KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 5. sayfa

5. sayfa 335 karardan 24 kayıt

Kurul kararı 2022/107

Bir tasarruf finansman şirketi tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili…

Şikayette, tasarruf finansman şirketinin ilgili kişiye rızası olmadan ticari elektronik ileti gönderdiği, İleti Yönetim Sistemi'ne (İYS) kayıt yapılmasına temel teşkil edecek bir ilişki bulunmadığı iddia edilmiştir. Kurul, veri sorumlusu tarafından sunulan bilgi ve belgeler çerçevesinde ilgili kişinin veri sorumlusu ile bir ilişkisinin tespit edilemediğini ve ilgili kişinin kişisel verisinin işlenmesi hususunda açık rızasının olduğunun tevsik edilemediğini belirlemiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında gerekli tedbirleri almadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmış ve hukuka aykırı işlenen verinin imha edilerek sonucundan Kurula bilgi verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2022/31

Sağlık sektöründe faaliyet gösteren veri sorumlusu tarafından ilgili kişinin kişisel verilerinin açık rızası alınmaksızın ticarî elektronik ileti…

Şikayette, sağlık kuruluşunun hasta kaydı sırasında elde edilen e-posta adresine rızası olmadan ticari içerikli e-posta gönderdiği iddia edilmiştir. Kurul, e-posta adresinin hasta kaydı açılırken Kanun'un 5/2(c) ve (ç) bentleri kapsamında hukuka uygun şekilde elde edildiğini, ancak pazarlama amacıyla kullanılmasının Kanun'un 4/2(ç) "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine aykırı olduğunu tespit etmiştir. Kişisel verilerin elde edilme amacı dışında kullanılması suretiyle hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/13

Yerel bir haber sitesi tarafından ilgili kişinin açık rızası olmaksızın sınav sonuç belgesinin paylaşılmasına ilişkin

Şikayette, ilgili kişinin YKS sınav sonuç belgesinin (ad, soyad, fotoğraf, yerleştiği program, yerleştirme puanı) yerel haber sitesi tarafından açık rızası olmadan paylaşıldığı iddia edilmiştir. Kurul, sınav sonuç bilgilerinin kişisel veri niteliğinde olduğunu, haberin toplumda sık rastlanan bir olay olması nedeniyle kamu yararı bulunmadığını, dolayısıyla Kanun'un 28/1(c) bendindeki ifade özgürlüğü istisnası kapsamında değerlendirilemeyeceğini tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendine aykırı davrandığı, ancak karar tarihi itibarıyla haberin kaldırılmış olması hafifletici unsur olarak dikkate alınarak Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/6

İlgili kişinin eski ortağı olduğu şirketin sicil bilgilerinin görüntülendiği internet adresinde kişisel verilerinin hukuka aykırı olarak…

Şikayette, ilgili kişinin eski ortağı olduğu şirkete ait bilgilerin Ticaret Odası'nın internet sitesinde yer aldığı, eski ortak olarak adının görünmesini istemediği ve silme talebinin reddedildiği iddia edilmiştir. Kurul, Türk Ticaret Kanunu'nun 35 ve 587. maddeleri ile Ticaret Sicili Yönetmeliği'nin 15. maddesi uyarınca herkesin sicilin içeriğini inceleyebileceğini, tescil edilen olgularda meydana gelen değişikliklerin de tescil edileceğini tespit etmiştir. Ticaret Sicil Gazetesi'nde yayınlanan bilgilerin ticaret odasının sayfasında da yer almasının aynı amaca hizmet ettiği, Kanun'un 7. maddesi uyarınca işlenmesini gerektiren sebeplerin ortadan kalkmadığı değerlendirilerek ilgili kişinin talebiyle ilgili Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/1324

Yemek Sepeti Elektronik İletişim Perakende Gıda Lojistik AŞ veri ihlal bildirimi hakkında

Kararda, bir veri sorumlusunun kisisel veri isleme faaliyetleri incelenmistir. Kurul, ilgili kisinin sikayet dilekçesinde belirttigi hususlari ve veri sorumlusunun savunmasini degerlendirmis, Kanun'un ilgili maddeleri cercevesinde inceleme yapmistir. Veri isleme faaliyetlerinin hukuka uygunlugu degerlendirilmis ve karara baglanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺1.900.000
Kurul kararı 2021/1303

Araç kiralama programları yazılımcısı ve satıcısı firmalar tarafından, ilgili kişilerin verilerinin işlenmesi ve bu verilerin araç kiralama…

Kuruma yapilan ihbarda, arac kiralama sektorunde faaliyet gosteren yazilim sirketlerinin 'kara liste' uygulamasi araciligiyla musteri kisisel verilerini paylastigi iddia edilmistir. Kurul, resen inceleme baslatarak ilgili yazilim sirketlerinden bilgi talep etmis, arac kiralama firmalarinin musterilerine ait iyi/kotu yorumlari diger program ortaklariyla paylastigini tespit etmistir. Yazilim sirketlerinin veri sorumlusu veya veri isleyen sifatlari ve kisisel veri isleme faaliyetlerinin hukuki dayanagi incelenmis, ilgili kisilerin acik rizasi alinmaksizin kara liste olusturulmasinin Kanun'a aykiri oldugu degerlendirilerek idari yaptirim uygulanmasina karar verilmistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/1304

Araç kiralama sektöründeki kara liste uygulamaları hakkında İlke Kararı

Araç kiralama sektöründe kullanılan kara liste uygulamalarının Kanun'a aykırılık teşkil ettiği tespit edilmiştir. Müşterilerin kişisel verilerinin diğer firmalarla paylaşılması ve olumsuz yorumların işlenmesi konusunda veri sorumluları uyarılmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/1262

Bir sigorta şirketi tarafından ilgili kişinin banka verilerinin işlenmesi hakkında

Ilgili kisi, bir sigorta sirketi ile paylasmadigini iddia ettigi banka bilgilerinin hukuka aykiri olarak islendigini ve veri sorumlusuna yaptigi basvurunun yanitlanmadigini sikayet etmistir. Kurul, ilgili kisinin banka bilgilerinin sigorta acentesi sifatiyla hareket eden banka tarafindan poliçe kapsaminda sigorta sirketine aktarildigini, bu verilerin Tuketici Hakem Heyeti kararinin yerine getirilmesi amaciyla Kanun'un 5'inci maddesinin (c) ve (ç) bentleri kapsaminda islendigini tespit etmistir. Veri sorumlusuna yapilan basvurunun ozel vekaletname gerektirdigi, ancak genel vekaletname ile yapildigina dair itirazin incelendigi, sonuc olarak sikayetin reddine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/1258

İlgili kişinin kişisel verilerinin iş akdinin sona erdiği veri sorumlusu şirket tarafından hukuka aykırı olarak işlenmesi hakkında

Ilgili kisi, veri sorumlusu sirkette calistigi surecte parmak izi ve yuz tarama sistemiyle giris yapildigini, aydinlatma yukumlulugunu yerine getirilmedigini, ozel nitelikli verilerinin acik rizasi olmaksizin islendigini ve kisisel verilerinin yurt disina aktarildigini sikayet etmistir. Kurul, is sozlesmesinin aydinlatma ve acik riza metinlerinin ayri ayri duzenlenmesi gerektigi halde karma bir metin seklinde kaleme alindigini, bu nedenle aydinlatmanin usulune uygun yapilmadigini tespit etmistir. Parmak izi gibi ozel nitelikli verilerin islenmesi icin acik riza alinmadigi belirlenmis, veri sorumlusuna Kanun'un 18'inci maddesi uyarinca idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/1243

İlgili kişinin kişisel verisi niteliğindeki e-posta adresinin bir insan kaynakları firması tarafından reklam ve pazarlama amaçlı e-posta…

Ilgili kisi, bir insan kaynaklari firmasindan ticari tanitim amacli e-postalar aldigini, kisisel verilerinin nereden temin edildigini bilmedigini ve acik rizasi bulunmadigini sikayet etmistir. Kurul, veri sorumlusunun ilgili kisinin e-posta adresini Kanun'un 5'inci maddesinin (d) bendi kapsaminda 'alenilestirme' sartina dayanarak isledigini iddia ettigini, ancak alenilestirme iradesine iliskin herhangi bir kanitlayici belge sunmadigini tespit etmistir. Veri sorumlusunun hukuka aykiri veri isleme faaliyetinde bulundugu sonucuna varilarak Kanun'un 18'inci maddesi uyarinca 50.000 TL idari para cezasi uygulanmasina ve kisisel verilerin imha edilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2021/1239

