin kamuya açıklanmasının sınırları ve hukuki dayanakları ayrıntılı olarak incelenmiştir.

§ İlke Kararı
2019/387

Araç Plaka Numarasının Kişisel Veri Niteliği

VERBİS'e kayıt yükümlülüğünün kapsamı ve tarihleri hakkında kamuoyuna duyuru yapılmıştır. Kurul, Veri Sorumluları Sicilinin şeffaflık ve hesap verebilirlik ilkelerini desteklediğini, kayıt yükümlülüğünün asıl amacının kişisel verilerin gelişigüzel işlenmesinin önüne geçilmesi ve farkındalık oluşturulması olduğunu belirtmiştir. Farklı kategorilerdeki veri sorumluları için VERBİS kayıt başlangıç ve bitiş tarihleri ayrıntılı olarak açıklanmıştır.

⚖ Disiplin
2019/372

Bir gazete tarafından ilgili kişinin özel nitelikli kişisel verileri hakkında haber yapılmasına ilişkin Kişisel Verileri Koruma Kurulu’nun 09/12/2019 tarih ve 2019/372 sayılı Karar Özeti

Bir gazetede yayımlanan köşe yazısında ilgili kişinin kanser tedavisi gördüğüne ilişkin özel nitelikli sağlık verisinin rızası dışında işlenmesi şikâyet konusu edilmiştir. Kurul, sağlık verisinin yayımlanmasında kamu yararı bulunmadığını, kişilik haklarının ifade özgürlüğüne üstün geldiğini tespit etmiştir. Konunun Kanun'un 28/1-c bendindeki basın istisnası kapsamında değerlendirilemeyeceğine karar verilmiştir.

₺ Para Cezası
₺125.000
2019/352

Bir Banka Nezdinde Gerçekleşen Veri İhlali ile İlgili Olarak Kişisel Verileri Koruma Kurulunun 26/11/2019 Tarihli ve 2019/352 Sayılı Karar Özeti

Banka personelinin müşteri bilgilerini şahsi e-posta adresine göndermesi ve dolandırıcılık eylemlerine aracılık etmesi üzerine yapılan veri ihlali bildirimi incelenmiştir. Altı müşterinin nüfus cüzdanı, bakiye, kimlik ve iletişim bilgilerinin sızdırıldığı tespit edilmiştir. Personelin iş akdi feshedilmiş ve suç duyurusunda bulunulmuştur. Kurul, toplam 100.000 TL idari para cezası uygulanmasına karar vermiştir.

₺ Para Cezası
₺100.000
2019/353

Dernek, Vakıf Ve Sendikaların Veri Sorumluları Siciline Kayıt Yükümlülüğü İstisnası Hakkında Kişisel Verileri Koruma Kurulunun 26.11.2019 Tarihli ve 2019/353 Sayılı Karar Özeti

Dernek, vakıf ve sendikaların VERBİS kayıt istisnasının kapsamı açıklanmıştır. Kurul, 2018/32 sayılı kararda yer alan 'yalnızca kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler' ifadesinin, bu kuruluşların sadece sayılan kişilerin verilerini işlemesi halinde geçerli olduğunu belirtmiştir. Farklı kategorilerdeki kişilerin verilerini de işleyen kuruluşların VERBİS'e kayıt yükümlülüğü bulunmaktadır.

§ İlke Kararı
2019/332

“Bir doktor tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili numaraya reklam/bilgilendirme içerikli mesaj gönderilmesi” hakkında

Bir doktorun ilgili kişinin cep telefonuna açık rıza olmaksızın reklam amaçlı mesaj göndermesi şikâyet konusu edilmiştir. Veri sorumlusunun hem şikâyetçinin başvurusuna hem de Kurum'un bilgi talebine cevap vermediği tespit edilmiştir. Kurul, kişisel verinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadan işlendiğini belirleyerek Kanun'un 18. maddesi uyarınca idari yaptırım uygulanmasına karar vermiştir.

₺ Para Cezası
₺50.000
2019/331

“İlgili kişi tarafından alenileştirilen kişisel verinin, alenileştirme amacı dışında işlenmesi” hakkında Kişisel Verileri Koruma Kurulunun 07/11/2019 Tarihli ve 2019/331 Sayılı Karar Özeti

Sigorta şirketinin, ilgili kişinin mesleki internet sitesinde yer alan iletişim bilgilerini kullanarak sigortacılık faaliyetleri için araması incelenmiştir. Kurul, ilgili kişinin verilerini alenileştirme amacının mesleki yetkinliğinden faydalanmak olduğunu, sigorta teklifi için aranmasının bu amaca uygun olmadığını tespit etmiştir. Veri sorumlusuna Kanun'un 18/1-b maddesi uyarınca idari para cezası uygulanmıştır.

₺ Para Cezası
₺100.000
2019/333

“Telekomünikasyon sektöründe faaliyet gösteren veri sorumlusu tarafından şikayetçiye, ad ve soyadı benzerliği olan başka bir abonesinin fatura bilgilerinin e-posta yoluyla iletilmesi hakkında” Kişisel

Telekomünikasyon şirketinin, isim benzerliği nedeniyle başka bir abonenin faturalarını ilgili kişinin e-posta adresine göndermesi şikâyet konusu edilmiştir. Kurul, üçüncü kişinin fatura bilgilerinin (isim, numara, tarife, tutar) şikâyetçiye iletilmesinin Kanun'un 5. ve 8. maddelerine aykırı olduğunu, ayrıca şikâyetçinin e-posta adresinin de hukuka aykırı işlendiğini tespit ederek idari para cezası uygulanmasına karar vermiştir.

₺ Para Cezası
₺50.000
2019/316

“Bilimsel amaçlarla kayıt altına alınan bilimsel veri niteliğindeki kan, serum ve doku örneklerinin ihmal sonucu bozulması ve sonrasında imha edilmesi hakkındaki ihbar”a ilişkin Kişisel Verileri

Hastanede bilimsel araştırma amacıyla toplanan kan, serum ve doku örneklerinin ihmal sonucu bozulması ve imha edilmesi ihbar edilmiştir. Kurul, söz konusu biyolojik materyallerin anonimleştirilmiş olduğunu, dolayısıyla kişisel veri niteliği taşımadığını tespit etmiştir. Ayrıca bilimsel amaçlarla işlenen verilerin Kanun'un 28/1-c maddesi kapsamında istisna tutulduğu belirtilerek Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir.

✓ İhlal Yok
2019/308 İlke Kararı

Hukuka Aykırı Veri Sorgulama Yazılımları Hakkında İlke Kararı

Hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgilerinin sorgulanmasına imkân tanıyan yazılım/program/uygulama kullananlar hakkında TCK kapsamında Cumhuriyet Başsavcılıklarına ihbarda bulunulacağı ve Kanun'un 18. maddesi çerçevesinde idari işlem tesis edileceği kamuoyuna duyurulmuştur.

§ İlke Kararı
2019/297

“Veri sorumlusu tarafından ilgili kişiye gönderilen reklam amaçlı SMS’ler hakkında” Kişisel Verileri Koruma Kurulunun 01/10/2019 Tarihli ve 2019/297 Sayılı Karar Özeti

Otomotiv sektöründe faaliyet gösteren şirketin ilgili kişiye reklam içerikli SMS göndermesi incelenmiştir. Kurul, Kanun'un yürürlüğe girmesinden önce hukuka uygun alınmış rızaların geçerliliğini ve Ticari İletişim Yönetmeliği hükümlerini değerlendirmiştir. Şikâyetçinin geçmiş alışveriş ilişkisine dayanarak verilen iletişim bilgilerinin kullanımının mevzuata uygun olduğu sonucuna varılmıştır.

✓ İhlal Yok
2019/296

“Bir operatör şirketinin, ilgili kişinin internet sitesi üzerinden yapmış olduğu başvurusunu kimlik teyidi yapamadığı gerekçesiyle reddetmesine ilişkin olarak Kurula yapılan başvuru” hakkında Kişisel

Telekomünikasyon şirketinin, ilgili kişinin internet üzerinden yaptığı başvuruyu noter veya e-imza olmadığı gerekçesiyle reddetmesi şikâyet konusu edilmiştir. Kurul, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in çeşitli başvuru yöntemlerini düzenlediğini, şirketin kimlik teyidi için ek kontrol mekanizması oluşturabileceğini ancak Tebliğ'de belirtilen yöntemlerin dışında şartlar koyamayacağını belirtmiştir.

⚠ Talimat
2019/294

“Bir havayolu taşımacılık şirketinin (veri sorumlusu) sunduğu sadakat programını kullanan ilgili kişinin kullanıcı adı ve parola bilgilerini değiştirme talebi karşısında ilgili kişiden arkalı önlü

Havayolu şirketinin sadakat programı kullanıcısından şifre değişikliği için arkalı önlü kimlik fotokopisi talep etmesi incelenmiştir. Kurul, kimlik belgesinde din ve kan grubu gibi özel nitelikli kişisel verilerin yer aldığını, bu verilerin Kanun'un 5. ve 6. maddelerine uygun olmadan işlenmesinin hukuka aykırı olduğunu tespit etmiştir. Şifre değişikliği için arkalı önlü kimlik fotokopisi istenmesinin orantılılık ilkesine aykırı olduğuna karar verilmiştir.

₺ Para Cezası
₺100.000
2019/276

“Sevinç Eğitim Kurumlarının kişisel veri işleme şartları olmaksızın ilgili kişinin cep telefonuna reklam amaçlı kısa mesaj göndermesi” hakkında Kişisel Verileri Koruma Kurulunun 18.09.2019 Tarihli ve

Sevinç Eğitim Kurumları'nın ilgili kişinin cep telefonuna açık rıza veya diğer işleme şartları olmaksızın reklam amaçlı SMS göndermesi şikâyet konusu edilmiştir. Kurul, veri sorumlusunun Kanun'un 12/1-a maddesi kapsamında kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünü yerine getirmediğini tespit ederek 50.000 TL idari para cezası uygulanmasına karar vermiştir.

₺ Para Cezası
₺50.000
2019/271

Veri İhlali Bildiriminde Yer Alması Gereken Asgari Unsurlar Hakkında Karar

Veri sorumlusu tarafından ilgili kişiye yapılacak veri ihlali bildiriminin açık ve sade bir dille yapılması ve asgari olarak şu unsurları içermesi gerektiğine karar verilmiştir: İhlalin ne zaman gerçekleştiği, etkilenen veri kategorileri, olası sonuçlar, alınan önlemler ve iletişim bilgileri.

§ İlke Kararı
2019/269

Facebook hakkında Kişisel Verileri Koruma Kurulunun 18.09.2019 tarih ve 2019/269 sayılı Karar Özeti

Facebook'un 'başkasının gözünden gör', 'doğum günü kutlayıcı' ve 'video yükleyici' özelliklerinin etkileşimi sonucu oluşan güvenlik açığından kaynaklanan veri ihlali incelenmiştir. Facebook'un Kurul'a bildirimde bulunmadığı tespit edilmiştir. Test aşamasında tespit edilmesi gereken hatanın yayına alınması nedeniyle Kanun'un 12/1. maddesi uyarınca idari para cezası uygulanmasına karar verilmiştir.

₺ Para Cezası
₺1.600.000
2019/277

“Bir bankanın, ilgili kişinin cep telefonu numarasını bankaya veriliş amacı dışında kullanması” hakkında Kişisel Verileri Koruma Kurulunun 18/09/2019 Tarihli ve 2019/277 Sayılı Karar Özeti

Banka çalışanının, müşterinin telefon numarasını eşine ulaşmak için amacı dışında kullanması şikâyet konusu edilmiştir. Kurul, Banka'nın şikâyetçiye 'Hizmet Hattını arayın' şeklinde verdiği cevabın yeterli olmadığını, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvuruya yazılı veya elektronik ortamda açıklayıcı cevap verilmesi gerektiğine karar vermiştir.

₺ Para Cezası
₺100.000
2019/227

“Bir bankanın, ilgili kişinin cep telefonu numarasını bankaya veriliş amacı dışında kullanması” hakkında Kişisel Verileri Koruma Kurulunun 18/09/2019 Tarihli ve 2019/277 Sayılı Karar Özeti

Banka çalışanının, müşterinin telefon numarasını eşinin iş ilişkisi için arayarak amacı dışında kullanması şikâyet konusu edilmiştir. Kurul, Banka'nın şikâyetçiye detaylı bilgi için Hizmet Hattını aramasını önermesinin yeterli bir cevap olmadığını tespit etmiş, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca başvuruya usulüne uygun cevap verilmesi gerektiğine karar vermiştir.

₺ Para Cezası
₺100.000
2019/273

“Ölü kişilerin verilerine yakınlarının erişim talebi hakkında” Kişisel Verileri Koruma Kurulunun 18/09/2019 Tarihli ve 2019/273 Sayılı Karar Özeti

Vefat eden kişinin eşinin, ölen eşine ait sağlık verilerine erişim talebi değerlendirilmiştir. Kurul, 4721 sayılı Türk Medeni Kanunu'nun 28. maddesi uyarınca kişiliğin ölümle sona erdiğini, Kanun'un 11. maddesinde düzenlenen hakların yalnızca ilgili kişinin kendisi tarafından kullanılabileceğini tespit etmiştir. Ölmüş kişilere ait veriler Kanun kapsamında değerlendirilmediğinden talebin karşılanamayacağına karar verilmiştir.

§ İlke Kararı
2019/265

\"VERBİS Kayıt Sürelerinin Uzatılması\" hakkında 03/09/2019 tarihli ve 2019/265 sayılı Kurul Kararı

TOBB ve sektör temsilcilerinin talebi üzerine VERBİS kayıt sürelerinin uzatılmasına karar verilmiştir. Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan veri sorumluları ile yurtdışında yerleşik veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için süre 31.12.2019 tarihine kadar uzatılmıştır.

§ İlke Kararı
2019/254

S Şans Oyunları A.Ş hakkında Kişisel Verileri Koruma Kurulunun 27.08.2019 tarih ve 2019/254 sayılı Karar Özeti

S Şans Oyunları A.Ş.'nin (tuttur.com) veri ihlali bildirimi incelenmiştir. Kullanıcılara ait telefon numaraları ve şifrelerinin sızdırıldığı tespit edilmiştir. Şirketin veri işleyen nezdinde gerçekleşen ihlal için de gerekli tedbirleri almadığı değerlendirilerek Kanun'un 12/1 ve 12/5. maddeleri uyarınca toplam 180.000 TL (150.000 TL + 30.000 TL) idari para cezası uygulanmıştır.

₺ Para Cezası
₺180.000
2019/255

Bir turizm şirketi hakkında Kişisel Verileri Koruma Kurulunun 27.08.2019 tarih ve 2019/255 sayılı Karar Özeti

Turizm şirketinin LAN (Yerel Alan Ağı) üzerinden yaşanan veri ihlali bildirimi incelenmiştir. Şirketin veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almadığı ve ilgili kişilere bildirim yapmadığı tespit edilmiştir. Kanun'un 12/1 ve 12/5. maddeleri uyarınca toplam 500.000 TL (400.000 TL + 100.000 TL) idari para cezası uygulanmıştır.

₺ Para Cezası
₺500.000
AYM Norm Denetimi Genel Kurul
E. 2016/171 K. 2016/164

sağlık verilerinin korunması ve kamu kurumlari ile paylasilmasina ilişkin yasal düzenlemelerin Anayasa'ya uygunlugunu inceleyen norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2016/171 K. 2016/164

sağlık verilerinin korunması ve paylasilmasina ilişkin kanuni düzenlemelerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
2019/225

Yurtdışında yerleşik Tüzel kişilerin Türkiye’deki Şubeleri ile İrtibat Bürolarının Sicile Kayıt Yükümlülüğü Hakkındaki Görüş Talebi ile ilgili Kişisel Verileri Koruma Kurulunun 23/07/2019 tarih ve

Yurtdışında yerleşik tüzel kişilerin Türkiye'deki şubeleri ve irtibat bürolarının VERBİS kayıt yükümlülüğü hakkında görüş verilmiştir. Kurul, veri sorumluluğunun tespitinde kişisel verilerin işleme amaçlarını ve vasıtalarını belirleme, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olma kriterlerinin değerlendirilmesi gerektiğini belirtmiştir. Yurtdışında yerleşik veri sorumlularının VERBİS'e kayıt yükümlülüğü ve istisna kriterleri ayrıntılı olarak açıklanmıştır.

§ İlke Kararı
2019/222

Dubsmash Inc. hakkında Kişisel Verileri Koruma Kurulunun 17/07/2019 Tarihli ve 2019/222 Sayılı Karar Özeti

Dubsmash Inc.'in karanlık ağda (Darknet) kullanıcı verilerinin satışa çıkarılması üzerine yaptığı veri ihlali bildirimi incelenmiştir. Türkiye'yi ülke olarak tanımlayan 679.269 kişiye ait bilgilerin ihlalden etkilendiği tespit edilmiştir. Şirketin ihlalin tekrar yaşanmaması için gerekli güvenlik tedbirlerini aldığı ve kullanıcılara bildirimde bulunduğu değerlendirilerek Kanun kapsamında yapılacak işlem bulunmadığına karar verilmiştir.

₺ Para Cezası
₺680.000
2019/204

“Bir yatırım şirketi tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmadan işlenmesi ve reklam/bilgilendirme amaçlı aranması hakkında Kuruma yaptığı başvuru”

Yatırım şirketinin, daha önce başka şirkette çalışan personeli aracılığıyla elde ettiği telefon numarasını kullanarak ilgili kişiyi reklam amacıyla araması şikâyet konusu edilmiştir. Kurul, kişisel verinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadan işlendiğini tespit etmiş ve veri sorumlusu hakkında Kanun'un 18. maddesi uyarınca idari yaptırım uygulanmasına karar vermiştir.

₺ Para Cezası
₺75.000
2019/206

“Veri sorumlusunun, web sitesinde kişisel verilerin işlenmesini hizmet şartı olarak talep ettiği ve aydınlatma yükümlülüğünü usulüne uygun yerine getirmediği iddiaları hakkında” Kişisel Verileri

Web sitesinde hizmet sunumu için e-posta adresinin zorunlu olarak talep edilmesi incelenmiştir. Kurul, açık rızanın özgür irade ile verilmesi gerektiğini, hizmet veya ürün sunumunun kişisel veri işlenmesi şartına bağlanmaması gerektiğini vurgulamıştır. Aydınlatma metninin de işlenen kişisel verileri ve hukuki sebeplerini açıkça ortaya koyması gerektiği belirtilerek veri sorumlusunun uygulamalarını düzeltmesi için talimat verilmiştir.

⚠ Talimat
2019/198

“İlgili kişinin, bir sadakat programı kapsamında veri sorumlusunca hukuka aykırı kişisel veri işlendiği yolundaki ihbarı” hakkında Kişisel Verileri Koruma Kurulunun 05/07/2019 tarihli ve 2019/198

Bir sadakat programı kapsamında kişisel veri işlenmesine ilişkin ihbar incelenmiştir. Kurul, sadakat kartı üyeliği için kişisel veri işlenmesinin açık rızaya dayandığını, açık rıza metninin belirli bir konuya ilişkin olduğunu ve aydınlatmanın mevzuata uygun yapıldığını tespit etmiştir. Sadakat programına katılmayanlara da normal fiyattan alışveriş imkânı sunulduğundan açık rızanın özgür irade ile verildiği sonucuna varılmıştır.

✓ İhlal Yok
İlk Derece İstanbul 4. Asliye Ticaret Mahkemesi
E. 2019/279 K. 2019/661

İstanbul 4. Asliye Ticaret Mahkemesi (E. 2019/279)

Limited şirket ortaklarının TTK m.614 kapsamında bilgi edinme ve inceleme hakkı talebi. Davacı ortaklar, şirket müdüründen ticari defter ve kayıtlar ile yurt içi/dışı iş ortaklarının iletişim bilgilerini talep etmiştir. Mahkeme, ticari kayıtların daha önce incelemeye sunulduğunu ve iş ortaklarının kişisel bilgilerinin 6698 sayılı KVKK kapsamında korunan veriler olduğunu tespit ederek davayı reddetmiştir.

✗Ret
2019/188

Öğrencilerin kişisel verisi niteliğindeki sınav sonuçlarını internet ortamında yayımlayan Mimar Sinan Güzel Sanatlar Üniversitesi’nin uygulaması hakkında Kuruma yapılmış olan başvuru hakkında Kişisel

Mimar Sinan Güzel Sanatlar Üniversitesi'nin öğrenci sınav sonuçlarını internet ortamında herkese açık şekilde yayımlaması incelenmiştir. Kurul, sınav sonuçlarının arama motorlarında erişilebilir olmasının ve yıllar sonra bile üçüncü kişilerin erişimine açık tutulmasının uygun olmadığını tespit etmiş, sonuçların kullanıcı adı-şifre ile güvenli bir sistem üzerinden açıklanması gerektiğine karar vermiştir.

⚖ Disiplin
2019/170

“Bir perakende giyim firmasının veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 18/06/2019 tarih ve 2019/170 sayılı Karar Özeti

Perakende giyim firmasının web sitesinde yaşanan veri ihlali bildirimde bulunulması üzerine inceleme yapılmıştır. Yeni hesap açan müşterilerin kişisel verilerinin yanlışlıkla bir URL üzerinden üçüncü taraflara aktarıldığı tespit edilmiştir. Web sitesi testlerinin yetersiz olması ve takip sistemlerinin bulunmaması nedeniyle Kanun'un 12/1. maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺50.000
BAM İzmir BAM - 9. Hukuk Dairesi
E. 2018/2398 K. 2019/764

İzmir BAM - 9. Hukuk Dairesi (E. 2018/2398)

DAVANIN KONUSU: Tespit (İşe İade İstemli) İzmir 3. İş Mahkemesi'nin 07/05/2018 tarih ve 2017/602 Esas, 2018/172 Karar sayılı kararına karşı davalı vekilince istinaf kanun yoluna başvurulmuş, dosya istinaf incelemesi yapılmak üzere dairemize gönderilmiş olup, tüm dosya kapsamı incelendi, 6100 Sayılı HMK'nın 352.maddesi uyarınca eksiklik bulunmadığı anlaşıldığından; GEREĞİ DÜŞÜNÜLDÜ: TALEP: Davacı vekili dava dilekçesi ile; davacının, 02/04/2012 tarihinde yapılan sözleşme gereğince...

GERݽ
2019/166

İlgili kişiye ait telefon numarasına kendisine ait olmayan içeriğin gönderilmesi ile ilgili Kişisel Verileri Koruma Kurulunun 31/05/2019 Tarihli ve 2019/166 Sayılı Karar Özeti

Veri sorumlusu avukatın, bir müvekkiline ait SMS'i yanlışlıkla başka bir kişinin numarasına göndermesi incelenmiştir. Gönderilen SMS'te üçüncü kişinin ad, soyad ve hizmet numarası gibi kişisel verileri yer almıştır. Kurul, veri sorumlusunun hukuka aykırı veri işlemeyi önleme yükümlülüğünü yerine getirmediğini tespit ederek Kanun'un 18/1-b maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺50.000
2019/159

Bir varlık yönetim şirketinin ilgili kişiye aynı konu ile ilgili birden çok mesaj gönderimine ilişkin Kişisel Verileri Koruma Kurulunun 31/05/2019 Tarihli ve 2019/159 Sayılı Karar Özeti

Varlık yönetim şirketinin tahsili gecikmiş alacaklar için ilgili kişiye SMS göndermesi incelenmiştir. Kurul, alacağın 5411 sayılı Bankacılık Kanunu ve 6098 sayılı TBK kapsamında devir ve temlik alındığını, ilgili kişinin kişisel verilerinin sözleşmenin ifası kapsamında Kanun'un 5/2-c maddesi uyarınca işlenebileceğini tespit etmiş, veri sorumlusunun başvuruya süresinde cevap verdiğini belirleyerek yapılacak işlem olmadığına karar vermiştir.

₺ Para Cezası
₺20.000
2019/162

Bir anonim şirketin (veri sorumlusu) ilgili kişinin açık rızası dışı elektronik ticari ileti göndermesine ilişkin Kişisel Verileri Koruma Kurulunun 31.05.2019 Tarihli ve 2019/162 Sayılı Karar Özeti

Bir anonim şirketin ilgili kişinin cep telefonuna açık rıza olmaksızın reklam içerikli SMS göndermesi şikâyet konusu edilmiştir. Kurul, mesaj gönderiminin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadığını tespit etmiş, şirkete başvuruya cevap verilmemesi ve hukuka aykırı veri işleme nedeniyle Kanun'un 18/1-b maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺50.000
2019/157

Kurumsal e-posta hizmetinin, Google (gmail) üzerinden yine aynı uzantıya sahip olarak kullanılıp kullanılamayacağı ilişkin Kişisel Verileri Koruma Kurulunun 31/05/2019 Tarihli ve 2019/157 Sayılı Karar

Kurumsal e-posta hizmetinin Google (Gmail) üzerinden kullanılması hakkında görüş verilmiştir. Kurul, Gmail altyapısının kullanılması durumunda gönderilen ve alınan e-postaların dünyanın çeşitli yerlerindeki veri merkezlerinde tutulacağını, bunun kişisel verilerin yurt dışına aktarılması anlamına geleceğini belirtmiş ve veri sorumlularının bu uygulamayı Kanun'un 9. maddesine uygun olarak gerçekleştirmesi gerektiğine karar vermiştir.

§ İlke Kararı
2019/141

Clickbus Seyahat Hizmetleri A.Ş. hakkında Kişisel Verileri Koruma Kurulunun 16.05.2019 tarih ve 2019/141 sayılı Karar Özeti

Clickbus Seyahat Hizmetleri A.Ş.'nin yaşadığı siber saldırı sonucu veri ihlali bildirimde bulunması üzerine yapılan inceleme neticesinde; veri güvenliğini sağlamaya yönelik gerekli tedbirlerin alınmadığı ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 550.000 TL (450.000 TL + 100.000 TL) idari para cezası uygulanmıştır.

₺ Para Cezası
₺550.000
2019/144

Cathay Pasific Airway Limited hakkında Kişisel Verileri Koruma Kurulunun 16.05.2019 tarih ve 2019/144 sayılı Karar Özeti

Cathay Pacific Airways Limited'in yaşadığı siber saldırı sonucu yolcu bilgilerine yetkisiz erişim sağlanması üzerine yapılan veri ihlali bildiriminin incelenmesi neticesinde; veri güvenliği tedbirlerinin yetersiz olduğu ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 550.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺550.000
2019/138

“Bir şirket sahibinin, çalışanının Whatsapp yazışmalarını hukuka aykırı olarak elde etmesi hakkında” Kişisel Verileri Koruma Kurulunun 16/05/2019 Tarihli ve 2019/138 Sayılı Karar Özeti

Çalışanın Whatsapp yazışmalarının şirket sahibi tarafından hukuka aykırı olarak elde edilmesi ve üçüncü kişilerle paylaşılması şikâyet konusu edilmiştir. Kurul, konunun yargı mercilerinin görev alanına girdiğini tespit ederek başvurunun Kanun kapsamında değerlendirilemeyeceğine, kişisel verilere ilişkin suçlar bakımından TCK 135-140. maddeleri uyarınca Cumhuriyet Başsavcılığına başvurulabileceğine karar vermiştir.

§ İlke Kararı
2019/143

Marriott International Inc. hakkında Kişisel Verileri Koruma Kurulunun 16.05.2019 tarih ve 2019/143 sayılı Karar Özeti

Marriott International'ın Starwood Hotels sistemlerinde yaşanan veri ihlali bildirimde bulunması üzerine yapılan incelemede; veri güvenliği tedbirlerinin yetersiz olduğu ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 1.450.000 TL (1.100.000 TL + 350.000 TL) idari para cezası uygulanmıştır.

₺ Para Cezası
₺1.450.000
2019/81

Yüz Tanıma ile Yoklama Takibi

Bir eğitim kurumunun öğrenci yoklamasını yüz tanıma sistemiyle alması değerlendirilmiştir. Tespit: Yüz tanıma verisi biyometrik veri olup özel nitelikli kişisel veridir Yoklama için daha az müdahaleci yöntemler mevcuttur (kart, imza vb.) Orantılılık ilkesine aykırılık tespit edilmiştir Sonuç: İhlal kararı verilmiştir.

₺ Para Cezası
₺100.000
Yargıtay Ceza Genel Kurulu
E. 2015/708 K. 2019/414

Magdurun fotograf, isim ve telefon numarasinin sokaklara asilan afislerde izinsiz yayilmasinin TCK m.134/2 ve m.136 kapsamında birden fazla suç oluşturduğuna dair Ceza Genel Kurulu kararı.

BOZMA
2019/122

İlgili kişinin yaptığı başvuruyu cevaplandırmayan ve internet sitesi üzerinden yayımladığı aydınlatma metni mevzuatta düzenlenen şartları taşımayan T.C. Ziraat Bankası A.Ş. hakkında Kişisel Verileri Koruma Kurulunun 02/05/2019 tarihli ve 2019/122 sayıl...

T.C. Ziraat Bankası'nın ilgili kişinin Kanun kapsamındaki başvurusuna yasal süre içinde cevap vermemesi ve internet sitesindeki aydınlatma metninin mevzuata uygun olmaması şikâyet konusu edilmiştir. Kurul, Banka'nın başvuruyu cevaplandırması ve aydınlatma metnini mevzuata uygun hale getirmesi için talimat vermiş, ayrıca Kanun'un 18/3. maddesi kapsamında ihlale sebebiyet veren sorumlular hakkında disiplin işlemi yapılmasına karar vermiştir.

⚖ Disiplin
2019/125

Yeterli Korumanın Bulunduğu Ülkelerin Tayini Formu Hakkında Karar

Kanun'un 9. maddesi uyarınca kişisel verilerin yurt dışına aktarımında yeterli korumanın bulunduğu ülkelerin belirlenmesinde esas alınacak kriterler kabul edilmiştir. Bu kriterler, ülkelerin veri koruma mevzuatı, bağımsız denetim mekanizmaları ve uluslararası taahhütlerini kapsamaktadır.

§ İlke Kararı
BAM İstanbul BAM - 21. Hukuk Dairesi
E. 2018/3160 K. 2019/801

İstanbul BAM - 21. Hukuk Dairesi (E. 2018/3160)

DAVANIN KONUSU: Şikayet (İcra Memur Muamelesi) Yukarıda tarih ve numarası yazılı mahkeme kararının istinaf yolu ile incelenmesi talep edilmiş olup, dosya yerel mahkemece Dairemize gönderilmiş olmakla, üye hakim tarafından düzenlenen rapor dinlendikten ve dosyadaki tüm belgeler okunup incelendikten sonra gereği görüşülüp, düşünüldü. İDDİA VE SAVUNMANIN ÖZETİ: Davacı vekili dava dilekçesinde özetle ; İstanbul Anadolu 2. İcra Müdürlüğü'nün 2017/8676 Esas sayılı dosyasında dosya borçluları...

RED
2019/104

Facebook hakkında Kişisel Verileri Koruma Kurulunun 11.04.2019 tarih ve 2019/104 sayılı Karar Özeti

Facebook'un 'Fotoğraf API' güvenlik açığından kaynaklanan veri ihlali resen incelenmiştir. İhlalin Kanun'un 12/5. maddesi uyarınca Kurul'a bildirilmediği tespit edilmiştir. Facebook'un gerekli teknik ve idari tedbirleri almadığı, Türkiye'deki kullanıcıların kişisel verilerini yeterince korumadığı sonucuna varılmış ve Kanun'un 18. maddesi kapsamında idari para cezası uygulanmasına karar verilmiştir.

₺ Para Cezası
₺1.650.000
2019/82

“Bir market zincirinin sadakat kart uygulamasına ilişkin ihbar ve şikayetler hakkında” Kişisel Verileri Koruma Kurulunun 25/03/2019 tarihli ve 2019/82 sayılı Karar Özeti

Bir marketin sadakat kartı uygulamasında açık rızanın hizmet şartına bağlanması incelenmiştir. Kurul, 'Kart avantajlarından faydalanmak için izin verin' şeklindeki uyarıların açık rızanın özgür irade ile verilmesi ilkesine aykırı olduğunu tespit etmiştir. Aydınlatma metninde yer alan özel nitelikli kişisel verilerin (sendika üyeliği, ceza mahkûmiyeti, sağlık bilgileri) işlenmesinin şirketin faaliyetleriyle orantılı olmadığı belirlenmiş ve düzeltme talimatı verilmiştir.

⚠ Talimat
2019/78

“Veri sorumlusunun kanuni yükümlülüğünü yerine getirmek için işlediği kişisel verileri meşru menfaat çerçevesinde kullanma talebiyle Kuruma yapmış olduğu başvuru” Kişisel Verileri Koruma Kurulunun

Akaryakıt dağıtım şirketinin EPDK Kararı uyarınca kurduğu otomasyon sistemindeki plaka verilerini, hatalı akaryakıt dolumlarını önlemek amacıyla 'Araç Tanıma Projesi' için kullanmak istemesi incelenmiştir. Kurul, söz konusu veri işlemenin Kanun'un 5/2-ç ve 5/2-f bentleri kapsamında değerlendirilip değerlendirilemeyeceğini incelemiş, tüketicinin ve dağıtıcı şirketin korunması açısından meşru menfaat değerlendirmesi yapmıştır.

✓ İhlal Yok
BAM Samsun BAM - 4. Hukuk Dairesi
E. 2018/3158 K. 2019/845

Samsun BAM - 4. Hukuk Dairesi (E. 2018/3158)

sonucunda borçlu dışında kalan aile efradından olan anne, baba ve eşin nüfus kaydının alınarak ölü olup olmadıkları ve ölmüş iseler dosyaya taraf kaydederek mal varlığı sorgulamasının ve araştırmasının yapılmasının icra dosyası ile ilgisi olmayan 3. kişiler yönünden uygulanmasının mümkün olmadığı, nüfus kaydı ve diğer sorgulama işlemlerinin hakkında takip kesinleşen borçlular yönünden uygulanacağı, 3. kişiler ile ilgili yapılacak sorgulamaların Anayasanın 20. Maddesinde düzenlenen temel hak ve...

RED
BAM Bursa BAM - 9. Hukuk Dairesi
E. 2018/2576 K. 2019/643

Bursa BAM - 9. Hukuk Dairesi (E. 2018/2576)

"Davacı, davalı işyerinde şube müdürü olarak çalışmakta iken iş sözleşmesinin geçersiz nedenlerle feshedildiğini, disiplin kurulu kararının hiç tebliğ edilmediğini, disiplin kurulu kararından sonra 8 ay kadar daha çalıştığını bu nedenlerle işe iadesini dava ve talep etmiştir. Davalı, cevap dilekçesi ise iddiaları kabul etmemiş, 27/09/2016 tarihli disiplin kurulu kararı ile davacının iş akdinin feshedildiğini, davacının şube müdürü olması nedeni ile işe iade talep edemeyeceğini, feshin geçerli...

RED✓
BAM İzmir BAM - 8. Hukuk Dairesi
E. 2018/2146 K. 2019/655

İzmir BAM - 8. Hukuk Dairesi (E. 2018/2146)

üzerinde yapılan inceleme sonucunda, şikayetin reddine karar verilmiştir. İSTİNAF SEBEPLERİ: Davacı vekili istinaf başvuru dilekçesinde özetle, dava dilekçesini tekrarla, icra müdürlüğü kararının hukuki dayanaktan yoksun olduğunu, bu konuda emsal mahkeme kararları ve Bölge Adliye Mahkemesi kararları bulunduğunu, icra müdürlüğünün pasif kayıtların istenilmesi talebinin reddi kararının İİK'nın 277 ve devamı maddelerinde düzenlenen tasarrufun iptali davası hükümlerine de aykırı olduğunu, red...

YENİDEN
BAM Samsun BAM - 4. Hukuk Dairesi
E. 2018/3525 K. 2019/703

Samsun BAM - 4. Hukuk Dairesi (E. 2018/3525)

sonucunda; Her ne kadar şikayetçi alacaklı yanın takip dosyasları kapsamında borçluların devir ettiği taşınmazların tespiti amacı ile pasif sorgulama talebinde bulunma hakkı olduğu kabul edilse bile; pasif sorgulama sonucu 3. kişilere devri gerçekleşen taşınmazların kime satıldığı, alıcısı ve satıcısının ad soyad bilgilerinin, satış sözleşmelerinin ve satışa ait akit tablolarının ilgili Tapu Müdürlüğünden sorulması yönündeki talep, yapılacak sorgulamada hali hazırdaki malike ait kişisel...

YENİDEN
2019/52

Kurul kararının yerine getirilmemesi hakkında Kişisel Verileri Koruma Kurulunun 05/03/2019 tarihli ve 2019/52 sayılı Karar Özeti

2019/23 sayılı Kurul kararının tebliğinden sonra teknik servis şirketinin internet sitesinde yapılan incelemelerde, farklı form numaraları ile sorgulama yapılarak başka kişilerin verilerine erişilebildiği tespit edilmiştir. IMEI numaralarının maskelenmesine rağmen kargo takip linkinden açıkça görüntülenebildiği belirlenmiştir. Şirketin Kurul kararına uygun olarak gerekli tedbirleri almadığı tespit edilerek Kanun'un 15. maddesine aykırılık nedeniyle 50.000 TL idari para cezası uygulanmıştır.

₺ Para Cezası
₺50.000
2019/47

Bir şahsın, kendisi ve ailesi hakkındaki kişisel bilgilere hukuk dışı yollarla erişerek rızası dışında yargıya ve üçüncü kişilere aktardığı iddiasıyla bir başka şahıs hakkında Kuruma yapmış olduğu şikayet hakkında Kişisel Verileri Koruma Kurulunun 01/0...

Bir şahsın, diğer bir kişinin kendisi ve ailesi hakkındaki bilgilere hukuk dışı yollarla erişerek yargıya aktardığı iddiasıyla yaptığı şikâyet incelenmiştir. Kurul, şikâyet edilenin dilekçeler yoluyla paylaştığı bilgilerin otomatik veya veri kayıt sistemi aracılığıyla işlenmediğini, dolayısıyla veri sorumlusu olarak nitelendirilemeyeceğini tespit etmiştir. Hukuka aykırı veri elde edilmesi iddiasının TCK kapsamında değerlendirilmesi gerektiğine karar verilmiştir.

§ İlke Kararı
2019/23

Teknik servis hizmeti veren firmanın müşterilerine verdiği form/takip numarasının son hanelerinin değiştirilmesi yoluyla farklı kişilere ait kişisel verilere ulaşıldığı yolunda Kuruma iletilen ihbarın incelenmesi ve ihbara ilişkin alınan Kurul Kararını...

Teknik servis firmasının müşterilere verdiği form numaralarının ardışık olması nedeniyle numaranın son hanelerini değiştirerek farklı kişilerin verilerine erişilebildiği tespit edilmiştir. Sorgu numarasını değiştirmek suretiyle başka cihaz sahiplerinin ad, soyad, adres ve IMEI numaralarına erişim sağlanabilmektedir. Kurul, veri sorumlusunun Kanun'un 12/1. maddesine aykırı davrandığını tespit etmiş ve idari yaptırım uygulanmasına karar vermiştir.

₺ Para Cezası
₺150.000
BAM İzmir BAM - 8. Hukuk Dairesi
E. 2018/1633 K. 2019/269

İzmir BAM - 8. Hukuk Dairesi (E. 2018/1633)

İzmir 3. İcra Hukuk Mahkemesinin 2018/182 Esas, 2018/441 Karar sayılı dosyasında verilen şikayetin reddi kararına karşı, davacı vekili tarafından istinaf kanun yoluna başvurulması üzerine istinaf incelemesi yapılmak üzere Dairemize gönderilen ve heyetçe incelenen dosyada; İSTEM: Davacı vekili dava dilekçesinde özetle, İzmir 1. İcra Müdürlüğünün 2017/13761 Esas sayılı dosyası ile yürütülen takip kapsamında icra müdürlüğünden borçlu adına kayıtlı iken satılan araç olup olmadığı, varsa...

YENİDEN
2019/9

Veri Sorumlusuna Başvuru ve Kurula Şikayet Sürelerinin Hesaplanmasına İlişkin Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/9 sayılı Kararı

Kanun'un 14/1. maddesinde yer alan Kurula şikâyet sürelerinin yorumlanması hakkında kamuoyuna açıklama yapılmıştır. Kurul, veri sorumlusunun 30 gün içinde cevap vermesi halinde ilgili kişinin bu cevabı müteakip 30 gün içinde Kurula şikâyette bulunabileceğini, cevap verilmemesi halinde ise başvuru tarihinden itibaren 60 gün içinde şikâyet hakkının kullanılabileceğini açıklamıştır.

§ İlke Kararı
2019/10

Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Karar

Kişisel veri ihlali bildiriminin usul ve esasları belirlenmiştir: Veri sorumlusu ihlali öğrendiğinde en kısa sürede (72 saat içinde) Kurul'a bildirim yapmalı, ihlalden etkilenen kişilere doğrudan veya web sitesi üzerinden bildirimde bulunmalıdır.

§ İlke Kararı
2018/156

“Yargı mercilerinin görev alanına giren konularla ilgili Kuruma yapılan başvurular hakkında” Kişisel Verileri Koruma Kurulunun 24/12/2018 tarihli ve 2018/156 sayılı Karar Özeti

İlgili kişinin ad, soyad, yerleşim yeri gibi kişisel bilgilerinin kullanılarak çeşitli içerikli paylaşımların yapılması hususunda Kuruma başvuru yapılmıştır. Kurul, yargı mercilerinin görev alanına giren konularla ilgili şikâyetlerin Kanun'un 15/2. maddesi gereğince incelemeye alınamayacağını belirlemiştir. Kişisel verilere ilişkin suçlar bakımından TCK 135-140. maddeleri kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunulması gerektiğine karar verilmiştir.

§ İlke Kararı
AYM Norm Denetimi
E. 1970/53 K. 1971/76

Müftülüklere evlendirme memurluğu yetkisi verilmesinin laiklik ilkesine aykırı olmadığı ve Kimlik Paylaşımı Sistemi kapsamında kişisel verilerin kurumlarla paylaşılmasına ilişkin düzenlemelerin anayasallığı değerlendirilmiştir.
2018/143

“Sağlık verilerini Kanunun 6 ncı maddesinde yer alan işleme şartlarından birine dayanmadan üçüncü bir kişiye aktaran veri sorumlusu hakkında” Kişisel Verileri Koruma Kurulunun 05/12/2018 Tarihli ve

Doktor kontrolünde ilaç kullanan ilgili kişinin özel nitelikli sağlık verilerinin, ilaçların temin edildiği eczane tarafından üçüncü bir kişiyle paylaşılması şikâyet konusu edilmiştir. Kurul, sağlık verilerinin Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri olduğunu ve bu verilerin ancak açık rıza veya kanunda belirtilen istisnai hallerde işlenebileceğini hatırlatmış, eczanenin herhangi bir hukuki dayanağa sahip olmaksızın sağlık verilerini üçüncü kişiyle paylaşmasının Kanun'a aykırı olduğuna karar vermiştir.

₺ Ceza (Tutar ?)
2018/142

“İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkesi gereğince kişisel verilerin silinmemesi hakkında” Kişisel Verileri Koruma Kurulunun 05/12/2018

Banka nezdinde tutulan kişisel verilerin silinmesi talebinin reddedilmesi üzerine yapılan şikâyet incelenmiştir. Kurul, 5411 sayılı Bankacılık Kanunu'nun 42. maddesi uyarınca bankaların müşteri bilgilerini 10 yıl süreyle saklamakla yükümlü olduğunu, bu nedenle ilgili mevzuatta öngörülen saklama süresi dolmadan verilerin silinemeyeceğine karar vermiştir. Kanun'un 4/2-d maddesi gereği veriler, mevzuatta öngörülen süre kadar muhafaza edilebilmektedir.

✓ İhlal Yok
2018/131

“Tüzel kişiliğe ait elektronik ortamda yer alan verilerin başka bir tüzel kişilik tarafından talep edilmesi” hakkında Kişisel Verileri Koruma Kurulunun 19/11/2018 tarihli ve 2018/131 sayılı Kararı

Bir tüzel kişiliğe ait verilerin başka bir tüzel kişilik tarafından talep edilmesi hakkında yapılan başvuru değerlendirilmiştir. Kurul, 6698 sayılı Kanun'un yalnızca gerçek kişilere ait kişisel verileri kapsadığını, tüzel kişilere ait verilerin Kanun kapsamında bulunmadığını tespit etmiştir. Şirket ortak ve yetkililerine ait kişisel verilere erişim talebinin ise ilgili kişilerin bizzat kendileri tarafından yapılması gerektiğine karar verilmiştir.

§ İlke Kararı
Yargıtay Hukuk Genel Kurulu
E. 2017/1340 K. 2018/1622

Basin yoluyla kisilik haklarinin ihlali nedeniyle manevi tazminat davasinda, pasaport bilgilerinin izinsiz yayinlanmasinin kişisel verilerin hukuka aykiri kullanimi olduguna dair Hukuk Genel Kurulu kararı.

BOZMA½
BAM Samsun BAM - 4. Hukuk Dairesi
E. 2017/926 K. 2018/2511

Samsun BAM - 4. Hukuk Dairesi (E. 2018/1643)

sonucunda; icra müdürlüğünün 14/03/2018 tarihinde henüz borçlu adına tescili yapılmayan taşınmaz üzerine haciz konulmasının mümkün olmadığı gibi satış isteme hakkı vermemesi sebebiyle konulsa dahi alacaklı tarafa hiç bir hukuki yarar sağlamayacağını, bu aşamada borçlu adına henüz intikali yapılmamış mal üzerine haciz konulması talebinin reddine dair vermiş olduğu kararın usul ve yasaya uygun bulunduğunu, davacının bu yöndeki şikayetinin reddine karar verilmesi gerektiğini, yine her ne kadar...

YENİDEN✓
Yargıtay 19. Ceza Dairesi
E. 2017/6532 K. 2018/11149

Banka çalışanının müşteri bilgilerini kişisel e-posta adresine göndermesinin TCK m.135 kapsamında kişisel verileri hukuka aykırı kaydetme suçunu oluşturup oluşturmayacağına ilişkin karşı oy içeren beraat kararı.

ONAMA
Yargıtay 19. Ceza Dairesi
E. 2017/3325 K. 2018/11147

5411 sayılı Bankacilik Kanunu'na aykirilik suçundan beraat kararı. Banka calisaninin gorev nedeniyle edindigi müşteri bilgilerinin korunmasına ilişkin sorumluluk sinirlari belirlenmistir.

ONAMA
Yargıtay 19. Ceza Dairesi
E. 2017/6127 K. 2018/11148

5411 sayılı Bankacilik Kanunu kapsamında banka calisanlarinin müşteri siri nitelgindeki bilgileri koruma yukumlulugunun değerlendirilmesine ilişkin beraat kararı.

ONAMA
2018/118

“Kurul Kararının gereğinin süresi içinde yerine getirilmemesi” hakkında Kişisel Verileri Koruma Kurulunun 16/10/2018 tarihli ve 2018/118 sayılı Karar Özeti

Veri sorumlusunun, ilgili kişinin kişisel verilerinin silinmesi talebine ilişkin Kurul kararını süresinde yerine getirmemesi üzerine idari para cezası uygulanmıştır. Kanun'un 15/5. maddesi uyarınca Kurul kararlarının tebliğden itibaren 30 gün içinde yerine getirilmesi zorunlu olup, bu yükümlülüğe uyulmaması halinde 18/1-c maddesi gereğince 25.000 TL'den 1.000.000 TL'ye kadar idari para cezası öngörülmektedir.

⚖ Disiplin
2018/119 İlke Kararı

Reklam Bildirimleri ve Aramalarının Önüne Geçilmesi Hakkında İlke Kararı

Açık rıza almaksızın veya Kanun'un 5/2 hükümlerini sağlamadan telefon numaralarına SMS göndermek, arama yapmak veya e-posta adreslerine reklam içerikli ileti yönlendiren veri sorumluları ile veri işleyenlerin bu faaliyetlerini derhal durdurması gerektiğine karar verilmiştir.

§ İlke Kararı
Yargıtay 19. Ceza Dairesi
E. 2018/3318 K. 2018/9281

İnternet ortamında kişisel verilerin rızasız yayınlanmasının kişilik haklarını ihlal ettiğine ve erişimin engellenmesi kararı verilmesi gerektiğine ilişkin kanun yararına bozma kararı.

BOZMA
2018/106

“Kimliği belirsiz kişi/kişilerin veri sorumlusu olarak kabul edilemeyeceği hakkında” Kişisel Verileri Koruma Kurulunun 13/09/2018 tarihli ve 2018/106 sayılı Karar Özeti

İlgili kişinin görevi nedeniyle imzaladığı bir evrakın kimliği belirsiz kişilerce internet ortamında paylaşılması üzerine yapılan şikâyet incelenmiştir. Kurul, kimliği belirsiz kişi veya kişilerin Kanun kapsamında veri sorumlusu olarak tanımlanamayacağına, bu nedenle şikâyetin Kanun çerçevesinde değerlendirilemeyeceğine, ancak kişisel verilere ilişkin suçlar bakımından 5237 sayılı TCK'nın 135-140. maddeleri kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunulabileceğine karar vermiştir.

§ İlke Kararı
2018/90

“Veri sorumlusu tarafından aydınlatma yükümlülüğü ve açık rıza onayı alınması süreçlerinin ayrı ayrı yerine getirilmesi gerektiği ile ilgili” Kişisel Verileri Koruma Kurulunun 26/07/2018 tarihli ve

Online iş başvurusu platformunda aydınlatma yükümlülüğü ve açık rıza süreçlerinin aynı kutucuk işaretlenerek yerine getirilmesi incelenmiştir. Kurul, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5/1-f maddesi uyarınca aydınlatma yükümlülüğü ve açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesi gerektiğini hatırlatmış, veri sorumlusuna gerekli düzeltmelerin yapılması için talimat verilmiştir.

⚠ Talimat
2018/91

“Kişisel verilere hukuka aykırı erişilmesini önleme” yükümlülüğünü yerine getiremeyen veri sorumlusu hakkında Kişisel Verileri Koruma Kurulunun 26/07/2018 Tarihli ve 2018/91 Sayılı Karar Özeti

Hazır giyim firmasının internet sitesinde yaşanan güvenlik açığı nedeniyle müşteri bilgilerinin (ad, soyad, adres, telefon) üçüncü kişilerce erişilebilir hale gelmesi incelenmiştir. Kurul, veri sorumlusunun Kanun'un 12. maddesi uyarınca kişisel verilere hukuka aykırı erişilmesini önleme yükümlülüğünü yerine getiremediğini tespit etmiş, gerekli teknik ve idari tedbirlerin alınması için talimat vermiştir.

⚠ Talimat
2018/88

"Sicile Kayıt Yükümlülüğünün Başlama Tarihleri" ile ilgili Kişisel Verileri Koruma Kurulunun 19/07/2018 Tarihli ve 2018/88 Sayılı Kararı

Veri Sorumluları Siciline kayıt yükümlülüğünün başlama tarihleri belirlenmiştir. Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan veri sorumluları ile yurtdışında yerleşik veri sorumluları için kayıt başlangıç tarihi 01.10.2018 olarak, ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için ise ayrı bir tarih belirlenmiştir. Kayıt için 30.09.2019'a kadar süre tanınmıştır.

§ İlke Kararı
2018/87

"Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları" ile ilgili Kişisel Verileri Koruma Kurulunun 19/07/2018 Tarihli ve 2018/87 Sayılı Kararı

VERBİS'e kayıt yükümlülüğünden istisna tutulacak veri sorumlularının kapsamı genişletilmiştir. Kurul, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanların VERBİS'e kayıt yükümlülüğünden istisna tutulmasına karar vermiştir.

§ İlke Kararı
2018/75

"Arabulucuların Veri Sorumluları Siciline Kayıt Zorunluluğundan İstisna Tutulması" ile ilgili Kişisel Verileri Koruma Kurulunun 05/07/2018 Tarihli ve 2018/75 Sayılı Kararı

Arabulucuların VERBİS'e kayıt yükümlülüğünden istisna tutulması talebi değerlendirilmiştir. Kurul, 6325 sayılı Hukuk Uyuşmazlıklarında Arabuluculuk Kanunu uyarınca faaliyet gösteren arabulucuların, Kanun'un 16/2. maddesi ve Veri Sorumluları Sicili Hakkında Yönetmelik'in 16. maddesi kapsamında Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına karar vermiştir.

§ İlke Kararı
2018/69

“Sicil dosyalarındaki kişisel verilerin, işlenmelerini gerektiren sebeplerin ortadan kalkmaması sebebiyle, imha edilmemesi gerektiği hakkında” Kişisel Verileri Koruma Kurulunun 28/06/2018 Tarihli ve

Devlet memurlarının, memuriyet döneminde haklarında açılmış inceleme ve soruşturma dosyalarına ilişkin evrakların imha edilmesi talebi değerlendirilmiştir. Kurul, 657 sayılı DMK'nın 109. maddesi uyarınca memurların özlük dosyalarının tutulmasının zorunlu olduğunu, Devlet Arşiv Hizmetleri Yönetmeliği kapsamında arşiv belgesi niteliğindeki dosyaların saklanması gerektiğini tespit etmiş ve işlenmelerini gerektiren sebeplerin ortadan kalkmaması nedeniyle verilerin imha edilemeyeceğine karar vermiştir.

✓ İhlal Yok
2018/68

"Gümrük Müşavirlerinin Sicile Kayıt İstisnası Hakkında Görüş Talebi" ile ilgili Kişisel Verileri Koruma Kurulunun 28/06/2018 Tarihli ve 2018/68 Sayılı Kararı

Gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirlerinin VERBİS'e kayıt yükümlülüğünden istisna tutulması talebi değerlendirilmiştir. Kurul, 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirlerinin Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına karar vermiştir.

§ İlke Kararı
2018/63 İlke Kararı

Personelin Yetkisi ve Amacı Dışında Kişisel Verileri İşlemesi Hakkında İlke Kararı

Veri sorumlusu nezdinde çalışanların, yetkilerini aşarak veya kötüye kullanarak kişisel verileri işleme amacı dışında işlemesi veya üçüncü kişilerle paylaşmasının Kanun'un 12. maddesine aykırılık teşkil edeceği, bu tür eylemlerin önlenmesi için gerekli teknik ve idari tedbirlerin alınması gerektiği hususunda ilke kararı verilmiştir.

§ İlke Kararı
Danıştay 10. Daire
E. 2015/3902 K. 2018/1738

Danıştay Kararı - 10. Daire (E. 2015/3902)

Karar özeti mevcut değil.

BOZMA
Danıştay 10. Daire
E. 2015/5219 K. 2018/1739

Danıştay Kararı - 10. Daire (E. 2015/5219)

Karar özeti mevcut değil.

BOZMA
Danıştay 10. Daire
E. 2015/2995 K. 2018/1736

Danıştay Kararı - 10. Daire (E. 2015/2995)

Karar özeti mevcut değil.

BOZMA
Danıştay 10. Daire
E. 2017/1141 K. 2018/1737

Danıştay Kararı - 10. Daire (E. 2017/1141)

Karar özeti mevcut değil.

BOZMA
Danıştay 15. Daire
E. 2018/1490

Danıştay Kararı - 15. Daire (E. 2018/1490)

Karar özeti mevcut değil.

DİĞER
2018/32

"Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları" ile ilgili Kişisel Verileri Koruma Kurulunun 02/04/2018 Tarihli ve 2018/32 Sayılı Kararı

Kurul, VERBİS'e kayıt yükümlülüğünden istisna tutulacak veri sorumlularını belirlemiştir: (1) Yalnızca otomatik olmayan yollarla işleyenler, (2) noterler, (3) sadece kendi çalışan/üye/bağışçılarına yönelik veri işleyen dernek, vakıf ve sendikalar, (4) siyasi partiler, (5) avukatlar, (6) mali müşavirler.

§ İlke Kararı
Danıştay 15. Daire
E. 2018/844

Danıştay Kararı - 15. Daire (E. 2018/844)

Karar özeti mevcut değil.

DİĞER
Danıştay 15. Daire
E. 2018/251

Danıştay Kararı - 15. Daire (E. 2018/251)

Karar özeti mevcut değil.

DİĞER
Danıştay 10. Daire
E. 2015/2787 K. 2018/775

Danıştay Kararı - 10. Daire (E. 2015/2787)

Karar özeti mevcut değil.

BOZMA
Danıştay 15. Daire
E. 2018/530

Danıştay Kararı - 15. Daire (E. 2018/530)

1\. 12/12/2017 tarihli ve 30268 sayılı Resmî Gazete'de yayımlanan Ayakta Teşhis ve Tedavi Yapılan Özel Sağlık Kuruluşları Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmeliğin 3. maddesi ile değiştirilen asıl Yönetmeliğin 19. maddesinin 3. fıkrasının iptali ve yürütmesinin durdurulması istenilmektedir. 2\. Anılan Yönetmeliğin 4. maddesi ile değiştirilen asıl Yönetmeliğin 27. maddesinin 8. fıkrasının iptali ve yürütmesinin durdurulması istenilmektedir. 3\. Anılan Yönetmeliğin 5....

DİĞER
Danıştay 10. Daire
E. 2015/2696 K. 2018/776

Danıştay Kararı - 10. Daire (E. 2015/2696)

Bölüm İçeriği - Ankara BİM 1. İdari Dava Dairesi (E. 2020/557) - Ankara BİM 1. İdari Dava Dairesi (E. 2020/324) - İstanbul BİM 7. İdari Dava Dairesi (E. 2020/412) - İstanbul BİM 7. İdari Dava Dairesi (E. 2020/288) - İstanbul BİM 7. İdari Dava Dairesi (E. 2020/284) - İstanbul BİM 3. İdari Dava Dairesi (E. 2017/1689) - İzmir BİM 6. İdari Dava Dairesi (E. 2017/1238) - Konya BİM 4. İdari Dava Dairesi (E. 2020/731)

BOZMA
2018/10

Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler Hakkında Karar

Özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemler belirlenmiştir: Ayrı politika ve prosedür belirlenmesi, çalışanlara düzenli eğitim verilmesi, gizlilik sözleşmeleri yapılması, yetki matrisi oluşturulması, periyodik denetimler yapılması ve şifreleme/anonimleştirme gibi teknik tedbirler alınması zorunlu kılınmıştır.

§ İlke Kararı
AYM Norm Denetimi Genel Kurul
E. 2013/122 K. 2014/74

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun genel ilkeler, işlenme şartları, özel nitelikli veriler, yurt dışına aktarım ve istisnalara ilişkin hükümlerinin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
BİM İstanbul BİM - 3. İdari Dava Dairesi
E. 2017/1689 K. 2018/62

İstanbul BİM - 3. İdari Dava Dairesi (E. 2017/1689)

Karar özeti mevcut değil.

YENİDEN
AYM Norm Denetimi Genel Kurul
E. 2016/179 K. 2017/176

kişisel verilerin korunması ve işlenmesi konusundaki kanuni düzenlemelerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
2017/62 İlke Kararı

Banko, Gişe, Masa Gibi Hizmet Alanlarında Kişisel Verilerin Korunması Hakkında İlke Kararı

Banko, gişe ve masa gibi vatandaşa hizmet sunulan alanlarda, yetkisiz kişilerin bu bölümlere erişimini önleyecek ve yakın konumdaki hizmet alanların birbirlerinin kişisel verilerini görmesini, duymasını veya öğrenmesini engelleyecek nitelikte gerekli teknik ve idari tedbirlerin alınması gerektiğine dair ilke kararı verilmiştir.

§ İlke Kararı
2017/61 İlke Kararı

Rehberlik Hizmeti Veren İnternet Sitelerinde/Uygulamalarda Kişisel Verilerin Korunması Hakkında İlke Kararı

İsimden telefon numarası veya telefon numarasından isim sorgulamaya imkân tanıyan rehberlik hizmeti sunan internet siteleri ve mobil uygulamaların Kanun'a aykırı veri işleme faaliyetlerinin derhal durdurulmasına, aksi halde erişim engellenmesi için yetkili kurumlara başvurulmasına ve TCK m.136 kapsamında Cumhuriyet Başsavcılığına ihbarda bulunulmasına karar verilmiştir.

§ İlke Kararı
BİM İzmir BİM - 6. İdari Dava Dairesi
E. 2017/1238 K. 2017/1815

İzmir BİM - 6. İdari Dava Dairesi (E. 2017/1238)

Karar özeti mevcut değil.

DİĞER
Danıştay 15. Daire
E. 2015/6279 K. 2017/7022

Danıştay Kararı - 15. Daire (E. 2015/6279)

Karar özeti mevcut değil.

DİĞER✓
BAM İstanbul BAM - 4. Hukuk Dairesi
E. 2017/1495 K. 2017/1619

İstanbul BAM - 4. Hukuk Dairesi (E. 2017/1495)

DAVANIN KONUSU: Maddi ve Manevi Tazminat, Sigorta Muafiyetinin İptali Yukarıda yazılı ilk derece mahkemesi kararına karşı davacı tarafça istinaf kanun yoluna başvurulmuş olmakla HMK 353. maddesi uyarınca dosya incelendi, GEREĞİ GÖRÜŞÜLÜP DÜŞÜNÜLDÜ: DAVA: Davacı vekili ilk derece mahkemesine sunduğu dava dilekçesinde özetle; davacının F1 Havayollarında uçuşa elverişlilik kontrol müdürü olarak görev yaptığını, çalışmakta olduğu F1 Havayolları aracılığı ile F2 Sigorta A.Ş.' nden özel...

RED✓
Danıştay 15. Daire
E. 2015/3035 K. 2017/6611

Danıştay Kararı - 15. Daire (E. 2015/3035)

Karar özeti mevcut değil.

DİĞER✓
Danıştay 15. Daire
E. 2016/10488

Danıştay Kararı - 15. Daire (E. 2016/10488)

Karar özeti mevcut değil.

DİĞER
Danıştay 15. Daire
E. 2016/10500

Danıştay Kararı - 15. Daire (E. 2016/10500)

Karar özeti mevcut değil.

DİĞER
Danıştay 11. Daire
E. 2017/816 K. 2017/4906

Danıştay Kararı - 11. Daire (E. 2017/816)

Karar özeti mevcut değil.

BOZMA
BAM Ankara BAM - 3. Hukuk Dairesi
E. 2017/388 K. 2017/401

Ankara BAM - 3. Hukuk Dairesi (E. 2017/388)

Mahkemece taraflar arasında yapılan sözleşmenin 6 ve 8. maddeleri ile geometrik el okuma isteminin davacı tüketicinin sözleşmeden doğan hak ve yükümlülüklerinde dürüstlük kurallarına aykırı düşecek biçimde tüketici aleyhine dengesizliğe neden olmadığı, sistemi kuran davalıya külfet getirdiği, üyenin sözleşmeden kaynaklanan yükümlülüklerini ihlal etmesi halinde sözleşmenin haklı nedenle feshedilebileceği, davalının sözleşmeyi haklı olarak bakiye aidatın ödenmesi sureti ile feshettiği, davacının...

RED✓
Yargıtay 12. Ceza Dairesi
E. 2015/13582 K. 2017/3109

Facebook üzerinden mağdurların rızasına aykırı şekilde fotoğraf paylaşılmasının TCK m.136 kapsamında verileri hukuka aykırı olarak yayma suçunu oluşturduğuna ilişkin bozma kararı.

BOZMA
BAM İstanbul BAM - 23. Hukuk Dairesi
E. 2017/596 K. 2017/527

İstanbul BAM - 23. Hukuk Dairesi (E. 2017/596)

Karar özeti mevcut değil.

DİĞER
Yargıtay 12. Ceza Dairesi
E. 2015/13758 K. 2017/2514

Verileri hukuka aykiri olarak verme veya ele geçirme suçundan beraat kararı. Karsi oyda 6698 sayılı KVKK kapsamında kişisel veri kavramının tanimi ve korunması gereken bilgilerin kapsami ayrintili sekilde ele alinmistir.

ONAMA
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2017/498 K. 2017/668

İzmir BAM - 12. Hukuk Dairesi (E. 2017/498)

verilmiştir. İSTİNAF SEBEPLERİ: Davacı vekili istinaf dilekçesinde; verilen kararın usul ve yasaya aykırı olduğunu, söz konusu talep ile araştırılması istenen hususların 3.kişilere ait taşınmaz ve araçlar olmayıp borçluya miras olarak intikal edecek taşınmaz ve araçlar olduğunu, ölen kişilere ait mal varlığı sorgulamasında Anayasanın 20.maddesine aykırılığın söz konusu olmayacağını, ayrıca müvekkili F1 Yönetim Şirketi harçtan muaf olduğu halde peşin yatırılan harcın kendilerine iade...

YENİDEN
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2017/499 K. 2017/660

İzmir BAM - 12. Hukuk Dairesi (E. 2017/499)

Mahkemesinin 2016/73-64 E.K. sayılı kararı ile şikayetin reddine karar verilmiştir. İSTİNAF SEBEPLERİ: Davacı taraf istinaf dilekçesinde; 1- Tahsil edilmemiş bir borç için takip başlatıldıktan sonra alacak tahsil edilemediğinde borçlunun miras hissesinin haczi için nüfus kaydı çıkarılmasının istenmesinin özel hayatın ihlali olarak değerlendirilmesinin hukuken hatalı olduğunu, 2- Borçlunun henüz kendisine intikali yapılmamış olan miras hissesine isabet eden mal varlığının başka bir şekilde...

YENİDEN
Yargıtay 17. Ceza Dairesi
E. 2015/22839 K. 2017/2999

Hirsizlik ve konut dokunulmazliginin ihlali suçlarindan mahkumiyet kararı. Muhalefet serhinde Anayasa m.20/3 kapsamında kişisel verilerin korunması hakkının kapsamli bir degerlendirmesi yapilmistir.

BOZMA
Yargıtay 17. Ceza Dairesi
E. 2016/9901 K. 2016/11870

Isyerindeki güvenlik kamerasi kayitlarinin hirsizlik suçunun ispatinda delil olarak kullanilmasinin hukuka uygunluğunun değerlendirilmesine ilişkin karar.

K.BOZMA
Yargıtay 17. Ceza Dairesi
E. 2015/18421 K. 2016/11783

Hirsizlik ve mala zarar verme suçlarindan mahkumiyet kararının temyizi. Ev icinde yerleştirilen güvenlik kamerasi görüntüleri araciligiyla elde edilen delillerin yargilamada kullanilmasina ilişkin değerlendirme yapilmistir.

BOZMA
AYM Norm Denetimi Genel Kurul
E. 2015/61 K. 2016/172

Elektronik haberleşme alanında kişisel verilerin işlenmesi, trafik ve konum verilerinin saklanması ile gizliliğin korunmasına ilişkin 5809 sayılı Kanun hükümlerinin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
Yargıtay 17. Ceza Dairesi
E. 2016/10020 K. 2016/11226

Hırsızlık ve konut dokunulmazlığını ihlal suçlarında DNA verilerinin hukuka aykırı olarak sisteme kaydedilip delil olarak kullanılmasının kişisel verilerin korunması ilkesine aykırılığı tartışılmış, muhalefet şerhinde yasak delil değerlendirmesi yapılmıştır.

ONAMA
BAM İzmir BAM - 12. Hukuk Dairesi
E. 2016/59 K. 2016/68

İzmir BAM - 12. Hukuk Dairesi (E. 2016/59)

2016/2488 esas sayılı takibi kapsamında müdürlükçe alınan 24/06/2016 tarihli kararın ortadan kaldırılmasına karar verilmesi talep edilmiştir. CEVAP: Dava icra müdürlüğünün işlemine karşı şikayet davası olup hasımsızdır. Mahkemesinin 2016/364-468 E.K. sayılı kararı ile şikayetin reddine karar verilmiştir. İSTİNAF SEBEPLERİ: Davacı taraf istinaf dilekçesinde; 1- Taleplerinde 3. kişilere ait bir sorgu veya malvarlığı araştırması bulunmadığını, sorgulanmasını istedikleri nüfus kaydının...

YENİDEN½
AYM Bireysel Başvuru İkinci Bölüm
B. 2013/4825

AYM Ömür Kara Ve Onursal Özbek Başvurusu

Internet ortaminda yayinlanan iceriklerin kisilik haklarina etkisi ve unutulma hakkı kapsamında değerlendirme yapilan bireysel başvuru kararı.
Yargıtay 9. Hukuk Dairesi
E. 2014/37215 K. 2016/9418

İşyeri özlük dosyasının işçinin rızası olmadan yeni işverene gönderilmesinin kişilik haklarını ihlal ettiği ve manevi tazminat gerektirdiğine ilişkin bozma kararı.

BOZMA
AYM Norm Denetimi Genel Kurul
E. 2014/122 K. 2015/123

MİT Kanunu'nda yapılan değişikliklerle kamu kurum ve kuruluşlarından bilgi ve belge alınması, kişisel sağlık verilerinin işlenmesi ve iletişimin denetlenmesine ilişkin düzenlemelerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
Danıştay İDDK
E. 2014/2242 K. 2015/4991

Danıştay Kararı - İDDK (E. 2014/2242)

Karar özeti mevcut değil.

BOZMA
AYM Norm Denetimi Genel Kurul
E. 2014/87 K. 2015/112

İnternet ortamında yapılan yayınların düzenlenmesine ilişkin 5651 sayılı Kanun'daki erişim engelleme, içerik sağlayıcı ve yer sağlayıcı yükümlülükleri ile kişisel verilerin korunmasına dair hükümlerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2015/32 K. 2014/74

TCK m.136'daki kişisel verilerin hukuka aykırı olarak verilmesi suçunda, kişisel veri kavramının tanımlanmamış olmasının suçta ve cezada kanunilik ilkesine aykırı olmadığına ilişkin ret kararı.
AYM Norm Denetimi Genel Kurul
E. 2014/196 K. 2015/103

Spor müsabakalarında elektronik kart uygulamasıyla kişisel verilerin toplanmasının Anayasa'ya uygunluğunun değerlendirildiği norm denetimi kararı.
Yargıtay Hukuk Genel Kurulu
E. 2014/56 K. 2015/1679

Hukuk kitabinda cinsel taciz davasina taraf kişilerin isimlerinin kodlanmadan acikça yazilmasinin kisilik haklarini ihlal ettigi ve manevi tazminat gerektigine dair Hukuk Genel Kurulu kararı.

ONAMA½
Yargıtay Hukuk Genel Kurulu
E. 2014/56 K. 2015/1679

Yargıtay HGK 2014/56 (2)

*Unutulma hakkına ilişkin Yargıtay hukuk genel kurul kararı*

ONAMA½
AYM Norm Denetimi Genel Kurul
E. 2014/180 K. 2014/74

Sağlık hizmetlerinden yararlanmada biyometrik yöntemlerle kimlik doğrulaması yapılmasını öngören kanun hükmünün Anayasaya aykırılığı incelenmiş, kişisel verilerin korunması hakkına yapılan müdahalenin ölçülü olduğuna karar verilmiştir.
AYM Norm Denetimi Genel Kurul
E. 2014/149 K. 2014/151

5651 sayılı Kanun kapsamında trafik bilgisinin korunması ile idari yargı kararlarının uygulanmasına ilişkin düzenlemelerin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2014/74 K. 2014/201

5510 sayılı Sosyal Sigortalar Kanunu'nun sağlık verilerinin korunması ve paylasilmasina ilişkin 78. maddesinin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı.
AYM Norm Denetimi Genel Kurul
E. 2013/114 K. 2014/184

Kamulaştırma, imar ve sağlık alanlarındaki çeşitli kanun hükümlerinin Anayasa'ya uygunluğunun incelendiği norm denetimi kararı. Kişisel sağlık verilerinin işlenmesi, bilgi edinme hakkı ve güvenlik soruşturması düzenlemeleri değerlendirilmiştir.
Yargıtay 12. Ceza Dairesi
E. 2014/607 K. 2014/16665

kişinin rızası dışında telefon numarasinin paylasilmasinin TCK m.136 kapsamında 'verileri hukuka aykiri olarak verme' suçunu oluşturduğuna ilişkin emsal karar. Yargitay, telefon numarasinin kişisel veri niteliginde oldugunu acikça tespit etmistir.

BOZMA
Yargıtay Ceza Genel Kurulu
E. 2012/1510 K. 2014/331

Gazetede kullanilan fotografin rıza olmaksizin arkadaslik sitesine konulmasinin TCK m.136 kapsamında kişisel verileri hukuka aykiri olarak yayma suçu oluşturduğuna dair Ceza Genel Kurulu kararı. Fotograf kişisel veri olarak kabul edilmistir.

BOZMA
Yargıtay 12. Ceza Dairesi
E. 2013/9043 K. 2014/151

kişisel veri kavramının kapsamini tanimlayan temel karar. TC kimlik numarasi, telefon, e-posta, banka bilgileri, sağlık verileri ve biyometrik verilerin kişisel veri niteliginde oldugu acikça belirlenmistir.

BOZMA