KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 3. sayfa

3. sayfa 382 karardan 24 kayıt

Kurul kararı 2023/1787

Covid-19 Test Sonucunun Eski Numaraya Gönderilmesi

İlgili kişinin Covid-19 test sonucunun tarafından veri kayıt sisteminde bulunan eski cep telefonu numarasına gönderilmesine ilişkin şikâyet Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2023/1675

Endüstriyel Mutfak Şirketindeki Veri İhlali

Endüstriyel mutfak ekipmanları üretimi yapan veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1645

Çevrim içi oyunda çerezlerle yurt dışına veri aktarımı

Kurul, çevrimiçi oyun dağıtıcısı olan veri sorumlusu hakkında e-Devlet şifresi talep edildiği, kişisel verilerin yurt dışına aktarıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddialarıyla resen inceleme başlatmıştır. İncelemede, oyun sunucularının yurt içinde tutulduğu ve oyun kullanıcılarının kişisel verilerinin yurt dışına aktarılmadığı; ancak internet sitesindeki çerezler aracılığıyla yurt dışına veri aktarımı yapıldığı, açık rızanın belirlilik ve özgür irade unsurlarının sağlanmadığı tespit edilmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 750.000 TL idari para cezası uygulanmış; çerez politikalarının Kanun'a uygun hale getirilmesi, aydınlatma metinlerinin düzeltilmesi ve yurt dışı aktarımı için usulüne uygun açık rıza alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺750.000
Kurul kararı 2023/1610

Canlı Maç Yayınının Pazarlama Rızasına Bağlanması

Bir çevrimiçi yasal spor ve şans oyunları platformu tarafından canlı maç yayını faaliyeti sunumunun ticari nitelikli ileti göndermek suretiyle açık rıza alınması şartına bağlanması Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2023/1578

Terapi kayıtlarının boşanma davasında mahkemeye aktarılması

Şikayette, ilgili kişinin üniversite tıp merkezinde aldığı terapi kayıtlarının boşanma davası kapsamında mahkemeye gönderilirken gizlilik önlemi alınmadığı ve bu kayıtların UYAP'a yüklenerek üçüncü kişilerin erişimine açıldığı iddia edilmiştir. Kurul, mahkeme müzekkeresine cevaben hasta dosyasının gönderilmesinin 6100 sayılı HMK'nın 221'inci maddesi kapsamında zorunlu olduğunu ve KVKK m.8/3 "kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır" kapsamında olduğunu tespit etmiştir. Mahkeme tarafından UYAP'a yükleme işlemlerinin KVKK m.28/1(d) kapsamında yargı makamlarının kişisel veri işlemesi olarak Kanun kapsamı dışında olduğu değerlendirilerek veri sorumlusu tıp merkezi hakkında yapılacak işlem bulunmadığına; ancak gizlilik esaslarına riayet edilerek gönderim yapılması gerektiği yönünde hatırlatma yapılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1548

Ses kaydının açık rıza olmaksızın alınıp mahkemeye sunulması

Şikayette, ilgili kişinin yüklenici firma bünyesinde sayaç okuma personeli olarak çalışırken rüşvet istediğine dair ses kaydının veri sorumlusu tarafından işlendiği ve mahkemeye sunulduğu iddia edilmiştir. Kurul, müşteri tarafından alınan ses kaydının suç teşkil edebilecek bir eylemin tespitine ilişkin olduğunu, başka türlü delil ile ispat imkanı bulunmadığı ani gelişen durumlarda alınan kayıtların hukuka uygun delil niteliği taşıdığını ve Yargıtay içtihatlarıyla da bu görüşün benimsendiğini tespit etmiştir. Ses kaydının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında hukuka uygun olarak işlendiği ve mahkemeye aktarıldığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1563

Pay bilgilerinin Kamuyu Aydınlatma Platformunda yayımlanması

Şikayette, ilgili kişinin Borsa İstanbul'daki hisselerinin satılabilir hale getirilmesi sürecinde ad ve soyadının Kamuyu Aydınlatma Platformu'nda (KAP) yayımlandığı iddia edilmiştir. Kurul, Pay Tebliği'nin 15'inci maddesinin 3'üncü fıkrasında "MKK, borsada işlem gören niteliğe dönüştürülmek istenen payların nominal değerini, başvuruyu yapan kişilerin isim veya unvanını, günlük olarak toplu halde KAP vasıtasıyla kamuya duyurur" hükmünün yer aldığını tespit etmiştir. Kişisel veri işleme faaliyetinin Pay Tebliği uyarınca KVKK m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında zorunlu olarak gerçekleştirildiği değerlendirilerek veri sorumlusu MKK hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1509

Banka verilerinin Kredi Kayıt Bürosuna aktarılması

Şikayette, ilgili kişinin kişisel verilerinin KKB Kredi Kayıt Bürosu'na aktarılmasına ilişkin açık rızasını geri çekme talebinin veri sorumlusu banka tarafından reddedildiği iddia edilmiştir. Kurul, 5411 sayılı Bankacılık Kanunu'nun 73/4 ve Ek 1'inci maddesi ile Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik kapsamında bankaların Risk Merkezi ile veri paylaşımının sır saklama yükümlülüğünden istisna olduğunu tespit etmiştir. Kişisel verilerin KKB'ye aktarılmasının KVKK m.5/2(a), (c), (ç) ve (f) bentlerine dayandığı ve açık rızanın geri çekilmesinin bu kapsamda hukuken geçerli olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına; ancak başvuru ret gerekçelerinin açıklanması gerektiğinin hatırlatılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1465

Araç kiralama sitesinde başka müşterinin verilerinin görüntülenmesi

Şikayette, ilgili kişinin araç kiralama şirketinin internet sitesine giriş yaparken başka bir kullanıcının T.C. kimlik numarası, ehliyet ve iletişim bilgilerine eriştiği iddia edilmiştir. Kurul, veri sorumlusunun sistemindeki algoritma hatasının dört farklı kişinin kişisel verilerinin yetkisiz erişime açık hale gelmesine neden olduğunu ve Kuruma veri ihlal bildiriminde bulunulmadığını tespit etmiştir. KVKK m.12 kapsamında kişisel verilere hukuka aykırı erişimi önleme yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış ve veri ihlal bildirimi yükümlülüğü hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/1461

Okulda güvenlik amacıyla görüntü ve ses kaydı yapılması

Şikayette, veri sorumlusu okul tarafından kira uyuşmazlığı nedeniyle ilgili kişilerin açık rızası olmadan ses ve görüntü kaydı alındığı iddia edilmiştir. Kurul, görüntü kaydının güvenlik amacıyla KVKK m.5/2(ç) ve (f) kapsamında meşru olduğunu, ancak ses kaydının güvenlik gerekçesiyle meşru menfaat kapsamında değerlendirilemeyeceğini tespit etmiştir. Ses kaydının alınmasının KVKK m.5'teki işleme şartlarına dayanmadığı ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL ve KVKK m.18/1(a) uyarınca 30.000 TL olmak üzere toplam 230.000 TL idari para cezası uygulanmış; ses verilerinin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺230.000
Kurul kararı 2023/1430

Yemek kartı uygulamasında kimlik numarası işlenmesi

Kurul, yemek kartı hizmeti sunan veri sorumlusunun mobil uygulamasına kayıt olurken T.C. kimlik numarası istendiğine ilişkin ihbar üzerine resen inceleme başlatmıştır. İncelemede, fiziksel yemek kartlarının mobil uygulamaya eklenmesinde doğrulama için T.C. kimlik numarası işlendiği tespit edilmiştir. Kurul, T.C. kimlik numarasının telefon numarasına göre daha hassas bir veri olduğunu ve veri ihlali halinde daha büyük zarara yol açacağını, işveren aracılığıyla kart ve telefon bilgisiyle doğrulama yapılmasının mümkün olduğunu değerlendirmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış; T.C. kimlik numarası işlenmeden doğrulama yapılması ve mevcut verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/1414

DNA test raporlarının avukat tarafından mahkemeye sunulması

Şikayette, ilgili kişinin kendisine ve çocuklarına ait DNA test raporlarının e-posta adresine hukuka aykırı olarak erişilerek veri sorumlusu avukat tarafından ele geçirildiği ve alacak davasında aleyhine kullanıldığı iddia edilmiştir. Kurul, DNA raporlarının ilgili kişinin çocuklarına da ait olması nedeniyle çocuklarla ortak kişisel veri niteliğinde olduğunu, raporun verilere hukuka aykırı erişildiğine dair tevsik edici belge sunulmadığını tespit etmiştir. Genetik verilerin, çocukların vekili olan avukat tarafından işlenmesinin ve mahkemeye aktarılmasının, 1136 sayılı Avukatlık Kanunu ve HMK m.219 kapsamında KVKK m.6/3 ve m.8'e uygun olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1356

Mescitteki ibadet görüntülerinin işe iade davasında kullanılması

Şikayette, veri sorumlusu şirketin iş yerindeki mescitte kamera ile ibadet eden çalışanların görüntülerini kaydettiği, açık rızanın özgür iradeyle alınmadığı ve ayrımcılık yapıldığı iddia edilmiştir. Kurul, mescitteki kamera kaydının ilgili kişinin dini inancına ilişkin özel nitelikli kişisel veri işleme olduğunu, açık rızanın işten çıkarılma korkusuyla geriye dönük olarak imzalatıldığını ve özgür iradeyi yansıtmadığını tespit etmiştir. İbadethanenin kamera ile izlenmesinin KVKK m.4'teki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; veri işlemenin durdurulması ve verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/1327

Otel konaklama bilgilerinin çalışan tarafından paylaşılması

Şikayette, veri sorumlusu otelin hazırladığı Housekeeping Task Sheet belgesinin sosyal medya üzerinden üçüncü bir kişi tarafından ilgili kişiye gönderildiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, belgede müşteri isim ve soyadına yer verilmesinin KVKK m.4/2(ç)'deki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğunu ve verilerin üçüncü kişilerce elde edilmesinin yeterli teknik ve idari tedbirlerin alınmamış olmasından kaynaklandığını tespit etmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; belgelerin düzenlenmesi, aydınlatma metinlerinin uyumlu hale getirilmesi ve açık rızanın ayrıca alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2023/1310

Mobil bankacılık parolası için yüz verisi işlenmesi

Şikayette, veri sorumlusu bankanın mobil bankacılık uygulamasından kurumsal hesap için dijital parola alınırken yüz verilerinin işlenmesine rıza verilmediği durumda hizmetin sağlanamadığı iddia edilmiştir. Kurul, şikayet tarihinde kurumsal müşteriler için mobil bankacılıkta yalnızca T.C. kimlik kartı ve yüz verisi ile dijital parola alınabildiğini, ancak şube ve telefon bankacılığı kanallarının alternatif olarak mevcut olduğunu ve bu hususun internet sitesinde belirtildiğini tespit etmiştir. Hizmetin şarta bağlanmadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak rıza vermeyen müşterilere alternatif kanallar hakkında açık bilgilendirme yapılması gerektiği yönünde uyarıda bulunulmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/1321

Eski ortağın şirket e-posta hesabındaki iletilerinin okunması

Şikayette, ilgili kişinin veri sorumlusu şirketten ayrıldıktan sonra eski e-posta adresine gelen iletilerin veri sorumlusu tarafından okunmaya devam ettiği iddia edilmiştir. Kurul, ilgili kişinin pasif durumda bulunan e-posta adresine ileti gönderilmeye devam edildiğini ve bu iletilerin "tanımsız mail" olarak yönetici e-postasına düştüğünü, e-posta verilerinin kişisel veri niteliği taşıdığını tespit etmiştir. Söz konusu kişisel veri işleme faaliyetinin KVKK m.5'teki herhangi bir işleme şartına dayanmadığı değerlendirilerek veri sorumlusuna KVKK m.18 uyarınca 50.000 TL idari para cezası uygulanmış; sistemin düzeltilmesi ve verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2023/1309

Mobil check-in sırasında başka yolcuların verilerinin görüntülenmesi

Şikayette, ilgili kişinin havayolu firmasının mobil uygulamasından check-in yaparken tanımadığı dört kişinin kişisel verilerini (kimlik, pasaport, vize bilgileri) gördüğü iddia edilmiştir. Kurul, veri sorumlusunun PNR + soyadı kombinasyonu ile erişim sağlandığını beyan etmesine rağmen, ilgili kişinin ekran görüntülerinde farklı soyadlı kişilerin verilerinin görüldüğünü tespit etmiştir. KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı erişimini önlemeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış ve ilave teknik tedbirler alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/1234

Araç kiralama hizmetinde Findeks raporu talebi

Şikayette, araç kiralama şirketinin ilgili kişiden Findeks raporu talep ettiği ve bu rapor verilmeden araç teslim edilmeyerek rezervasyonun iptal edildiği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde Findeks sorgulaması yapıldığının açıkça belirtildiğini ve Findeks raporu bilgilerinin işlenmesinin ancak KVKK m.5/1 kapsamında açık rıza ile mümkün olduğunu tespit etmiştir. Hizmetin açık rıza şartına bağlanmasının özgür iradeyi ortadan kaldırdığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmış; başvuruların usulüne uygun yanıtlanması ve verilerin imha edilmesi gerektiği hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2023/1154

VERBİS İstisnasındaki Mali Bilanço Eşiğinin Güncellenmesi

Kurul, ana faaliyeti özel nitelikli kişisel veri işleme olmayan veri sorumluları bakımından VERBİS kayıt istisnasında aranan yıllık mali bilanço üst sınırını 25 milyon Türk lirasından 100 milyon Türk lirasına yükseltmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2023/1130

Eczanenin rapor ve ilaç kayıtlarını eski eşle paylaşması

Şikayette, eczacının Medula sisteminden ilgili kişinin hastane rapor ve ilaç kayıtlarını alarak boşandığı eşine verdiği iddia edilmiştir. Kurul, eczacının Medula sistemi kapsamında veri işleyen sıfatını haiz olduğunu, ancak bu sistemin işlevi dışında verileri üçüncü kişilerle paylaşması halinde veri sorumlusu sıfatını kazanacağını değerlendirmiştir. Eczacının, çalışanının seçimi ve denetiminde gerekli özeni göstermediği, ilgili kişinin sağlık verilerini KVKK m.6'daki şartlara dayanmadan paylaştığı tespit edilmiştir. Veri sorumlusu eczacıya KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış ve özel nitelikli kişisel verilerin korunmasına ilişkin uyarıda bulunulmuştur. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2023/1050

Banka görüşme kaydı dökümüne erişim talebinin reddedilmesi

Şikayette, ilgili kişinin veri sorumlusu bankaya sanal kartının kopyalandığı iddiasıyla yaptığı başvurunun yanıtsız bırakıldığı ve müşteri temsilcisi ile görüşme kaydının paylaşılmadığı iddia edilmiştir. Kurul, bankanın sır saklama yükümlülüğünün üçüncü kişilere bilgi verilmemesini gerektirdiğini, ancak KVKK m.11/1(b) kapsamında ilgili kişilerin kendi verilerine erişim hakkının bulunduğunu değerlendirmiştir. Görüşme dökümünün, üçüncü kişi verileri maskelenerek ilgili kişiye gönderilmesi ve başvuruların KVKK m.13 ile Tebliğ hükümlerine uygun şekilde yanıtlanması gerektiği yönünde veri sorumlusu talimatlandırılmıştır. Sonuç Talimat / Uyarı
Kurul kararı 2023/1041

Çevrim içi satış hizmetinin yurt dışı aktarım rızasına bağlanması

Şikayette, veri sorumlusunun internet sitesinden şeker ölçüm cihazı satın alabilmek için yurt dışına veri aktarımına açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, internet sitesi üzerinden satışta açık rıza alınmakla birlikte, müşteri hizmetleri aracılığıyla alternatif satış kanalının mevcut olduğunu ve bu kanalın ek maliyet öngörmediğini tespit etmiştir. Hizmetin açık rıza şartına bağlanmadığı değerlendirilmiş; ancak alternatif satış kanalının anlaşılır biçimde gösterilmesi için veri sorumlusunun talimatlandırılmasına karar verilmiştir. Gizlilik metinlerinin işaretlenmesi şartı aydınlatma yükümlülüğü kapsamında değerlendirilmiş ve Kanun'a aykırılık bulunmamıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2023/1017

Dijital Oyun Platformundaki Veri İhlali

Dijital oyun ve eğlence platformları sunan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İdari Para Cezası Ceza tutarı ₺1.500.000
Kurul kararı 2023/932

Kredi işlemi SMS'inin bildirilmemiş telefon numarasına gönderilmesi

Şikayette, ilgili kişinin veri sorumlusu bankaya kredi başvurusunda bulunduğu, bankaya verdiği telefon numarası dışında sistemde kayıtlı olmayan başka bir telefon numarasına da kredi işlemiyle ilgili mesaj gönderildiği iddia edilmiştir. Kurul, bankanın Kredi Kayıt Bürosu'ndan (KKB) temin ettiği alternatif iletişim bilgisini, dolandırıcılığın önlenmesi ve başvuru güvenliğinin sağlanması amacıyla kullandığını, Bankacılık Bilgi Sistemleri Yönetmeliği'nin 36'ncı maddesi uyarınca riskli işlemleri tespit etme yükümlülüğünün bulunduğunu tespit etmiştir. Söz konusu kişisel veri işleme faaliyetinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" ve m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi