KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 10. sayfa

10. sayfa 335 karardan 24 kayıt

Kurul kararı 2020/396

İlgili kişinin, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili özel nitelikli kişisel verilerinin özlük dosyasından çıkarılması talebi

Ilgili kisi, memuriyete ilk giris tarihinden once hakkinda verilmis olan hukmen ceza kararinin ozluk dosyasindan cikarilmasini talep etmistir. Kurul, soz konusu verilerin ozel nitelikli kisisel veri oldugunu, ancak 2 Seri No'lu Kamu Personeli Genel Tebligi ve Devlet Personel Baskanligi gorusu uyarinca yargi organlarinca memur hakkinda verilen tum karar orneklerinin ozluk dosyasinda bulunmasi gerektigini degerlendirmistir. Kanundaki 'kanunlarda ogorulme' sartinin 'maddi kanun' olarak anlasilmasi gerektiginden, soz konusu kararlarin ozluk dosyasindan cikarilmasina yer olmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/404

İşverenin, işçisine ait kişisel verileri ve özel nitelikli kişisel verileri; aydınlatma yükümlülüğünü yerine getirmeden ve hukuka aykırı işlemesi

Ilgili kisi, veri sorumlusu sirketten KVKK m.11 kapsaminda bilgi talep ettigini ancak yeterli cevap alamadigini, aydinlatma ve acik riza metinlerinin ayri olmadan birlikte duzenlendigi ve calisanlarin parmak izinin acik riza alinmadan islendigi sikayet etmistir. Kurul, acik rizanin hizmet sarti olarak dayatildigini, battaniye riza alindigi ve biyometrik verilerin alternatif yontemler varken islenmesinin olculuk ilkesine aykiri oldugunu tespit etmistir. Aydinlatma yukulugunu yerine getirmemek nedeniyle 50.000 TL, m.12/1 ihlali nedeniyle 200.000 TL olmak uzere toplam 250.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2020/379

Bir tıp merkezinin internet sitesinde video tanıtım bölümü içerisinde görsel ve işitsel kişisel verileri işlenen ilgili kişinin başvurusuna veri…

Ilgili kisi, eski calistigi Tip Merkezinin internet sitesinde pazarlama amacli video tanitim bolumunde gorsel ve isitsel kisisel verilerinin islendigi, is sozlesmesi sona erdigi halde verilerin kaldirilmadigi ve veri sorumlusunun basvurusuna cevap vermedigini sikayet etmistir. Kurul, silme talebinin makul sure gecmesine ragmen yerine getirilmedigini ve kisisel veri isleme faaliyetine m.5 kapsaminda hukuki dayanak olmadan devam edildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, verilerin silinmesi icin talimat verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/355

İlgili kişiye ait Medula Eczane çıktılarının eczacının eşi tarafından kullanılması

Il Saglik Mudurlugu, bir eczacinin esinin, sikayet etmek istedigi baska bir eczaciya ait Medula Eczane ciktilarini (tani ve ilac bilgileri) dilekce ekinde sundugunu ihbar etmistir. Kurul, eczanenin SGK ile yaptigi sozlesme kapsaminda kullandigi Medula sistemine ucuncu kisilerin erisimini onlemek uzere gerekli guvenlik tedbirlerini almadigini tespit etmistir. Eczane hakkinda KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 60.000 TL idari para cezasi uygulanmis, verileri ele geciren eczacinin esi hakkinda TCK m.136 uyarinca savciliga suç duyurusunda bulunulmustur. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/359

Bir bankanın veri ihlali bildirimi hakkında

Bankanin eski calisani, Temmuz 2018 - Mayis 2019 arasinda 7.305 adet KKB sorgulamasi yaparak 5.695 kisinin kredi bilgilerine hukuka aykiri erismis ve bu bilgileri ucuncu kisilere aktarmistir. Kurul, kontrolun yillik periyotlarla yapilmasi nedeniyle ihlalin 1 yil boyunca tespit edilemedigini ve sorgulama limitlerinin bulunmamasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 400.000 TL ve 72 saatlik bildirim yukumlulugune aykiri hareket nedeniyle 50.000 TL olmak uzere toplam 450.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2020/357

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Sigorta sirketinin taseron calisani, 91 musteriye ait isim, iletisim ve plaka bilgilerini iceren listeyi kurum e-postasindan sahsi e-posta adresine gondermistir. Veri sizintisi onleme uygulamasinda bu verilerin tanimli olmadigindan uyari olusmadigı ve ihlalin iki ay sonra tespit edilebildigi gorulmustur. Kurul, kisisel veri guvenligine iliskin prosedurün sirketin calisma ve isleyisine uygun sekilde entegre edilmedigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 90.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺90.000
Kurul kararı 2020/335

İlgili kişinin araç kiralama hizmeti alması esnasında kişisel verilerinin işlenmesine dair açık rıza vermemesi üzerine kiralama hizmetinden…

Ilgili kisi, arac kiralama sirketinden hizmet almak istediginde kisisel verilerinin islenmesine acik riza vermek istemedigini belirttigi icin arac kiralayamadigini sikayet etmistir. Kurul, 1174 sayili Kimlik Bildirme Kanunu kapsaminda KABİS'e kayit zorunlulugu bulunmasina ragmen, sirketin m.5/2 disindaki hallerde toptan acik riza aldigi ve riza verilmezse hizmet vermedigini tespit etmistir. Hizmetin acik riza sartina baglanmasi m.4 ve m.12'ye aykirilik teskil ettiginden, m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/336

İlgili kişinin kendisine iletilmesi gereken cevap yazısının veri sorumlusu tarafından resmi yazı şeklinde, çalıştığı birime gönderilmesi

Ilgili kisi, universiteye yaptigi Bilgi Edinme Kanunu kapsamindaki basvurusuna verilen cevabın kendisine degil, calistigi birime gonderilmesi suretiyle kisisel verilerinin ucuncu kisilerin erisimine acildigini sikayet etmistir. Veri sorumlusu, sistemdeki cevapla butonuyla yanit verildigini, kasit olmadigini savunmustur. Kurul, kisisel verilerin KVKK m.5 kapsaminda hukuki dayanak olmadan ifsa edilmesinin m.12/1 ihlali teskil ettigine karar vermis ve kamu kurumu oldugu icin m.18/3 uyarinca sorumlular hakkinda disiplin islemleri yapilmasini talep etmistir. Sonuç Disiplin İşlemi
Kurul kararı 2020/345

Bilgisayar oyunları alanında faaliyet gösteren veri sorumlusunun veri ihlali bildirimi hakkında

Veri sorumlusunun eski calisani (web gelistiricisi) tarafindan kaynak kod ve 62 kisiye ait kisisel veri iceren dosyalar yetkisiz olarak github.com'a yuklenmistir. Ihlal 19.04.2017'de gerceklesmis ancak 09.01.2019'da tespit edilmistir. Kurul, gizlilik politikalarinin etkin uygulanmadigini ve personel farkindalik calismalarin yetersiz kaldigini tespit etmistir. KVKK m.12/1 kapsaminda teknik ve idari tedbirleri almayan veri sorumlusu hakkinda 100.000 TL ve m.12/5 kapsaminda gec bildirim nedeniyle 30.000 TL olmak uzere toplam 130.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺130.000
Kurul kararı 2020/344

Bir bankanın veri ihlal bildirimi hakkında

Bankanin ic kontrol faaliyetlerinde 3 personelin KKB sorgu ekranlarindan supheli sorgulamalar yaptigi tespit edilmistir. Personeller, yetkileri olan ekranlari amaci disinda kullanarak 7.706 banka musterisi olmayan kisi dahil toplam 25.288 kisinin kredi bilgilerine hukuka aykiri erismistir. Kurul, ihlal fiillerinin baslangici ile tespiti arasinda 18 aya kadar sure gecmesini guvenlik takibinin yetersizligi olarak degerlendirmistir. KVKK m.12/1 kapsaminda gerekli teknik ve idari tedbirleri almayan Banka hakkinda m.18/1-b uyarinca 1.000.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺1.000.000
Kurul kararı 2020/325

Kurumumuza Bir Şahıs Tarafından Vekaleten İntikal Ettirilen Usulen Eksik Nitelikteki Çok Sayıda Başvuru

Kuruma, Otomatik Bilgi Paylasimi anlasmalarindaki kisisel veri paylasimi endisesiyle ayni icerikte cok sayida vekaleten basvuru yapilmistir. Kurum, oncelikle veri sorumlusu SGK'ya basvurulmasi gerektigini bildirmesine ragmen usule aykiri basvurulara devam edilmistir. Kurul, 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun ve TMK m.2 kapsaminda hakkin kotuye kullanilmasi niteligindeki bu basvurularin degerlendirmeye alinmamasina, vekaleten basvuruda bulunan kisinin ilgili kurumlara bildirilmesine karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/307

Türkiye Ticaret Sicili Gazetesinde açık bir şekilde ilan edilmeyen kişisel verilerin, talepleri üzerine kamu kurum ve kuruluşlarıyla paylaşılması

Karar, ticaret sicili mudurlukleri tarafindan tutulan kisisel verilerin kamu kurum ve kuruluslariyla paylasimina iliskindir. Kurul, ticaret sicilinin aleni olmasinin sicilde yer alan kisisel verilerin KVKK hukumlerinden muaf olacagi anlamina gelmedigini belirlenmistir. Aktarim taleplerinin m.8 kapsaminda yapilmasi, kimlikleri ve yerlesimleri ilgilendiren verilerin 5490 sayili Nufus Hizmetleri Kanunu kapsaminda yetkili kurumlardan talep edilmesi ve m.4 kapsamindaki olculuk ilkesine uyulmasi gerektigi sonucuna varilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/315

Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları

Karar, Kanun’un 16. maddesi kapsamında Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulan veri sorumlularına ilişkin 2018/32 sayılı kararın güncellenmesini içermektedir. Kurul, dernekler, vakıflar ve sendikalarla ilgili istisna hükmünün kapsamı ve yorumunda yaşanan tereddütleri değerlendirmiştir. 2018/32 sayılı kararın ilgili hükmünde yer alan ifade, “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” şeklinde değiştirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/286

Bir oyun şirketinin veri ihlal bildirimi hakkında

Oyun sirketinin bulut sistemlerine hackerlar tarafindan hukuka aykiri erisim gerceklestirilmis ve Turkiye'de 39.995 kullanicinin isim, adres, dogum tarihi, e-posta, telefon ve sifre gibi kisisel verileri etkilenmistir. Kurul, zafiyet testlerinin yetersizligini ve ihlal oncesi alinmasi gereken teknik tedbirlerin ihlal sonrasi devreye alinmasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 1.000.000 TL ve 72 saatlik bildirim yukumlulugune uyulmamasi nedeniyle m.12/5 ihlali icin 100.000 TL olmak uzere toplam 1.100.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺1.100.000
Kurul kararı 2020/255

Veri sorumlusu eğitim kurumu tarafından şikayetçinin çocuklarının özel nitelikli kişisel verilerinin hukuka aykırı olarak işlenmesi hakkında

Sikayetci, velisi oldugu ogrencilere okulda CAS (Bilissel Degerlendirme Sistemi) testi uygulanirken acik riza alinmadigini ve aydinlatma yapilmadigini iddia etmistir. Kurul, test sonuclarinin ogrencinin ruh sagligi verilerini (dikkat eksikligi, hiperaktivite bozuklugu) icerdigini, bu verilerin KVKK m.6 kapsaminda ozel nitelikli veri oldugunu tespit etmistir. Acik riza alinmadan ozel nitelikli kisisel veri islenmesi ve aydinlatma yukumlulugunu yerine getirmemesi nedeniyle veri sorumlusu egitim kurumu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/226

İlgili kişinin, bir Valilikte görev yapmakta iken, Valilik çalışanı tarafından hukuka aykırı olarak elde edildiği iddia edilen kişisel verilerinin…

Ilgili kisi, Valilik calisani tarafindan hukuka aykiri elde edilen kisisel verilerine dayanilarak disiplin sorusturmasi acildigini ve cezalandirildigini iddia etmistir. Kurul, verileri hukuka aykiri elde eden personel hakkindaki iddialarin TCK kapsaminda degerlendirilmesi gerektigine, disiplin sorusturmasi kapsaminda islenen verilerin KVKK m.28/2-c istisnasindan yararlandigina karar vermistir. Ozluk dosyalarinda saklanmasi gereken verilerin silinmesi talebinin m.7 kapsaminda isleme sebeplerinin ortadan kalkmamasi nedeniyle karsilanamayacagina hukmedilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/212

Ses kayıt özelliği bulunan güvenlik kamerası kullanılması

Karar, kamu kurumlarinda guvenlik amacli kullanilan kameralarin goruntu kaydinin yani sira ses kaydi da yapmasi hakkindadir. Kurul, ses kaydinin goruntu kaydina gore cok daha mudahaleci oldugunu, bireylerde her acidan gozetim altinda tutuldugu endisesi yaratabilecegini ve hakkin ozune zarar verecegini degerlendirmistir. Anayasa m.13 ve m.20 ile KVKK m.4 kapsaminda olculuk ilkesi degerlendirilmis, ses kaydi yapan kameralarin kullanilmasinin temel hak ve ozgurluklere orantisiz mudahale teskil edecegi sonucuna varilmistir. Sonuç Disiplin İşlemi
Kurul kararı 2020/216

Bir bilişim şirketinin veri ihlal bildirimi hakkında

Veri sorumlusu sirketin sistemlerine siber saldiri gerceklestirilmis, debugging ozelligi acik olan Pilot uygulamasina erisim saglanarak 65.993 kisiye ait veriler ile 50.000 kredi karti bilgisi tehlikeye girmistir. Kurul, sizma veya anomali tespiti icin kontrol mekanizmalarinin etkin kullanilmadigini, 2018 oncesi kredi karti bilgilerinin imha edilmedigini ve web uygulamalarinda yuksek seviyede acikliklar bulundugunu tespit etmistir. KVKK m.12/1 ve m.4/2 ihlalleri nedeniyle m.18/1-b uyarinca 450.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2020/213

Bir internet servis sağlayıcısının veri ihlal bildirimi hakkında

Veri sorumlusu şirketin online işlem merkezinde fatura ödeme sisteminde yaşanan sorun giderilirken güvenlik açığı ortaya çıkmış ve 69 kişiye ait kredi kartı bilgileri 649 müşteri tarafından görüntülenebilir hale gelmiştir. Kurul, değişikliklerin test ortamı yerine gerçek ortamda yapılmasını ve test süreçlerinin yetersizliğini teknik tedbir eksikliği olarak değerlendirmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamayan veri sorumlusu hakkında m.18/1-b uyarınca 300.000 TL idari para cezası uygulanmasına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2020/201

Bir bankanın veri ihlal bildirimi hakkında

Veri sorumlusu bankanin ic sistem uygulamasinda yapilan yazilim degisikligi nedeniyle 905 musteriye ait finansman taksit odeme bildirimleri sehven diger musterilere gonderilmistir. Kurul, test sureclerinin yetersizligi ve parametre kontrollerinin eksikligi nedeniyle teknik tedbir alinmadigini tespit etmistir. KVKK m.12/1 kapsaminda veri guvenligini saglamaya yonelik gerekli tedbirleri almayan veri sorumlusu hakkinda m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/196

İlgili kişiye ait kişisel verinin denetim faaliyeti kapsamında bir kamu kurumuna aktarılmasına ilişkin şikayet hakkında

Bir kamu kurumundaki idari sorusturma kapsaminda veri sorumlusu internet sitesinden habere yapilan tum kullanici yorumlari ve IP adresleri talep edilmis, sirket bu verileri aktarmistir. Kurul, sorusturma konusu olmayan ucuncu kisilerin verilerinin de aktarilmasinin KVKK m.4/2-c bendindeki olculuk ilkesine aykiri oldugunu tespit etmistir. Veri guvenligine iliskin yukumlulukleri yerine getirmeyen veri sorumlusu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmis, sorusturmayla ilgili olmayan verilerin silinmesi icin talimat verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/173

Aydınlatma Yükümlülüğünün İhlali - E-ticaret Sitesi

Amazon Türkiye hakkında yapılan ihbar üzerine başlatılan resen incelemede; şirketin ilgili kişilerin iletişim bilgilerini ticari elektronik ileti göndermek amacıyla usulüne uygun açık rıza almadan işlediği, yurt dışına veri aktarımı için usulüne uygun açık rıza almadığı ve Gizlilik Bildirimi ile aydınlatma yükümlülüğünü yerine getirmediği tespit edilmiştir. Kurul, Kanun’un 12. maddesi kapsamındaki yükümlülüklerin ihlali nedeniyle 1.100.000 TL, aydınlatma yükümlülüğünün ihlali nedeniyle 100.000 TL olmak üzere toplam 1.200.000 TL idari para cezası uygulanmasına karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺1.200.000
Kurul kararı 2020/167

Spor salonu hizmeti sunan veri sorumlusunun, üyelerinin giriş-çıkış kontrolünü biyometrik veri işleyerek yapması

Spor salonunun, üyelerin giriş-çıkış kontrolünde el ve parmak izi tarama sistemi kullanması incelenmiştir. Kurul, parmak izi verisinin biyometrik veri niteliğinde özel nitelikli kişisel veri olduğunu, GDPR Recital 51 ve Danıştay 15. Daire kararına atıfla belirlemiştir. Biyometrik veri işlemenin ölçülülük ilkesi kapsamında değerlendirilmesi gerektiği, amacın gerçekleştirilmesi için gerekli olan verilerin dışında veri işlenmemesi gerektiği vurgulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺225.000
Kurul kararı 2020/166

İlgili kişinin kullanımına izin vermediği kredi kartı bilgilerinin veri sorumlusu araç kiralama şirketi tarafından kullanılması hakkında

Araç kiralama şirketinin, sözleşmede belirtilenden farklı bir kredi kartından HGS bedeli tahsil etmeye çalışması şikâyet konusu edilmiştir. Kurul, ilgili kişinin onayı olmaksızın başka bir kredi kartı bilgisinin kullanılmasının Kanun'un 5. maddesine aykırı olduğunu değerlendirmiştir. Veri sorumlusunun başvuruya yasal sürede cevap vermemesinin Kanun'un 13. maddesine aykırılık teşkil ettiği tespit edilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000