KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 11. sayfa

11. sayfa 335 karardan 24 kayıt

Kurul kararı 2020/172

İlgili kişinin cep telefonunun özel bir hastane tarafından izinsiz aranması

Hastanenin, ilgili kişiyi reklam ve tanıtım amacıyla telefonla araması şikâyet konusu edilmiştir. Kurul, checkup departmanının pazarlama faaliyetleri kapsamında yapılan aramaların incelenmesini başlatmıştır. Hastane ile hizmet sağlayıcılar arasındaki ilişki, telefon numaralarının nasıl temin edildiği ve aydınlatma yükümlülüğünün yerine getirilip getirilmediği araştırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/187

İlgili kişinin oturmakta olduğu binaya, komşusu tarafından kamera yerleştirilerek kayıt ve izleme gerçekleştirilmesi hakkında

Ilgili kisi, komsusunun apartmana yerlestirdigi kameralarla hukuka aykiri sekilde kisisel verilerinin kaydedildigini iddia etmistir. Kurul, sikayet konusu eylemlerin Turk Ceza Kanunu m.135-140 kapsaminda suc unsuru icerebilecegini degerlendirmistir. 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun m.6 uyarinca yargi mercilerinin gorev alanina giren konularla ilgili sikayetlerin incelemeye alinmayacagindan, sikayetin KVKK kapsaminda degerlendirilmesine yer olmadigina karar verilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/138

Veri sorumlusu işveren tarafından, iş sözleşmesi tek taraflı olarak feshedilen ve işe iade davası açan ilgili kişiye ait özlük dosyasında yer alan…

İşverenin, işe iade davasında çalışanın özlük dosyasında yer alan sağlık raporlarını mahkemeye sunması incelenmiştir. Kurul, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesi uyarınca işverenin sağlık muayenesi yaptırma yükümlülüğü bulunduğunu, sağlık verilerinin bu kanun kapsamında işlendiğini tespit etmiştir. Raporların ilgili kişi tarafından izin talepleri için bizzat sunulduğu ve iş ilişkisinin feshi gerekçesi olarak mahkemeye ibraz edilmesinin hukuka uygun olduğu değerlendirilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/145

Veri sorumlusu tarafından ilgili kişilerin kişisel verilerinin hukuka aykırı şekilde internet gazetesi üzerinden yayımlanması hakkında

İnternet gazetesinin, tekzip ihtarnamesini olduğu gibi yayımlayarak ilgili kişilerin T.C. kimlik numaraları, nüfus bilgileri, anne-baba isimleri ve adres bilgilerini kamuya ifşa etmesi şikâyet konusu edilmiştir. Kurul, söz konusu kişisel verilerin 10 gün boyunca hukuka aykırı şekilde yayımlandığını tespit etmiştir. Veri sorumlusunun kişisel verilerin korunması konusunda gerekli özeni göstermediği belirlenmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺55.000
Kurul kararı 2020/118

İlgili kişinin, veri sorumlusu bir banka nezdindeki kişisel verileri olan hesap ve kiralık kasa bilgilerinin aktarılması

Bankanın, icra takibi kapsamında İİK'nın 89. maddesi uyarınca gönderilen haciz ihbarnamelerine cevap vermesi şikâyet konusu edilmiştir. Kurul, bankaların icra dairelerinden gelen resmi taleplere yasal zorunluluk gereği cevap verdiğini, bu işlemin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi niteliğinde olduğunu belirleyerek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/124

Veri sorumlusu havayolu şirketi bünyesindeki çalışanın ilgili kişiye ait kişisel verileri 6698 sayılı Kişisel Verilerin Korunması Kanununa aykırı…

Havayolu şirketi çalışanının, ilgili kişinin uçuş bilgilerini şirket sisteminden elde ederek rahatsız etmek amacıyla kullanması incelenmiştir. Kurul, veri sorumlusunun çalışanlara verilen eğitimin yetersiz olduğunu ve kişisel verilere erişimle ilgili yeterli sınırlama getirilmediğini tespit etmiştir. Kanun'un 12. maddesinde öngörülen veri güvenliğine yönelik gerekli idari ve teknik tedbirlerin alınmadığı sonucuna varılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/120

İlgili kişilerin kişisel verileri olan banka hesap hareketlerinin, mevduat bilgilerinin, para yatırma ve çekme işlemlerinin açık rızaları olmaksızın…

Vergi müfettişinin, mükellef şirket çalışanlarının banka hesap hareketlerini vergi incelemesi kapsamında sorgulaması şikâyet konusu edilmiştir. Kurul, 213 sayılı Vergi Usul Kanunu'nun 148. maddesi uyarınca vergi idaresinin bilgi toplama yetkisinin bulunduğunu, söz konusu verilerin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi için işlendiğini tespit ederek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/113

Elektronik satış hizmeti sağlayan bir şirketin veri ihlal bildirimi hakkında

E-ticaret sektöründe faaliyet gösteren veri sorumlusunun yaşadığı veri ihlali incelenmiştir. Şirketin internet ağı dışında kafe ortamlarından sisteme erişildiği, ihlal öncesi SQL Injection ve XSS gibi güvenlik açıklarının bulunduğu, mobil uygulamada SSL sertifikası olmadığı, sızma testlerinin ihlalden sonra yapıldığı tespit edilmiştir. Azami 257.000 kişinin etkilendiği ihlal nedeniyle Kanun'un 12/1. maddesi uyarınca 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2020/108

Veri sorumlusu sağlık firması tarafından eski çalışanı olan ilgili kişinin kişisel verilerinin rızası alınmaksızın aktarımı

Eski işverenin, çalışanının yeni işe başladığı şirkete kişisel verilerini aktarması şikâyet konusu edilmiştir. İlgili kişinin ailesinin yurt dışında yaşadığı, maaş ve prim bilgileri gibi verilerin talep olmaksızın telefon ve e-posta ile paylaşıldığı tespit edilmiştir. Kurul, veri sorumlusunun ilgili kişinin çıkarlarını ve makul beklentilerini göz önüne almadığını, veri aktarımının meşru bir gerekçeye dayanmadığını belirleyerek Kanun'a aykırılık tespit etmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/86

Bir uçak bileti satış firması olan veri sorumlusu hakkındaki şikayetle ilgili

İlgili kişi, uçak bileti satış firmasına üyelik e-posta adresinin güncellenmesi talebini KEP adresi üzerinden ikinci kez iletmiş ancak cevap alamamıştır. Firma, yoğunluk nedeniyle başvurunun gözden kaçtığını savunmuştur. Kurul, daha önce aynı konuda talimat verilmesine rağmen başvuruya cevap verilmemesinin Kanunun 15/5 maddesine aykırılık oluşturduğunu tespit ederek firmaya 50.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/93

Geçmiş sağlık verilerinin düzeltilmesine/silinmesine yönelik şikâyetler

İlgili kişiler, sağlık geçmişlerindeki psikiyatrik tanıların yaşamlarını olumsuz etkilediğini belirterek bu kayıtların silinmesini veya düzeltilmesini talep etmişlerdir. Kurul, kişisel verilerin silinmesi hakkının mutlak olmadığını, Kanunun 7. maddesi kapsamında işleme şartlarının ortadan kalkması gerektiğini değerlendirmiştir. Psikiyatrik tanıların kamu güvenliği ve kamu düzeni açısından önem taşıdığı, sehven konulan tanıların Sağlık Bakanlığı prosedürleri kapsamında düzeltilebileceği, ancak işleme şartları devam ettiğinden şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/103

Bir Bankanın Potansiyel Müşteri Kazanımı Amacıyla İlgili Kişinin Kişisel Verilerini Hukuka Aykırı Şekilde İşleyerek Hesap Açmasına İlişkin Olarak…

Bankanın, üçüncü taraftan temin edilen listeyle ilgili kişi adına müşteri numarası oluşturması şikâyet konusu edilmiştir. Kurul, Kanun'un yürürlüğe girmesinden önce oluşturulan müşteri numarasının halen aktif olduğunu, kişisel verilerin açık rıza olmaksızın ve Kanun'un 5/2. fıkrasındaki işleme şartları mevcut olmaksızın işlendiğini tespit etmiştir. Geçici 1. maddeye aykırı olarak verilerin silinmediği belirlenmiş ve Kanun'a aykırılık tespit edilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺210.000
Kurul kararı 2020/78

Veri sorumlusu bankanın ilgili kişiye ait kredi kartı ekstresinde yer alan kişisel verileri yanlış e-posta hesabına göndermesi

İlgili kişi, bankanın kredi kartı ekstresini yanlış e-posta adresine göndererek kişisel verilerini üçüncü kişilerle paylaştığını şikayet etmiştir. Banka, şube personelinin sehven bireysel kredi kartı ekstresini ticari ortağın e-postasına yönlendirdiğini kabul etmiştir. Kurul, Kanunun 8. maddesine aykırı aktarım gerçekleştirildiğini ve başvuruya telefon yerine yazılı cevap verilmesi gerektiğini tespit ederek bankaya 60.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/71

Veri sorumlusu ve veri işleyenin tespitinde göz önünde bulundurulması gereken hususlar ile aydınlatma yükümlülüğünün kim tarafından yerine…

Kurul, veri sorumlusu ve veri işleyen kavramlarını detaylı olarak açıklamıştır. Veri sorumlusunun kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından sorumlu olan kişi olduğu; veri işleyenin ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi olduğu belirtilmiştir. Aydınlatma yükümlülüğünün bizzat veri sorumlusu veya yetkilendirdiği kişi (veri işleyen dahil) tarafından yerine getirilebileceği değerlendirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/67

İlgili kişiye rızası bulunmamasına rağmen bir gayrimenkul şirketi tarafından SMS aracılığıyla gönderilen reklam ve bildirimler hakkında

İlgili kişi, gayrimenkul şirketinin açık rızası olmaksızın reklam amaçlı SMS gönderdiğini şikayet etmiştir. Veri sorumlusu, kişisel verilerin internette herkese açık kaynaklardan temin edildiğini savunmuştur. Kurul, alenileştirme için ilgili kişinin reklam amacıyla iletişim kurulması iradesinin bulunması gerektiğini, somut olayda açık rızanın alınmadığını ve Kanunun 5. maddesindeki şartların sağlanmadığını tespit ederek veri sorumlusuna 50.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/65

Ulaşım hizmeti sunan bir mobil uygulama kapsamında işlenen kişisel veriler hakkında

Ulaşım platformu kullanıcısı, yolculuklarının şoförler tarafından puanlandığını ancak bu konuda aydınlatılmadığını şikayet etmiştir. Kurul, müşteri puanlamasının sözleşmenin ifasıyla doğrudan ilişkili olmadığını, aydınlatma metninde bu işleme faaliyetine yer verilmediğini tespit etmiştir. Kanunun 4, 10 ve 12. maddelerine aykırılık nedeniyle veri sorumlusuna toplam 110.000 TL (100.000 TL + 10.000 TL) idari para cezası uygulanmış ve aydınlatma metnini güncellemesi talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺110.000
Kurul kararı 2020/59

İlgili kişinin ortağı olduğu şirkette kullandığı e-posta adresine izinsiz ve hukuka aykırı olarak erişildiği iddiası

İlgili kişi, ortağı olduğu şirkete ait e-posta hesabına izinsiz erişildiğini ve kişisel verilerinin kullanıldığını şikayet etmiştir. Ancak söz konusu e-posta hesabının şirkete ait olduğu, diğer ortağın şirket menfaatini korumak için sunucu yedeklerinden yazışmalara eriştiği ve bu verileri mahkemeye delil olarak sunduğu anlaşılmıştır. Kurul, Kanunun 5/2-e bendi kapsamında hakkın tesisi, kullanılması ve korunması için veri işlemenin zorunlu olduğunu değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/58

Bir Sigorta Acentesinin müşterilerine ait kişisel verileri herkese açık sosyal medya platformlarında müşterilerinden habersiz olarak ve reklam…

Sigorta acentesinin müşterilerine ait kişisel verileri (ad, adres, maskelenmiş kimlik numarası, plaka bilgileri) açık rıza almaksızın sosyal medya platformlarında reklam amaçlı paylaştığı tespit edilmiştir. Veri sorumlusu bilgisizlikten kaynaklandığını savunmuş olsa da Kurul, Kanunun 5. ve 12. maddelerine aykırılık oluştuğunu belirlemiştir. Müşteri verilerini herkese açık ortamda izinsiz paylaşan veri sorumlusuna Kanunun 18. maddesi uyarınca 22.500 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺22.500
Kurul kararı 2020/66

İlgili kişinin irtibat numarasının bir elektrik dağıtım şirketi tarafından herhangi bir işleme şartına dayanılmaksızın işlenmesi

İlgili kişi, elektrik dağıtım şirketinin kendisine ait olmayan aboneliklere ilişkin bilgilendirme SMS'leri gönderdiğini ve başvurusuna cevap verilmediğini şikayet etmiştir. Kurul, veri sorumlusunun ilgili kişinin telefon numarasını Kanunun 5. maddesindeki işleme şartlarına dayanmadan işlediğini ve başvuruya süresinde cevap vermediğini tespit etmiştir. Kanunun 12/1-a maddesine aykırılık nedeniyle veri sorumlusuna 100.000 TL idari para cezası uygulanmış ve ilgili kişinin talebinin yerine getirildiğine dair bilgi sunması talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/63

Veri sorumlusu hastanede uygulanan beyaz kod kapsamında ilgili kişinin işlenen kişisel verileri

İlgili kişi, hastanede yaşanan tartışma sonrası hastane görevlilerinin kişisel verilerini tutanağa işleyerek savcılığa suç duyurusunda bulunduğunu şikayet etmiştir. Kurul, Beyaz Kod uygulaması kapsamında sağlık personelinin hukuki yardımdan faydalanması için olay tutanağı düzenlenmesinin Sağlık Bakanlığı genelgesiyle düzenlendiğini tespit etmiştir. Kişisel verilerin Kanunun 5/2-ç bendi kapsamında veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için işlendiği değerlendirilerek şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/50

Bir perakende giyim firmasının veri ihlal bildirimi hakkında

Veri sorumlusunun web sayfasinda yeni hesap acilirken kisisel verilerin sehven URL uzerinden ucuncu taraf saglayicilara aktarildigi tespit edilmistir. Ihlal 2018'de gerceklesmis ancak yaklasik bir yil sonra 2019'da tespit edilebilmistir. Kurul, web sayfasi tasariminda testlerin yetersiz yapildigini ve islemlere dair takip/alarm sistemlerinin bulunmamasi nedeniyle ihlal tespitinin gec yapildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 50.000 TL idari para cezasi uygulanmis, 72 saatlik bildirim suresi icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/32

Bir banka tarafından ilgili kişinin kredi kartının rızası dışında üçüncü kişilere teslim edilmesine ilişkin Kişisel Verileri Koruma Kurulu’nun…

Ilgili kisi, Banka tarafindan yenilenen kredi kartinin rizasi disinda ucuncu kisilere teslim edilerek kisisel bilgilerinin aciga ciktigini sikayet etmistir. Incelemede, kartin eski isyeri adresine teslim edildigi, kurye tarafindan yeterli kontrolun yapilmadigi ve Bankanin veri guncelligini saglamak icin yeterli cabay gostermedigi tespit edilmistir. Kurul, kart teslimi sirasinda kisisel verilerin muhafazasini saglamaya yonelik yukumlulukler dogrultusunda yeterli idari ve teknik tedbirleri almayan Banka hakkinda KVKK m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmasina karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/41

İlgili kişinin kişisel verilerinin hukuka aykırı işlendiği iddiası kapsamında veri sorumlusu bankadan talep ettiği tazminat talebinin karşılanmaması…

Ilgili kisi, Bankaya kredi borcu nedeniyle yasal takip baslatildigini, sigortali ise basladiginda is yerinin arandigini ve aile bilgilerinin sorgullandigini, bu aramalardan sonra is akdinin sonlandirildigini sikayet etmistir. Kurul, ilgili kisinin veri sorumlusuna yaptigi basvurunun KVKK m.11 kapsaminda bir talep icermedigini ve iddialarini kanitlayici belge sunmadigini tespit etmistir. Zarara ugrama ve tazminat talebi konusunda m.14/3 kapsaminda genel mahkemelere basvurulmasi gerektigi belirtilerek Kanun kapsaminda yapilacak bir islem bulunmadigina karar verilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/43

İlgili kişiye ait verilerin veri sorumlusu bir banka tarafından rızası olmaksızın babası ile paylaşılması karşısında kişinin Bankadan tazminat talep…

Ilgili kisi, bankaya kredi basvurusu sirasinda babasina risk grubu bilgisi verilmek suretiyle borc bilgilerinin ucuncu kisiye ifsa edildigini sikayet etmistir. Kurul, 5411 sayili Bankacilik Kanunu m.49 kapsaminda risk grubu tanimina ragmen, borc bilgisinin detay icermeyecek sekilde verilse bile m.12'deki veri guvenligine iliskin yukumluluklerin ihlal edildigini tespit etmistir. Banka personeli hakkinda KVKK m.18 kapsaminda islem tesis edilmesine ve konu Bankacilik Duzenleme ve Denetleme Kurumuna bildirilmesine karar verilmistir. Sonuç Talimat / Uyarı