KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 12. sayfa

12. sayfa 382 karardan 24 kayıt

Kurul kararı 2020/404

Çalışan verilerinde eksik aydınlatma ve biyometrik veri işleme

Ilgili kisi, veri sorumlusu sirketten KVKK m.11 kapsaminda bilgi talep ettigini ancak yeterli cevap alamadigini, aydinlatma ve acik riza metinlerinin ayri olmadan birlikte duzenlendigi ve calisanlarin parmak izinin acik riza alinmadan islendigi sikayet etmistir. Kurul, acik rizanin hizmet sarti olarak dayatildigini, battaniye riza alindigi ve biyometrik verilerin alternatif yontemler varken islenmesinin olculuk ilkesine aykiri oldugunu tespit etmistir. Aydinlatma yukulugunu yerine getirmemek nedeniyle 50.000 TL, m.12/1 ihlali nedeniyle 200.000 TL olmak uzere toplam 250.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2020/379

Eski çalışanın görüntü ve seslerinin tanıtım videosunda tutulması

Ilgili kisi, eski calistigi Tip Merkezinin internet sitesinde pazarlama amacli video tanitim bolumunde gorsel ve isitsel kisisel verilerinin islendigi, is sozlesmesi sona erdigi halde verilerin kaldirilmadigi ve veri sorumlusunun basvurusuna cevap vermedigini sikayet etmistir. Kurul, silme talebinin makul sure gecmesine ragmen yerine getirilmedigini ve kisisel veri isleme faaliyetine m.5 kapsaminda hukuki dayanak olmadan devam edildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, verilerin silinmesi icin talimat verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/359

Banka çalışanının kredi bilgilerine yetkisiz erişimi ve aktarımı

Bankanin eski calisani, Temmuz 2018 - Mayis 2019 arasinda 7.305 adet KKB sorgulamasi yaparak 5.695 kisinin kredi bilgilerine hukuka aykiri erismis ve bu bilgileri ucuncu kisilere aktarmistir. Kurul, kontrolun yillik periyotlarla yapilmasi nedeniyle ihlalin 1 yil boyunca tespit edilemedigini ve sorgulama limitlerinin bulunmamasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 400.000 TL ve 72 saatlik bildirim yukumlulugune aykiri hareket nedeniyle 50.000 TL olmak uzere toplam 450.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2020/357

Sigorta acentesi çalışanının müşteri listesini kişisel e-postasına aktarması

Sigorta sirketinin taseron calisani, 91 musteriye ait isim, iletisim ve plaka bilgilerini iceren listeyi kurum e-postasindan sahsi e-posta adresine gondermistir. Veri sizintisi onleme uygulamasinda bu verilerin tanimli olmadigindan uyari olusmadigı ve ihlalin iki ay sonra tespit edilebildigi gorulmustur. Kurul, kisisel veri guvenligine iliskin prosedurün sirketin calisma ve isleyisine uygun sekilde entegre edilmedigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 90.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺90.000
Kurul kararı 2020/355

Medula sağlık verilerinin eczacının eşi tarafından kullanılması

Il Saglik Mudurlugu, bir eczacinin esinin, sikayet etmek istedigi baska bir eczaciya ait Medula Eczane ciktilarini (tani ve ilac bilgileri) dilekce ekinde sundugunu ihbar etmistir. Kurul, eczanenin SGK ile yaptigi sozlesme kapsaminda kullandigi Medula sistemine ucuncu kisilerin erisimini onlemek uzere gerekli guvenlik tedbirlerini almadigini tespit etmistir. Eczane hakkinda KVKK m.12/1 ihlali nedeniyle m.18/1-b uyarinca 60.000 TL idari para cezasi uygulanmis, verileri ele geciren eczacinin esi hakkinda TCK m.136 uyarinca savciliga suç duyurusunda bulunulmustur. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/344

Banka çalışanlarının kredi verilerini yetkileri dışında sorgulaması

Bankanin ic kontrol faaliyetlerinde 3 personelin KKB sorgu ekranlarindan supheli sorgulamalar yaptigi tespit edilmistir. Personeller, yetkileri olan ekranlari amaci disinda kullanarak 7.706 banka musterisi olmayan kisi dahil toplam 25.288 kisinin kredi bilgilerine hukuka aykiri erismistir. Kurul, ihlal fiillerinin baslangici ile tespiti arasinda 18 aya kadar sure gecmesini guvenlik takibinin yetersizligi olarak degerlendirmistir. KVKK m.12/1 kapsaminda gerekli teknik ve idari tedbirleri almayan Banka hakkinda m.18/1-b uyarinca 1.000.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺1.000.000
Kurul kararı 2020/336

Başvuru cevabının çalışanın görev yaptığı birime gönderilmesi

Ilgili kisi, universiteye yaptigi Bilgi Edinme Kanunu kapsamindaki basvurusuna verilen cevabın kendisine degil, calistigi birime gonderilmesi suretiyle kisisel verilerinin ucuncu kisilerin erisimine acildigini sikayet etmistir. Veri sorumlusu, sistemdeki cevapla butonuyla yanit verildigini, kasit olmadigini savunmustur. Kurul, kisisel verilerin KVKK m.5 kapsaminda hukuki dayanak olmadan ifsa edilmesinin m.12/1 ihlali teskil ettigine karar vermis ve kamu kurumu oldugu icin m.18/3 uyarinca sorumlular hakkinda disiplin islemleri yapilmasini talep etmistir. Sonuç Disiplin İşlemi
Kurul kararı 2020/345

Eski çalışanın kaynak kodu ve kişisel verileri GitHub'a yüklemesi

Veri sorumlusunun eski calisani (web gelistiricisi) tarafindan kaynak kod ve 62 kisiye ait kisisel veri iceren dosyalar yetkisiz olarak github.com'a yuklenmistir. Ihlal 19.04.2017'de gerceklesmis ancak 09.01.2019'da tespit edilmistir. Kurul, gizlilik politikalarinin etkin uygulanmadigini ve personel farkindalik calismalarin yetersiz kaldigini tespit etmistir. KVKK m.12/1 kapsaminda teknik ve idari tedbirleri almayan veri sorumlusu hakkinda 100.000 TL ve m.12/5 kapsaminda gec bildirim nedeniyle 30.000 TL olmak uzere toplam 130.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺130.000
Kurul kararı 2020/335

Araç kiralama hizmetinin açık rıza şartına bağlanması

Ilgili kisi, arac kiralama sirketinden hizmet almak istediginde kisisel verilerinin islenmesine acik riza vermek istemedigini belirttigi icin arac kiralayamadigini sikayet etmistir. Kurul, 1174 sayili Kimlik Bildirme Kanunu kapsaminda KABİS'e kayit zorunlulugu bulunmasina ragmen, sirketin m.5/2 disindaki hallerde toptan acik riza aldigi ve riza verilmezse hizmet vermedigini tespit etmistir. Hizmetin acik riza sartina baglanmasi m.4 ve m.12'ye aykirilik teskil ettiginden, m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/325

Usulen eksik ve tekrarlanan vekâleten başvurular

Kuruma, Otomatik Bilgi Paylasimi anlasmalarindaki kisisel veri paylasimi endisesiyle ayni icerikte cok sayida vekaleten basvuru yapilmistir. Kurum, oncelikle veri sorumlusu SGK'ya basvurulmasi gerektigini bildirmesine ragmen usule aykiri basvurulara devam edilmistir. Kurul, 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun ve TMK m.2 kapsaminda hakkin kotuye kullanilmasi niteligindeki bu basvurularin degerlendirmeye alinmamasina, vekaleten basvuruda bulunan kisinin ilgili kurumlara bildirilmesine karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/307

Ticaret sicilindeki verilerin kamu kurumlarıyla paylaşılması

Karar, ticaret sicili mudurlukleri tarafindan tutulan kisisel verilerin kamu kurum ve kuruluslariyla paylasimina iliskindir. Kurul, ticaret sicilinin aleni olmasinin sicilde yer alan kisisel verilerin KVKK hukumlerinden muaf olacagi anlamina gelmedigini belirlenmistir. Aktarim taleplerinin m.8 kapsaminda yapilmasi, kimlikleri ve yerlesimleri ilgilendiren verilerin 5490 sayili Nufus Hizmetleri Kanunu kapsaminda yetkili kurumlardan talep edilmesi ve m.4 kapsamindaki olculuk ilkesine uyulmasi gerektigi sonucuna varilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/315

VERBİS kayıt istisnalarının güncellenmesi

Karar, Kanun’un 16. maddesi kapsamında Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulan veri sorumlularına ilişkin 2018/32 sayılı kararın güncellenmesini içermektedir. Kurul, dernekler, vakıflar ve sendikalarla ilgili istisna hükmünün kapsamı ve yorumunda yaşanan tereddütleri değerlendirmiştir. 2018/32 sayılı kararın ilgili hükmünde yer alan ifade, “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” şeklinde değiştirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/286

Oyun şirketine saldırıda kullanıcı verilerinin sızması

Oyun sirketinin bulut sistemlerine hackerlar tarafindan hukuka aykiri erisim gerceklestirilmis ve Turkiye'de 39.995 kullanicinin isim, adres, dogum tarihi, e-posta, telefon ve sifre gibi kisisel verileri etkilenmistir. Kurul, zafiyet testlerinin yetersizligini ve ihlal oncesi alinmasi gereken teknik tedbirlerin ihlal sonrasi devreye alinmasini tedbir eksikligi olarak degerlendirmistir. KVKK m.12/1 ihlali nedeniyle 1.000.000 TL ve 72 saatlik bildirim yukumlulugune uyulmamasi nedeniyle m.12/5 ihlali icin 100.000 TL olmak uzere toplam 1.100.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺1.100.000
Kurul kararı 2020/255

Öğrencilere bilişsel değerlendirme testi uygulanırken sağlık verisi işlenmesi

Sikayetci, velisi oldugu ogrencilere okulda CAS (Bilissel Degerlendirme Sistemi) testi uygulanirken acik riza alinmadigini ve aydinlatma yapilmadigini iddia etmistir. Kurul, test sonuclarinin ogrencinin ruh sagligi verilerini (dikkat eksikligi, hiperaktivite bozuklugu) icerdigini, bu verilerin KVKK m.6 kapsaminda ozel nitelikli veri oldugunu tespit etmistir. Acik riza alinmadan ozel nitelikli kisisel veri islenmesi ve aydinlatma yukumlulugunu yerine getirmemesi nedeniyle veri sorumlusu egitim kurumu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/226

Valilik çalışanının elde ettiği verilerle disiplin soruşturması açılması

Ilgili kisi, Valilik calisani tarafindan hukuka aykiri elde edilen kisisel verilerine dayanilarak disiplin sorusturmasi acildigini ve cezalandirildigini iddia etmistir. Kurul, verileri hukuka aykiri elde eden personel hakkindaki iddialarin TCK kapsaminda degerlendirilmesi gerektigine, disiplin sorusturmasi kapsaminda islenen verilerin KVKK m.28/2-c istisnasindan yararlandigina karar vermistir. Ozluk dosyalarinda saklanmasi gereken verilerin silinmesi talebinin m.7 kapsaminda isleme sebeplerinin ortadan kalkmamasi nedeniyle karsilanamayacagina hukmedilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/216

Bilişim şirketine saldırıda müşteri ve kart verilerinin açığa çıkması

Veri sorumlusu sirketin sistemlerine siber saldiri gerceklestirilmis, debugging ozelligi acik olan Pilot uygulamasina erisim saglanarak 65.993 kisiye ait veriler ile 50.000 kredi karti bilgisi tehlikeye girmistir. Kurul, sizma veya anomali tespiti icin kontrol mekanizmalarinin etkin kullanilmadigini, 2018 oncesi kredi karti bilgilerinin imha edilmedigini ve web uygulamalarinda yuksek seviyede acikliklar bulundugunu tespit etmistir. KVKK m.12/1 ve m.4/2 ihlalleri nedeniyle m.18/1-b uyarinca 450.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2020/213

İnternet sağlayıcısının ödeme sisteminde kart verilerinin açığa çıkması

Veri sorumlusu şirketin online işlem merkezinde fatura ödeme sisteminde yaşanan sorun giderilirken güvenlik açığı ortaya çıkmış ve 69 kişiye ait kredi kartı bilgileri 649 müşteri tarafından görüntülenebilir hale gelmiştir. Kurul, değişikliklerin test ortamı yerine gerçek ortamda yapılmasını ve test süreçlerinin yetersizliğini teknik tedbir eksikliği olarak değerlendirmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamayan veri sorumlusu hakkında m.18/1-b uyarınca 300.000 TL idari para cezası uygulanmasına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2020/212

Güvenlik kameralarıyla ölçüsüz ses kaydı yapılması

Karar, kamu kurumlarinda guvenlik amacli kullanilan kameralarin goruntu kaydinin yani sira ses kaydi da yapmasi hakkindadir. Kurul, ses kaydinin goruntu kaydina gore cok daha mudahaleci oldugunu, bireylerde her acidan gozetim altinda tutuldugu endisesi yaratabilecegini ve hakkin ozune zarar verecegini degerlendirmistir. Anayasa m.13 ve m.20 ile KVKK m.4 kapsaminda olculuk ilkesi degerlendirilmis, ses kaydi yapan kameralarin kullanilmasinin temel hak ve ozgurluklere orantisiz mudahale teskil edecegi sonucuna varilmistir. Sonuç Disiplin İşlemi
Kurul kararı 2020/201

Banka sistemindeki yazılım hatasıyla bildirimlerin yanlış müşterilere gitmesi

Veri sorumlusu bankanin ic sistem uygulamasinda yapilan yazilim degisikligi nedeniyle 905 musteriye ait finansman taksit odeme bildirimleri sehven diger musterilere gonderilmistir. Kurul, test sureclerinin yetersizligi ve parametre kontrollerinin eksikligi nedeniyle teknik tedbir alinmadigini tespit etmistir. KVKK m.12/1 kapsaminda veri guvenligini saglamaya yonelik gerekli tedbirleri almayan veri sorumlusu hakkinda m.18/1-b uyarinca 75.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/196

Denetim talebinde ilgisiz üçüncü kişilerin verilerinin aktarılması

Bir kamu kurumundaki idari sorusturma kapsaminda veri sorumlusu internet sitesinden habere yapilan tum kullanici yorumlari ve IP adresleri talep edilmis, sirket bu verileri aktarmistir. Kurul, sorusturma konusu olmayan ucuncu kisilerin verilerinin de aktarilmasinin KVKK m.4/2-c bendindeki olculuk ilkesine aykiri oldugunu tespit etmistir. Veri guvenligine iliskin yukumlulukleri yerine getirmeyen veri sorumlusu hakkinda m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmis, sorusturmayla ilgili olmayan verilerin silinmesi icin talimat verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/172

Hastanenin izinsiz reklam araması

Hastanenin, ilgili kişiyi reklam ve tanıtım amacıyla telefonla araması şikâyet konusu edilmiştir. Kurul, checkup departmanının pazarlama faaliyetleri kapsamında yapılan aramaların incelenmesini başlatmıştır. Hastane ile hizmet sağlayıcılar arasındaki ilişki, telefon numaralarının nasıl temin edildiği ve aydınlatma yükümlülüğünün yerine getirilip getirilmediği araştırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/166

Araç kiralama şirketinin izinsiz kredi kartı kullanması

Araç kiralama şirketinin, sözleşmede belirtilenden farklı bir kredi kartından HGS bedeli tahsil etmeye çalışması şikâyet konusu edilmiştir. Kurul, ilgili kişinin onayı olmaksızın başka bir kredi kartı bilgisinin kullanılmasının Kanun'un 5. maddesine aykırı olduğunu değerlendirmiştir. Veri sorumlusunun başvuruya yasal sürede cevap vermemesinin Kanun'un 13. maddesine aykırılık teşkil ettiği tespit edilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/167

Spor salonuna girişte parmak izi ve el taraması

Spor salonunun, üyelerin giriş-çıkış kontrolünde el ve parmak izi tarama sistemi kullanması incelenmiştir. Kurul, parmak izi verisinin biyometrik veri niteliğinde özel nitelikli kişisel veri olduğunu, GDPR Recital 51 ve Danıştay 15. Daire kararına atıfla belirlemiştir. Biyometrik veri işlemenin ölçülülük ilkesi kapsamında değerlendirilmesi gerektiği, amacın gerçekleştirilmesi için gerekli olan verilerin dışında veri işlenmemesi gerektiği vurgulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺225.000
Kurul kararı 2020/173

Aydınlatma Yükümlülüğünün İhlali - E-ticaret Sitesi

Amazon Türkiye hakkında yapılan ihbar üzerine başlatılan resen incelemede; şirketin ilgili kişilerin iletişim bilgilerini ticari elektronik ileti göndermek amacıyla usulüne uygun açık rıza almadan işlediği, yurt dışına veri aktarımı için usulüne uygun açık rıza almadığı ve Gizlilik Bildirimi ile aydınlatma yükümlülüğünü yerine getirmediği tespit edilmiştir. Kurul, Kanun’un 12. maddesi kapsamındaki yükümlülüklerin ihlali nedeniyle 1.100.000 TL, aydınlatma yükümlülüğünün ihlali nedeniyle 100.000 TL olmak üzere toplam 1.200.000 TL idari para cezası uygulanmasına karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺1.200.000