KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 4. sayfa

4. sayfa 335 karardan 24 kayıt

Kurul kararı 2022/774

Veri sorumlusu bir e-ticaret sitesinden alışveriş yapan üçüncü kişiye ait sipariş bilgilerinin ilgili kişinin e-posta adresine gönderilmesi

Şikayette, e-ticaret sitesinden alışveriş yapan üçüncü bir kişinin isim benzerliği nedeniyle sehven ilgili kişinin e-posta adresini girerek sipariş verdiği, bu siparişe ilişkin gönderici ve alıcı bilgilerini içeren bilgilendirme e-postalarının ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir müşteri girişiyle yapılan alışverişlerde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve üçüncü kişilerin kişisel verilerinin hukuka aykırı işlenmesine zemin hazırladığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında teyit mekanizması kurmadan kişisel veri işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2022/776

Veri sorumlusu bir pazarlama şirketi tarafından çocuğun kişisel verilerinin velisinin açık rızası alınmaksızın tanıtım amaçlı broşür gönderilmesi…

Şikayette, pazarlama şirketinin serbest girişimcisi tarafından 8 yaşındaki bir çocuğa mektup yoluyla tanıtım amaçlı broşür gönderildiği, velisinin açık rızası olmaksızın çocuğun ev adresi ve isminin işlendiği iddia edilmiştir. Kurul, serbest girişimcinin şirketten bağımsız olarak veri sorumlusu sıfatını haiz olduğunu, e-ticaret sitesi üzerinden daha önce yapılan siparişle broşür gönderimi arasında dört buçuk aylık süre bulunduğunu tespit etmiştir. Tanıtım ve pazarlama amacıyla broşür gönderilmesinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadığı değerlendirilerek serbest girişimci hakkında Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/768

Veri sorumlusu banka tarafından ilgili kişinin kişisel verilerinin açık rızası alınmaksızın bir sigorta şirketine aktarılması” hakkındaki

Şikayette, ilgili kişinin telefonunun bir sigorta şirketi tarafından arandığı, telefon numarasının veri sorumlusu banka aracılığıyla elde edildiği iddia edilmiştir. Kurul, bankanın ilgili sigorta şirketi ile acentelik sözleşmesi bulunduğunu, ancak sunulan "Kampanya İletişim Tercihleri Talimatı" belgesinin kişisel verilerin aktarımına yönelik bilgilendirme içermediğini ve açık rıza şartlarını karşılamadığını tespit etmiştir. Bankacılık Kanunu'nun 73. maddesi uyarınca müşteri sırrının paylaşımı için gizlilik sözleşmesi ve müşteri talebi/talimatı gerektiği, bunların sunulmadığı değerlendirilerek Kanun'un 8. maddesine aykırı aktarım nedeniyle veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 250.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2022/655

Tasfiye edilmiş şirketin yönetim kurulu üyeleri olan ilgili kişilerin kişisel verilerinin, şirket borcu kapsamında kısa mesaj gönderme ve arama…

Şikayette, tasfiye edilmiş limited şirketin eski ortaklarına ait kişisel verilerin veri sorumlusu avukat tarafından borç tahsili amacıyla işlendiği, ısrarla arama yapıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatın ilgili kişilerin ad, soyad, T.C. kimlik numarası ve telefon numaralarını UHAP ve bilinmeyen numara servisleri gibi yasal platformlardan edindiğini, bu işlemenin Kanun'un 5/2(ç) "hukuki yükümlülük" ve 5/2(e) "hak arama hürriyeti" şartlarına dayandığını tespit etmiştir. "Defaten/ısrarla" arama iddiasının sunulan belgelerden ispat edilemediği, aydınlatma yükümlülüğüne ilişkin iddiaların ise veri sorumlusuna yapılan başvuruda yer almadığı değerlendirilerek Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/662

İlgili kişinin ‘el geometrisi’ bilgisinin bir işletmenin hizmet binasına giriş yapabilmek amacıyla veri sorumlusu tarafından açık rıza alınmaksızın…

Şikayette, bir işletmenin hizmet alanına girişte avuç içi ve parmak izi tarandığı, açık rıza alınmadığı iddia edilmiştir. Kurul, kullanılan cihazın "el geometrisi" bilgisini işlediğini, bu cihazın elin 31.000 noktadan üç boyutlu taranarak karakteristiklerini analiz ettiğini, yanılma oranının çok düşük olduğunu tespit etmiştir. El geometrisinin fizyolojik özellik aracılığıyla gerçekleştirilen biyometrik bir kimlik doğrulama yöntemi olduğu, Kanun'un 6. maddesindeki özel nitelikli kişisel veri işleme şartlarının bulunmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış, biyometrik veri işleme uygulamasının durdurulması ve işlenen el geometrisi verilerinin yok edilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/653

İlgili kişinin, çevrimiçi alışveriş hizmeti veren veri sorumlusundan gerçekleştirdiği alışverişine ilişkin kredi kartı ve cep telefonu bilgilerinin…

Şikayette, veri sorumlusu e-ticaret platformundan yapılan alışverişlere ilişkin kredi kartı bilgileri ve teslimat telefon numarasının Kanun kapsamında talep edildiği ancak veri sorumlusunun bu talebi reddettiği iddia edilmiştir. Kurul, kredi kartı bilgilerinin PCI DSS uyumluluğu gereği mobil ödeme teknolojisi sağlayıcısı aracı şirket bünyesinde tutulduğunu, veri sorumlusunun bu bilgilere erişiminin olmadığını tespit etmiştir. İlgili kişinin üyelik hesabından verilen siparişlerde üçüncü kişinin telefon numarasının bulunduğu durumlarda, ilgili kişinin makul gerekçesi olması ve dolandırıcılık riski bulunmaması halinde bu bilginin kimlik doğrulama mekanizmalarıyla paylaşılabileceği değerlendirilerek veri sorumlusu bu hususta talimatlandırılmıştır. Sonuç Talimat / Uyarı
Kurul kararı 2022/630

İlgili kişinin ameliyat sırasında çekilen fotoğraflarının veri sorumlusu hastanede çalışan bir doktorun sosyal medya hesabında paylaşılması

Şikayette, özel bir hastanede burun ameliyatı sırasında baygın olduğu esnada çekilen fotoğraflarının, hastanede çalışan doktorun sosyal medya hesabında reklam amaçlı paylaşıldığı iddia edilmiştir. Kurul, görsellerde yüzün kaş, bıyık gibi bölümlerinin açıkça yer aldığını ve ilgili kişinin kimliğini belirlenebilir kıldığını tespit etmiştir. Muvafakatnamede açık rıza gösterilen tarafın hastane olduğu, doktorun bu verileri paylaşması için ayrı bir rızanın bulunmadığı değerlendirilerek Kanun'un 12/1 kapsamında gerekli tedbirlerin alınmadığı sonucuna varılmış ve veri sorumlusu hastane hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/594

Özel nitelikli kişisel sağlık verisi niteliğindeki bağımlılık yapıcı madde testinin sonuçlarının ilgili kişilerin açık rızası alınmaksızın veri…

Şikayette, işveren bünyesinde çalışan ilgili kişilerin uyuşturucu testine zorlandığı, test sonuçlarının işyerindeki üçüncü bir kişinin e-posta adresine gönderildiği, dolayısıyla sağlık verilerinin rızaları olmaksızın paylaşıldığı iddia edilmiştir. Kurul, veri sorumlusu sağlık kuruluşunun test sonuçlarını gönderdiği üçüncü kişinin işyeri hekimi olmadığını, Kanun'un 6. maddesi kapsamında sır saklama yükümlülüğü altında bulunan kişilerden olmadığını tespit etmiştir. Açık rızayı kanıtlayıcı belge sunulmadığı, özel nitelikli kişisel verilerin hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2022/545

İlgili kişinin kişisel verilerinin hesabının bulunmadığı veri sorumlusu banka tarafından aydınlatma yükümlülüğü yerine getirilmeksizin ve açık…

Şikayette, ilgili kişinin bir elektronik eşya mağazasından kredi sorgulaması için veri sorumlusu bankaya SMS gönderdiği, bankanın daha önceden kişisel verilerini işlediği, aydınlatma yapılmadığı ve başvuruya usulüne uygun yanıt verilmediği iddia edilmiştir. Kurul, bankanın ilgili kişinin iradesiyle başlattığı kredi hesaplama sürecinde kişisel verilerini KPS, Kredi Kayıt Bürosu ve TBB Risk Merkezi aracılığıyla işlediğini, bu verilerin banka bünyesinde önceden tutulmadığını tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak Aydınlatma Tebliği'ne uyum açısından bazı eksiklikler bulunduğu değerlendirilerek aydınlatma metninin Tebliğ'e uygun hale getirilmesi ve başvurulara eksiksiz yanıt verilmesi hususlarında veri sorumlusu talimatlandırılmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2022/491

Veri sorumlusu bir giyim mağazası için katalog modeli olarak çalışan ilgili kişinin fotoğraflarının, iş ilişkisinin sona ermesinden sonraki süreçte…

Şikayette, giyim mağazasında katalog modeli olarak çalışan ilgili kişinin iş ilişkisinin sona ermesine rağmen fotoğraflarının veri sorumlusunun internet sitesinde yayınlanmaya devam ettiği iddia edilmiştir. Kurul, ilgili kişi ile veri sorumlusu arasında yazılı olmayan bir fotomodellik sözleşmesinin bulunduğunu, bu sözleşme kapsamında çekilen fotoğrafların Kanun'un 5/2(c) bendi uyarınca "sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması" şartına istinaden işlendiğini tespit etmiştir. Kıyafet stoklarının bitmesiyle fotoğrafların kaldırıldığı ve ilgili kişinin belirttiği linklerin artık açılmadığı anlaşıldığından veri sorumlusu hakkında Kanun kapsamında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/489

Kamu tüzel kişiliğini haiz Birlik tarafından ilgili kişinin kişisel verilerini içeren belgelerin Birliğin vekili tayin edilen avukat ile…

Şikayette, ilgili kişinin hukuki danışmanlık sözleşmesi bulunan Birlik ile arasındaki anlaşmazlık sonrasında, kendisini Birlik vekili olarak tanıtan bir avukatı Baroya şikayet ettiği, bu avukatın savunma dilekçesi ekinde ilgili kişiye ait serbest meslek makbuzu ve stopaj ödeme listesi fotokopilerine yer verdiği iddia edilmiştir. Kurul, Birliğin kamu tüzel kişiliğini haiz olarak dışarıdan avukatlık hizmeti aldığını, ilgili kişinin kişisel verilerini içeren belgelerin avukat ile paylaşılmasının Kanun'un 5/2(e) bendi kapsamında "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu tespit etmiştir. Avukatın bu belgeleri Baro soruşturması kapsamında savunma dilekçesine eklemesinin de aynı hukuki sebebe dayandığı değerlendirilerek her iki veri sorumlusu hakkında Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/386

Veri sorumlusu bünyesinde çalışan bir kişinin iş akdinin sonlandırılması hususunun veri sorumlusuna ait sosyal medya hesabında paylaşılması

Şikayette, iş akdi feshedilen ilgili kişinin ad ve soyadının veri sorumlusunun sosyal medya hesabında "usulsüzlükler nedeniyle işten atıldığına" dair ifadelerle paylaşıldığı iddia edilmiştir. Kurul, duyurunun şirket müşterilerine değil herkese açık bir platformda yapıldığını, Kanun'un 4. maddesindeki ölçülülük ilkesine aykırı olduğunu ve Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadığını tespit etmiştir. Veri sorumlusunun ilgili kişinin kişisel verilerini hukuka aykırı şekilde işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmış ve sosyal medya paylaşımındaki kişisel verilerin imha edilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/388

Belediyelerin Ödeme ve Borç Sorgulama Hizmetleri Hakkında İlke Kararı

Belediyelerin emlak vergisi sorgulama sayfalarında yalnızca TC kimlik numarası ile vatandaşların emlak bilgilerine erişilmesinin Kanun'un 12. maddesine aykırılık oluşturduğu, ek güvenlik tedbirlerinin alınması gerektiğine dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2022/325

İlgili kişi ile ilgisi bulunmayan bir işletme adına düzenlenmiş e-faturaların, ilgili kişinin e-posta adresine gönderilmesi

Şikayette, pazarlama şirketinin Trabzon bölge yetkilileri tarafından ilgili kişinin e-posta adresine bir market adına düzenlenmiş faturaların gönderildiği iddia edilmiştir. Kurul, şirketin dağıtım ağında yetkili satıcının son satıcı bilgilerini DBS'ye kaydettiğini, e-posta adresinin el yazısıyla iletilmesi nedeniyle sehven farklı şekilde kaydedildiğini tespit etmiştir. İlk sözleşme imzalanan şirketin olayda sorumluluğu bulunmadığı, veri işleyen yetkili satıcı tarafından kasıtsız şekilde hatalı kayıt yapıldığı ve düzeltildiği değerlendirilerek ikinci pazarlama şirketi hakkında işlem yapılmadığına, ancak 2020/966 sayılı İlke Kararı kapsamında e-posta teyit mekanizması kurulmasının hatırlatılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/328

İlgili kişinin kişisel verilerinin yer aldığı ihtarnamenin, bordrolama hizmeti sunan veri sorumlusu tarafından başka çalışanlara da gönderilmesi

Şikayette, veri sorumlusu tarafından gönderilen ücretsiz izin ihtarnamesinde ilgili kişinin T.C. kimlik numarası ve adresinin yedi başka çalışanla birlikte paylaşıldığı iddia edilmiştir. Kurul, ihtarnamenin noterliğe iletilmesinin Kanun'un 5/2(e) "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu, ancak sekiz çalışanın bilgilerinin aynı ihtarnamede karartma veya ayrı keşide işlemi yapılmadan yer almasının kişisel verilerin birbirleriyle paylaşılmasına yol açtığını tespit etmiştir. Bu işleme faaliyetinin Kanun'un 5. maddesindeki şartlardan herhangi birine dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/277

İlgili kişiye ait kişisel verileri içeren bir kargo paketinin üçüncü bir şahsın eline geçmesi

Şikayette, elektronik perakende zincirine onarım için teslim edilen kulaklığın distribütör firmaya gönderilmesi amacıyla kargo şirketine teslim edildiği, ancak kargonun sehven üçüncü bir şahsa teslim edildiği iddia edilmiştir. Kurul, onarım için gerekli bilgilerin distribütör firmaya aktarılmasının Kanun'un 5/2(c) ve (ç) bentlerine uygun olduğunu, kargo paketinin içeriğini bilmeyen kargo şirketinin veri sorumlusu veya veri işleyen sıfatını haiz olmadığını tespit etmiştir. Hatalı teslimatın kargo şirketinden kaynaklandığı, ancak veri sorumlusunun gelecekte benzer olaylar için Kanun'un 12/5 uyarınca bildirim yükümlülüğüne uyması ve formlarda minimum düzeyde kişisel veri paylaşılması hususunda talimatlandırılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/243

Aynı isme sahip bir kişi tarafından internet üzerinden sipariş verilirken ilgili kişinin e-posta adresinin kullanılması üzerine faturanın ilgili…

Şikayette, ilgili kişi ile aynı isme sahip üçüncü bir kişinin e-ticaret sitesine üye olmadan misafir girişiyle sipariş verirken ilgili kişinin e-posta adresini sehven girmesi sonucu faturanın ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir girişlerinde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve Kanun'un 4/2(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun e-posta adresinin işlenmesinde Kanun'un 5. maddesindeki işleme şartına dayanmadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış ve 2020/966 sayılı İlke Kararı'na uyum hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/249

Bir teknoloji şirketi tarafından ilgili kişinin kişisel verilerinin açık rızası olmaksızın yurt dışına aktarılması

Şikayette, veri sorumlusunun internet sitesinde çerez politikası bulunmadığı, yurt dışına veri aktarıldığı ve başvuruya yanıt verilmediği iddia edilmiştir. Kurul, veri sorumlusunun sunucuları yurt dışında bulunan bir bulut hizmeti kullandığını, Kurula onaylı taahhütname sunulmadığını ve açık rıza alınmadığını tespit etmiştir. Veri sorumlusunun yurt dışına sistemli şekilde kişisel veri aktardığı, bu durumun icrai hareketle kasten gerçekleştirildiği, çok sayıda ilgili kişinin etkilendiği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 950.000 TL idari para cezası uygulanmış, yurt dışına aktarımın Kanun'un 9. maddesine uygun hale getirilmesi ve başvurulara etkin yanıt verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺950.000
Kurul kararı 2022/224

Bir bankanın çağrı merkezi tarafından ilgili kişinin telefon numarasının üçüncü kişilerle paylaşılması

Şikayette, banka ATM'sinde bulunan banka kartını çağrı merkezine bildiren ilgili kişinin ad, soyad ve telefon numarasının kart sahibi ile paylaşıldığı iddia edilmiştir. Kurul, çağrı merkezi personelinin "kart sahibine kartı sizin bulduğunuzu ileteceğim" ifadesine verilen "tamam" cevabının açık rıza unsurlarını karşılamadığını, ilgili kişinin kişisel verilerinin paylaşılacağı bilgisini içermediğini tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak kişisel verilerin Kanun'un 5. maddesindeki işleme şartlarından birine dayanmadan üçüncü kişiyle paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmıştır. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2022/229

E-ticaret sektöründe faaliyet gösteren veri sorumlusu şirket tarafından internet sitesinde/mobil uygulamalarında kullanılan çerezler aracılığıyla…

Şikayette, bir e-ticaret sitesinin çerez politikasının yetersiz olduğu, kesinlikle gerekli olmayan çerezler için açık rıza alınmadığı ve kişisel verilerin yurt dışına aktarıldığı iddia edilmiştir. Kurul, veri sorumlusunun reklam/pazarlama ve analitik çerezleri için açık rıza almadan işlem yaptığını, Kanun'un 9. maddesine uygun olmadan yurt dışına veri aktardığını ve aydınlatma metninin Tebliğ'e uygun olmadığını tespit etmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 800.000 TL idari para cezası uygulanmış, kesinlikle gerekli olmayan çerezler için "opt-in" mekanizmasıyla açık rıza alınması ve yurt dışına aktarımın Kanun'a uygun hale getirilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺800.000
Kurul kararı 2022/184

Bir alacak yönetim şirketi tarafından ilgili kişinin borç bilgilerinin üçüncü kişilerle paylaşılması

Şikayette, alacak yönetim şirketinin ilgili kişinin kardeşi ve eşine ait telefon numaralarına borç tahsilatı SMS'i gönderdiği iddia edilmiştir. Kurul, veri sorumlusunun çağrı merkezini arayan kişilerin telefon numaralarını otomatik olarak ilgili kişinin numaraları olarak kaydettiğini ve bu numaralara borç bilgisi içeren SMS gönderildiğini tespit etmiştir. Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadan üçüncü kişilerin telefon numaralarının işlendiği ve borç bilgisinin paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 50.000 TL idari para cezası uygulanmış ve bu uygulamaya son verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2022/172

Yurt dışında mukim veri sorumlusunun Türkiye’deki irtibat bürosu tarafından işe alım sürecinde adaylardan özel nitelikli kişisel veri talep edilmesi

Şikayette, yurt dışında mukim veri sorumlusunun Türkiye'deki irtibat bürosunun işe kabulde adli sicil kaydı, sağlık raporu, kan grubu belgesi ve aile bireylerinin nüfus cüzdanı fotokopilerini istediği, açık rıza almadığı ve başvuruya yanıt vermediği iddia edilmiştir. Kurul, irtibat bürosunun tüzel kişiliği bulunmadığından veri sorumlusu sıfatının yurt dışındaki ana şirkete ait olduğunu, iş akdi kapsamında kişisel verilerin yurt dışına aktarılmasının hukuka uygun olduğunu tespit etmiştir. Ancak ilgili kişinin başvurusuna yasal süre içinde yanıt verilmediği ve imha işlemlerini tevsik edici belge sunulmadığı belirlenmiştir. Veri sorumlusunun başvurulara azami dikkat göstermesi ve imha belgelerini ilgili kişiye ileterek Kurula bilgi vermesi hususunda talimatlandırılmasına karar verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2022/137

Veri sorumlusu bir alışveriş merkezi tarafından senetli alışverişler için ilgili kişilerden e-Devlet şifresi, internet sayfasında üyelik…

Resen incelemede, bir alışveriş merkezinin internet sitesinde senetli alışveriş için müşterilerden e-Devlet şifresi istendiği ve üyelik için T.C. kimlik numarası zorunlu tutulduğu tespit edilmiştir. Kurul, e-Devlet şifresi ve T.C. kimlik numarasının zorunlu bilgi olarak talep edilmesinin özgür iradeye dayalı geçerli bir açık rıza oluşturmadığını, veri işleme şartlarına dayanılmadan kişisel veri işlendiğini belirlemiştir. Ayrıca T.C. kimlik numarası girildiğinde daha önce üye olan kişilerin kişisel verilerinin görüntülenmesinin veri güvenliği açığına işaret ettiği tespit edilmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 300.000 TL idari para cezası uygulanmış, e-Devlet şifreleri ve T.C. kimlik numaralarının imha edilmesi ile güvenlik açığının giderilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2022/103

Unvanında ilgili kişinin adının geçtiği bir şirket hakkında başlatılan icra takibine ilişkin dosya içeriğinin sosyal medyada paylaşılması hakkında

Şikayette, veri sorumlusu tekstil firmasının çalışanı tarafından ilgili kişinin adının geçtiği şirkete ait icra takibi evrakının sosyal medyada paylaşıldığı iddia edilmiştir. Kurul, şirket unvanında ilgili kişinin adı ve soyadı geçse de, yapılan paylaşımlarda tüzel kişiliğin hedeflendiğini, şirket unvanının veya borç bilgisinin gerçek kişinin hak ve menfaatlerinde bir etkiye sahip olmadığını veya gerçek kişiye belirli bir şekilde davranılması amacıyla kullanılmadığını tespit etmiştir. Bu nedenle paylaşılan verilerin Kanun'un 3. maddesindeki kişisel veri tanımını karşılamadığına ve şikayet konusunun Kanun'un 2. maddesi uyarınca Kanun kapsamında olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi