KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 15. sayfa

15. sayfa 382 karardan 24 kayıt

Kurul kararı 2019/254

S Şans Oyunları A.Ş

S Şans Oyunları A.Ş.'nin (tuttur.com) veri ihlali bildirimi incelenmiştir. Kullanıcılara ait telefon numaraları ve şifrelerinin sızdırıldığı tespit edilmiştir. Şirketin veri işleyen nezdinde gerçekleşen ihlal için de gerekli tedbirleri almadığı değerlendirilerek Kanun'un 12/1 ve 12/5. maddeleri uyarınca toplam 180.000 TL (150.000 TL + 30.000 TL) idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺180.000
Kurul kararı 2019/225

Yurtdışında yerleşik Tüzel kişilerin Türkiye’deki Şubeleri ile İrtibat Bürolarının Sicile Kayıt Yükümlülüğü Hakkındaki Görüş Talebi

Yurtdışında yerleşik tüzel kişilerin Türkiye'deki şubeleri ve irtibat bürolarının VERBİS kayıt yükümlülüğü hakkında görüş verilmiştir. Kurul, veri sorumluluğunun tespitinde kişisel verilerin işleme amaçlarını ve vasıtalarını belirleme, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olma kriterlerinin değerlendirilmesi gerektiğini belirtmiştir. Yurtdışında yerleşik veri sorumlularının VERBİS'e kayıt yükümlülüğü ve istisna kriterleri ayrıntılı olarak açıklanmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2019/222

Dubsmash Inc.

Dubsmash Inc.’in yaklaşık 162 milyon kullanıcı hesabına ait bilgilerinin karanlık ağda satışa çıkarıldığı, ihlalden Türkiye ile ilişkilendirilen 679.269 kişinin etkilendiği ve şirketin ihlalden bir gazeteci aracılığıyla haberdar olduğu tespit edilmiştir. Kurul, gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 680.000 TL; ihlalin en kısa sürede Kuruma bildirilmemesi nedeniyle 50.000 TL olmak üzere toplam 730.000 TL idari para cezası uygulanmasına ve ihlalin Kurumun internet sitesinde ilan edilmesine karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺730.000
Kurul kararı 2019/206

Veri sorumlusunun, web sitesinde kişisel verilerin işlenmesini hizmet şartı olarak talep ettiği ve aydınlatma yükümlülüğünü usulüne uygun yerine…

Web sitesinde hizmet sunumu için e-posta adresinin zorunlu olarak talep edilmesi incelenmiştir. Kurul, açık rızanın özgür irade ile verilmesi gerektiğini, hizmet veya ürün sunumunun kişisel veri işlenmesi şartına bağlanmaması gerektiğini vurgulamıştır. Aydınlatma metninin de işlenen kişisel verileri ve hukuki sebeplerini açıkça ortaya koyması gerektiği belirtilerek veri sorumlusunun uygulamalarını düzeltmesi için talimat verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2019/204

Bir yatırım şirketi tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmadan işlenmesi ve reklam/bilgilendirme…

Yatırım şirketinin, daha önce başka şirkette çalışan personeli aracılığıyla elde ettiği telefon numarasını kullanarak ilgili kişiyi reklam amacıyla araması şikâyet konusu edilmiştir. Kurul, kişisel verinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadan işlendiğini tespit etmiş ve veri sorumlusu hakkında Kanun'un 18. maddesi uyarınca idari yaptırım uygulanmasına karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2019/198

İlgili kişinin, bir sadakat programı kapsamında veri sorumlusunca hukuka aykırı kişisel veri işlendiği yolundaki ihbarı

Bir sadakat programı kapsamında kişisel veri işlenmesine ilişkin ihbar incelenmiştir. Kurul, sadakat kartı üyeliği için kişisel veri işlenmesinin açık rızaya dayandığını, açık rıza metninin belirli bir konuya ilişkin olduğunu ve aydınlatmanın mevzuata uygun yapıldığını tespit etmiştir. Sadakat programına katılmayanlara da normal fiyattan alışveriş imkânı sunulduğundan açık rızanın özgür irade ile verildiği sonucuna varılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2019/188

Öğrencilerin kişisel verisi niteliğindeki sınav sonuçlarını internet ortamında yayımlayan Mimar Sinan Güzel Sanatlar Üniversitesi’nin uygulaması…

Mimar Sinan Güzel Sanatlar Üniversitesi'nin öğrenci sınav sonuçlarını internet ortamında herkese açık şekilde yayımlaması incelenmiştir. Kurul, sınav sonuçlarının arama motorlarında erişilebilir olmasının ve yıllar sonra bile üçüncü kişilerin erişimine açık tutulmasının uygun olmadığını tespit etmiş, sonuçların kullanıcı adı-şifre ile güvenli bir sistem üzerinden açıklanması gerektiğine karar vermiştir. Sonuç Disiplin İşlemi
Kurul kararı 2019/170

Bir perakende giyim firmasının veri ihlal bildirimi hakkında

Perakende giyim firmasının web sitesinde yaşanan veri ihlali bildirimde bulunulması üzerine inceleme yapılmıştır. Yeni hesap açan müşterilerin kişisel verilerinin yanlışlıkla bir URL üzerinden üçüncü taraflara aktarıldığı tespit edilmiştir. Web sitesi testlerinin yetersiz olması ve takip sistemlerinin bulunmaması nedeniyle Kanun'un 12/1. maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2019/157

Kurumsal e-posta hizmetinin, Google (gmail) üzerinden yine aynı uzantıya sahip olarak kullanılıp kullanılamayacağı ilişkin

Kurumsal e-posta hizmetinin Google (Gmail) üzerinden kullanılması hakkında görüş verilmiştir. Kurul, Gmail altyapısının kullanılması durumunda gönderilen ve alınan e-postaların dünyanın çeşitli yerlerindeki veri merkezlerinde tutulacağını, bunun kişisel verilerin yurt dışına aktarılması anlamına geleceğini belirtmiş ve veri sorumlularının bu uygulamayı Kanun'un 9. maddesine uygun olarak gerçekleştirmesi gerektiğine karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2019/162

Bir anonim şirketin (veri sorumlusu) ilgili kişinin açık rızası dışı elektronik ticari ileti göndermesine ilişkin

Bir anonim şirketin ilgili kişinin cep telefonuna açık rıza olmaksızın reklam içerikli SMS göndermesi şikâyet konusu edilmiştir. Kurul, mesaj gönderiminin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadığını tespit etmiş, şirkete başvuruya cevap verilmemesi ve hukuka aykırı veri işleme nedeniyle Kanun'un 18/1-b maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2019/166

İlgili kişiye ait telefon numarasına kendisine ait olmayan içeriğin gönderilmesi

Veri sorumlusu avukatın, bir müvekkiline ait SMS'i yanlışlıkla başka bir kişinin numarasına göndermesi incelenmiştir. Gönderilen SMS'te üçüncü kişinin ad, soyad ve hizmet numarası gibi kişisel verileri yer almıştır. Kurul, veri sorumlusunun hukuka aykırı veri işlemeyi önleme yükümlülüğünü yerine getirmediğini tespit ederek Kanun'un 18/1-b maddesi uyarınca 50.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2019/159

Bir varlık yönetim şirketinin ilgili kişiye aynı konu ile ilgili birden çok mesaj gönderimine ilişkin

Varlık yönetim şirketinin tahsili gecikmiş alacaklar için ilgili kişiye SMS göndermesi incelenmiştir. Kurul, alacağın 5411 sayılı Bankacılık Kanunu ve 6098 sayılı TBK kapsamında devir ve temlik alındığını, ilgili kişinin kişisel verilerinin sözleşmenin ifası kapsamında Kanun'un 5/2-c maddesi uyarınca işlenebileceğini tespit etmiş, veri sorumlusunun başvuruya süresinde cevap verdiğini belirleyerek yapılacak işlem olmadığına karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺20.000
Kurul kararı 2019/144

Cathay Pasific Airway Limited

Cathay Pacific Airways Limited'in yaşadığı siber saldırı sonucu yolcu bilgilerine yetkisiz erişim sağlanması üzerine yapılan veri ihlali bildiriminin incelenmesi neticesinde; veri güvenliği tedbirlerinin yetersiz olduğu ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 550.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺550.000
Kurul kararı 2019/141

Clickbus Seyahat Hizmetleri A.Ş.

Clickbus Seyahat Hizmetleri A.Ş.'nin yaşadığı siber saldırı sonucu veri ihlali bildirimde bulunması üzerine yapılan inceleme neticesinde; veri güvenliğini sağlamaya yönelik gerekli tedbirlerin alınmadığı ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 550.000 TL (450.000 TL + 100.000 TL) idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺550.000
Kurul kararı 2019/143

Marriott International Inc.

Marriott International'ın Starwood Hotels sistemlerinde yaşanan veri ihlali bildirimde bulunması üzerine yapılan incelemede; veri güvenliği tedbirlerinin yetersiz olduğu ve ihlalin geç bildirildiği tespit edilmiştir. Şirkete Kanun'un 12/1 ve 12/5. maddeleri kapsamında toplam 1.450.000 TL (1.100.000 TL + 350.000 TL) idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺1.450.000
Kurul kararı 2019/138

Bir şirket sahibinin, çalışanının Whatsapp yazışmalarını hukuka aykırı olarak elde etmesi hakkında

Çalışanın Whatsapp yazışmalarının şirket sahibi tarafından hukuka aykırı olarak elde edilmesi ve üçüncü kişilerle paylaşılması şikâyet konusu edilmiştir. Kurul, konunun yargı mercilerinin görev alanına girdiğini tespit ederek başvurunun Kanun kapsamında değerlendirilemeyeceğine, kişisel verilere ilişkin suçlar bakımından TCK 135-140. maddeleri uyarınca Cumhuriyet Başsavcılığına başvurulabileceğine karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2019/125

Yeterli Korumanın Bulunduğu Ülkelerin Tayini Formu Hakkında Karar

Kanun'un 9. maddesi uyarınca kişisel verilerin yurt dışına aktarımında yeterli korumanın bulunduğu ülkelerin belirlenmesinde esas alınacak kriterler kabul edilmiştir. Bu kriterler, ülkelerin veri koruma mevzuatı, bağımsız denetim mekanizmaları ve uluslararası taahhütlerini kapsamaktadır. Sonuç İlke Kararı / Rehber
Kurul kararı 2019/122

Başvurunun yanıtlanmaması ve aydınlatma metnindeki eksiklikler

T.C. Ziraat Bankası'nın ilgili kişinin Kanun kapsamındaki başvurusuna yasal süre içinde cevap vermemesi ve internet sitesindeki aydınlatma metninin mevzuata uygun olmaması şikâyet konusu edilmiştir. Kurul, Banka'nın başvuruyu cevaplandırması ve aydınlatma metnini mevzuata uygun hale getirmesi için talimat vermiş, ayrıca Kanun'un 18/3. maddesi kapsamında ihlale sebebiyet veren sorumlular hakkında disiplin işlemi yapılmasına karar vermiştir. Sonuç Disiplin İşlemi
Kurul kararı 2019/104

Facebook hakkında Kişisel Verileri Koruma Kurulunun 11.04.2019 tarih ve 2019/104 sayılı Karar Özeti

Facebook'un 'Fotoğraf API' güvenlik açığından kaynaklanan veri ihlali resen incelenmiştir. İhlalin Kanun'un 12/5. maddesi uyarınca Kurul'a bildirilmediği tespit edilmiştir. Facebook'un gerekli teknik ve idari tedbirleri almadığı, Türkiye'deki kullanıcıların kişisel verilerini yeterince korumadığı sonucuna varılmış ve Kanun'un 18. maddesi kapsamında idari para cezası uygulanmasına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺1.650.000
Kurul kararı 2019/78

Veri sorumlusunun kanuni yükümlülüğünü yerine getirmek için işlediği kişisel verileri meşru menfaat çerçevesinde kullanma talebiyle Kuruma yapmış…

Akaryakıt dağıtım şirketinin EPDK Kararı uyarınca kurduğu otomasyon sistemindeki plaka verilerini, hatalı akaryakıt dolumlarını önlemek amacıyla 'Araç Tanıma Projesi' için kullanmak istemesi incelenmiştir. Kurul, söz konusu veri işlemenin Kanun'un 5/2-ç ve 5/2-f bentleri kapsamında değerlendirilip değerlendirilemeyeceğini incelemiş, tüketicinin ve dağıtıcı şirketin korunması açısından meşru menfaat değerlendirmesi yapmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2019/82

Bir market zincirinin sadakat kart uygulamasına ilişkin ihbar ve şikayetler hakkında

Bir marketin sadakat kartı uygulamasında açık rızanın hizmet şartına bağlanması incelenmiştir. Kurul, 'Kart avantajlarından faydalanmak için izin verin' şeklindeki uyarıların açık rızanın özgür irade ile verilmesi ilkesine aykırı olduğunu tespit etmiştir. Aydınlatma metninde yer alan özel nitelikli kişisel verilerin (sendika üyeliği, ceza mahkûmiyeti, sağlık bilgileri) işlenmesinin şirketin faaliyetleriyle orantılı olmadığı belirlenmiş ve düzeltme talimatı verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2019/81 ve 2019/165

Spor salonlarında biyometrik veriyle giriş-çıkış kontrolü

Kurulun 2019/81 ve 2019/165 sayılı kararlarında, spor salonlarına giriş-çıkış kontrolünde el, parmak ve avuç izi gibi biyometrik verilerin işlenmesi birlikte incelenmiştir. Kurul, biyometrik veri kullanılmasını hizmetten yararlanmanın zorunlu koşulu hâline getiren açık rızanın özgür iradeye dayanmadığı; daha az müdahaleci alternatifler varken bu yöntemin ölçülü olmadığı gerekçeleriyle hukuka aykırı bulmuştur. Veri sorumluları hakkında tutarı açıklanmayan idari para cezaları uygulanmasına, biyometrik işlemenin durdurulmasına ve daha önce elde edilen verilerin imha edilmesine karar verilmiştir. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2019/52

Kurul kararının yerine getirilmemesi

2019/23 sayılı Kurul kararının tebliğinden sonra teknik servis şirketinin internet sitesinde yapılan incelemelerde, farklı form numaraları ile sorgulama yapılarak başka kişilerin verilerine erişilebildiği tespit edilmiştir. IMEI numaralarının maskelenmesine rağmen kargo takip linkinden açıkça görüntülenebildiği belirlenmiştir. Şirketin Kurul kararına uygun olarak gerekli tedbirleri almadığı tespit edilerek Kanun'un 15. maddesine aykırılık nedeniyle 50.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2019/47

Kişisel verilerin hukuka aykırı elde edilmesi ve paylaşılması iddiası

Bir şahsın, diğer bir kişinin kendisi ve ailesi hakkındaki bilgilere hukuk dışı yollarla erişerek yargıya aktardığı iddiasıyla yaptığı şikâyet incelenmiştir. Kurul, şikâyet edilenin dilekçeler yoluyla paylaştığı bilgilerin otomatik veya veri kayıt sistemi aracılığıyla işlenmediğini, dolayısıyla veri sorumlusu olarak nitelendirilemeyeceğini tespit etmiştir. Hukuka aykırı veri elde edilmesi iddiasının TCK kapsamında değerlendirilmesi gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber