KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 10. sayfa

10. sayfa 382 karardan 24 kayıt

Kurul kararı 2021/32

Banka çalışanı eşin çek ve tedbir bilgilerini yetkisiz sorgulaması

Ilgili kisi, bosanma davasinda esi tarafindan kendisine ait karsiliksiz cek bilgilerinin ve tedbir kararlarina iliskin bilgilerin Banka uzerinden sorgulanarak mahkemeye sunuldugunu sikayet etmistir. Banka, sube calisani olan diger esin gorevinden kaynaklanan yetkisini amaci disinda kullandigini tespit ederek disiplin sureci baslattigini, ancak musterilerin birbirini tanimasi nedeniyle Banka sistemlerinden sorgulanmanin onlenemeyecegini savunmustur. Kurul, sorunun tespit edilip gerekli islemlerin yapildigini ve ilgili kisinin ayni iddialari yargi yoluna tasimis olmasini degerlendirerek Kanun kapsaminda yapilacak islem bulunmadigina karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2020/966

Üçüncü Kişilere Ait Kişisel Verilerin Kanuna Aykırı Şekilde İletişim Kanallarına Gönderilmesi Hakkında İlke Kararı

Fatura, ekstre gibi kişisel veri içeren dokümanların SMS/e-posta ile gönderiminde, ilgili kişilerin beyan ettiği iletişim bilgilerinin doğruluğunun teyit edilmesi gerektiğine, aksi halde üçüncü kişilere veri aktarımının Kanun'a aykırılık oluşturacağına dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/957

Yazılım hatasıyla çalışan bordrolarının yanlış kişilere gönderilmesi

Güvenlik seviyesini artırmak amacıyla yeni sunucuya geçiş sürecinde sistem parametreleri optimize edilmediğinden 337 çalışanın maaş bordrosu yanlış çalışanlara e-posta ile gönderilmiştir. İhlalin gerçekleşmesinden 13 dakika sonra tespit edildiği ve 2 saat içinde sonlandırıldığı görülmüştür. Kurul, ihlalin kısa sürede tespit ve giderildiğini, çalışanlar arasında gerçekleştiğinden olumsuz etki riskinin düşük olduğunu değerlendirerek yapılacak işlem olmadığına, ancak 72 saat içinde bildirim yapılmadığından daha dikkatli olunması talimatı vermiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/934

Ortak klasörde kullanıcı parolalarının görünür hâle gelmesi

Veri sorumlusunun kurum içi arşiv platformunda, eğitim sorumlusu çalışanın kullanıcı listesini ortak klasörde saklaması sırasında sehven şifre bilgilerinin de görünür hale gelmesiyle veri ihlali gerçekleşmiştir. İhlalden 2 kişi etkilenmiş, 8 kullanıcı tarafından erişilebilmiş ve dosya ivedilikle kaldırılmıştır. Kurul, ihlalin 72 saat içinde bildirilmemesine rağmen çok uluslu yapı dikkate alınarak makul sürede bildirim yapıldığını, gerekli tedbirlerin alındığını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına ve ilgili kişilere bildirim yapılması konusunda daha dikkatli olunması talimatı vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/927

Arama sonuçlarından aile yakınına ilişkin haberlerin kaldırılması

Üniversite öğretim üyesi olan ilgili kişi, aile yakınının işe alınmasına ilişkin sosyal medyada yayınlanan haberlerin arama motorundan kaldırılmasını talep etmiştir. Kurul, 2020/481 sayılı Kararında belirlenen kriterleri uygulayarak, ilgili kişinin kamusal alanda görev yapması, haberlerin güncel ve gazetecilik faaliyeti kapsamında olması, bilginin özel nitelikli kişisel veri taşımaması ve suç içermemesi değerlendirmelerini yapmıştır. Arama motorunun indeksten çıkarmayı reddetme işleminin yerinde olduğuna, haberlerin gerçeği yansıtmadığı iddiasının ise yargı mercilerine taşınması gerektiğine karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/935

Sağlık poliçesinin yanlış müşteriye gönderilmesi

Sigorta şirketinin çağrı merkezi çalışanı, sağlık yenileme talebinde bulunan bir müşteriye sehven başka bir müşterinin poliçe muafiyet bildirimini göndermiştir. DLP sistemi kontrolleri sırasında tespit edilen ihlalden 1 kişinin kimlik, iletişim ve sağlık verileri etkilenmiştir. Kurul, ihlalin 72 saat içinde Kurula bildirildiğini ve ilgili kişiye bildirim yapılacağını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına, ancak sehven gönderilen verilerin silindiğine dair belge sunulması talimatı vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/915

Belediye personelinin mesai kontrolünde parmak izi kullanılması

Belediye personeli olan ilgili kişi, mesai kontrolü için parmak izinin alınmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, Danıştay kararlarına da atıfla, üstün güvenlik önlemi gerektirmeyen alanlarda mesai kontrolü için parmak izi alınmasının ölçülülük ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun alternatif yöntemler (sicil numarası, şifreli giriş, ıslak imza) kullanabildiği dikkate alınarak biyometrik veri işleme sisteminin kaldırılması, mevcut verilerin imha edilmesi ve disiplin hükümlerinin işletilmesi talimatı verilmiştir. Sonuç Disiplin İşlemi
Kurul kararı 2020/905

Sigorta şirketinin test sunucusuna yönelik siber saldırı

Sigorta şirketinin test sunucusuna siber saldırı gerçekleştirildiğine ve 311 kişinin T.C. kimlik no, isim ve e-posta bilgilerinin etkilendiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, test sunucusunun sızma testlerine dahil edilmediğini, zayıf parola kullanıldığını, test için gerçek veri işlendiğini ve SSL VPN gibi güvenlik önlemlerinin alınmadığını tespit etmiştir. Teknik tedbirlerin yetersizliği nedeniyle 300.000 TL, 72 saatlik bildirim süresine uyulmaması ve ilgili kişilere bildirim yapılmaması nedeniyle 30.000 TL olmak üzere toplam 330.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺330.000
Kurul kararı 2020/816

İsim benzerliği nedeniyle e-faturanın yanlış müşteriye gönderilmesi

Mağazada alışveriş yapan müşterinin e-faturası, aynı ad-soyada sahip başka bir müşterinin e-posta adresine gönderilmiştir. CRM sistemindeki telefon numarası karışıklığından kaynaklanan ihlalin ertesi gün tespit edildiği, hatalı e-postanın silinmesi sağlandığı ve ilgili kişiye telefon ile bildirim yapıldığı görülmüştür. Kurul, ihlalden 1 kişinin etkilendiğini ve olumsuz etki riskinin düşük olduğunu değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/787

Sağlık şirketi sunucusuna zararlı yazılım yüklenmesi

Sağlık sektöründe faaliyet gösteren veri sorumlusunun kullandığı yaygın bir uygulamadaki açıktan yararlanılarak sunucuya zararlı yazılım yüklendiğine dair veri ihlali bildiriminde bulunulmuştur. İhlalden 200 kişinin kimlik, iletişim ve fatura bilgileri etkilenmiştir. Kurul, ihlalin veri sorumlusunun tedbir eksikliğinden kaynaklanmadığını, makul teknik ve idari tedbirlerin alındığını ve ihlale kısa zamanda müdahale edildiğini değerlendirerek ilgili kişilere bildirim yapıldığına dair belge sunulması halinde yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/765

Bankanın aydınlatma metni talimatını eksik yerine getirmesi

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin Tebliğ hükümlerine uygun hale getirilmesi talimatı verilmişti. İnceleme sonucunda, bankanın aydınlatma metninde kişisel verilerin hangi işleme şartına dayanılarak işlendiğine ilişkin ayrıntılı bilgiye yer vermediği, sadece Kanun maddelerini sıraladığı tespit edilmiştir. Kurul kararına uyulmaması ve Kanunun 15/5 maddesine aykırı hareket edilmesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2020/769

Şirket devrinden sonra eski çalışanın verilerinin işlenmesi

Eski çalışan olan ilgili kişi, şirket devri sonrası aydınlatma yapılmadığını, sağlık verilerinin açık rızası olmadan işlendiğini ve ticari elektronik ileti gönderildiğini şikayet etmiştir. Kurul, kişisel verilerin 2014-2015 yıllarında Kanun yürürlüğe girmeden önce işlendiğini, özlük dosyasının İş Kanunu ve Sosyal Sigortalar Kanunu kapsamında tutulduğunu, sağlık verilerinin sır saklama yükümlülüğü altındaki iş yeri hekimi tarafından işlendiğini değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/766

Bankanın faaliyet bazlı aydınlatma talimatını eksik yerine getirmesi

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin güncellenmesi ve faaliyet bazlı aydınlatma yapılması talimatı verilmişti. İnceleme sonucunda, bankanın yeni bir aydınlatma metni hazırladığı ancak kişisel verilerin hangi işleme şartına dayanılarak işlendiğini ayrıntılı belirtmediği, farklı bankacılık ürünleri için genel nitelikli aydınlatma metni kullandığı tespit edilmiştir. Kurul kararının yerine getirilmemesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2020/763

Toplu e-postada müşteri adreslerinin görünür hâle gelmesi

Veri sorumlusunun çalışanı, 400 kişilik alıcı grubuna e-posta gönderirken sehven 43 müşterinin e-posta adresini konu satırına eklemiştir. İhlalin tespiti üzerine ilgili kişilere bildirim yapılmış ve hatalı e-postanın imha edilmesi talep edilmiştir. Kurul, ihlalden yalnızca e-posta adreslerinin etkilendiğini, ilgili kişilere bildirim yapıldığını ve 72 saatlik sürede Kurula bildirimde bulunulduğunu değerlendirerek veri sorumlusu hakkında Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/746

Abonelik görüşmesi ses kayıtlarına erişim talebi

İlgili kişi, telekomünikasyon şirketinin müşteri hizmetleriyle yaptığı görüşmelerin ses kayıtlarına erişim talebinin reddedildiğini şikayet etmiştir. Kurul, Kanunun 11/1-b maddesi kapsamında bilgi talep etme hakkının erişim hakkını da kapsadığını değerlendirmiştir. Ses kayıtlarının doğrudan verilmesi yerine, üçüncü kişilerin verileri maskelenerek dökümlerinin ilgili kişiye gönderilmesi ve başvuruların süresinde cevaplanması yönünde veri sorumlusunun talimatlandırılmasına karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/755

Kiracının aidat borcu bilgisinin ev sahibiyle paylaşılması

Kiracı olan ilgili kişi, aidat borç bilgilerinin site yönetimi tarafından ev sahibiyle paylaşılmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, 634 sayılı Kat Mülkiyeti Kanununun 22. maddesi uyarınca ev sahibi ile kiracının ortak giderlerden müştereken sorumlu olduğunu değerlendirmiştir. Aidat bilgilerinin paylaşılmasının Kanunun 5/2-e bendi kapsamında bir hakkın tesisi, kullanılması veya korunması çerçevesinde gerçekleştirildiğine ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/744

Banka çalışanının müşteri verilerini e-postayla üçüncü kişiye aktarması

Banka çalışanının 346 müşteriye ait kimlik, iletişim ve finans verilerini üçüncü kişiye e-posta ile gönderdiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, DLP sistemlerinin yetersiz kaldığını ve çalışana verilen eğitimin etkin olmadığını tespit etmiştir. Veri güvenliğine ilişkin tedbirlerin yetersizliği nedeniyle 225.000 TL, 72 saatlik bildirim süresine uyulmaması nedeniyle 50.000 TL olmak üzere toplam 275.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺275.000
Kurul kararı 2020/710

Borçlu yakınlarına haciz ihbarnamesi gönderilmesi

İlgili kişiler, icra takibi esnasında borçlu olmayan akrabalarının kişisel verilerinin İcra Müdürlüğü tarafından paylaşıldığını şikayet etmiştir. Kurul, İcra ve İflas Kanununun 89. maddesi kapsamında borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla haciz ihbarnamesi gönderilmesinin kanuni bir yükümlülük olduğunu tespit etmiştir. Kişisel verilerin işlenmesinin Kanunun 5/2-a bendi kapsamında 'kanunlarda açıkça öngörülme' şartına dayandığına ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/715

E-ticaret hesaplarına sızdırılmış parolalarla yetkisiz erişim

Veri sorumlusunun internet sitesinde, başka sitelerden sızdırılmış e-posta ve şifrelerle 832 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, aynı IP adresinden başarısız giriş denemelerinin sınırlandırılması ve şifre değiştirme politikası gibi tedbirlerin ihlalden önce alınması gerektiğini tespit etmiştir. Veri güvenliğini sağlamaya yönelik gerekli teknik tedbirleri almayan veri sorumlusuna Kanunun 18/1-b maddesi uyarınca 165.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺165.000
Kurul kararı 2020/691

Derneğin açık rıza olmaksızın reklam SMS'i göndermesi

İlgili kişi, bir derneğin cep telefonuna açık rızası olmaksızın reklam SMS'i gönderdiğini ve bilgi talebine yanıt verilmediğini şikayet etmiştir. Dernek, telefon numarasının muhtemelen önceki SMS bağışından kaldığını ancak açık rıza tespit edemediğini belirtmiştir. Kurul, kişisel verinin hukuka aykırı olarak elde edilip işlendiğini ve başvuruya yanıt verilmediğini tespit ederek idari para cezası uygulamış, telefon numarasının imha edilmesi talimatı vermiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/667

Sağlık sigortası hizmetinin açık rıza şartına bağlanması

İlgili kişi, sigorta şirketinin sağlık sigortası poliçesini yenilemek için açık rıza talep etmesinin Kanuna aykırı olduğunu şikayet etmiştir. Kurul, sağlık sigortası poliçesinin özel nitelikli kişisel veri olan sağlık verilerini içerdiğini, bu verilerin Kanunun 6/3 maddesi kapsamında işlenemeyeceğini değerlendirmiştir. Sağlık verilerinin işlenmesinin ancak ilgili kişiden açık rıza alınarak gerçekleştirilebileceği, dolayısıyla açık rıza talebinin Kanuna aykırılık teşkil etmediğine karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/649

Biyometrik imzanın özel nitelikli kişisel veri sayılması

Biyometrik imzanın 6098 sayılı Borçlar Kanunu kapsamında değerlendirilip değerlendirilemeyeceği hakkında görüş talep edilmiştir. Kurul, biyometrik imzanın özel nitelikli kişisel veri olan biyometrik veri niteliğinde olduğunu, Borçlar Kanununun 15. maddesindeki imza düzenlemesinin Kanunun 6/3 maddesindeki 'kanunlarda öngörülme' şartını karşılamadığını belirlemiştir. Biyometrik imza kullanımının ancak açık rıza alınması, aydınlatma yapılması ve Kurul tarafından belirlenen özel nitelikli veri güvenlik önlemlerinin alınması şartıyla mümkün olduğu değerlendirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/608

Yanlış telefon numarasına uçuş bileti SMS'i gönderilmesi

İlgili kişi, havayolu şirketinin mobil uygulamasından başka biri tarafından alınan bilete ilişkin telefon numarasına SMS gönderildiğini şikayet etmiştir. İnceleme sonucunda, telefon numarasının bileti alan kişi tarafından sehven girildiği ve veri sorumlusunun bu durumdan kastı olmaksızın işlem gerçekleştiği tespit edilmiştir. Kurul, telefon numarası doğrulama sistemi bulunmadığından Kanunun 12. maddesine aykırılık oluşmadığına, ancak veri sorumlusunun ilgili kişi başvurularına süresinde cevap vermesi gerektiğine karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/622

Çocuğun sağlık raporunun imhası için başvuru ehliyeti

18 yaşından küçük ilgili kişinin babası tarafından veri sorumlusuna başvuru yapılmış, ilgili kişinin kendisi ise Kurula şikayette bulunmuştur. Kurul, kişisel verilerin korunması hakkının kişiye sıkı sıkıya bağlı haklardan olduğunu, ayırt etme gücüne sahip küçüklerin bu hakkı bizzat kullanabileceğini veya velisinin de onun adına kullanabileceğini değerlendirmiştir. Her iki tarafın iradesinin örtüştüğü dikkate alınarak hem küçüğün hem velisinin şikayet hakkını kullanmada yetkili olduğuna ve inceleme başlatılmasına karar verilmiştir. Sonuç İlke Kararı / Rehber