Kuruma intikal eden şikâyet dilekçesinde özetle; ilgili kişinin kişisel verilerinin veri sorumlusu tarafından işlendiği, saklandığı ve ticari amaçla kullanıldığını öğrendiği, konuya ilişkin olarak veri sorumlusuna başvuruda bulunduğu, veri sorumlusu tarafından, kişisel verilerinin silinmeyeceği ve kullanılmaya devam edeceği şeklinde cevap verildiği, dolayısıyla veri sorumlusunun kişisel verilerini hukuka aykırı olarak işlediği, üçüncü kişilerle paylaştığı ve ticari kazanç sağladığı ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.
Diğer taraftan, veri sorumlusu tarafından ilgili kişiye verilen yanıtta;
“Kuruluşumuz, 5411 sayılı Bankacılık Kanunu'nun 73’üncü ve 5464 sayılı Banka Kartları ve Kredi Kartları Kanununun 29’uncu maddesi uyarınca bankalar ve finansal kuruluşlar arasındaki veri paylaşımına aracılık etmekte, bunlara ilaveten Findeks platformu ile de çeşitli ürün ve hizmetler sağlamaktadır.
Yukarıda yer verilen mevzuat hükümleri 6698 sayılı Kanunun beşinci maddesinin ikinci fıkrası kapsamında olduğundan, bankalar ve finansal kuruluşlar arasında gerçekleştirilen veri paylaşımı için tarafınızdan rıza alınma zorunluluğu bulunmamaktadır.
Bunun yanında, Kuruluşumuzun sunduğu Findeks platformuna üye olduğunuz ve üyeliğinizin halen aktif olduğu tespit edilmiştir. Üyelik iptal talebinizi 444 4 552 numaralı İletişim Merkezi üzerinden iletebilirsiniz. Findeks üzerinden vermiş olduğunuz kişisel verileriniz üyeliğinizin iptal edildiği tarihten itibaren 10 yıl boyunca saklanacak ve belirlenen saklama süresi sonunda "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik"e uygun şekilde imha edilecektir…” şeklinde yanıt verildiği görülmüştür.
Konunun Kişisel Verileri Koruma Kurulu (Kurul) tarafından değerlendirilmesi neticesinde, Kurulun 22/02/2024 Tarihli ve 2024/292 Sayılı Kararı ile;
- Kanunun 5 inci maddesinin birinci fıkrasında, kişisel verilerin ilgili kişinin açık rızası olmadan işlenemeyeceği hüküm altına alınmış olmakla birlikte, ikinci fıkrasında sayılan hallerde ilgili kişinin açık rızası olmadan da kişisel verilerinin işlenmesine imkân tanındığı, söz konusu düzenlemeye göre;
a) Kanunlarda açıkça öngörülmesi,
b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması,
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
hallerinden birinin varlığı durumunda, ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olabileceği,
- Diğer taraftan Kanunun 7 inci maddesinin “(1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.
(2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.” hükmünü haiz olduğu,
- İlgili kişinin veri sorumlusuna başvuru dilekçesinde yer alan hususlar çerçevesindeki talebine ilişkin veri sorumlusunun cevabi yazısında yer verilen; Kuruluşlarının, 5411 sayılı Bankacılık Kanunu'nun 73’üncü ve 5464 sayılı Banka Kartları ve Kredi Kartları Kanununun 29’uncu maddesi uyarınca bankalar ve finansal kuruluşlar arasındaki veri paylaşımına aracılık ettiği, bunlara ek olarak Findeks platformu ile de çeşitli ürün ve hizmetler sağladığı, bu çerçevede faaliyetlerinin 6698 sayılı Kanunun beşinci maddesinin ikinci fıkrası kapsamında olması sebebiyle bankalar ve finansal kuruluşlar arasında gerçekleştirilen veri paylaşımı için ilgili kişiden rıza alınma zorunluluğunun bulunmadığı, bununla birlikte 2013 yılında ilgili kişinin veri sorumlusunun sunduğu Findeks platformuna üye olduğu ve üyeliğin halen aktif olduğunun tespit edildiği, ilgili kişinin Findeks üzerinden vermiş olduğu kişisel verilerinin üyeliğinin iptal edildiği tarihten itibaren 10 yıl boyunca saklanacağı ve belirlenen saklama süresi sonunda "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik"e uygun şekilde imha edileceği şeklindeki açıklamalar dikkate alındığında, verilen cevabın açık ve yeterli bulunduğu, bu itibarla söz konusu şikâyet ile ilgili olarak Kanun kapsamında yapılacak bir işlem bulunmadığı
değerlendirmelerinden hareketle;
- İlgili kişinin veri sorumlusuna başvuru dilekçesinde yer alan hususlar çerçevesindeki talebine ilişkin veri sorumlusunun cevabi yazısında yer verilen; Kuruluşlarının, 5411 sayılı Bankacılık Kanunu'nun 73’üncü ve 5464 sayılı Banka Kartları ve Kredi Kartları Kanununun 29’uncu maddesi uyarınca bankalar ve finansal kuruluşlar arasındaki veri paylaşımına aracılık ettiği, bunlara ek olarak Findeks platformu ile de çeşitli ürün ve hizmetler sağladığı, bu çerçevede faaliyetlerinin 6698 sayılı Kanunun beşinci maddesinin ikinci fıkrası kapsamında olması sebebiyle bankalar ve finansal kuruluşlar arasında gerçekleştirilen veri paylaşımı için ilgili kişiden rıza alınma zorunluluğunun bulunmadığı, bununla birlikte 2013 yılında ilgili kişinin veri sorumlusunun sunduğu Findeks platformuna üye olduğu ve üyeliğin halen aktif olduğunun tespit edildiği, ilgili kişinin Findeks üzerinden vermiş olduğu kişisel verilerinin üyeliğinin iptal edildiği tarihten itibaren 10 yıl boyunca saklanacağı ve belirlenen saklama süresi sonunda "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik"e uygun şekilde imha edileceği şeklindeki açıklamalar dikkate alındığında, verilen cevabın açık ve yeterli bulunduğu, bu itibarla söz konusu şikâyet ile ilgili olarak Kanun kapsamında yapılacak bir işlem bulunmadığına karar verilmiştir.