KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 13. sayfa

13. sayfa 382 karardan 24 kayıt

Kurul kararı 2020/187

Komşunun apartmana kamera yerleştirerek kayıt yapması

Ilgili kisi, komsusunun apartmana yerlestirdigi kameralarla hukuka aykiri sekilde kisisel verilerinin kaydedildigini iddia etmistir. Kurul, sikayet konusu eylemlerin Turk Ceza Kanunu m.135-140 kapsaminda suc unsuru icerebilecegini degerlendirmistir. 3071 sayili Dilekce Hakkinin Kullanilmasina Dair Kanun m.6 uyarinca yargi mercilerinin gorev alanina giren konularla ilgili sikayetlerin incelemeye alinmayacagindan, sikayetin KVKK kapsaminda degerlendirilmesine yer olmadigina karar verilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/145

Tekzip metnindeki kimlik ve adres bilgilerinin yayımlanması

İnternet gazetesinin, tekzip ihtarnamesini olduğu gibi yayımlayarak ilgili kişilerin T.C. kimlik numaraları, nüfus bilgileri, anne-baba isimleri ve adres bilgilerini kamuya ifşa etmesi şikâyet konusu edilmiştir. Kurul, söz konusu kişisel verilerin 10 gün boyunca hukuka aykırı şekilde yayımlandığını tespit etmiştir. Veri sorumlusunun kişisel verilerin korunması konusunda gerekli özeni göstermediği belirlenmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺55.000
Kurul kararı 2020/138

Çalışanın sağlık raporunun işe iade davasında kullanılması

İşverenin, işe iade davasında çalışanın özlük dosyasında yer alan sağlık raporlarını mahkemeye sunması incelenmiştir. Kurul, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesi uyarınca işverenin sağlık muayenesi yaptırma yükümlülüğü bulunduğunu, sağlık verilerinin bu kanun kapsamında işlendiğini tespit etmiştir. Raporların ilgili kişi tarafından izin talepleri için bizzat sunulduğu ve iş ilişkisinin feshi gerekçesi olarak mahkemeye ibraz edilmesinin hukuka uygun olduğu değerlendirilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/124

Havayolu çalışanının uçuş bilgilerini amacı dışında kullanması

Havayolu şirketi çalışanının, ilgili kişinin uçuş bilgilerini şirket sisteminden elde ederek rahatsız etmek amacıyla kullanması incelenmiştir. Kurul, veri sorumlusunun çalışanlara verilen eğitimin yetersiz olduğunu ve kişisel verilere erişimle ilgili yeterli sınırlama getirilmediğini tespit etmiştir. Kanun'un 12. maddesinde öngörülen veri güvenliğine yönelik gerekli idari ve teknik tedbirlerin alınmadığı sonucuna varılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/118

Hesap ve kiralık kasa bilgilerinin icra dairesine aktarılması

Bankanın, icra takibi kapsamında İİK'nın 89. maddesi uyarınca gönderilen haciz ihbarnamelerine cevap vermesi şikâyet konusu edilmiştir. Kurul, bankaların icra dairelerinden gelen resmi taleplere yasal zorunluluk gereği cevap verdiğini, bu işlemin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi niteliğinde olduğunu belirleyerek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/120

Banka hesap hareketlerinin vergi incelemesinde sorgulanması

Vergi müfettişinin, mükellef şirket çalışanlarının banka hesap hareketlerini vergi incelemesi kapsamında sorgulaması şikâyet konusu edilmiştir. Kurul, 213 sayılı Vergi Usul Kanunu'nun 148. maddesi uyarınca vergi idaresinin bilgi toplama yetkisinin bulunduğunu, söz konusu verilerin Kanun'un 5/2-ç maddesi kapsamında hukuki yükümlülüğün yerine getirilmesi için işlendiğini tespit ederek şikâyet hakkında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/113

E-ticaret sistemindeki güvenlik açıkları ve veri ihlali

E-ticaret sektöründe faaliyet gösteren veri sorumlusunun yaşadığı veri ihlali incelenmiştir. Şirketin internet ağı dışında kafe ortamlarından sisteme erişildiği, ihlal öncesi SQL Injection ve XSS gibi güvenlik açıklarının bulunduğu, mobil uygulamada SSL sertifikası olmadığı, sızma testlerinin ihlalden sonra yapıldığı tespit edilmiştir. Azami 257.000 kişinin etkilendiği ihlal nedeniyle Kanun'un 12/1. maddesi uyarınca 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2020/108

Eski çalışanın verilerinin yeni işverenine aktarılması

Eski işverenin, çalışanının yeni işe başladığı şirkete kişisel verilerini aktarması şikâyet konusu edilmiştir. İlgili kişinin ailesinin yurt dışında yaşadığı, maaş ve prim bilgileri gibi verilerin talep olmaksızın telefon ve e-posta ile paylaşıldığı tespit edilmiştir. Kurul, veri sorumlusunun ilgili kişinin çıkarlarını ve makul beklentilerini göz önüne almadığını, veri aktarımının meşru bir gerekçeye dayanmadığını belirleyerek Kanun'a aykırılık tespit etmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/86

Uçak bileti firmasının başvuruya süresinde cevap vermemesi

İlgili kişi, uçak bileti satış firmasına üyelik e-posta adresinin güncellenmesi talebini KEP adresi üzerinden ikinci kez iletmiş ancak cevap alamamıştır. Firma, yoğunluk nedeniyle başvurunun gözden kaçtığını savunmuştur. Kurul, daha önce aynı konuda talimat verilmesine rağmen başvuruya cevap verilmemesinin Kanunun 15/5 maddesine aykırılık oluşturduğunu tespit ederek firmaya 50.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/103

Üçüncü taraf listesinden banka müşteri numarası oluşturulması

Bankanın, üçüncü taraftan temin edilen listeyle ilgili kişi adına müşteri numarası oluşturması şikâyet konusu edilmiştir. Kurul, Kanun'un yürürlüğe girmesinden önce oluşturulan müşteri numarasının halen aktif olduğunu, kişisel verilerin açık rıza olmaksızın ve Kanun'un 5/2. fıkrasındaki işleme şartları mevcut olmaksızın işlendiğini tespit etmiştir. Geçici 1. maddeye aykırı olarak verilerin silinmediği belirlenmiş ve Kanun'a aykırılık tespit edilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺210.000
Kurul kararı 2020/93

Geçmiş psikiyatrik tanıların silinmesi veya düzeltilmesi

İlgili kişiler, sağlık geçmişlerindeki psikiyatrik tanıların yaşamlarını olumsuz etkilediğini belirterek bu kayıtların silinmesini veya düzeltilmesini talep etmişlerdir. Kurul, kişisel verilerin silinmesi hakkının mutlak olmadığını, Kanunun 7. maddesi kapsamında işleme şartlarının ortadan kalkması gerektiğini değerlendirmiştir. Psikiyatrik tanıların kamu güvenliği ve kamu düzeni açısından önem taşıdığı, sehven konulan tanıların Sağlık Bakanlığı prosedürleri kapsamında düzeltilebileceği, ancak işleme şartları devam ettiğinden şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/78

Kredi kartı ekstresinin yanlış e-posta adresine gönderilmesi

İlgili kişi, bankanın kredi kartı ekstresini yanlış e-posta adresine göndererek kişisel verilerini üçüncü kişilerle paylaştığını şikayet etmiştir. Banka, şube personelinin sehven bireysel kredi kartı ekstresini ticari ortağın e-postasına yönlendirdiğini kabul etmiştir. Kurul, Kanunun 8. maddesine aykırı aktarım gerçekleştirildiğini ve başvuruya telefon yerine yazılı cevap verilmesi gerektiğini tespit ederek bankaya 60.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/71

Veri sorumlusu ile veri işleyenin ayrımı ve aydınlatma yükümlülüğü

Kurul, veri sorumlusu ve veri işleyen kavramlarını detaylı olarak açıklamıştır. Veri sorumlusunun kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından sorumlu olan kişi olduğu; veri işleyenin ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi olduğu belirtilmiştir. Aydınlatma yükümlülüğünün bizzat veri sorumlusu veya yetkilendirdiği kişi (veri işleyen dahil) tarafından yerine getirilebileceği değerlendirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/67

İnternetten edinilen numaraya reklam SMS'i gönderilmesi

İlgili kişi, gayrimenkul şirketinin açık rızası olmaksızın reklam amaçlı SMS gönderdiğini şikayet etmiştir. Veri sorumlusu, kişisel verilerin internette herkese açık kaynaklardan temin edildiğini savunmuştur. Kurul, alenileştirme için ilgili kişinin reklam amacıyla iletişim kurulması iradesinin bulunması gerektiğini, somut olayda açık rızanın alınmadığını ve Kanunun 5. maddesindeki şartların sağlanmadığını tespit ederek veri sorumlusuna 50.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/66

Elektrik aboneliğine ait SMS'lerin yanlış telefon numarasına gönderilmesi

İlgili kişi, elektrik dağıtım şirketinin kendisine ait olmayan aboneliklere ilişkin bilgilendirme SMS'leri gönderdiğini ve başvurusuna cevap verilmediğini şikayet etmiştir. Kurul, veri sorumlusunun ilgili kişinin telefon numarasını Kanunun 5. maddesindeki işleme şartlarına dayanmadan işlediğini ve başvuruya süresinde cevap vermediğini tespit etmiştir. Kanunun 12/1-a maddesine aykırılık nedeniyle veri sorumlusuna 100.000 TL idari para cezası uygulanmış ve ilgili kişinin talebinin yerine getirildiğine dair bilgi sunması talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/59

Şirket e-posta hesabındaki yazışmalara ortak tarafından erişilmesi

İlgili kişi, ortağı olduğu şirkete ait e-posta hesabına izinsiz erişildiğini ve kişisel verilerinin kullanıldığını şikayet etmiştir. Ancak söz konusu e-posta hesabının şirkete ait olduğu, diğer ortağın şirket menfaatini korumak için sunucu yedeklerinden yazışmalara eriştiği ve bu verileri mahkemeye delil olarak sunduğu anlaşılmıştır. Kurul, Kanunun 5/2-e bendi kapsamında hakkın tesisi, kullanılması ve korunması için veri işlemenin zorunlu olduğunu değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/58

Müşteri verilerinin sosyal medyada reklam amacıyla paylaşılması

Sigorta acentesinin müşterilerine ait kişisel verileri (ad, adres, maskelenmiş kimlik numarası, plaka bilgileri) açık rıza almaksızın sosyal medya platformlarında reklam amaçlı paylaştığı tespit edilmiştir. Veri sorumlusu bilgisizlikten kaynaklandığını savunmuş olsa da Kurul, Kanunun 5. ve 12. maddelerine aykırılık oluştuğunu belirlemiştir. Müşteri verilerini herkese açık ortamda izinsiz paylaşan veri sorumlusuna Kanunun 18. maddesi uyarınca 22.500 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺22.500
Kurul kararı 2020/65

Ulaşım uygulamasında yolcuların aydınlatılmadan puanlanması

Ulaşım platformu kullanıcısı, yolculuklarının şoförler tarafından puanlandığını ancak bu konuda aydınlatılmadığını şikayet etmiştir. Kurul, müşteri puanlamasının sözleşmenin ifasıyla doğrudan ilişkili olmadığını, aydınlatma metninde bu işleme faaliyetine yer verilmediğini tespit etmiştir. Kanunun 4, 10 ve 12. maddelerine aykırılık nedeniyle veri sorumlusuna toplam 110.000 TL (100.000 TL + 10.000 TL) idari para cezası uygulanmış ve aydınlatma metnini güncellemesi talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺110.000
Kurul kararı 2020/63

Beyaz Kod kapsamında kişisel verilerin işlenmesi

İlgili kişi, hastanede yaşanan tartışma sonrası hastane görevlilerinin kişisel verilerini tutanağa işleyerek savcılığa suç duyurusunda bulunduğunu şikayet etmiştir. Kurul, Beyaz Kod uygulaması kapsamında sağlık personelinin hukuki yardımdan faydalanması için olay tutanağı düzenlenmesinin Sağlık Bakanlığı genelgesiyle düzenlendiğini tespit etmiştir. Kişisel verilerin Kanunun 5/2-ç bendi kapsamında veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için işlendiği değerlendirilerek şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/50

Perakende sitesinde hesap açarken verilerin üçüncü taraflara aktarılması

Veri sorumlusunun web sayfasinda yeni hesap acilirken kisisel verilerin sehven URL uzerinden ucuncu taraf saglayicilara aktarildigi tespit edilmistir. Ihlal 2018'de gerceklesmis ancak yaklasik bir yil sonra 2019'da tespit edilebilmistir. Kurul, web sayfasi tasariminda testlerin yetersiz yapildigini ve islemlere dair takip/alarm sistemlerinin bulunmamasi nedeniyle ihlal tespitinin gec yapildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 50.000 TL idari para cezasi uygulanmis, 72 saatlik bildirim suresi icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/41

Hukuka aykırı veri işleme iddiasına dayalı tazminat talebi

Ilgili kisi, Bankaya kredi borcu nedeniyle yasal takip baslatildigini, sigortali ise basladiginda is yerinin arandigini ve aile bilgilerinin sorgullandigini, bu aramalardan sonra is akdinin sonlandirildigini sikayet etmistir. Kurul, ilgili kisinin veri sorumlusuna yaptigi basvurunun KVKK m.11 kapsaminda bir talep icermedigini ve iddialarini kanitlayici belge sunmadigini tespit etmistir. Zarara ugrama ve tazminat talebi konusunda m.14/3 kapsaminda genel mahkemelere basvurulmasi gerektigi belirtilerek Kanun kapsaminda yapilacak bir islem bulunmadigina karar verilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/43

Banka müşterisinin borç bilgisinin babasıyla paylaşılması

Ilgili kisi, bankaya kredi basvurusu sirasinda babasina risk grubu bilgisi verilmek suretiyle borc bilgilerinin ucuncu kisiye ifsa edildigini sikayet etmistir. Kurul, 5411 sayili Bankacilik Kanunu m.49 kapsaminda risk grubu tanimina ragmen, borc bilgisinin detay icermeyecek sekilde verilse bile m.12'deki veri guvenligine iliskin yukumluluklerin ihlal edildigini tespit etmistir. Banka personeli hakkinda KVKK m.18 kapsaminda islem tesis edilmesine ve konu Bankacilik Duzenleme ve Denetleme Kurumuna bildirilmesine karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2020/32

Kredi kartının rıza dışında üçüncü kişiye teslimi

Ilgili kisi, Banka tarafindan yenilenen kredi kartinin rizasi disinda ucuncu kisilere teslim edilerek kisisel bilgilerinin aciga ciktigini sikayet etmistir. Incelemede, kartin eski isyeri adresine teslim edildigi, kurye tarafindan yeterli kontrolun yapilmadigi ve Bankanin veri guncelligini saglamak icin yeterli cabay gostermedigi tespit edilmistir. Kurul, kart teslimi sirasinda kisisel verilerin muhafazasini saglamaya yonelik yukumlulukler dogrultusunda yeterli idari ve teknik tedbirleri almayan Banka hakkinda KVKK m.18/1-b uyarinca 50.000 TL idari para cezasi uygulanmasina karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2020/34

Abonelik için verilen telefon numarasıyla farklı amaçlı reklam araması

Ilgili kisi, bir gida sirketi adina arandigini ve numarasinin yillar once spor dergisi aboneligi icin paylasildigini, simdi farkli amacla kullanildigini sikayet etmistir. Veri sorumlusu cagri merkezi, sistemin hata sonucu aradigini savunmustur. Kurul, Kanunun Gecici 1. maddesi kapsaminda 2015'te sona eren dergi aboneligi sonrasi verilerin silinmesi gerektigini, farkli amacla islenmesinin m.4'teki sinirlilik ilkesine aykiri oldugunu tespit etmistir. KVKK m.12/1-a ihlali nedeniyle m.18/1-b uyarinca 18.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺18.000