KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 4. sayfa

4. sayfa 382 karardan 24 kayıt

Kurul kararı 2023/924

Otopark işletmesinin plaka ve borç verilerini aydınlatmasız işlemesi

Şikayette, veri sorumlusu otopark işletmecisinin ilgili kişinin aracının park borcu olduğu iddiasıyla icra takibi başlattığı, araç ruhsat bilgilerinin nasıl temin edildiğinin belirsiz olduğu ve internet sitesinde plaka sorgusuyla borç bilgisine alenen ulaşılabildiği iddia edilmiştir. Kurul, otopark hizmetinden yararlanan ilgili kişinin kimlik bilgilerine ulaşılmasının ve aracın fotoğraflarının dava dosyasına sunulmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması" kapsamında olduğunu tespit etmiştir. Ancak yalnızca plaka ile tek kademeli sorgulama yapılmasının veri güvenliği açısından yetersiz olduğu ve aydınlatma yükümlülüğünün yerine getirilmediği değerlendirilerek veri sorumlusuna KVKK m.18/1(a) uyarınca 75.000 TL idari para cezası uygulanmış; çift faktörlü doğrulama sistemi kurulması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2023/928

Üniversitenin sağlık ve iletişim verilerini toplu e-postayla paylaşması

Şikayette, üniversite rektörü tarafından gönderilen toplu e-posta ekinde ilgili kişilere ve üçüncü kişilere ait telefon numaraları, e-posta adresleri, HES kodları, aşı bilgileri ve risk durumu gibi kişisel ve özel nitelikli verilerin paylaşıldığı iddia edilmiştir. Kurul, söz konusu Excel dosyasının sehven değil, daha önceki e-postada da benzer paylaşım yapıldığından kasıtlı olarak gönderildiğini, sağlık verilerinin KVKK m.6'daki işleme şartlarına dayanmadan üçüncü kişilerle paylaşıldığını tespit etmiştir. Veri ihlali niteliği taşıyan söz konusu olay için Kurula bildirim yapılmadığı değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan sorumlular hakkında disiplin hükümlerine göre işlem yapılması ve Kurula bilgi verilmesi talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2023/938

Üniversitenin kurumsal hesaba günlük duyuru e-postaları göndermesi

Şikayette, üniversite öğrencisi olan ilgili kişinin kendisine tahsis edilen kurumsal e-posta adresine istemediği günlük duyuru e-postaları gönderildiği ve gönderim listesinden çıkarılma talebinin reddedildiği iddia edilmiştir. Kurul, e-postaların içeriğinde öğretim hakkıyla ilgili akademik ve idari duyurular, kampüs etkinlikleri, iş sağlığı ve güvenliği ile bilgi güvenliği bilgilendirmelerine yer verildiğini tespit etmiştir. İlgili kişinin kişisel verisi niteliğindeki kurumsal e-posta adresine gönderim yapılmasının KVKK m.5/2(f) "veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına; ancak aydınlatma metninde bu hususa yer verilmek üzere güncelleme yapılması talimatlandırılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/890

Özel yolcu programının pazarlama rızasına bağlanması

Şikayette, veri sorumlusu havayolu şirketinin özel yolcu programında biriken millerin görüntülenmesi için pazarlama faaliyetlerinde kullanılmaya ilişkin kutucuğun işaretlenmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, özel yolcu programının bir sadakat programı olduğunu, ilgili kişinin programa katılmaksızın da temel hizmet olan uçak bileti satışından faydalanabildiğini ve biriken millerin çağrı merkezi, web sitesi veya satış ofisleri üzerinden de görüntülenebildiğini tespit etmiştir. Ek menfaatlerin açık rıza koşuluna bağlanmasının özgür iradeyi ortadan kaldırmayacağı, Kurulun 2019/198 sayılı Kararında da bu hususun değerlendirildiği ve açık rızanın koşul olarak dayatılması niteliği taşımadığı değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/892

Kooperatif ortaklığı sona eren kişinin verilerinin işlenmeye devam etmesi

Şikayette, ilgili kişinin kişisel verilerinin KOOPBİS'e hukuka aykırı işlendiği, kooperatif ortaklığından noter ihtarnamesiyle ayrılmasına rağmen genel kurul davetiyesi gönderilmeye devam edildiği ve imha talebinin yerine getirilmediği iddia edilmiştir. Kurul, KOOPBİS'in veri kayıt sisteminin kurulmasından Ticaret Bakanlığının sorumlu olduğunu, 1163 sayılı Kooperatifler Kanunu'nun 13'üncü maddesi uyarınca noter bildirimi tarihinden itibaren ortaklığın sona erdiğini tespit etmiştir. Kooperatif ortaklığından ayrılmasına rağmen ilgili kişinin kişisel verilerinin KVKK m.5'teki işleme şartlarına dayanmadan işlenmeye devam edildiği değerlendirilerek veri sorumlusu kooperatife KVKK m.18/1(b) uyarınca 50.000 TL idari para cezası uygulanmış; başvuruların süresinde sonuçlandırılması gerektiği hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2023/845

Kuryenin teslimat sonrası telefon numarasını taciz için kullanması

Şikayette, veri sorumlusu kargo şirketinin kuryesi tarafından kargo teslimatı sonrasında ilgili kişinin cep telefonu numarasına taciz içerikli mesaj gönderildiği iddia edilmiştir. Kurul, eylemi gerçekleştiren kişinin veri sorumlusu adına geçici olarak çalıştığını, TBK m.66 ve İş Kanunu m.2 uyarınca veri sorumlusunun sorumluluğunun bulunduğunu tespit etmiştir. Söz konusu kişiye kişisel verilerin korunması konusunda eğitim verilmediği ve bilgilendirme yapılmadığı, KVKK m.5'teki işleme şartlarına dayanılmadan cep telefonu numarasının hukuka aykırı paylaşıldığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2023/767

Evli çiftin sağlık verilerinin gazetede yayımlanması

Şikayette, ilgili kişilerin özel hastanede yaşadıkları sağlık sorununa ilişkin özel nitelikli kişisel verilerinin gazetede haberleştirildiği ve bu haberin çok sayıda internet sitesinde yayımlandığı iddia edilmiştir. Kurul, haberde olayın bir gazete haberinin gerektirdiğinden fazla detay ile anlatıldığını, ilgili kişilerin sağlık sorununa ilişkin tüm detaylar, sarf edilen sözler gibi bilgilerin özel hayatın gizliliğini ihlal ettiğini tespit etmiştir. KVKK m.28/1(c)'deki ifade özgürlüğü istisnasının kişilik haklarını ihlal etmemek kaydıyla geçerli olduğu, özle biçim arasındaki dengenin korunmadığı değerlendirilerek veri sorumlusu gazete hakkında KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2023/787

Hastaların sağlık verilerinin reklam amaçlı kullanımına açık rıza

İhbarda, özel hastanenin hastalara imzalattığı onam formlarında görüntü ve videoların reklam ve tanıtım amacıyla paylaşılmasına açık rıza istendiği ve bu verilerin sosyal medyada yayımlandığı iddia edilmiştir. Kurul, Özel Hastaneler Yönetmeliği'nin 60'ıncı maddesinde özel hastanelerin talep yaratmaya yönelik reklam yapmasının yasak olduğunu, açık rıza bulunsa dahi sektörel düzenlemeye aykırı veri işlemenin meşru olmadığını tespit etmiştir. Toplum bilinci oluşturma amacının kişisel veri işlenmeden de gerçekleştirilebileceği ve ölçülülük ilkesine aykırılık bulunduğu değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 250.000 TL idari para cezası uygulanmış; verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2023/695

Tıp merkezi çalışanının e-Nabız verilerine yetkisiz erişimi

Şikayette, veri sorumlusu tıp merkezi çalışanı hekimin e-Nabız sistemi üzerinden ilgili kişinin sağlık verilerine yetkisiz ve onaysız eriştiği iddia edilmiştir. Kurul, hekimin e-imza şifresini sekreteri ile paylaştığını, sekreterin de bir tanıdığının talebiyle ilgili kişinin e-Nabız bilgilerini sorguladığını tespit etmiştir. İlgili kişinin e-Nabız gizlilik ayarlarını "Tüm Hekimler Görsün" şeklinde ayarlamış olmasının, herhangi bir hekime amacı dışında verilere erişim hakkı vermediği, KVKK m.6'daki işleme şartlarına dayanılmadan özel nitelikli kişisel verilere erişildiği değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2023/692

Sağlık hizmetinin reklam amaçlı açık rıza şartına bağlanması

İhbarda, sağlık kuruluşunun internet sitesinden randevu alınırken tanıtım amacıyla kişisel veri işlemeye açık rıza verilmesinin zorunlu tutulduğu iddia edilmiştir. Kurul, ihbar tarihinde tanıtım kutucuğu işaretlenmeden randevu işleminin tamamlanamadığını, ancak inceleme başladıktan sonra veri sorumlusunun bu durumu düzelttiğini tespit etmiştir. Sağlık hizmetiyle doğrudan bağlantılı olmayan tanıtım faaliyetine yönelik açık rızanın zorunlu tutulmasının KVKK m.4'teki "hukuka ve dürüstlük kurallarına uygunluk" ilkesine aykırı olduğu ve özgür iradenin sakatlandığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 300.000 TL idari para cezası uygulanmış; aydınlatma ve açık rıza metinlerinin düzenlenmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2023/646

Üniversite personelinin özlük bilgilerinin toplu e-postayla paylaşılması

Şikayette, üniversite fakülte dekanı tarafından gönderilen e-posta ekinde ilgili kişinin ve tüm öğretim üyelerinin sicil numaraları, çalıştıkları birim ve izin durumlarını gösteren verilerin tüm personelle paylaşıldığı iddia edilmiştir. Kurul, izin kullanımı hususunda uyarı amacıyla kişisel verilerin birimde görevli diğer tüm personelle paylaşılmasının gereklilik arz etmediğini ve yalnızca ilgili kişinin muhatap alınarak alternatif süreçlerin işletilebileceğini tespit etmiştir. Söz konusu veri paylaşımının KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığı ve m.12/1'e aykırılık teşkil ettiği değerlendirilerek KVKK m.18/3 uyarınca veri sorumlusu bünyesinde görev yapan ilgili personel hakkında disiplin hükümlerine göre işlem yapılması talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2023/567

E-ticarette kart bilgilerinin kaydedilmesinin zorunlu tutulması

Şikayette, veri sorumlusu e-ticaret sitesinde alışveriş yapabilmek için kredi/banka kartı bilgilerinin zorunlu olarak kaydedilmesinin talep edildiği iddia edilmiştir. Kurul, alışverişin tamamlanması için girilen kart bilgilerinin işlem sonrasında cüzdan bölümünde kayıtlı olmaya devam ettiğini, EDPB'nin 02/2021 sayılı Tavsiye Kararında sonraki alışverişleri kolaylaştırmak amacıyla kart bilgilerinin işlenmesinde dayanılması gereken işleme şartının açık rıza olduğunun belirtildiğini tespit etmiştir. Veri sorumlusunun kart bilgilerini zorunlu olarak kaydettirmesinin KVKK m.4/2'deki genel ilkelere ve m.5'teki işleme şartlarına aykırı olduğu değerlendirilerek KVKK m.18/1(b) uyarınca 500.000 TL idari para cezası uygulanmış; açık rızaya dayalı kayıt sistemi geliştirilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2023/570

Kripto hesap seviyesinde ölçüsüz kimlik ve fotoğraf talebi

Şikayette, kripto varlık hizmet sağlayıcısı olan veri sorumlusunun üyelik seviyesinin yükseltilmesi için kimlik belgesinin ön ve arka yüzü fotoğrafı ile birlikte kişinin kendi fotoğrafını talep ettiği ve ölçüsüz veri işleme yapıldığı iddia edilmiştir. Kurul, veri sorumlusunun 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve Tedbirler Hakkında Yönetmelik kapsamında yükümlü olduğunu, müşteri tanıma yükümlülüğü çerçevesinde kimlik tespiti yapmasının zorunlu olduğunu tespit etmiştir. Kullanıcının kimliğinin tespit edilmesinde kamusal bir menfaat bulunduğu ve kişisel verilerin işlenmesinin KVKK m.5/2(a) "kanunlarda açıkça öngörülmesi" kapsamında olduğu değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/426

Tüketici finansmanında e-Devlet şifresi talep edilmesi

Kurul, tüketici finansman kredisiyle alışveriş yapan müşterilerden e-Devlet şifresi talep edildiğine ilişkin ihbarlar üzerine resen inceleme başlatmıştır. İncelemede, veri sorumlusunun müşterilerden kredi değerlendirmesi için sigorta hizmet dökümünü e-Devlet üzerinden temin etmelerini istediği ve bu amaçla e-Devlet şifresi ile şubeye davet edildiğine dair kısa mesajlar gönderildiği tespit edilmiştir. e-Devlet şifresinin ele geçirilmesi halinde kişilerin tüm verilerine erişim sağlanabilecek ciddi riskler oluştuğu, veri sorumlusunun savunmalarının tutarlılık içermediği ve kamuoyunda çok sayıda benzer şikayet bulunduğu değerlendirilerek KVKK m.18/1(b) uyarınca 400.000 TL idari para cezası uygulanmış; hukuka aykırı işlenen verilerin imha edilmesi talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺400.000
Kurul kararı 2023/437

Borç takibi kapsamında tekrarlanan kısa mesajlar gönderilmesi

Şikayette, avukatlık ortaklığının vekili olduğu şirketin borç takibi kapsamında ilgili kişiye beş kez kısa mesaj gönderdiği ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatlık ortaklığının Şirketten aldığı vekalete dayanarak icra takibi öncesi borç bilgilendirmesi yapmasının KVKK m.5/2(e) "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" kapsamında olduğunu tespit etmiştir. Ayda bir kez, hafta içi mesai saatlerinde gönderilen mesajların KVKK m.4/2(a) "hukuka ve dürüstlük kuralına uygunluk" ve m.4/2(ç) "ölçülülük" ilkelerine aykırı olmadığı değerlendirilerek veri sorumlusu hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/412

Hosting Firmasındaki Veri İhlali

Bir hosting firması tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İdari Para Cezası Ceza tutarı ₺350.000
Kurul kararı 2023/134

TikTok'ta çocuk verileri, açık rıza ve veri güvenliği eksiklikleri

Kurul, TikTok uygulaması hakkında internet ve sosyal medyada yer alan açık rıza, veri güvenliği ve gizlilik açıklarına ilişkin haberler üzerine resen inceleme başlatmıştır. İncelemede, 2021 öncesinde 13-15 yaş arası kullanıcıların profillerinin varsayılan olarak herkese açık olduğu, 13 yaş altı çocuklardan uygun ebeveyn izni olmadan veri toplandığı, Gizlilik Politikasında hangi verilerin hangi amaçla işlendiğinin net belirtilmediği, açık rızanın aydınlatmadan ayrı alınmadığı ve profilleme için çerez kullanımında açık rıza alınmadığı tespit edilmiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 1.750.000 TL idari para cezası uygulanmış; Hizmet Koşullarının Türkçeye çevrilmesi, Gizlilik Politikasının düzeltilmesi ve usulüne uygun aydınlatma yapılması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺1.750.000
Kurul kararı 2023/224

Belediye meclisi videosunda dava bilgilerinin yayımlanması

Şikayette, belediye meclis toplantısında belediye başkanı tarafından ilgili kişinin dava sürecine ilişkin bilgilerinin paylaşıldığı ve toplantı kaydının sosyal medyada yayımlandığı iddia edilmiştir. Kurul, ilgili kişinin eski meclis üyesi olduğunu, 5393 sayılı Belediye Kanunu'nun 20'nci maddesinde meclis toplantılarının sesli ve görüntülü cihazlarla kaydedilebileceğinin öngörüldüğünü ve Belediye Meclisi Çalışma Yönetmeliği'nin 11'inci maddesinde toplantıların halka açık olduğunun düzenlendiğini tespit etmiştir. Kamuoyunun konuya ilişkin bilgilendirilmesinde kamu ilgi ve yararının mevcut olduğu değerlendirilerek video kaydının yayımlanmasının KVKK m.5/2(ç) "hukuki yükümlülüğün yerine getirilmesi" kapsamında olduğuna ve belediye başkanlığı hakkında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/78

Borç bilgisinin şirketin kurumsal numaralarına gönderilmesi

Şikayette, GSM operatörü tarafından ilgili kişinin ortağı olduğu şirkete ait 4 farklı cep telefonu numarasına ilgili kişinin ad-soyadı ve borç bilgilerini içeren kısa mesaj gönderildiği ve bu suretle üçüncü kişilerle kişisel verilerin paylaşıldığı iddia edilmiştir. Kurul, kurumsal iletişim numaralarının ilgili kişinin bireysel sözleşmelerinde iletişim numarası olarak kullanılmasının KVKK m.4/2(b)'deki "doğru ve güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusu GSM operatörünün hatalı veri paylaşması nedeniyle borca konu işlemle ilgisi olmayan üçüncü kişilerle kişisel verilerin paylaşıldığı değerlendirilerek KVKK m.18/1(b) uyarınca 85.000 TL idari para cezası uygulanmış; veri işleyen avukatlık ortaklığı hakkında ise işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺85.000
Kurul kararı 2023/86

Çalışanların kurumsal e-postalarının izlenmesi ve saklanması

Şikayette, ilgili kişinin iş akdinin feshedildiği, fesih gerekçesi olarak şirket e-posta hesabından kişisel e-postasına ilettiği verilerin ve gizlice kaydedilen telefon görüşmesinin gösterildiği, e-posta denetiminin hukuka aykırı olduğu iddia edilmiştir. Kurul, veri sorumlusunun e-posta denetimi aracılığıyla gerçekleştirilen veri işleme hakkında ilgili kişiye aydınlatma yaptığını, şirket bilgilerinin dışarı aktarılmasının tespiti amacıyla denetim yapmasında meşru menfaatinin bulunduğunu tespit etmiştir. AYM ve AİHM kararlarında belirlenen kriterlere uygun olarak şüpheli konulu e-postaların tespit edildikten sonra içerik denetimine geçilmesinin KVKK m.5/2(e) ve (f) kapsamında ve m.4/2(ç)'deki ölçülülük ilkesine uygun olduğu değerlendirilerek veri sorumlusu hakkında işlem yapılmasına yer olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/67

Banka hesap hareketlerinin yanlış e-posta adresine gönderilmesi

Şikayette, ilgili kişinin banka hesabına ilişkin ekstre ve anlık hesap hareketlerinin bilgisi ve rızası dışında üçüncü bir kişinin e-posta adresine gönderildiği iddia edilmiştir. Kurul, şikayete konu e-posta adresinin ilgili kişinin ortağı olduğu şirketin vekili tarafından banka ile paylaşıldığını, sonrasında ilgili kişinin bireysel emeklilik başvurusu sırasında formu imzalayarak e-posta adresini onayladığını ve başvuru üzerine bankanın hemen düzeltme yaptığını tespit etmiştir. Veri sorumlusu bankanın özen yükümlülüğü çerçevesinde hareket ettiği değerlendirilerek hakkında işlem yapılmasına yer olmadığına; ancak Kurulun 2020/966 sayılı İlke Kararı doğrultusunda iletişim bilgilerinin belirli periyotlarla doğrulanması hususunda uyarılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2023/4

Çapraz barkodlama hatasıyla kargo paketlerinin karışması

Şikayette, veri sorumlusu kargo firmasının barkodlama hatası nedeniyle ilgili kişiye ait kargo paketini üçüncü kişiye, üçüncü kişiye ait paketi ise ilgili kişiye teslim ettiği ve bu suretle kişisel verilerin hukuka aykırı olarak paylaşıldığı iddia edilmiştir. Kurul, çapraz barkodlama hatası nedeniyle gerçekleşen veri paylaşımının KVKK m.5'teki herhangi bir işleme şartına dayanmadığını ve KVKK m.12/1 kapsamında kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünün yerine getirilmediğini tespit etmiştir. Söz konusu durumun veri ihlali olmasına rağmen Kurula bildirimde bulunulmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 75.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2022/1407

Moda Tekstil Şirketindeki Veri İhlali İncelemesi

Moda tekstil faaliyeti yürüten Veri Sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/1375

Sanayi Şirketindeki Veri İhlali ve Geç Bildirim

Bir sanayi şirketi olan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İdari Para Cezası Ceza tutarı ₺1.000.000