Kuruma intikal eden şikâyet dilekçesinde özetle;
- İlgili kişinin okul etkinliği kapsamında Üniversite Kampüsü içerisinde Şirketin açmış olduğu stantta Covid-19 testi yaptırdığı ve test sonucunun tarafına ulaştırılması amacıyla şahsi telefon numarasını verilen formu doldurmak suretiyle görevliler ile paylaştığı, aynı günün akşam saatlerinde veri sorumlusu tarafından, ilgili kişinin vermiş olduğu bilgiler yok sayılarak; yapılan Covid-19 testinin sonuçlarının, ilgili kişinin dayısının telefonuna kısa mesaj (SMS) yolu ile gönderildiği,
- İlgili kişinin, dayısı tarafından aranması sonucunda bu durumdan haberdar olduğu ve mahrem bilgilerinin kendisi dışındaki kişilerle de paylaşıldığını öğrendiği ve bu sebeple manevi olarak yıprandığı, ilgili kişinin Şirkete başvurduğu ve konu hakkında bilgi istediği, buna karşı, 2011 yılında kendisinin Şirketin kulak burun boğaz servisine başvurduğu ve hasta kaydının dayısının telefon numarası üzerinden açıldığı cevabını aldığı,
- İlgili kişi tarafından açıkça şahsi telefon numarasının, Covid-19 test sonucunun tarafına iletilmesi amacıyla veri sorumlusu ile paylaşılmış olmasına rağmen veri sorumlusunun özensiz tutumu sonucunda sağlık bilgilerinin üçüncü kişilerle paylaşıldığının açık olduğu, ilgili kişi tarafından mesajın gelmesi istenen telefon numarasının açıkça belirtilmiş olmasına rağmen bu hususun veri sorumlusu tarafından yok sayıldığı ve keyfi olarak veri sorumlusunun yükümlülüklerini ihlal eden hukuka aykırı bir uygulama yapıldığı
ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- Üniversite Kampüsü içerisinde açılmış olan stantta Covid-19 testinin yapılması ve test sonuçlarının taraflara bildirilmesinin sağlık hizmetinin görevli personeller tarafından yerine getirildiği, ilgili kişinin 2011 yılında Şirkete başvurusu sonucunda açık rızasıyla vermiş olduğu iletişim bilgilerinde dayısının iletişim numarasının yer aldığı, bu iletişim numarasının Şirket tarafından Kanuna uygun olarak muhafaza edilerek üçüncü kişilerle paylaşılmadığı, ilgili kişi tarafından taraflarına bildirilmiş olan telefon numarasının ilgili kişinin yakınına ait olup bahse konu telefon numarasına başka bir yolla ulaşmalarının mevcut olmadığı, ilgili kişinin, Şirketten almış olduğu sağlık hizmetinin kamu sağlığını ve kamu yararını yakından ilgilendiren ve ivedi olarak duyurulması gereken bir durum olduğu, Covid-19 test sonucunun daha önce rızasıyla bildirilmiş olan ilgili kişinin dayısının telefon numarasına gönderildiği, rızanın hukuka uygunluk sebebi olduğu, ilgili kişinin Covid-19 test sonucunun negatif çıktığı, hastalığa dair bir bulguya rastlanmadığı, herhangi bir risk taşımadığı bilgisinin rızasıyla vermiş olduğu iletişim numarasına gönderilmesinin kendisine bir zararı bulunmadığı, test yaptırmış olmanın ve testin sonucunun negatif olmasının manevi üzüntü sebebi oluşturmayacağı, kişinin kendisinin ve kamunun sağlığını önemsediği anlamına geldiği, haksız fiil hükümleri uyarınca, zarar meydana gelmediğinden zararın tazminini talep etme hakkının doğmayacağı, ilgili kişinin, kamu sağlığı ve güvenliğini koruma yükümlülüğü bulunduğundan ivedi olarak haber verme amacıyla hareket eden veri sorumlusundan kötü niyetli olarak, haksız kazanç elde etme gayesinin mevcut olduğu, üstün kamu yararı gereğince, kamu yararının kişinin özel yararından üstün olduğu,
- İlgili kişinin, daha önceden veri sorumlusuna bildirdiği numarasının artık kullanılmasına onay vermediğini bildiren herhangi bir başvuruda bulunmadığı veya dilekçe sunmadığı, veri sorumlusunun kişisel verilerin alınması, saklanması, işlenmesinde hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyduğu, kişilerin rızası alınmadan herhangi bir veri işlenmediği
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 19/10/2023 Tarihli ve 2023/1787 Sayılı Kararı ile;
- Kanun’un 4’üncü maddesinin ikinci fıkrasında kişisel verilerin işlenmesinde uyulacak ilkelere yer verildiği ve bunların sırasıyla; (a) bendinde, “Hukuka ve dürüstlük kurallarına uygun olma”, (b) bendinde, “Doğru ve gerektiğinde güncel olma”, (c) bendinde, “Belirli, açık ve meşru amaçlar için işlenme”, (ç) bendinde, “İşlendikleri amaçla bağlantılı, sınırlı ölçülü olma”, (d) bendinde, “İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” şeklinde düzenlendiği,
- Kanun’un 6’ncı maddesinin birinci fıkrasında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerinin özel nitelikli kişisel veri olarak düzenlendiği; ikinci fıkrasında özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu; üçüncü fıkrasında, birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel verilerin kanunlarda öngörülen hallerde, sağlık ve cinsel hayata ilişkin kişisel verilerin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebileceğinin hükme bağlandığı, ayrıca anılan maddenin dördüncü fıkrası uyarınca özel nitelikli kişisel verilerin işlenmesinde; “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" ile ilgili 31/01/2018 tarihli ve 2018/10 sayılı Kurul kararının dikkate alınmasının şart olduğu,
- Bununla birlikte Kanun’un 12’nci maddesinin birinci fıkrasının “Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmünü amir olduğu, anılan maddenin dördüncü fıkrasında ise veri sorumluları ile veri işleyen kişilerin öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacının dışında kullanamayacağı hükmüne yer verildiği,
- Kanun’un 4’üncü maddesinin ikinci fıkrasının (b) bendinde “doğru ve gerektiğinde güncel olma” ilkesine yer verildiği, kişisel verilerin doğru ve güncel bir şekilde tutulmasının, veri sorumlusunun çıkarına uygun olduğu gibi ilgili kişinin temel hak ve özgürlüklerinin korunması açısından da gerekli olduğu, veri sorumlularının her zaman ilgili kişinin bilgilerini doğru ve güncel olmasını temin edecek kanalları açık tutması gerektiği, kişilerin, güncel olmayan veya yanlış tutulan kişisel verileri nedeniyle maddi ve manevi zarar görmesinin mümkün olduğu, kişisel verilerin doğru ve güncel tutulabilmesini temin etmek amacıyla; kişisel verilerin elde edildiği kaynakların belirli olması gerektiği, kişisel verilerin toplandığı kaynağın doğruluğunun tespit edilmesi gerektiği, kişisel verilerin doğru olmamasından kaynaklı taleplerin göz önünde bulundurulması gerektiği ve bu kapsamda makul önlemlerin alınması gerektiği, şikâyete konu işleme faaliyetinde, ilgili kişi tarafından Covid-19 test sonuçlarının gönderilmesi amacıyla yeni bir cep telefonu numara bilgisi verilmesine karşın veri sorumlusunun veri kayıt sisteminde eski tarihli cep telefonu numarasına test sonuçlarının gönderildiği, bu bağlamda, söz konusu test sonucunun ilgili kişiye ilişkin kayıtlarda bulunan eski cep telefonu numarasına gönderilmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetinin “doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil ettiği
değerlendirmelerinden hareketle;
- İlgili kişi tarafından yeni bir cep telefonu numara bilgisi belirtilmesine rağmen ilgili kişiye ait Covid-19 test sonucunun ilgili kişiye ilişkin olarak veri sorumlusunun veri kayıt sisteminde bulunan eski cep telefonu numarasına gönderilmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyeti Kanun’un 4’üncü maddesinin ikinci fıkrasının (b) bendinde yer alan “doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil ettiğinden Kanun’un 12’nci maddesinin birinci fıkrası hükmüne aykırı hareket edildiği dikkate alındığında; veri sorumlusu hakkında Kanun’un 18’inci maddesinin birinci fıkrasının (b) bendi uyarınca 30.000 TL idari para cezası uygulanmasına,
- İlgili kişinin cep telefonu numara bilgisinin veri sorumlusunun veri kayıt sisteminde güncellenmesi, ilgili kişinin dayısına ait eski cep telefonu numara bilgisinin imha edilmek suretiyle ilgili kişiye ilişkin kayıtlardan çıkarılması ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına
karar verilmiştir.