KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 5. sayfa

5. sayfa 382 karardan 24 kayıt

Kurul kararı 2022/1358

Oyun sitesinde çerez aydınlatması ve açık rıza eksikliği

Şikayette, oyun platformunun internet sitesinde çerez işleme süreçleriyle ilgili aydınlatma yapılmadığı ve zorunlu olmayan çerezler için açık rıza alınmadığı iddia edilmiştir. Kurul, sitede çok sayıda çerezin mevcut olduğunu, herhangi bir aydınlatma yapılmadığını ve reklam/istatistik amaçlı çerezler için açık rıza alınmadığını tespit etmiştir. Kesinlikle gerekli çerezler dışındaki çerezler için "opt-in" mekanizmasıyla açık rıza alınması gerektiği, veri sorumlusunun Kanun'un 12/1 kapsamındaki yükümlülüklerini yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 300.000 TL idari para cezası uygulanmış ve aydınlatma yükümlülüğünün yerine getirilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2022/1357

Spor salonunda kan grubu ve biyometrik veri işlenmesi

Şikayette, spor salonunun üyelerden sağlık verileri (kan grubu), biyometrik veriler (parmak izi) ve kamera görüntüleri işlediği ancak aydınlatma yapılmadığı ve açık rıza alınmadığı iddia edilmiştir. Kurul, üyelik sözleşmesinde özel nitelikli kişisel veri olan kan grubu bilgisinin işlendiğini ancak açık rıza alınmadığını, aydınlatma metninin sözleşmeden ayrı olarak sunulmadığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1 kapsamındaki yükümlülüklerini yerine getirmediği değerlendirilerek, çok sayıda üyenin verisinin işlenmesi ve özel nitelikli verilerin bulunması riski dikkate alınarak Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış, aydınlatma ve açık rıza metinlerinin düzenlenmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/1281

Borç bilgisinin borçlunun oğluyla paylaşılması

Şikayette, icra takibi kapsamında borçlunun oğlunun cep telefonu numarasının veri sorumlusu avukat tarafından aranarak borca ilişkin bilgi verildiği iddia edilmiştir. Kurul, haciz tutanağından borçlunun oğlunun haciz mahallinde bulunduğu, yediemin olarak tayin edildiği ve borç bilgisinden zaten haberdar olduğunu tespit etmiştir. Kanun'un 5/2(e) bendi uyarınca "bir hakkın tesisi, kullanılması veya korunması" amacıyla oğlunun cep telefonu numarasının işlenmesinin hukuka uygun olduğuna karar verilmiştir. Ancak veri sorumlusunun başvurularda özel yetki talep ederek başvuruları zorlaştırmaması hususunda uyarılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/1249

Döviz bürosu kamera görüntülerinin haber ajanslarıyla paylaşılması

Şikayette, döviz bürosunda hatalı işlem sonucu fazla ödeme yapılan ilgili kişinin görüntülerinin yerel TV kanalına aktarılarak yayınlandığı iddia edilmiştir. Kurul, döviz bürolarında kamera bulundurulmasının Türk Parası Kıymetini Koruma Tebliği gereği zorunlu olduğunu ve aydınlatma levhalarının asılı olduğunu tespit etmiştir. Fazla ödemenin iadesini sağlamak amacıyla, yalnızca göz çevresi ve siluetin göründüğü görüntülerin ilan amacıyla TV kanalına aktarılmasının Kanun'un 5/2(f) bendi kapsamında "veri sorumlusunun meşru menfaatleri için zorunlu olması" şartına uygun olduğuna ve ilgili kişinin temel hak ve özgürlüklerine zarar vermediğine karar verilmiştir. Her iki şikayet hakkında Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/1201

Beraat ilanına ilişkin arama sonucunun indeksten çıkarılması

Şikayette, ilgili kişinin adıyla veri sorumlusu arama motorunda yapılan aramada Resmi Gazete'de yayınlanan beraat kararına ilişkin sayfanın çıktığı ve unutulma hakkı kapsamında bu sonucun indeksten çıkarılması talep edilmiştir. Kurul, 23/06/2020 tarihli ve 2020/481 sayılı kararında belirlenen kriterler çerçevesinde değerlendirme yaparak; içeriğin 20 yılı aşkın süre öncesine ait olması nedeniyle güncelliğini yitirdiğini, tebligat amacının gerçekleştiğini, beraat kararı olsa bile önyargıya sebep olabileceğini ve kamu yararı bulunmadığını tespit etmiştir. URL adresinin ilgili kişinin ad ve soyadıyla ilişkilendirilemeyecek şekilde indeksten çıkarılması hususunda veri sorumlusu talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2022/1147

İşten ayrılan kişinin görüntülerinin reklamda kullanılmaya devam edilmesi

Şikayette, mobilya-dekorasyon şirketinde çalışan ilgili kişinin iş akdinin feshinden sonra da görüntülerinin TV reklamlarında ve sosyal medyada kullanıldığı, cep telefonu numarasının kargo süreçlerinde işlendiği ve satış işlemlerinde işlem yetkilisi olarak gösterildiği iddia edilmiştir. Kurul, iş akdi feshedilmiş bir çalışanın kişisel verilerinin reklam/pazarlama amacıyla kullanılmaya devam edilmesinin Kanun'un 4/2(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendindeki yükümlülüklerini yerine getirmediği, negatif sonuç doğurma riskinin yüksek olduğu değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 250.000 TL idari para cezası uygulanmış ve hukuka aykırı işlenen verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2022/1152

Ceza İnfaz Kurumundaki Erişim Talebi ve İstisna

İlgili kişinin erişim hakkı talebinin reddedilmesine ilişkin şikâyeti Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/1087

Teknoloji Şirketindeki İhlal İddiasının Doğrulanamaması

Bir Teknoloji Şirketi olan veri sorumlusu tarafından Kurula iletilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/1072

İlaç şirketi çalışanının reklam e-postası göndermesi

Şikayette, ilaç sektöründe faaliyet gösteren bir şirketin çalışanı tarafından ilgili kişiye reklam amaçlı e-posta gönderildiği ve e-posta adresinin ecza depoları vasıtasıyla paylaşıldığı iddia edilmiştir. Kurul, veri sorumlusunun eski çalışanı tarafından kurumsal e-posta üzerinden ilgili kişinin e-posta adresine izinsiz reklam içerikli ileti gönderilmesinde Kanun'un 5. maddesinde yer alan işleme şartlarından herhangi birinin bulunmadığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendi kapsamındaki yükümlülüğünü yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 50.000 TL idari para cezası uygulanmış ve ilgili kişinin e-posta adresinin imha edilerek sonucunun Kurula bildirilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2022/925

Başka abonelerin e-faturalarının aynı e-posta adresine gönderilmeye devam etmesi

Şikayette, daha önce hakkında Kurul kararı verilen veri sorumlusu telekomünikasyon şirketinin, üçüncü kişilere ait e-faturaları ilgili kişinin e-posta adresine göndermeye devam ettiği iddia edilmiştir. Kurul, veri sorumlusunun mevcut ve yeni abonelerin e-posta adreslerini doğrulamaya yönelik bir mekanizma bulundurmadığını, KVKK m.4/2(b)'deki "doğru ve güncel olma" ilkesine aykırı davrandığını tespit etmiştir. Daha önce talimatlandırılmış olmasına rağmen gerekli tedbirleri almayan veri sorumlusuna KVKK m.18/1(b) uyarınca 200.000 TL idari para cezası uygulanmış ve üçüncü kişi verilerinin ilgili kişiye iletilmemesi için tedbir alınması talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2022/923

Hastaneden ayrılan doktorun hasta numarasına reklam SMS'i göndermesi

Şikayette, ilgili kişinin hastanede muayene olduğu doktorun hastaneden ayrılarak özel muayenehane açtığı ve ilgili kişiye reklam amaçlı SMS gönderdiği iddia edilmiştir. Kurul, ilgili kişinin telefon numarasının hastane kayıtlarından alındığının tevsik edilemediğini, doktorun muayene sırasında aldığı iletişim verisini hasta-doktor ilişkisi dışında reklam amacıyla kullanmasının KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığını tespit etmiştir. Hastane hakkında işlem yapılmasına yer olmadığına, veri sorumlusu doktor hakkında ise KVKK m.18/1(b) uyarınca 100.000 TL idari para cezası uygulanmasına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/902

Açık rıza olmaksızın pazarlama SMS'i gönderilmesi

Şikayette, veri sorumlusu şirketin, iletişim onayı olmadan ve aydınlatma yapmadan ilgili kişiye pazarlama amaçlı SMS gönderdiği iddia edilmiştir. Kurul, veri sorumlusunun kendi sitesinden onay veren müşterilere gönderilmesi gereken mesajın sehven satış platformu müşterilerine gönderildiğini ve bu durumun KVKK m.5'teki işleme şartlarından herhangi birine dayanmadığını tespit etmiştir. KVKK m.12/1 kapsamında veri güvenliği tedbirlerinin alınmadığı ve veri ihlali bildiriminin yapılmadığı değerlendirilerek veri sorumlusuna KVKK m.18/1(b) uyarınca 30.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/896

Savcılık yazışmasının eski çalışanın kardeşiyle paylaşılması

Şikayette, veri sorumlusu işveren tarafından ilgili kişiye ait kişisel verilerin işlenirken aydınlatma yapılmadığı ve Savcılık şikayet dilekçesinin ilgili kişinin kardeşine e-posta ile iletildiği iddia edilmiştir. Kurul, özlük dosyası kapsamındaki verilerin KVKK m.5/2(a) ve (ç) bentlerine dayalı olarak işlenmesinde hukuka aykırılık bulunmadığına, ancak Savcılık dilekçesinin üçüncü kişiye iletilmesinin KVKK m.12/1 kapsamındaki veri güvenliği yükümlülüklerine aykırı olduğuna karar vermiştir. Veri sorumlusuna KVKK m.18/1(b) uyarınca 150.000 TL idari para cezası uygulanmış; aydınlatma yükümlülüğü ve başvuruya cevap verme konusunda uyarıda bulunulmuştur. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2022/861

İnternetten bulunan iş e-postasına reklam iletisi gönderilmesi

Şikayette, avukatlık büroları için yazılım üreten şirketin ilgili kişinin iş e-posta adresine reklam içerikli e-posta gönderdiği, e-posta adresinin internet arama motorlarından temin edildiği iddia edilmiştir. Kurul, veri sorumlusunun 6563 sayılı Kanun'un esnaf ve tacirlere ilişkin hükmüne dayandığını ancak Avukatlık Kanunu'nun 11. maddesi uyarınca avukatların tacir veya esnaf sıfatıyla hareket edemediğini tespit etmiştir. İlgili kişinin e-posta adresinin avukatlık mesleğine yönelik iletişim amacıyla alenileştirildiği, pazarlama amacıyla işlenmesinin Kanun'un 5. maddesindeki işleme şartlarına dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 150.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2022/863

Banka müşterisinin aydınlatılmadan tanıtım amacıyla aranması

Şikayette, ilgili kişinin başka bir bankadan veri sorumlusu bankaya para gönderdiği ve akabinde rızası olmadan tanıtım amacıyla arandığı iddia edilmiştir. Kurul, bankanın devam eden müşteri ilişkisi kapsamında 6563 sayılı Kanun'un 6'ncı maddesi ile Ticari İletişim Yönetmeliği'nin 6'ncı maddesi uyarınca ilgili kişiyi aramasının KVKK m.5/2(a) "kanunlarda açıkça öngörülme" şartına dayandığını değerlendirmiştir. Veri sorumlusunun, ilgili kişinin başvurusuna yasal sürede ve usulüne uygun cevap vermesi ve adi posta yerine güvenli yöntemlerle yanıt iletmesi gerektiği yönünde uyarıda bulunulmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/853

Bahis platformu üyelik bilgilerinin yanlış e-postaya gönderilmesi

Şikayette, yasal bahis platformunun ilgili kişinin e-posta adresine üyelik bilgilerini ve ticari elektronik ileti onayı bildirimini gönderdiği, ancak ilgili kişinin platforma herhangi bir üyeliğinin bulunmadığı iddia edilmiştir. Kurul, üçüncü bir kişinin üyelik oluştururken sehven ilgili kişinin e-posta adresini girdiğini, platformda e-posta doğrulama mekanizması bulunmadığını tespit etmiştir. İlgili kişinin e-posta adresinin ve asıl üyenin isim-soyad ile üyelik numarasının Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadan işlendiği ve aktarıldığı değerlendirilerek 2020/966 sayılı İlke Kararı kapsamında e-posta teyit mekanizması kurulması hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2022/787

Üçüncü kişinin borcu için yanlış telefon numarasının aranması

Şikayette, ev eşyası satan veri sorumlusunun ilgili kişiyi borç tahsili amacıyla aradığı, ancak ilgili kişinin söz konusu borçla herhangi bir ilgisinin bulunmadığı, silme talebine rağmen aramalara devam edildiği iddia edilmiştir. Kurul, veri sorumlusunun üçüncü kişi ile imzaladığı sözleşmede ilgili kişinin telefon numarasından farklı bir numaranın bulunduğunu, ilgili kişiye ait olmadığı öğrenilen numaranın 2019-2021 yılları arasında defalarca arandığını tespit etmiştir. Kanun'un 4. maddesindeki "doğru ve gerektiğinde güncel olma" ilkesine ve 5. maddesindeki işleme şartlarına aykırı davranıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2022/798

İş görüşmesi bilgilerinin mevcut işverenle paylaşılması

Şikayette, ilgili kişinin halihazırda çalışmakta olduğu şirketten ayrı bir şirkete iş görüşmesine gittiği, görüşme yapan veri sorumlusunun ilgili kişinin mevcut işvereni hakkındaki beyanlarını mevcut işverenle paylaştığı ve bunun sonucunda ilgili kişinin ücretsiz izne çıkarıldığı iddia edilmiştir. Kurul, mevcut işverenin ilgili kişiye gönderdiği ihtarnamede görüşme yapılan şirket tarafından kendilerine bilgi verildiğinin açıkça belirtildiğini tespit etmiştir. İş görüşmesi bilgilerinin üçüncü kişiyle paylaşılmasının Kanun'un 8. maddesindeki aktarım şartlarına dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/790

Sağlık verilerinin idari davada kamu kurumuna aktarılması

Şikayette, idare mahkemesinde devam eden davada davalı kamu kurumunun talebi üzerine üniversite hastanesinin ilgili kişiye ait sağlık verilerini kamu kurumuna aktardığı iddia edilmiştir. Kurul, sağlık verilerinin Kanun'un 6. maddesindeki özel nitelikli kişisel veri olduğunu, aktarımın dava amacıyla talep edildiğini ancak Kanun'un 6/3 kapsamında şartların mevcut olmadığını tespit etmiştir. Ayrıca talep edilenden fazla bilgi paylaşılarak veri minimizasyonu ilkesine aykırı davranıldığı değerlendirilerek Kanun'un 18/3 kapsamında sorumlular hakkında disiplin hükümlerine göre işlem yapılmasına ve verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç Disiplin İşlemi
Kurul kararı 2022/797

İş yerinde yüz tanıma ve güvenlik kamerası kullanılması

Şikayette, kağıt fabrikasında çalışanların işe giriş-çıkışlarda yüz tanıma sistemine tabi tutulduğu, açık rıza ve aydınlatma unsurlarının yetersiz olduğu, ayrıca tuvalet alanlarına yakın konumda güvenlik kameraları bulunduğu iddia edilmiştir. Kurul, fabrikada kullanılan yüz tanıma sisteminin biyometrik veri işleme niteliğinde olduğunu, Kanun'un 6. maddesinde açık rıza dışında yalnızca kanunlarda öngörülen hallerde işlenebileceğini ancak iş sağlığı ve güvenliği mevzuatının biyometrik veri işlemeye açıkça izin vermediğini tespit etmiştir. Biyometrik verilerin hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 500.000 TL idari para cezası uygulanmış, yüz tanıma uygulamasının durdurulması ve verilerin imha edilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2022/768

Banka müşterisinin telefon numarasının sigorta şirketine aktarılması

Şikayette, ilgili kişinin telefonunun bir sigorta şirketi tarafından arandığı, telefon numarasının veri sorumlusu banka aracılığıyla elde edildiği iddia edilmiştir. Kurul, bankanın ilgili sigorta şirketi ile acentelik sözleşmesi bulunduğunu, ancak sunulan "Kampanya İletişim Tercihleri Talimatı" belgesinin kişisel verilerin aktarımına yönelik bilgilendirme içermediğini ve açık rıza şartlarını karşılamadığını tespit etmiştir. Bankacılık Kanunu'nun 73. maddesi uyarınca müşteri sırrının paylaşımı için gizlilik sözleşmesi ve müşteri talebi/talimatı gerektiği, bunların sunulmadığı değerlendirilerek Kanun'un 8. maddesine aykırı aktarım nedeniyle veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 250.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2022/776

Çocuğa açık rıza olmaksızın tanıtım broşürü gönderilmesi

Şikayette, pazarlama şirketinin serbest girişimcisi tarafından 8 yaşındaki bir çocuğa mektup yoluyla tanıtım amaçlı broşür gönderildiği, velisinin açık rızası olmaksızın çocuğun ev adresi ve isminin işlendiği iddia edilmiştir. Kurul, serbest girişimcinin şirketten bağımsız olarak veri sorumlusu sıfatını haiz olduğunu, e-ticaret sitesi üzerinden daha önce yapılan siparişle broşür gönderimi arasında dört buçuk aylık süre bulunduğunu tespit etmiştir. Tanıtım ve pazarlama amacıyla broşür gönderilmesinin Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanmadığı değerlendirilerek serbest girişimci hakkında Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/774

Üçüncü kişinin sipariş bilgilerinin yanlış e-postaya gönderilmesi

Şikayette, e-ticaret sitesinden alışveriş yapan üçüncü bir kişinin isim benzerliği nedeniyle sehven ilgili kişinin e-posta adresini girerek sipariş verdiği, bu siparişe ilişkin gönderici ve alıcı bilgilerini içeren bilgilendirme e-postalarının ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir müşteri girişiyle yapılan alışverişlerde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve üçüncü kişilerin kişisel verilerinin hukuka aykırı işlenmesine zemin hazırladığını tespit etmiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında teyit mekanizması kurmadan kişisel veri işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2022/714

Tarımsal Emtia Şirketindeki E-posta Hesabı İhlali

Tarımsal emtia ticareti alanında faaliyet gösteren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İdari Para Cezası Ceza tutarı ₺200.000