Veri sorumlusu Banka tarafından ilgili kişinin ailesinin telefonları üzerinden arama gerçekleştirilmesi suretiyle kişisel verilerinin paylaşılması

Ilgili kisi, bir banka ile kredi sozlesmesi akdettigi, ancak borcun tahsili icin acik rizasi olmaksizin anne ve babasinin sabit telefonundan arandigini ve bu aramalarda aile uyelerine bilgi paylasildigini sikayet etmistir. Kurul, bankanin Risk Merkezi'nden elde ettigi alternatif telefon numarasini aradigini, ancak yapilan aramalarda ucuncu kisilere sadece not birakildigini ve bilgi paylasilmadigini tespit etmistir. Banka tarafindan ilgili kisinin talep etmesine ragmen numaranin arama engelli listeye alinmamasi nedeniyle aramalarin devam ettigi belirlenmis, bu hususta talimat verilmesine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/1214

Bir üniversite tarafından verilen eğitimde, eğitim alan kişilerin kişisel verilerini içeren yoklama listesinin diğer katılımcılar tarafından…

Ilgili kisi, Bakanlik tarafindan yetkilendirilen bir universite egitim merkezinde verilen egitim programinda, yoklama listelerinde T.C. kimlik numaralarinin yer aldigi ve bu listelerin elden ele dolastirilarak imzalandigini, ayrica aydinlatma yapilmadigini sikayet etmistir. Kurul, egitim kuruluslarinin devam cizelgelerini duzenlerken T.C. kimlik numaralarini cikararak veya listeleri elden ele dolastirmayarak islem yapabilecegini, Bakanligin ise veri sorumlusu sifatiyla sorumlulugunun bulunmadigini degerlendirmis ve egitim kurulusunun veri isleme faaliyetlerinde olculuuluk ilkesine uygun hareket etmesi gerektigi sonucuna varmistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/1217

İlgili kişi anne ve ilgili kişi sıfatını haiz çocuğunun fotoğrafları da kullanılmak suretiyle ilgili kişi hakkında gerçek dışı, şeref ve haysiyet…

Ilgili kisi, bir medya sirketinin televizyon kanalinda gercege aykiri bir haber yapilarak kendisinin ve cocugunun fotograflarinin kullanildigini, haberde bicaklanma olayi ile iliskili gosterildigini sikayet etmistir. Kurul, haberdeki fotograflarin buzlanarak yayinlanmasina ragmen isim benzerligi nedeniyle yanlis kisi hakkinda haber yapildigini tespit etmis, ancak fotograflarin aleni bir sosyal medya hesabindan alindigini ve 6112 sayili Kanun kapsaminda RTUK denetimine tabi olan medya kuruluslarinin bu tur sikayet ve duzeltme taleplerini oncelikle yargi yoluyla cozumlemesi gerektigini belirterek Kanun kapsaminda islem yapilmasina yer olmadigina karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2021/1218

İlgili kişi işçinin hakkında yürütülen kişisel verilerin işlenmesi faaliyetleri kapsamında yurtdışında mukim olan veri sorumlusu işverence…

Ilgili kisi, yurt disinda mukim veri sorumlusunun Istanbul Irtibat Burosu'nda calistigi surecte aydinlatma yapilmadigini, is sozlesmesinin eylemli fesihle sona erdirilmesinden sonra fotografinin internet sitesinde yayinlanmaya devam ettigini ve Kanun kapsamindaki basvurusuna yeterli cevap verilmedigini sikayet etmistir. Kurul, veri sorumlusunun is iliskisi surecinde Kanun'un 10'uncu maddesi kapsamindaki aydinlatma yukumlulugunu yerine getirmedigini, ilgili kisinin verilerinin yurt disina aktarilip aktarilmadigi konusunda bilgilendirme yapmadigini ve Kanun'un 13'uncu maddesi kapsamindaki basvuruya yeterli cevap vermedigini tespit ederek veri sorumlusuna idari para cezasi uygulanmasina ve talimat verilmesine karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/1210

İlgili kişinin kişisel verisi niteliğindeki cep telefonu numarasının, Digiturk kampanyaları hakkında bilgilendirmede bulunmak amacıyla aranması ve…

İlgili kişi, Digiturk bayisi olduğunu belirten farklı numaralardan reklam amaçlı arandığını ve SMS gönderildiğini şikayet etmiştir. Kurul, Krea İçerik Hizmetleri ve bayisinin veri sorumlusu olmadığını, ancak taşeron M.D.'nin numara türetme yöntemiyle telefon numarasını elde ettiğini ve M.A.'nın sunduğu açık rıza formunun geçerli olmadığını tespit etmiştir. Kanunun 5. maddesindeki işleme şartlarına dayanmadan kişisel veri işleyen M.D. ve M.A. hakkında Kanunun 18/1-b maddesi kapsamında idari para cezası uygulanmasına ve verilerin imha edilmesi talimatı verilmesine karar verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2021/1187

Veri sorumlusu işveren tarafından eski çalışanı olan ilgili kişinin kurumsal e-posta hesabına aydınlatma yapılmaksızın erişilmesi

Eski çalışan olan ilgili kişi, veri sorumlusu tarafından kurumsal e-posta hesabındaki özel yazışmalarına, banka hesap dökümlerine ve harcama kayıtlarına erişilerek dava dosyasına sunulduğunu şikayet etmiştir. Kurul, Anayasa Mahkemesi ve AİHM kararlarına atıfla, çalışanların e-postalarının denetlenebileceğine dair önceden aydınlatma yapılmadığı hallerde çalışanların haklı beklenti içinde olacağını değerlendirmiştir. İlgili kişiye Kanun kapsamında aydınlatma yapılmadan e-postalarının incelenmesinin Kanunun 5. maddesindeki işleme şartlarına dayanmadığı tespit edilerek veri sorumlusuna 250.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2021/1153

Tıbbi ürünler satan veri sorumlusu tarafından ilgili kişiye reklam içerikli SMS gönderilmesi suretiyle kişisel verilerinin işlenmesi

İlgili kişi, tıbbi ürün satan veri sorumlusundan açık rızası olmaksızın ticari elektronik ileti gönderildiğini şikayet etmiştir. Veri sorumlusu, ilgili kişinin cep telefonu numarasının başka bir müşteri tarafından sehven bildirildiğini açıklamıştır. Kurul, numaranın veri sorumlusu kayıtlarında ilgili kişi ile ilişkilendirilmediğini, müşterinin hatalı numara bildirmesi sonucu olayın gerçekleştiğini tespit etmiştir. Veri sorumlusu hakkında yapılacak işlem olmadığına, ancak numaranın kara listeye alınmak yerine Kanunun 7. maddesine uygun şekilde imha edilmesi talimatı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/1127

Veri sorumlusu Üniversitenin ilgili kişinin kişisel verilerini içeren belgeleri internet sitesinde yayımlaması

TÜBİTAK Araştırma ve Yayın Etiği Kurulu tarafından yağmacı yayıncılık tespiti yapılan ilgili kişinin bilgilerini içeren gizli ibareli belgenin üniversite tarafından internet sitesinde yayınlandığı şikayet edilmiştir. Kurul, belgenin fakülte dekanları ile EBYS üzerinden paylaşılmasının Kanunun 5/2-ç ve 5/2-e bentleri kapsamında hukuka uygun olduğunu değerlendirmiştir. Ancak bilgilendirme amacını aşacak şekilde tüm kişisel verilerin internet sitesinde paylaşılmasının ölçülülük ilkesine aykırı olduğu tespit edilerek Kanunun 18/3 maddesi kapsamında sorumlular hakkında işlem yapılması talimatı verilmiştir. Sonuç Disiplin İşlemi
Kurul kararı 2021/1110

Veri sorumlusunun icra takibi başlattığı müşterilerinin kişisel verilerini herkesin erişimine açık bir internet sitesinde yayımlaması

Bir holding bünyesindeki şirketin icra takibi başlattığı müşterilerin T.C. kimlik numarası, telefon, adres ve araç plakası bilgilerinin bir internet sitesinde yayınlandığına dair ihbarda bulunulmuştur. Kurul, internet sitesinde yayınlanan kişisel verilerin İcra İflas Kanunu kapsamındaki işlemlerin ötesinde herhangi bir işleme şartına dayanmadığını tespit etmiştir. Kişisel verilerin çokluğu, önemi ve internet ortamında ifşa edilmesinin oluşturduğu güvenlik riski dikkate alınarak veri sorumlusuna 200.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2021/1107

İlgili kişinin kredi notunun Banka tarafından düzeltilmemesi ve kişisel verilerinin üçüncü kişilerle paylaşılması

İlgili kişi, bireysel kredi kartı ödemelerinde gecikme olmamasına rağmen bankanın Türkiye Bankalar Birliği Risk Merkezine yanlış bildirim yaparak kredi notunun düşürülmesine sebep olduğunu şikayet etmiştir. Banka, ticari kredi kartından kaynaklanan gecikmenin bireysel kredi kartı kaydına yansıtıldığını kabul etmiş ve sistem geliştirmesi yaptığını belirtmiştir. Kurul, Kanunun 4. maddesindeki doğru ve güncel olma ilkesinin ihlal edildiğini, bankanın Risk Merkezine düzenli bildirim yükümlülüğü nedeniyle aktif özen yükümlülüğü bulunduğunu değerlendirerek 150.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2021/1111

İlgili kişinin ceza mahkûmiyeti bilgisinin avukat olan veri sorumlusu tarafından hukuka aykırı olarak elde edilmesi ve mahkeme dosyasına sunulması

İlgili kişi, veri sorumlusu avukatın vekillik yaptığı bir davada tanık olarak dinlenmesinin ardından adli sicil kaydının mahkemeye sunularak paylaşıldığını şikayet etmiştir. Kurul, Adli Sicil Kanununun 7. maddesi uyarınca avukatlara ilgili kişilerin adli sicil bilgilerine resen erişim yetkisi verilmediğini, dolayısıyla verilerin hukuka aykırı elde edildiğini tespit etmiştir. Özel nitelikli kişisel veri olan adli sicil kaydının Kanunun 6. maddesindeki işleme şartlarına dayanmadan işlenmesi nedeniyle avukata 75.000 TL idari para cezası uygulanmış ve verilerin imha edilmesi talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2021/1104

Banka tarafından ilgili kişinin cep telefonu numarasına SMS gönderilmesi suretiyle kişisel verilerinin hukuka aykırı olarak işlenmesi

İlgili kişi, banka hesaplarını kapattırmasına rağmen COVID-19 pandemisi döneminde bilgilendirme SMS'leri gönderilmeye devam edildiğini şikayet etmiştir. Banka, yasal saklama süreleri devam ettiğinden silme talebinin yerine getirilemediğini ancak pazarlama amaçlı iletişimin durdurulduğunu belirtmiştir. Kurul, Bankacılık Kanunu kapsamında 10 yıllık saklama süresinin devam ettiğinden silme talebinin reddinin hukuka uygun olduğunu, ancak hesap kapatıldıktan sonra bilgilendirme amaçlı SMS gönderilmesinin Kanunun 5. maddesindeki işleme şartlarına dayanmadığını tespit ederek 50.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2021/1069

Bankanın avukatı tarafından borçlu yakını olan ilgili kişiye haciz ihbarnamesi gönderilmesi suretiyle kişisel verilerinin işlenmesi hakkında

İlgili kişi, borçlu yakını olarak banka avukatı tarafından İcra İflas Kanununun 89/1 maddesi kapsamında haciz ihbarnamesi gönderilmesiyle kişisel verilerinin paylaşıldığını şikayet etmiştir. Kurul, haciz ihbarnamesinin icra müdürlüğü tarafından düzenlendiğini ve veri sorumlusunun banka avukatı olduğunu tespit etmiştir. Banka alacağının tahsili amacıyla yürütülen işlemlerin Kanunun 5/2-e bendi kapsamında bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu değerlendirilerek hem banka hem avukat hakkında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/1051

İş arama ve işe alım süreçlerini yürüten bir istihdam platformunun Kişisel Verilerin Korunması Kanunu’na aykırı uygulamalarda bulunması

İlgili kişi, iş arama platformunda yaptığı başvurulara ilişkin işverenlere sunulan verilerine erişim talebinin yerine getirilmediğini ve rızası olmadan verilerinin silineceğinin bildirildiğini şikayet etmiştir. İncelemede, ilgili kişinin Kurula şikayetten önce veri sorumlusunun cevabını beklemediği, erişim talebinin 30 gün içinde karşılandığı ve Kanunun 11. maddesinin tüm bentlerini kullanma talebi nedeniyle silme talebinin de bulunduğunun anlaşıldığı tespit edilmiştir. Kurul, tüm taleplerin karşılandığını ve veri kaybının olmadığını değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi