KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 11. sayfa

11. sayfa 382 karardan 24 kayıt

Kurul kararı 2020/560

Apartman ve site yönetimlerinin veri sorumlusu sıfatı

Site yönetimlerinin KVKK karşısındaki durumu incelenmiş, kat malikleri kurulunun tüzel kişiliği olmasa da veri sorumlusu olarak kabul edilebileceği değerlendirilmiştir. Kurul, veri sorumlusu kavramının geniş yorumlanması gerektiğini, apartman ve site yönetimlerinde kural olarak kat malikleri kurulunun veri sorumlusu sayılacağını, yöneticinin ise vekil sıfatıyla görev yapabileceğini belirlemiştir. Her somut olayda kişisel veri işleme kararlarını alan ve veri kayıt sistemlerini yöneten birimlerin tespit edilmesi gerektiği vurgulanmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/559

Yurt dışına aktarımda 108 sayılı Sözleşmenin tek başına yeterliliği

Otomotiv sektöründe faaliyet gösteren veri sorumlusunun, müşteri kişisel verilerini yurt dışındaki (AB ülkesi) bulut veri tabanına aktardığı tespit edilmiştir. Kurul, 108 sayılı Sözleşmeye taraf olmanın tek başına güvenli ülke statüsü sağlamadığını, yurt dışı aktarım için Kanunun 9. maddesi şartlarının (açık rıza veya taahhütname ve Kurul izni) sağlanmadığını belirlemiştir. Veri sorumlusuna 900.000 TL idari para cezası uygulanmış, hukuka aykırı aktarılan verilerin silinmesi ve aydınlatma metninin güncellenmesi talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺900.000
Kurul kararı 2020/567

Kimlik bilgisi doldurma saldırısında yetersiz hesap güvenliği

Veri sorumlusunun internet sitesinde, başka sitelerden elde edilen kullanıcı adı ve şifrelerle 29 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, veri sorumlusunun iki faktörlü kimlik doğrulama ve güçlü şifre politikası gibi gerekli teknik tedbirleri almadığını tespit etmiştir. Kanunun 12. maddesi kapsamında veri güvenliğini sağlamayan veri sorumlusuna 75.000 TL idari para cezası uygulanmış ve ilgili kişilere usulüne uygun bildirim yapılması talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/542

Bir kişinin birden çok yurt dışı veri sorumlusuna irtibat kişisi atanması

Turkiye'de yerlesik olmayan veri sorumlulari adina VERBİS kaydinda bir gercek kisinin birden fazla veri sorumlusu icin irtibat kisisi olarak atanamadigi hususunda gorunmus talep uzerine inceleme yapilmistir. Kurul, yurt icinde yerlesik veri sorumlulari icin bir gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun olmadigina, ancak veri sorumlusu temsilcisi atanan yurt disinda yerlesik veri sorumlulari icin ayni gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun bulunduguna karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/532

Emeklilik yazılımındaki hatayla raporların yanlış alıcılara gönderilmesi

Emeklilik sirketinin destek hizmeti aldigi sistemde 2011 yilinda gelistirilen yazilimdaki bir hata nedeniyle OKS kapsaminda 61 sirketin 367 calisanina ait kisisel veriler yanlis alicilara gonderilmistir. Hata, yil bilgisinin son rakaminin 0 oldugu durumlarda ortaya cikmis ve ilk kez 2020'de gerceklesmistir. Kurul, yazilimdaki sistemsel hatanin surekli takip edilmesi gerektigini ve gecikmiş tespit nedeniyle kontrollerin zamaninda yapilmadigini tespit etmistir. Hatanin istisnai durumu ve ekonomik kosullar goz onunde bulundurularak KVKK m.12/1 ihlali icin 30.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2020/530

Banka çalışanının kredi skorlarını üçüncü kişiyle paylaşması

Banka personelinin 01.01.2019-05.12.2019 tarihleri arasinda 23 musterinin KKB skorlari ve TCKN bilgilerini WhatsApp uzerinden ucuncu kisiyle paylaştigi tespit edilmistir. Personelin 1.052 kisi icin 10.529 adet KKB sorgulamasi yaparak bolge ortalamasinin cok ustunde oldugu ancak bu durumun ihbar ile ogrenildigi belirenmistir. Kurul, sorgularin sinirlandirilmadigi ve yeterli denetim yapilmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 200.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2020/507

Ölen kişinin sağlık verilerine mirasçının erişim talebi

Ilgili kisi, vefat eden babasinin saglik verilerinin tarafina verilmesini Sosyal Guvenlik Kurumundan talep etmis, ancak talebi reddedilmistir. Kurul, KVKK m.3 kapsaminda ilgili kisi taniminin kisisel verileri islenen gercek kisiler oldugunu ve 4721 sayili Turk Medeni Kanunu m.28 uyarinca kisilik olumle sona erdigini degerlendirmistir. Kisisel Saglik Verileri Hakkinda Yonetmelik m.11 uyarinca veraset ilamini ibraz eden yasal mirascilarin murisin saglik verilerini talep edebilecegine, ancak basvurunun KVKK kapsaminda degerlendirilemeyecegine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/508

Avukat sorgulama sitelerinde kişisel verilerin yayımlanması

Muhtelif avukat sorgulama sitelerinde avukatlara ait kisisel verilerin riza alinmadan yayimlandigi ihbar edilmistir. Kurul, 1136 sayili Avukatlik Kanunu m.6 ve m.66 uyarinca baro levhasina yazilmanin zorunlu oldugunu, Turkiye Barolar Birligi ve il barolari internet sayfalarinda yayimlanan bilgilerin avukatlar tarafindan alenilestirildigi sonucuna varmistir. Sitelerde baro levhalarinda yayimlanan bilgilerden farkli veri bulunmadigi, amac disinda kullanim tespit edilmedigi ve duzeltme/silme imkani saglendigi goz onunde bulundurularak KVKK kapsaminda yapilacak islem bulunmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/511

Sağlık sigortası verilerinin yanlış müşterilerce erişilebilir olması

Saglik sigortasi sirketinin eczane provizyon sistemi degistirilirken 683 musterinin ilac kullanim bilgilerini iceren excel dosyasi sehven dokuman yonetim sistemine yuklenmis ve 11 sigortalinin erisebilecegi hale gelmistir. Kurul, ozel nitelikli kisisel veri iceren dosyanin sistemde 7 ay boyunca acik kaldigini, zaafiyet taramalarinin yapilmadigini ve kriptografik onlemler alinmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 100.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/504

Çağrı merkezi görüşme kaydı dökümüne erişim talebi

Ilgili kisi, veri sorumlusu havayolu sirketinin cagri merkeziyle yaptigi gorusmeye ait ses kaydinin yaziya dokulerek tarafina iletilmesini talep etmis, sirket prosedurler gerekce gosterilerek talebi reddetmistir. Kurul, KVKK m.11/1-b kapsaminda kisisel verilere erisim hakkinin bilgi talep etme hakkini tamamladigini tespit etmistir. Veri sorumlusunun sonradan ilgili kisiye gorusmenin transkriptini gonderdigini ve benzer taleplerin karsilanmasi yonunde birimlerin bilgilendirildigini gozonunde bulundurarak veri sorumlusu hakkinda yapilacak islem bulunmadigina karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/494

İş yeri kamera görüntülerinin işe iade davasında kullanılması

Ilgili kisi, veri sorumlusu kargo sirketinde calismisken is arkdasina fiziksel siddet uygulamasi nedeniyle is akdinin feshedildigini, kamera goruntulerinni acik rizasi alinmadan mahkemeye sunuldugunu sikayet etmistir. Kurul, Bilgi Teknolojileri ve Iletisim Kurulu karari uyarinca posta teslimat merkezlerinde kamera sisteminin zorunlu oldugunu, goruntulerin m.5/2-a kapsaminda kanunda acikca ongorulme ve m.5/2-e kapsaminda hakkin korunmasi amaciyla islenmesinin hukuka uygun oldugunu tespit ederek sikayet hakkinda yapilacak islem bulunmadigina karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/481

Arama Motorlarında Sonuçların İndeksten Çıkarılmasına Yönelik Talepler Hakkında Karar

Unutulma hakkı kapsamında, medya kuruluşlarının internet sitelerindeki haberlerde yer alan kişisel verilerin silinmesi veya arama motorları tarafından indekslenmemesi taleplerinin değerlendirilmesine ilişkin ilke kararı verilmiştir. Basın özgürlüğü ile kişisel verilerin korunması hakkı arasındaki denge gözetilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/482

Salgın nedeniyle VERBİS kayıt sürelerinin uzatılması

Covid-19 salgını nedeniyle bazı işyerlerinin kapalı olması veya uzaktan ya da dönüşümlü çalışma modelinin uygulanması sebebiyle Sicile kayıt yükümlülüğünün süresinde yerine getirilemediği belirtilerek TOBB ve sektör temsilcileri tarafından süre uzatımı talep edilmiştir. Kurul; yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları için kayıt süresini 30.09.2020’ye; yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları ile kamu kurum ve kuruluşları için 31.03.2021’e kadar uzatmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/471

Türkiye'de Temsilciliği Bulunan Yabancı Bankaya KVKK'nın Uygulanması ve Veri Sorumluları Siciline Kayıt Yükümlülüğü

Kurul, Türkiye'de temsilciliği bulunan yabancı bankanın kişisel veri işleme faaliyetlerini KVKK'nın yer bakımından uygulama alanı yönünden incelemiştir. Temsilciliğin tanıtım, piyasa araştırması ve merkeze bilgi aktarma faaliyetleri ile bankanın veri işlemesi arasında sıkı bağlantı bulunduğunu kabul etmiştir. Temsilcilik aracılığıyla Türkiye'de süren mevcudiyet de dikkate alınarak yabancı bankanın KVKK'ya tabi olduğuna ve Sicile kaydolması gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/464

Bordro yazılımı hatasıyla çalışan verilerinin karışması

Veri sorumlusu sirketin bordro programi uzerinden calisanlarin kisisel e-posta adreslerine gonderilen bordrolarda, sistemsel hata nedeniyle bazi calisanlara baskasina ait ad, soyad, T.C. kimlik numarasi ve sicil numarasi goruntulenebilir hale gelmistir. Kurul, hatanin bordro sisteminde Turkce dili icin bir cihaz turu tanimli olmamasindan kaynaklandigini, tum calisanlara kurumsal e-posta hesabi acilmayarak idari eksikligin de mevcut oldugunu tespit etmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 60.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/465

Parola püskürtme saldırısıyla kurumsal yazılım verilerinin sızması

Siber sucularin parola puskuleme saldirisiyla veri sorumlusunun sistemlerine erisim saglayip 6 terabayt veriyi sIzdirdigi tespit edilmistir. Saldiri Ekim 2018'den Mart 2019'a kadar surdugu halde ancak emniyet birimlerinin bildirimi ile ogrenilmistir. Kurul, zafiyet taramalarinin yapilmamasi ve parola guvenligi farkindaliginin olusturulmamasi gibi tedbir eksikliklerini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 75.000 TL ve 55 gunluk gec bildirim nedeniyle m.12/5 ihlali icin 50.000 TL olmak uzere toplam 125.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2020/466

Sigorta acentesindeki güvenlik açığı ve müşteri verisi ihlali

Sigorta sirketinin bir acentesinin bilgisayarina hacker tarafindan erisim saglanmis ve 172 kisinin kimlik ve kredi karti bilgileri ihlalden etkilenmistir. Kurul, acentenin denetlenmedigini, Windows 7 gibi guvenlik destegi sona eren isletim sistemi kullanildigini, anti-virus yaziliminin bulunmadigini ve KVKK egitimlerinin ihlal sonrasi verildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 172.000 TL idari para cezasi uygulanmis, ilgili kisilere gecikmiş bildirim yapildigi hatirlatiilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺172.000
Kurul kararı 2020/463

İlaç şirketine fidye yazılımı saldırısında veri kaybı

Veri sorumlusunun sistemlerine siber guvenlik destegi alinan firmanin eski calisani tarafindan fidye yazilimi saldirisi duzenlenmis, kritik sunucular ve yedek dosyalarin bulundugu Data Domain sunucusundaki veriler silinmistir. Kurul, sizma testleri ve log kaydi takibinin yapilmadigini, yedeklerin ag disinda tutulmamasi nedeniyle ihlal etkisinin buyudugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2020/429

