KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları

24 karar

Filtreler bu sayfadaki 24 kararı tarar. 335 kararın tamamında gelişmiş arama

Kurul kararı 2026/1095

Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı

Kaza mağdurlarına ait verilere hukuka aykırı erişim ve bu veriler kullanılarak mağdurlarla iradeleri dışında iletişime geçilmesine karşı, ilgili veri sorumlularının erişim yetkilerini sınırlandırması ve gerekli güvenlik tedbirlerini alması gerektiği belirlenmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2026/1026

2025 Bilançosuna Bağlı VERBİS Süre Uzatımı

Kurul, 2025 yılı mali bilançosu nedeniyle kayıt yükümlülüğü doğan belirli kurumlar vergisi mükellefi tüzel kişi veri sorumluları için VERBİS son tarihini 5 Haziran 2026'ya uzatmıştır. Tek seferlik süre sona ermiş olup karar tarihsel uygulama kaydıdır. Sonuç İlke Kararı / Rehber
Kurul kararı 2026/921

Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı

Mesai takibinde biyometrik veri işlenmesinin, geçerli açık rıza bulunsa dahi ölçülülük ilkesini karşılamadığı; daha az müdahaleci takip yöntemlerinin kullanılması gerektiği belirlenmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2026/347

Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı

Aydınlatma yükümlülüğü ile açık rıza alma işleminin birbirinden ayrılması; metinlerin açık, sade ve veri sorumlusunun somut faaliyetlerine özgü hazırlanması gerektiğine ilişkin İlke Kararıdır. Sonuç İlke Kararı / Rehber
Kurul kararı 2026/348

Toplu Yapılarda Apartman/Site Sakinlerine Ait Borç Bilgilerinin Ortak Yerlere Asılması Hakkında İlke Kararı

Apartman ve site sakinlerine ait borç bilgilerinin ortak alanlara asılması hukuka aykırı bulunmuş; bilgilendirmenin yalnızca ilgililerin erişebileceği kapalı kanallardan yapılması gerektiği belirlenmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2026/266

Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında…

Sadakat kart sahibi ilgili kişinin cep telefonu veya kart numarası kullanılarak doğrulama yapılmaksızın üçüncü kişilerce alışveriş yapılabilmesine son verilmiş; veri sorumlularına uygun doğrulama mekanizmalarını kurmaları için altı aylık uyum süresi tanınmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2025/2393

VERBİS İstisna Eşiklerinde Bilanço Usulü

Kurul, VERBİS kayıt istisnasındaki çalışan ve mali bilanço ölçütlerinin bilanço esasına göre defter tutanlarda birlikte; bilanço esasına göre defter tutmayanlarda ise yalnız çalışan sayısı üzerinden uygulanmasına karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2025/2120

Turizm ve Otelcilik Sektöründe Kimlik Belgesi Fotokopisi Hakkında İlke Kararı

Otel, motel, pansiyon ve benzeri konaklama yerlerinin misafirlerden T.C. kimlik belgesi fotokopisi almasının Kanun'a aykırı olduğuna dair ilke kararı verilmiştir. Konaklama bildiriminde isim, soyisim ve TC kimlik numarası kaydı, Kimlik Bildirme Kanunu kapsamında hukuki olmakla birlikte, kimlik belgesinin fotokopisinin alınması gereğinden fazla veri işleme niteliği taşımakta olup herhangi bir hukuki dayanağı bulunmamaktadır. Ayrıca eski nüfus cüzdanlarında din ve kan grubu gibi özel nitelikli veriler yer aldığından bu uygulama Kanun'un 6. maddesine de aykırılık oluşturmaktadır. Veri sorumlularının bu uygulamaya derhal son vermesi ve daha önce alınmış olan fotokopileri Kanun'un 7. maddesine uygun şekilde imha etmesi gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2025/1572

Ana Faaliyet Konusu Özel Nitelikli Kişisel Veri İşleme Olan Veri Sorumlularının VERBİS’e Kayıt Yükümlülüğüne İlişkin İstisna Kriteri

Ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10’dan ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumluları da VERBİS kayıt ve bildirim yükümlülüğünden istisna edilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2025/1072

SMS ile Doğrulama Kodu Gönderilmesi Suretiyle Kişisel Verilerin İşlenmesi Hakkında İlke Kararı

Ödeme veya üyelik işlemleri sırasında doğrulama kodu bahanesiyle ilgili kişilerden alınan iletişim bilgilerinin, aydınlatma yapılmadan ve açık rıza alınmadan ticari elektronik ileti göndermek amacıyla kullanılmasının Kanun'a aykırı olduğuna dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2024/1385

E-ticaret platformunda satıcı hesaplarının ele geçirilmesi

Başka platformlardan elde edilen kullanıcı adı ve şifrelerin satıcı portalında denenmesi sonucunda 673 satıcının ve 7.202 müşterinin kişisel verilerine yetkisiz erişilmiştir. Kurul; bot trafiğini önleme, anomali tespiti, tek seferlik parola ve çift faktörlü kimlik doğrulama tedbirlerinin ihlalden önce yeterli biçimde uygulanmadığını belirleyerek veri sorumlusuna Kanun’un 12. ve 18/1-b maddeleri uyarınca 3.250.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺3.250.000
Kurul kararı 2024/1176

Abonelik Tesisi Amacıyla Hukuka Aykırı Kişisel Veri İşlenmesi

Şikayette, ilgili kişinin internet taahhüt süresinin dolması nedeniyle tarife araştırırken abonesi olduğu A Şirketine benzer görsellerle sahte bir internet sitesine yönlendirildiği, buraya sadece telefon numarasını yazmasına rağmen T.C. kimlik numarası sorularak adres ve tarife bilgilerine erişildiği ve aldatılarak X Markasına abone yapıldığı iddia edilmiştir. Kurul, bayi C Şirketinin veri işleyen olarak hareket etmesi gerekirken sözleşme hükümlerine aykırı şekilde başka firmaya ait görselleri kullanarak potansiyel müşterileri yanılttığını ve bu suretle veri sorumlusu sıfatını kazandığını tespit etmiştir. İlgili kişinin iradesinin aldatılarak kişisel verilerinin hukuka aykırı işlendiği değerlendirilerek C Şirketine KVKK m.18/1(b) uyarınca 450.000 TL idari para cezası uygulanmış; B ve D Şirketleri hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2023/2135

Köy Kamu Tüzel Kişiliklerinin VERBİS İstisnası

Kurul, köy kamu tüzel kişiliklerini Veri Sorumluları Siciline kayıt yükümlülüğünden istisna etmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2023/1645

Geniş katılımlı çevrim içi bir oyunun Türkiye’deki dağıtıcısı ve tek yetkilisi konumundaki veri sorumlusu tarafından kişisel verilerin hukuka aykırı…

Kurul, çevrimiçi oyun dağıtıcısı olan veri sorumlusu hakkında e-Devlet şifresi talep edildiği, kişisel verilerin yurt dışına aktarıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddialarıyla resen inceleme başlatmıştır. İncelemede, oyun sunucularının yurt içinde tutulduğu ve oyun kullanıcılarının kişisel verilerinin yurt dışına aktarılmadığı; ancak internet sitesindeki çerezler aracılığıyla yurt dışına veri aktarımı yapıldığı, açık rızanın belirlilik ve özgür irade unsurlarının sağlanmadığı tespit edilmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 750.000 TL idari para cezası uygulanmış; çerez politikalarının Kanun'a uygun hale getirilmesi, aydınlatma metinlerinin düzeltilmesi ve yurt dışı aktarımı için usulüne uygun açık rıza alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺750.000
Kurul kararı 2023/1578

İlgili Kişinin Hasta Dosyasında Yer Alan Özel Nitelikli Kişisel Verilerinin Mahkemeye Aktarılması

Şikayette, ilgili kişinin üniversite tıp merkezinde aldığı terapi kayıtlarının boşanma davası kapsamında mahkemeye gönderilirken gizlilik önlemi alınmadığı ve bu kayıtların UYAP'a yüklenerek üçüncü kişilerin erişimine açıldığı iddia edilmiştir. Kurul, mahkeme müzekkeresine cevaben hasta dosyasının gönderilmesinin 6100 sayılı HMK'nın 221'inci maddesi kapsamında zorunlu olduğunu ve KVKK m.8/3 "kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır" kapsamında olduğunu tespit etmiştir. Mahkeme tarafından UYAP'a yükleme işlemlerinin KVKK m.28/1(d) kapsamında yargı makamlarının kişisel veri işlemesi olarak Kanun kapsamı dışında olduğu değerlendirilerek veri sorumlusu tıp merkezi hakkında yapılacak işlem bulunmadığına; ancak gizlilik esaslarına riayet edilerek gönderim yapılması gerektiği yönünde hatırlatma yapılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1548

İlgili kişinin açık rızası alınmadan ses kaydının alınması, paylaşılması ve mahkeme dosyasına sunulması

Şikayette, ilgili kişinin yüklenici firma bünyesinde sayaç okuma personeli olarak çalışırken rüşvet istediğine dair ses kaydının veri sorumlusu tarafından işlendiği ve mahkemeye sunulduğu iddia edilmiştir. Kurul, müşteri tarafından alınan ses kaydının suç teşkil edebilecek bir eylemin tespitine ilişkin olduğunu, başka türlü delil ile ispat imkanı bulunmadığı ani gelişen durumlarda alınan kayıtların hukuka uygun delil niteliği taşıdığını ve Yargıtay içtihatlarıyla da bu görüşün benimsendiğini tespit etmiştir. Ses kaydının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında hukuka uygun olarak işlendiği ve mahkemeye aktarıldığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1563

İlgili kişinin ortaklıktaki paylarının borsada işlem gören niteliğe dönüşmesi için Merkezi Kayıt Kuruluşu AŞ’ye yaptığı başvuru üzerine ad-soyadı ve…

Şikayette, ilgili kişinin Borsa İstanbul'daki hisselerinin satılabilir hale getirilmesi sürecinde ad ve soyadının Kamuyu Aydınlatma Platformu'nda (KAP) yayımlandığı iddia edilmiştir. Kurul, Pay Tebliği'nin 15'inci maddesinin 3'üncü fıkrasında "MKK, borsada işlem gören niteliğe dönüştürülmek istenen payların nominal değerini, başvuruyu yapan kişilerin isim veya unvanını, günlük olarak toplu halde KAP vasıtasıyla kamuya duyurur" hükmünün yer aldığını tespit etmiştir. Kişisel veri işleme faaliyetinin Pay Tebliği uyarınca KVKK m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında zorunlu olarak gerçekleştirildiği değerlendirilerek veri sorumlusu MKK hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1509

İlgili Kişinin Kişisel Verilerinin Bir Banka Tarafından Kredi Kayıt Bürosu AŞ’ye Aktarılması

Şikayette, ilgili kişinin kişisel verilerinin KKB Kredi Kayıt Bürosu'na aktarılmasına ilişkin açık rızasını geri çekme talebinin veri sorumlusu banka tarafından reddedildiği iddia edilmiştir. Kurul, 5411 sayılı Bankacılık Kanunu'nun 73/4 ve Ek 1'inci maddesi ile Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik kapsamında bankaların Risk Merkezi ile veri paylaşımının sır saklama yükümlülüğünden istisna olduğunu tespit etmiştir. Kişisel verilerin KKB'ye aktarılmasının KVKK m.5/2(a), (c), (ç) ve (f) bentlerine dayandığı ve açık rızanın geri çekilmesinin bu kapsamda hukuken geçerli olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına; ancak başvuru ret gerekçelerinin açıklanması gerektiğinin hatırlatılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1465

Veri sorumlusuna ait internet sitesinde yapılan kullanıcı girişinde üçüncü kişiye ait kişisel verilerin görüntülenmesi

Şikayette, ilgili kişinin araç kiralama şirketinin internet sitesine giriş yaparken başka bir kullanıcının T.C. kimlik numarası, ehliyet ve iletişim bilgilerine eriştiği iddia edilmiştir. Kurul, veri sorumlusunun sistemindeki algoritma hatasının dört farklı kişinin kişisel verilerinin yetkisiz erişime açık hale gelmesine neden olduğunu ve Kuruma veri ihlal bildiriminde bulunulmadığını tespit etmiştir. KVKK m.12 kapsamında kişisel verilere hukuka aykırı erişimi önleme yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış ve veri ihlal bildirimi yükümlülüğü hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/1461

Bir eğitim kurumu tarafından kamera vasıtasıyla görüntü ve ses kaydı alınması

Şikayette, veri sorumlusu okul tarafından kira uyuşmazlığı nedeniyle ilgili kişilerin açık rızası olmadan ses ve görüntü kaydı alındığı iddia edilmiştir. Kurul, görüntü kaydının güvenlik amacıyla KVKK m.5/2(ç) ve (f) kapsamında meşru olduğunu, ancak ses kaydının güvenlik gerekçesiyle meşru menfaat kapsamında değerlendirilemeyeceğini tespit etmiştir. Ses kaydının alınmasının KVKK m.5'teki işleme şartlarına dayanmadığı ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL ve KVKK m.18/1(a) uyarınca 30.000 TL olmak üzere toplam 230.000 TL idari para cezası uygulanmış; ses verilerinin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺230.000
Kurul kararı 2023/1414

İlgili kişiye ait özel nitelikli kişisel verilerin avukat tarafından mahkemeye aktarılması

Şikayette, ilgili kişinin kendisine ve çocuklarına ait DNA test raporlarının e-posta adresine hukuka aykırı olarak erişilerek veri sorumlusu avukat tarafından ele geçirildiği ve alacak davasında aleyhine kullanıldığı iddia edilmiştir. Kurul, DNA raporlarının ilgili kişinin çocuklarına da ait olması nedeniyle çocuklarla ortak kişisel veri niteliğinde olduğunu, raporun verilere hukuka aykırı erişildiğine dair tevsik edici belge sunulmadığını tespit etmiştir. Genetik verilerin, çocukların vekili olan avukat tarafından işlenmesinin ve mahkemeye aktarılmasının, 1136 sayılı Avukatlık Kanunu ve HMK m.219 kapsamında KVKK m.6/3 ve m.8'e uygun olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1430

Yemek kartı hizmeti sunan veri sorumlusuna ait mobil uygulamada T.C. kimlik numarasının işlenmesi

Kurul, yemek kartı hizmeti sunan veri sorumlusunun mobil uygulamasına kayıt olurken T.C. kimlik numarası istendiğine ilişkin ihbar üzerine resen inceleme başlatmıştır. İncelemede, fiziksel yemek kartlarının mobil uygulamaya eklenmesinde doğrulama için T.C. kimlik numarası işlendiği tespit edilmiştir. Kurul, T.C. kimlik numarasının telefon numarasına göre daha hassas bir veri olduğunu ve veri ihlali halinde daha büyük zarara yol açacağını, işveren aracılığıyla kart ve telefon bilgisiyle doğrulama yapılmasının mümkün olduğunu değerlendirmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış; T.C. kimlik numarası işlenmeden doğrulama yapılması ve mevcut verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/1356

Bir işveren tarafından işe iade davasına, ilgili kişinin mescitte ibadet etme görüntülerinin ibraz edilmesi

Şikayette, veri sorumlusu şirketin iş yerindeki mescitte kamera ile ibadet eden çalışanların görüntülerini kaydettiği, açık rızanın özgür iradeyle alınmadığı ve ayrımcılık yapıldığı iddia edilmiştir. Kurul, mescitteki kamera kaydının ilgili kişinin dini inancına ilişkin özel nitelikli kişisel veri işleme olduğunu, açık rızanın işten çıkarılma korkusuyla geriye dönük olarak imzalatıldığını ve özgür iradeyi yansıtmadığını tespit etmiştir. İbadethanenin kamera ile izlenmesinin KVKK m.4'teki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; veri işlemenin durdurulması ve verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/1309

Bir havayolu şirketi tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması

Şikayette, ilgili kişinin havayolu firmasının mobil uygulamasından check-in yaparken tanımadığı dört kişinin kişisel verilerini (kimlik, pasaport, vize bilgileri) gördüğü iddia edilmiştir. Kurul, veri sorumlusunun PNR + soyadı kombinasyonu ile erişim sağlandığını beyan etmesine rağmen, ilgili kişinin ekran görüntülerinde farklı soyadlı kişilerin verilerinin görüldüğünü tespit etmiştir. KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı erişimini önlemeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış ve ilave teknik tedbirler alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000