KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 16. sayfa

16. sayfa 382 karardan 22 kayıt

Kurul kararı 2019/23

Teknik servis takip numaraları üzerinden kişisel verilere yetkisiz erişim

Teknik servis firmasının müşterilere verdiği form numaralarının ardışık olması nedeniyle numaranın son hanelerini değiştirerek farklı kişilerin verilerine erişilebildiği tespit edilmiştir. Sorgu numarasını değiştirmek suretiyle başka cihaz sahiplerinin ad, soyad, adres ve IMEI numaralarına erişim sağlanabilmektedir. Kurul, veri sorumlusunun Kanun'un 12/1. maddesine aykırı davrandığını tespit etmiş ve idari yaptırım uygulanmasına karar vermiştir. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2019/10

Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Karar

Kişisel veri ihlali bildiriminin usul ve esasları belirlenmiştir: Veri sorumlusu ihlali öğrendiğinde en kısa sürede (72 saat içinde) Kurul'a bildirim yapmalı, ihlalden etkilenen kişilere doğrudan veya web sitesi üzerinden bildirimde bulunmalıdır. Sonuç İlke Kararı / Rehber
Kurul kararı 2019/9

Veri sorumlusuna başvuru ve Kurula şikâyet sürelerinin hesaplanması

Kanun'un 14/1. maddesinde yer alan Kurula şikâyet sürelerinin yorumlanması hakkında kamuoyuna açıklama yapılmıştır. Kurul, veri sorumlusunun 30 gün içinde cevap vermesi halinde ilgili kişinin bu cevabı müteakip 30 gün içinde Kurula şikâyette bulunabileceğini, cevap verilmemesi halinde ise başvuru tarihinden itibaren 60 gün içinde şikâyet hakkının kullanılabileceğini açıklamıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/156

Yargı mercilerinin görev alanına giren konularla ilgili Kuruma yapılan başvurular hakkında

İlgili kişinin ad, soyad, yerleşim yeri gibi kişisel bilgilerinin kullanılarak çeşitli içerikli paylaşımların yapılması hususunda Kuruma başvuru yapılmıştır. Kurul, yargı mercilerinin görev alanına giren konularla ilgili şikâyetlerin Kanun'un 15/2. maddesi gereğince incelemeye alınamayacağını belirlemiştir. Kişisel verilere ilişkin suçlar bakımından TCK 135-140. maddeleri kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunulması gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/142

İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkesi gereğince kişisel verilerin silinmemesi…

Banka nezdinde tutulan kişisel verilerin silinmesi talebinin reddedilmesi üzerine yapılan şikâyet incelenmiştir. Kurul, 5411 sayılı Bankacılık Kanunu'nun 42. maddesi uyarınca bankaların müşteri bilgilerini 10 yıl süreyle saklamakla yükümlü olduğunu, bu nedenle ilgili mevzuatta öngörülen saklama süresi dolmadan verilerin silinemeyeceğine karar vermiştir. Kanun'un 4/2-d maddesi gereği veriler, mevzuatta öngörülen süre kadar muhafaza edilebilmektedir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2018/143

Sağlık verilerini Kanunun 6 ncı maddesinde yer alan işleme şartlarından birine dayanmadan üçüncü bir kişiye aktaran veri sorumlusu hakkında

Doktor kontrolünde ilaç kullanan ilgili kişinin özel nitelikli sağlık verilerinin, ilaçların temin edildiği eczane tarafından üçüncü bir kişiyle paylaşılması şikâyet konusu edilmiştir. Kurul, sağlık verilerinin Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri olduğunu ve bu verilerin ancak açık rıza veya kanunda belirtilen istisnai hallerde işlenebileceğini hatırlatmış, eczanenin herhangi bir hukuki dayanağa sahip olmaksızın sağlık verilerini üçüncü kişiyle paylaşmasının Kanun'a aykırı olduğuna karar vermiştir. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2018/131

Tüzel kişiliğe ait elektronik ortamda yer alan verilerin başka bir tüzel kişilik tarafından talep edilmesi

Bir tüzel kişiliğe ait verilerin başka bir tüzel kişilik tarafından talep edilmesi hakkında yapılan başvuru değerlendirilmiştir. Kurul, 6698 sayılı Kanun'un yalnızca gerçek kişilere ait kişisel verileri kapsadığını, tüzel kişilere ait verilerin Kanun kapsamında bulunmadığını tespit etmiştir. Şirket ortak ve yetkililerine ait kişisel verilere erişim talebinin ise ilgili kişilerin bizzat kendileri tarafından yapılması gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/118

Kurul Kararının gereğinin süresi içinde yerine getirilmemesi

Veri sorumlusunun, ilgili kişinin kişisel verilerinin silinmesi talebine ilişkin Kurul kararını süresinde yerine getirmemesi üzerine idari para cezası uygulanmıştır. Kanun'un 15/5. maddesi uyarınca Kurul kararlarının tebliğden itibaren 30 gün içinde yerine getirilmesi zorunlu olup, bu yükümlülüğe uyulmaması halinde 18/1-c maddesi gereğince 25.000 TL'den 1.000.000 TL'ye kadar idari para cezası öngörülmektedir. Sonuç Disiplin İşlemi
Kurul kararı 2018/119

Reklam Bildirimleri ve Aramalarının Önüne Geçilmesi Hakkında İlke Kararı

Açık rıza almaksızın veya Kanun'un 5/2 hükümlerini sağlamadan telefon numaralarına SMS göndermek, arama yapmak veya e-posta adreslerine reklam içerikli ileti yönlendiren veri sorumluları ile veri işleyenlerin bu faaliyetlerini derhal durdurması gerektiğine karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/106

Kimliği belirsiz kişi/kişilerin veri sorumlusu olarak kabul edilemeyeceği hakkında

İlgili kişinin görevi nedeniyle imzaladığı bir evrakın kimliği belirsiz kişilerce internet ortamında paylaşılması üzerine yapılan şikâyet incelenmiştir. Kurul, kimliği belirsiz kişi veya kişilerin Kanun kapsamında veri sorumlusu olarak tanımlanamayacağına, bu nedenle şikâyetin Kanun çerçevesinde değerlendirilemeyeceğine, ancak kişisel verilere ilişkin suçlar bakımından 5237 sayılı TCK'nın 135-140. maddeleri kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunulabileceğine karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/91

Kişisel verilere hukuka aykırı erişilmesini önleme” yükümlülüğünü yerine getiremeyen veri sorumlusu

Hazır giyim firmasının internet sitesinde yaşanan güvenlik açığı nedeniyle müşteri bilgilerinin (ad, soyad, adres, telefon) üçüncü kişilerce erişilebilir hale gelmesi incelenmiştir. Kurul, veri sorumlusunun Kanun'un 12. maddesi uyarınca kişisel verilere hukuka aykırı erişilmesini önleme yükümlülüğünü yerine getiremediğini tespit etmiş, gerekli teknik ve idari tedbirlerin alınması için talimat vermiştir. Sonuç Talimat / Uyarı
Kurul kararı 2018/90

Veri sorumlusu tarafından aydınlatma yükümlülüğü ve açık rıza onayı alınması süreçlerinin ayrı ayrı yerine getirilmesi gerektiği ile ilgili

Online iş başvurusu platformunda aydınlatma yükümlülüğü ve açık rıza süreçlerinin aynı kutucuk işaretlenerek yerine getirilmesi incelenmiştir. Kurul, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5/1-f maddesi uyarınca aydınlatma yükümlülüğü ve açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesi gerektiğini hatırlatmış, veri sorumlusuna gerekli düzeltmelerin yapılması için talimat verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2018/88

Sicile Kayıt Yükümlülüğünün Başlama Tarihleri

Veri Sorumluları Siciline kayıt yükümlülüğünün başlama tarihleri belirlenmiştir. Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan veri sorumluları ile yurtdışında yerleşik veri sorumluları için kayıt başlangıç tarihi 01.10.2018 olarak, ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için ise ayrı bir tarih belirlenmiştir. Kayıt için 30.09.2019'a kadar süre tanınmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/87

Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları

VERBİS'e kayıt yükümlülüğünden istisna tutulacak veri sorumlularının kapsamı genişletilmiştir. Kurul, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanların VERBİS'e kayıt yükümlülüğünden istisna tutulmasına karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/75

Arabulucuların Veri Sorumluları Siciline Kayıt Zorunluluğundan İstisna Tutulması

Arabulucuların VERBİS'e kayıt yükümlülüğünden istisna tutulması talebi değerlendirilmiştir. Kurul, 6325 sayılı Hukuk Uyuşmazlıklarında Arabuluculuk Kanunu uyarınca faaliyet gösteren arabulucuların, Kanun'un 16/2. maddesi ve Veri Sorumluları Sicili Hakkında Yönetmelik'in 16. maddesi kapsamında Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/69

Sicil dosyalarındaki kişisel verilerin, işlenmelerini gerektiren sebeplerin ortadan kalkmaması sebebiyle, imha edilmemesi gerektiği hakkında

Devlet memurlarının, memuriyet döneminde haklarında açılmış inceleme ve soruşturma dosyalarına ilişkin evrakların imha edilmesi talebi değerlendirilmiştir. Kurul, 657 sayılı DMK'nın 109. maddesi uyarınca memurların özlük dosyalarının tutulmasının zorunlu olduğunu, Devlet Arşiv Hizmetleri Yönetmeliği kapsamında arşiv belgesi niteliğindeki dosyaların saklanması gerektiğini tespit etmiş ve işlenmelerini gerektiren sebeplerin ortadan kalkmaması nedeniyle verilerin imha edilemeyeceğine karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2018/68

Gümrük Müşavirlerinin Sicile Kayıt İstisnası Hakkında Görüş Talebi

Gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirlerinin VERBİS'e kayıt yükümlülüğünden istisna tutulması talebi değerlendirilmiştir. Kurul, 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirlerinin Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına karar vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/63

Personelin Yetkisi ve Amacı Dışında Kişisel Verileri İşlemesi Hakkında İlke Kararı

Veri sorumlusu nezdinde çalışanların, yetkilerini aşarak veya kötüye kullanarak kişisel verileri işleme amacı dışında işlemesi veya üçüncü kişilerle paylaşmasının Kanun'un 12. maddesine aykırılık teşkil edeceği, bu tür eylemlerin önlenmesi için gerekli teknik ve idari tedbirlerin alınması gerektiği hususunda ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/32

Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları

Kurul, VERBİS'e kayıt yükümlülüğünden istisna tutulacak veri sorumlularını belirlemiştir: (1) Yalnızca otomatik olmayan yollarla işleyenler, (2) noterler, (3) sadece kendi çalışan/üye/bağışçılarına yönelik veri işleyen dernek, vakıf ve sendikalar, (4) siyasi partiler, (5) avukatlar, (6) mali müşavirler. Sonuç İlke Kararı / Rehber
Kurul kararı 2018/10

Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler Hakkında Karar

Özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemler belirlenmiştir: Ayrı politika ve prosedür belirlenmesi, çalışanlara düzenli eğitim verilmesi, gizlilik sözleşmeleri yapılması, yetki matrisi oluşturulması, periyodik denetimler yapılması ve şifreleme/anonimleştirme gibi teknik tedbirler alınması zorunlu kılınmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2017/62

Banko, Gişe, Masa Gibi Hizmet Alanlarında Kişisel Verilerin Korunması Hakkında İlke Kararı

Banko, gişe ve masa gibi vatandaşa hizmet sunulan alanlarda, yetkisiz kişilerin bu bölümlere erişimini önleyecek ve yakın konumdaki hizmet alanların birbirlerinin kişisel verilerini görmesini, duymasını veya öğrenmesini engelleyecek nitelikte gerekli teknik ve idari tedbirlerin alınması gerektiğine dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2017/61

Rehberlik Hizmeti Veren İnternet Sitelerinde/Uygulamalarda Kişisel Verilerin Korunması Hakkında İlke Kararı

İsimden telefon numarası veya telefon numarasından isim sorgulamaya imkân tanıyan rehberlik hizmeti sunan internet siteleri ve mobil uygulamaların Kanun'a aykırı veri işleme faaliyetlerinin derhal durdurulmasına, aksi halde erişim engellenmesi için yetkili kurumlara başvurulmasına ve TCK m.136 kapsamında Cumhuriyet Başsavcılığına ihbarda bulunulmasına karar verilmiştir. Sonuç İlke Kararı / Rehber