Borç bilgisinin avukat tarafından iş arkadaşları ve kardeşe gönderilmesi

İlgili kişi, banka borcuna ilişkin bilgilerinin icra işlemlerini yürüten avukat tarafından iş arkadaşları ve ağabeyine SMS ile gönderildiğini şikayet etmiştir. Avukat, sistemde kayıtlı numaralara hatırlatma mesajı gönderdiğini savunmuştur. Kurul, üçüncü kişilerin telefon numaralarının varsayımlara dayanan şekilde elde edilmesini ve borç bilgilerinin bu numaralarla paylaşılmasını hukuka aykırı bulmuş, ayrıca TCKN ile GSM abonelikleri sorgulamasının ölçülük ilkesine aykırı olduğunu tespit etmiştir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2020/435

İşten ayrılan çalışanın özlük dosyası suretlerine erişim talebi

İlgili kişi, veri sorumlusu kargo şirketinden iş akdinin feshinden sonra özlük dosyasındaki kişisel verilerinin suretini talep etmiş ancak şirket, talebin Kanun kapsamında olmadığını belirterek cevap vermemiştir. Kurul, savunma yazısı ve istifa dilekçeleri gibi belgelerin kişisel veri niteliğinde olduğunu ve ilgili kişinin bu verilere erişim hakkının bulunduğunu tespit etmiştir. KVKK m.11/1-b kapsamında ilgili kişiye belgelerinin verilmesi ve veri sorumlusunun yasal süresi içinde cevap vermesi hususunda talimat verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/414

İnfaz edilmiş mahkûmiyet haberinin internetten kaldırılması

Ilgili kisi, yurt disinda yasadigi bir olay nedeniyle gazetenin internet sitesinde 2009 yilindan bu yana adi ve mahkumiyet bilgilerinin yer aldigini, cezanin infaz edildigini ve haberin kaldirilmasini talep etmistir. Kurul, KVKK m.28/1-c kapsaminda ifade ozgurlugu istisnasini degerlendirmis, haberin kamu ilgi ve yarari tasidigi, gercek ve guncel oldugu, biciim ve oz arasinda denge bulundugu sonucuna varmistir. Insan kacakciligi sucuna iliskin haberin yayinlanmasinda kamunun ortak menfaati bulundugu ve ifade ozgurlugune ustunluk taninmasi gerektigi belirlendiginden sikayet hakkinda Kanun kapsaminda islem yapilmamistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/421

Parola denemeleriyle müşteri hesaplarına yetkisiz erişim

Veri sorumlusunun sistemlerine 14.000'den fazla IP adresinden 500.000'i aşkın e-posta/şifre kombinasyonu denenmiş ve 2.092 kullanıcının hesabına yetkisiz erişim sağlanmıştır. Kurul, bu yoğun denemelerinin veri sorumlusu tarafından fark edilememesinin bilişim ağlarının izlenmesi hususunda eksiklik olduğunu gösterdiği tespit etmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında m.18/1-b uyarınca 210.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺210.000
Kurul kararı 2020/396

Ceza mahkûmiyeti verisinin özlük dosyasından çıkarılması talebi

Ilgili kisi, memuriyete ilk giris tarihinden once hakkinda verilmis olan hukmen ceza kararinin ozluk dosyasindan cikarilmasini talep etmistir. Kurul, soz konusu verilerin ozel nitelikli kisisel veri oldugunu, ancak 2 Seri No'lu Kamu Personeli Genel Tebligi ve Devlet Personel Baskanligi gorusu uyarinca yargi organlarinca memur hakkinda verilen tum karar orneklerinin ozluk dosyasinda bulunmasi gerektigini degerlendirmistir. Kanundaki 'kanunlarda ogorulme' sartinin 'maddi kanun' olarak anlasilmasi gerektiginden, soz konusu kararlarin ozluk dosyasindan cikarilmasina yer olmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/407

Tahlil sonuçlarının yanlış e-posta alıcısına gönderilmesi

Ilgili kisi, hastanede yaptirdigi Tup Bebek tahlil sonuclarinin e-posta ile gonderilirken tanimedigi baska bir kisiye de gonderildigini sikayet etmistir. Hastane, tahlil sonuclarinin ayni gun ayni test icin hastalarini yonlendiren baska bir doktorun ozel asistanina da gonderildigini kabul etmistir. Kurul, sagliga iliskin ozel nitelikli kisisel verilerin KVKK m.8 kapsaminda hukuki dayanak olmadan ucuncu kisiye aktarilmasinin hukuka aykiri oldugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle Hastane hakkinda m.18/1-b uyarinca 100.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000