KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 2. sayfa

2. sayfa 335 karardan 24 kayıt

Kurul kararı 2023/1327

İlgili kişinin kişisel verilerinin, konakladığı otel çalışanı tarafından üçüncü kişilerle paylaşılması hakkında

Şikayette, veri sorumlusu otelin hazırladığı Housekeeping Task Sheet belgesinin sosyal medya üzerinden üçüncü bir kişi tarafından ilgili kişiye gönderildiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, belgede müşteri isim ve soyadına yer verilmesinin KVKK m.4/2(ç)'deki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğunu ve verilerin üçüncü kişilerce elde edilmesinin yeterli teknik ve idari tedbirlerin alınmamış olmasından kaynaklandığını tespit etmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; belgelerin düzenlenmesi, aydınlatma metinlerinin uyumlu hale getirilmesi ve açık rızanın ayrıca alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2023/1309

Bir havayolu şirketi tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması

Şikayette, ilgili kişinin havayolu firmasının mobil uygulamasından check-in yaparken tanımadığı dört kişinin kişisel verilerini (kimlik, pasaport, vize bilgileri) gördüğü iddia edilmiştir. Kurul, veri sorumlusunun PNR + soyadı kombinasyonu ile erişim sağlandığını beyan etmesine rağmen, ilgili kişinin ekran görüntülerinde farklı soyadlı kişilerin verilerinin görüldüğünü tespit etmiştir. KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı erişimini önlemeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış ve ilave teknik tedbirler alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/1310

Banka mobil uygulamasında dijital parola belirlerken yüz verisinin işlenmesi suretiyle kişisel verilerin işlenmesi

Şikayette, veri sorumlusu bankanın mobil bankacılık uygulamasından kurumsal hesap için dijital parola alınırken yüz verilerinin işlenmesine rıza verilmediği durumda hizmetin sağlanamadığı iddia edilmiştir. Kurul, şikayet tarihinde kurumsal müşteriler için mobil bankacılıkta yalnızca T.C. kimlik kartı ve yüz verisi ile dijital parola alınabildiğini, ancak şube ve telefon bankacılığı kanallarının alternatif olarak mevcut olduğunu ve bu hususun internet sitesinde belirtildiğini tespit etmiştir. Hizmetin şarta bağlanmadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak rıza vermeyen müşterilere alternatif kanallar hakkında açık bilgilendirme yapılması gerektiği yönünde uyarıda bulunulmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1234

Bir Araç kiralama şirketi tarafından ilgili kişiden Findeks raporu talep edilmesi suretiyle kişisel verilerinin işlenmesi

Şikayette, araç kiralama şirketinin ilgili kişiden Findeks raporu talep ettiği ve bu rapor verilmeden araç teslim edilmeyerek rezervasyonun iptal edildiği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde Findeks sorgulaması yapıldığının açıkça belirtildiğini ve Findeks raporu bilgilerinin işlenmesinin ancak KVKK m.5/1 kapsamında açık rıza ile mümkün olduğunu tespit etmiştir. Hizmetin açık rıza şartına bağlanmasının özgür iradeyi ortadan kaldırdığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmış; başvuruların usulüne uygun yanıtlanması ve verilerin imha edilmesi gerektiği hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2023/1130

İlgili Kişinin Rapor ve İlaç Kayıtlarının Eczane Tarafından Eski Eşi ile Paylaşılması

Şikayette, eczacının Medula sisteminden ilgili kişinin hastane rapor ve ilaç kayıtlarını alarak boşandığı eşine verdiği iddia edilmiştir. Kurul, eczacının Medula sistemi kapsamında veri işleyen sıfatını haiz olduğunu, ancak bu sistemin işlevi dışında verileri üçüncü kişilerle paylaşması halinde veri sorumlusu sıfatını kazanacağını değerlendirmiştir. Eczacının, çalışanının seçimi ve denetiminde gerekli özeni göstermediği, ilgili kişinin sağlık verilerini KVKK m.6'daki şartlara dayanmadan paylaştığı tespit edilmiştir. Veri sorumlusu eczacıya KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış ve özel nitelikli kişisel verilerin korunmasına ilişkin uyarıda bulunulmuştur. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2023/1154

VERBİS İstisnasındaki Mali Bilanço Eşiğinin Güncellenmesi

Kurul, ana faaliyeti özel nitelikli kişisel veri işleme olmayan veri sorumluları bakımından VERBİS kayıt istisnasında aranan yıllık mali bilanço üst sınırını 25 milyon Türk lirasından 100 milyon Türk lirasına yükseltmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2023/1041

Veri sorumlusunun internet sitesinde aydınlatma yükümlülüğünü usulüne uygun olarak yerine getirmemesi ve sunduğu hizmeti açık rıza şartına bağlaması…

Şikayette, veri sorumlusunun internet sitesinden şeker ölçüm cihazı satın alabilmek için yurt dışına veri aktarımına açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, internet sitesi üzerinden satışta açık rıza alınmakla birlikte, müşteri hizmetleri aracılığıyla alternatif satış kanalının mevcut olduğunu ve bu kanalın ek maliyet öngörmediğini tespit etmiştir. Hizmetin açık rıza şartına bağlanmadığı değerlendirilmiş; ancak alternatif satış kanalının anlaşılır biçimde gösterilmesi için veri sorumlusunun talimatlandırılmasına karar verilmiştir. Gizlilik metinlerinin işaretlenmesi şartı aydınlatma yükümlülüğü kapsamında değerlendirilmiş ve Kanun'a aykırılık bulunmamıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2023/1050

Veri sorumlusu Banka’nın, müşteri temsilcisi ile ilgili kişi arasında gerçekleştirilen görüşmeye ilişkin ses kaydı dökümünün ilgili kişiye…

Şikayette, ilgili kişinin veri sorumlusu bankaya sanal kartının kopyalandığı iddiasıyla yaptığı başvurunun yanıtsız bırakıldığı ve müşteri temsilcisi ile görüşme kaydının paylaşılmadığı iddia edilmiştir. Kurul, bankanın sır saklama yükümlülüğünün üçüncü kişilere bilgi verilmemesini gerektirdiğini, ancak KVKK m.11/1(b) kapsamında ilgili kişilerin kendi verilerine erişim hakkının bulunduğunu değerlendirmiştir. Görüşme dökümünün, üçüncü kişi verileri maskelenerek ilgili kişiye gönderilmesi ve başvuruların KVKK m.13 ile Tebliğ hükümlerine uygun şekilde yanıtlanması gerektiği yönünde veri sorumlusu talimatlandırılmıştır. Sonuç Talimat / Uyarı
Kurul kararı 2023/932

İlgili kişinin Bankaya iletişim numarası olarak bildirmediği telefon numarasının kredi işlemleri ile ilgili olarak bilgilendirme yapılması suretiyle…

Şikayette, ilgili kişinin veri sorumlusu bankaya kredi başvurusunda bulunduğu, bankaya verdiği telefon numarası dışında sistemde kayıtlı olmayan başka bir telefon numarasına da kredi işlemiyle ilgili mesaj gönderildiği iddia edilmiştir. Kurul, bankanın Kredi Kayıt Bürosu'ndan (KKB) temin ettiği alternatif iletişim bilgisini, dolandırıcılığın önlenmesi ve başvuru güvenliğinin sağlanması amacıyla kullandığını, Bankacılık Bilgi Sistemleri Yönetmeliği'nin 36'ncı maddesi uyarınca riskli işlemleri tespit etme yükümlülüğünün bulunduğunu tespit etmiştir. Söz konusu kişisel veri işleme faaliyetinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" ve m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/928

Bir üniversite tarafından ilgili kişilerin kişisel ve özel nitelikli kişisel verilerinin yer aldığı belgenin e-posta ekinde üçüncü kişilerle…

Şikayette, üniversite rektörü tarafından gönderilen toplu e-posta ekinde ilgili kişilere ve üçüncü kişilere ait telefon numaraları, e-posta adresleri, HES kodları, aşı bilgileri ve risk durumu gibi kişisel ve özel nitelikli verilerin paylaşıldığı iddia edilmiştir. Kurul, söz konusu Excel dosyasının sehven değil, daha önceki e-postada da benzer paylaşım yapıldığından kasıtlı olarak gönderildiğini, sağlık verilerinin KVKK m.6'daki işleme şartlarına dayanmadan üçüncü kişilerle paylaşıldığını tespit etmiştir. Veri ihlali niteliği taşıyan söz konusu olay için Kurula bildirim yapılmadığı değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan sorumlular hakkında disiplin hükümlerine göre işlem yapılması ve Kurula bilgi verilmesi talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2023/938

Bir üniversite tarafından, öğrencisi olan ilgili kişinin elektronik posta adresine günlük elektronik postalar gönderilmesi

Şikayette, üniversite öğrencisi olan ilgili kişinin kendisine tahsis edilen kurumsal e-posta adresine istemediği günlük duyuru e-postaları gönderildiği ve gönderim listesinden çıkarılma talebinin reddedildiği iddia edilmiştir. Kurul, e-postaların içeriğinde öğretim hakkıyla ilgili akademik ve idari duyurular, kampüs etkinlikleri, iş sağlığı ve güvenliği ile bilgi güvenliği bilgilendirmelerine yer verildiğini tespit etmiştir. İlgili kişinin kişisel verisi niteliğindeki kurumsal e-posta adresine gönderim yapılmasının KVKK m.5/2(f) "veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak aydınlatma metninde bu hususa yer verilmek üzere güncelleme yapılması talimatlandırılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/924

Otopark işletmecisi veri sorumlusu tarafından ilgili kişinin kişisel verilerinin hukuka aykırı işlenmesi ve aydınlatma yükümlülüğünün yerine…

Şikayette, veri sorumlusu otopark işletmecisinin ilgili kişinin aracının park borcu olduğu iddiasıyla icra takibi başlattığı, araç ruhsat bilgilerinin nasıl temin edildiğinin belirsiz olduğu ve internet sitesinde plaka sorgusuyla borç bilgisine alenen ulaşılabildiği iddia edilmiştir. Kurul, otopark hizmetinden yararlanan ilgili kişinin kimlik bilgilerine ulaşılmasının ve aracın fotoğraflarının dava dosyasına sunulmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması" kapsamında olduğunu tespit etmiştir. Ancak yalnızca plaka ile tek kademeli sorgulama yapılmasının veri güvenliği açısından yetersiz olduğu ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(a) uyarınca 75.000 TL idari para cezası uygulanmış; çift faktörlü doğrulama sistemi kurulması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2023/890

Bir hava yolu şirketinin özel yolcu programı hizmetinin açık rıza şartına bağlanması

Şikayette, veri sorumlusu havayolu şirketinin özel yolcu programında biriken millerin görüntülenmesi için pazarlama faaliyetlerinde kullanılmaya ilişkin kutucuğun işaretlenmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, özel yolcu programının bir sadakat programı olduğunu, ilgili kişinin programa katılmaksızın da temel hizmet olan uçak bileti satışından faydalanabildiğini ve biriken millerin çağrı merkezi, web sitesi veya satış ofisleri üzerinden de görüntülenebildiğini tespit etmiştir. Ek menfaatlerin açık rıza koşuluna bağlanmasının özgür iradeyi ortadan kaldırmayacağı, Kurulun 2019/198 sayılı Kararında da bu hususun değerlendirildiği ve açık rızanın koşul olarak dayatılması niteliği taşımadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/892

İlgili kişinin kişisel verilerinin, Kooperatif ortaklığından ayrılmasına rağmen hukuka aykırı olarak işlenmeye devam edilmesini konu şikâyet…

Şikayette, ilgili kişinin kişisel verilerinin KOOPBİS'e hukuka aykırı işlendiği, kooperatif ortaklığından noter ihtarnamesiyle ayrılmasına rağmen genel kurul davetiyesi gönderilmeye devam edildiği ve imha talebinin yerine getirilmediği iddia edilmiştir. Kurul, KOOPBİS'in veri kayıt sisteminin kurulmasından Ticaret Bakanlığının sorumlu olduğunu, 1163 sayılı Kooperatifler Kanunu'nun 13'üncü maddesi uyarınca noter bildirimi tarihinden itibaren ortaklığın sona erdiğini tespit etmiştir. Kooperatif ortaklığından ayrılmasına rağmen ilgili kişinin kişisel verilerinin KVKK m.5'teki işleme şartlarına dayanmadan işlenmeye devam edildiği değerlendirilerek veri sorumlusu kooperatife KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış; başvuruların süresinde sonuçlandırılması gerektiği hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2023/845

Bir kargo şirketi çalışanı tarafından kargo teslimi akabinde ilgili kişinin telefonuna kısa mesaj gönderilmesi suretiyle kişisel verilerin hukuka…

Şikayette, veri sorumlusu kargo şirketinin kuryesi tarafından kargo teslimatı sonrasında ilgili kişinin cep telefonu numarasına taciz içerikli mesaj gönderildiği iddia edilmiştir. Kurul, eylemi gerçekleştiren kişinin veri sorumlusu adına geçici olarak çalıştığını, TBK m.66 ve İş Kanunu m.2 uyarınca veri sorumlusunun sorumluluğunun bulunduğunu tespit etmiştir. Söz konusu kişiye kişisel verilerin korunması konusunda eğitim verilmediği ve bilgilendirme yapılmadığı, KVKK m.5'teki işleme şartlarına dayanılmadan cep telefonu numarasının hukuka aykırı paylaşıldığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2023/787

Bir hastanenin reklam ve tanıtım faaliyetleri kapsamında sağlık verileri de dahil kişisel verilerin işlenmesine ilişkin olarak hastalardan açık rıza…

İhbarda, özel hastanenin hastalara imzalattığı onam formlarında görüntü ve videoların reklam ve tanıtım amacıyla paylaşılmasına açık rıza istendiği ve bu verilerin sosyal medyada yayımlandığı iddia edilmiştir. Kurul, Özel Hastaneler Yönetmeliği'nin 60'ıncı maddesinde özel hastanelerin talep yaratmaya yönelik reklam yapmasının yasak olduğunu, açık rıza bulunsa dahi sektörel düzenlemeye aykırı veri işlemenin meşru olmadığını tespit etmiştir. Toplum bilinci oluşturma amacının kişisel veri işlenmeden de gerçekleştirilebileceği ve ölçülülük ilkesine aykırılık bulunduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmış; verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2023/767

Evli çifte ait sağlık verilerini içeren özel nitelikli kişisel verilerin gazetede yayımlanmak suretiyle işlenmesi

Şikayette, ilgili kişilerin özel hastanede yaşadıkları sağlık sorununa ilişkin özel nitelikli kişisel verilerinin gazetede haberleştirildiği ve bu haberin çok sayıda internet sitesinde yayımlandığı iddia edilmiştir. Kurul, haberde olayın bir gazete haberinin gerektirdiğinden fazla detay ile anlatıldığını, ilgili kişilerin sağlık sorununa ilişkin tüm detaylar, sarf edilen sözler gibi bilgilerin özel hayatın gizliliğini ihlal ettiğini tespit etmiştir. KVKK m.28/1(c)'deki ifade özgürlüğü istisnasının kişilik haklarını ihlal etmemek kaydıyla geçerli olduğu, özle biçim arasındaki dengenin korunmadığı değerlendirilerek veri sorumlusu gazete hakkında KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2023/695

Özel Bir Tıp Merkezi Tarafından İlgili Kişinin e-Nabız Sistemindeki Verilerine Hukuka Aykırı Erişilmesi

Şikayette, veri sorumlusu tıp merkezi çalışanı hekimin e-Nabız sistemi üzerinden ilgili kişinin sağlık verilerine yetkisiz ve onaysız eriştiği iddia edilmiştir. Kurul, hekimin e-imza şifresini sekreteri ile paylaştığını, sekreterin de bir tanıdığının talebiyle ilgili kişinin e-Nabız bilgilerini sorguladığını tespit etmiştir. İlgili kişinin e-Nabız gizlilik ayarlarını "Tüm Hekimler Görsün" şeklinde ayarlamış olmasının, herhangi bir hekime amacı dışında verilere erişim hakkı vermediği, KVKK m.6'daki işleme şartlarına dayanılmadan özel nitelikli kişisel verilere erişildiği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/692

Bir özel sağlık kuruluşu tarafından sunulan sağlık hizmetinin açık rıza şartına bağlanması

İhbarda, sağlık kuruluşunun internet sitesinden randevu alınırken tanıtım amacıyla kişisel veri işlemeye açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, ihbar tarihinde tanıtım kutucuğu işaretlenmeden randevu işleminin tamamlanamadığını, ancak inceleme başladıktan sonra veri sorumlusunun bu durumu düzelttiğini tespit etmiştir. Sağlık hizmetiyle doğrudan bağlantılı olmayan tanıtım faaliyetine yönelik açık rızanın zorunlu tutulmasının KVKK m.4'teki "hukuka ve dürüstlük kurallarına uygunluk" ilkesine aykırı olduğu ve özgür iradenin sakatlandığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; aydınlatma ve açık rıza metinlerinin düzenlenmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/646

Bir üniversite bünyesinde çalışanların özlük bilgilerinin tüm personelle paylaşılması

Şikayette, üniversite fakülte dekanı tarafından gönderilen e-posta ekinde ilgili kişinin ve tüm öğretim üyelerinin sicil numaraları, çalıştıkları birim ve izin durumlarını gösteren verilerin tüm personelle paylaşıldığı iddia edilmiştir. Kurul, izin kullanımı hususunda uyarı amacıyla kişisel verilerin birimde görevli diğer tüm personelle paylaşılmasının gereklilik arz etmediğini ve yalnızca ilgili kişinin muhatap alınarak alternatif süreçlerin işletilebileceğini tespit etmiştir. Söz konusu veri paylaşımının KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığı ve m.12/1'e aykırılık teşkil ettiği değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan ilgili personel hakkında disiplin hükümlerine göre işlem yapılması talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2023/570

İlgili kişinin kripto varlık hizmet sağlayıcısı nezdinde bulunan üyeliğinin seviyesinin artırılması için gereğinden fazla kişisel veri talep…

Şikayette, kripto varlık hizmet sağlayıcısı olan veri sorumlusunun üyelik seviyesinin yükseltilmesi için kimlik belgesinin ön ve arka yüzü fotoğrafı ile birlikte kişinin kendi fotoğrafını talep ettiği ve ölçüsüz veri işleme yapıldığı iddia edilmiştir. Kurul, veri sorumlusunun 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve Tedbirler Hakkında Yönetmelik kapsamında yükümlü olduğunu, müşteri tanıma yükümlülüğü çerçevesinde kimlik tespiti yapmasının zorunlu olduğunu tespit etmiştir. Kullanıcının kimliğinin tespit edilmesinde kamusal bir menfaat bulunduğu ve kişisel verilerin işlenmesinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/567

Bir e-ticaret sitesinden alışveriş yapılabilmesi için kredi/banka kartı bilgilerinin kaydedilmesinin zorunlu tutulması hakkında

Şikayette, veri sorumlusu e-ticaret sitesinde alışveriş yapabilmek için kredi/banka kartı bilgilerinin zorunlu olarak kaydedilmesinin talep edildiği iddia edilmiştir. Kurul, alışverişin tamamlanması için girilen kart bilgilerinin işlem sonrasında cüzdan bölümünde kayıtlı olmaya devam ettiğini, EDPB'nin 02/2021 sayılı Tavsiye Kararında sonraki alışverişleri kolaylaştırmak amacıyla kart bilgilerinin işlenmesinde dayanılması gereken işleme şartının açık rıza olduğunun belirtildiğini tespit etmiştir. Veri sorumlusunun kart bilgilerini zorunlu olarak kaydettirmesinin KVKK m.4/2'deki genel ilkelere ve m.5'teki işleme şartlarına aykırı olduğu değerlendirilerek KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; açık rızaya dayalı kayıt sistemi geliştirilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2023/426

Tüketici Finansman Kredisiyle Alışveriş İmkânı Sunan Şirket Tarafından İlgili Kişilerden e-Devlet Şifrelerinin Talep Edilmesi” hakkında Kişisel…

Kurul, tüketici finansman kredisiyle alışveriş yapan müşterilerden e-Devlet şifresi talep edildiğine ilişkin ihbarlar üzerine resen inceleme başlatmıştır. İncelemede, veri sorumlusunun müşterilerden kredi değerlendirmesi için sigorta hizmet dökümünü e-Devlet üzerinden temin etmelerini istediği ve bu amaçla e-Devlet şifresi ile şubeye davet edildiğine dair kısa mesajlar gönderildiği tespit edilmiştir. e-Devlet şifresinin ele geçirilmesi halinde kişilerin tüm verilerine erişim sağlanabilecek ciddi riskler oluştuğu, veri sorumlusunun savunmalarının tutarlılık içermediği ve kamuoyunda çok sayıda benzer şikayet bulunduğu değerlendirilerek KVKK m.18/1(b) uyarınca 400.000 TL idari para cezası uygulanmış; hukuka aykırı işlenen verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺400.000
Kurul kararı 2023/437

Bir avukatlık ortaklığı tarafından borçlu ilgili kişiye kısa mesaj gönderilmesi suretiyle kişisel verilerinin işlenmesi” hakkında Kişisel Verileri…

Şikayette, avukatlık ortaklığının vekili olduğu şirketin borç takibi kapsamında ilgili kişiye beş kez kısa mesaj gönderdiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatlık ortaklığının Şirketten aldığı vekalete dayanarak icra takibi öncesi borç bilgilendirmesi yapmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında olduğunu tespit etmiştir. Ayda bir kez, hafta içi mesai saatlerinde gönderilen mesajların KVKK m.4/2(a) "hukuka ve dürüstlük kuralına uygunluk" ve m.4/2(ç) "ölçülülük" ilkelerine aykırı olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi