KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 6. sayfa

6. sayfa 335 karardan 24 kayıt

Kurul kararı 2021/1021

Mağazacılık faaliyeti yürüten bir veri sorumlusunun veri ihlal bildirimi

Bir forum sitesinde 4792 müşteriye ait kişisel verilerin satışa çıkarıldığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, ihlalin daha önce hizmet alınan veri işleyen bünyesinde gerçekleştiğini ancak Kanunun 12/2 maddesi kapsamında veri sorumlusunun müşterek sorumluluğunun devam ettiğini tespit etmiştir. Veri işleyene sızma testi yaptırılmaması ve ticari ilişki sonlandıktan sonra verilerin imhasının sağlanmaması nedeniyle veri sorumlusuna 450.000 TL idari para cezası uygulanmış ve aynı veri işleyenden hizmet alan diğer veri sorumluları hakkında resen inceleme başlatılmasına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺450.000
Kurul kararı 2021/989

İlgili kişiye ait görselin, açık rızası alınmaksızın bir internet sitesinde yer alan haber içeriğinde kullanılması

Şikayette, bir haber sitesinde yayınlanan içerikte ilgili kişinin (kısıtlı bir çocuğun) fotoğrafının rızası olmadan ve yanlış bilgilerle birlikte kullanıldığı, fotoğrafın kaldırılması talebinin yerine getirilmediği iddia edilmiştir. Kurul, içeriğin veri sorumlusu bünyesinde çalışan bir editör tarafından oluşturulduğunu, dolayısıyla şirketin veri sorumlusu sıfatını haiz olduğunu tespit etmiştir. Haber içeriğinin kamu yararı taşımadığı ve kişilik haklarını ihlal ettiği değerlendirilerek Kanun'un 28/1(c) istisna kapsamında olmadığına, Kanun'un 5. maddesindeki işleme şartları bulunmadan veri işlendiğine ve veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmasına karar verilmiştir. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2021/993

Veri sorumlusu kargo firması tarafından ilgili kişi adına sehven fatura düzenlenmesi

Şikayette, kargo şirketinin ilgili kişi adına sehven fatura düzenlediği, bu faturanın başka bir firmaya gönderilen kargoya ait olduğu ve kişisel verilerin silinmesi talebinin yerine getirilmediği iddia edilmiştir. Kurul, ilgili kişinin kişisel verilerinin meslek kuruluşu ile yapılan indirim sözleşmesi kapsamında temin edilmesinin hukuka uygun olduğunu, ancak hukuka uygunluk sebebi bulunmaksızın ilgili kişi adına fatura düzenlenmesinin hukuka aykırı veri işleme faaliyeti olduğunu tespit etmiştir. Veri sorumlusunun Kanun'un 12/1(a) bendi kapsamındaki yükümlülüğünü yerine getirmediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmıştır. Verilerin mevzuat gereği saklanması nedeniyle silme talebinin reddinde hukuka aykırılık bulunmadığına karar verilmiştir. Sonuç Disiplin İşlemi
Kurul kararı 2021/925

İlgili kişinin sendika üyeliği bilgisinin hukuka aykırı şekilde elde edilmesi ve paylaşılması

Şikayette, iş sözleşmesi sendikal nedenlerle feshedilen bir işçi adına açılan işe iade davasında, ilgili kişinin sendika üyeliğinden istifa ettiği bilgisinin dava dilekçesinde paylaşıldığı iddia edilmiştir. Kurul, sendika üyeliği bilgisinin Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri olduğunu, ancak sendikal nedenle fesih iddiasının ispatı yükünün işçide olduğu davalarda, Avukatlık Kanunu'nun 2. maddesi ve Hukuk Muhakemeleri Kanunu'nun 119. maddesi uyarınca bu bilginin dava dilekçesinde kullanılmasının Kanun'un 6/3. fıkrası kapsamında kanunlarda öngörülen hal olarak değerlendirilebileceğini tespit etmiştir. Şikayetin Kanun'a aykırılık teşkil etmediğine karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/909

İlgili kişinin kardeşine ait borca dair yürütülen icra takibi kapsamında, veri sorumlusu avukat tarafından ilgili kişinin kişisel verilerinin İcra…

Şikayette, bir avukatın icra takibi kapsamında ilgili kişinin T.C. kimlik numarası ve adresini rızası olmadan icra dairesine verdiği iddia edilmiştir. Kurul, İcra ve İflas Kanunu'nun 89. maddesi uyarınca borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla haciz ihbarnamesi gönderilmesi için gerekli bilgilerin paylaşılmasının Kanun'un 5/2(a) "kanunlarda açıkça öngörülmesi" ve 5/2(e) "bir hakkın tesisi, kullanılması veya korunması" şartlarına dayandığını tespit etmiştir. Şikayete ilişkin Kanun kapsamında işlem yapılmasına yer olmadığına karar verilmiş, ancak veri sorumlusuna başvuru cevaplama süresine uyması hatırlatılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/891

WhatsApp'ta İşleme ve Yurt Dışına Aktarımın Tek Onaya Bağlanması

Kurul, WhatsApp'ın kişisel veri işleme ve yurt dışına aktarım faaliyetlerini tek ve müzakereye kapalı onaya bağlamasını özgür irade, belirli amaç ve ölçülülük ilkelerine aykırı bulmuş; veri sorumlusu hakkında idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺1.950.000
Kurul kararı 2021/889

İlgili kişinin, bir spor tesisi tarafından açık rızası alınmaksızın yer aldığı müsabakaların kaydedilip yayınlanması

İhbarda, halı saha tesislerinde spor yapan kişilerin görüntülerinin açık rızaları alınmadan kaydedildiği ve internet sitesinde yayınlandığı iddia edilmiştir. Kurul, görüntü kayıtlarının Kanun'un 5. maddesinde yer alan işleme şartlarından herhangi birine dayanmaksızın işlendiğini, veri sorumlusunun Kanun'un 12/1(a) bendi kapsamında kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünü yerine getirmediğini tespit etmiştir. Bu nedenle veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmış ve açık rıza alınması yönünde gerekli düzenlemelerin yapılması için talimat verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2021/850

Şikayetçinin ablasının kimlik bilgilerinin numara taşıma işlemi adına bir telekomünikasyon şirketinin bayi çalışanına ait telefon marifetiyle…

İhbarda, telekomünikasyon şirketinin bayilerinde numara taşıma işlemi sırasında müşteri kimlik belgelerinin çalışanların kişisel telefonlarıyla fotoğraflandığı ve bu durumun veri güvenliği riski oluşturduğu iddia edilmiştir. Kurul, kimlik fotokopisi alınmasının Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği uyarınca zorunlu olduğunu, veri sorumlusunun Kanun'un 5/2(a), (c), (ç) bentleri ile 12. maddesi kapsamındaki yükümlülüklerini yerine getirdiğini tespit etmiştir. Ancak genel ilkelere uyum için kurumsal cihaz kullanımının yaygınlaştırılması ve aydınlatma yükümlülüğünün yerine getirilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/847

İlgili kişinin bir web sitesinden kişisel verilerinin silinmesi talebinin veri sorumlusu tarafından yerine getirilmemesi

İlgili kişinin Kuruma intikal eden şikâyetinde özetle; bir şirkete ait web sitesi üzerinden daha önce kullandığı ancak şu anda kullanmadığı adres bilgilerinin silinmesini talep ettiği ancak bu yöndeki talebinin iki kez reddedildiği ve silme işleminin gerçekleştirilmeyeceğinin bildirildiği beyan ve iddiaları ile veri sorumlusu hakkında gerekli yasal işlemlerin yapılması talep edilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/859

İlgili kişinin internet hizmeti aboneliğini sağlamak üzere evine gelen şirket yetkilisinin aboneliği oluşturmak adına ilgili kişiye ait kimliğin…

Şikayette, internet hizmeti almak isteyen ilgili kişinin kimlik fotoğrafı çekilmek istendiği ancak "Müstenidattır" yazısı ekleme talebinin reddedildiği, sözleşme yapılmaması üzerine verilerinin silinmesi talebinin karşılanmadığı iddia edilmiştir. Kurul, kimlik fotoğrafı çekilmesinin Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği gereği zorunlu olduğunu, sözleşme kurulmasa da veri sorumlusunun savunma hakkını korumak için Kanun'un 5/2(e) bendi kapsamında asgari kimlik verisi işleyebileceğini tespit etmiştir. Ancak bu verilerin asgari süreyle sınırlı saklanması ve diğer verilerin imha edilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/799

İlgili kişinin uluslararası geçerliliği olan bir dil sınavı konusunda Türkiye’deki akredite kuruluş tarafından kişisel verilerinin hukuka aykırı…

Ilgili kisi, uluslararasi gecerliligi olan bir dil sinavina giris icin biyometrik fotograf ve parmak izinin herhangi bir veri isleme sartina dayanilmaksizin alindigini, kisisel verilerinin yurt disina aktarimi konusunda bilgilendirilmedigini ve reklam icin acik rizasi alinmadan e-posta gonderildigini sikayet etmistir. Veri sorumlusu, fotografin biyometrik olmayip vesikalik fotograf oldugunu, parmak tarama kayitlarinin sinav guvenligi icin alindigini ve yurt disina aktarilmadigini savunmustur. Kurul, kisisel verilerin sozlesmenin ifasi kapsaminda islendigini, aydinlatma metninde gerekli bilgilerin yer aldigini, ancak reklam icin acik riza alinmadigi tespit edilerek veri sorumlusu hakkinda talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/761

Kişisel sağlık verilerinin hastanedeki yetkisiz çalışanlar tarafından velayete sahip olmayan ebeveyn ile paylaşılması

Sikayetci, bosanma davasinda yargilanan esinin, musterek cocuklarina ait saglik ve epikriz raporlarini ustinaf dilekcesin ekinde kullandigini, bu raporlarin hastane tarafindan izni olmadan esinin vekiline verildigini sikayet etmistir. Hastane, cocuk hastaliklari uzmani doktorun belgeleri vekile verdigi ikrar edilerek, doktorun yogun poliklinik kosullari nedeniyle yasal duzenlemeleri hatirlamasinin mumkun olmadiginin degerlendirildigini bildirmistir. Kurul, veri sorumlusunun ozel nitelikli kisisel verilerin aktariminda Kanun'un 6'nci ve 8'inci maddelerine aykiri davrandigini, veri guvenligi tedbirlerinin yetersiz oldugunu tespit ederek idari para cezasi uygulanmasina ve personele kisisel verilerin korunmasi egitimlerinin verilmesi yonunde talimat verilmesine karar vermistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/670

İlgili kişinin veri sorumlusu bankaya yaptığı iş başvurusunun olumsuz sonuçlanması sonrası kişisel verilerinin işlenmeye devam etmesi

Ilgili kisi, veri sorumlusunun internet sitesi uzerinden is basvurusunda bulundugunu, mulakattin olumsuz sonuclanmasi uzerine kisisel verilerinin silinmesini talep ettigini, ancak isim-soyisim ve kimlik numarasinin gelecekte yapilacak basvurularda degerlendirilmek uzere saklanacaginin bildirildigini sikayet etmistir. Veri sorumlusu, kisisel verilerin Kanun'un 5'inci maddesinin (2) numarali fikrasinin (c), (e) ve (f) bentleri kapsaminda islendigini, ilgili kisinin talepleri uzerine tum verilerin silindigini savunmustur. Kurul, veri sorumlusunun ilgili kisinin taleplerini karsiladigini ve verilerin silindigini tespit ederek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/666

Şikâyetçinin yeni doğan bebeğine ait doğum belgesinde yer alan kişisel verilerin üçüncü kişiler tarafından Özel Hastane olarak faaliyet gösteren…

Sikayetci, bosanmis esi tarafindan cocugunun dogum belgesinin hastaneden temin edilerek yargilamanin iadesi davasina delil olarak sunuldugunu, hastaneye yaptigi basvuruya cevap alinmadigini sikayet etmistir. Hastane, evrak yogunlugu nedeniyle basvurunun ilgili birimlere iletilemedigini, belgenin ucuncu kisilerce gizlice fotograflandigini ve bununla ilgili suc duyurusunda bulunuldugunu savunmustur. Kurul, veri sorumlusunun Kanun'un 13'uncu maddesi kapsaminda basvuruya 30 gun icinde cevap vermedigini, bu durumun hukuka aykiri oldugunu belirleyerek basvurulara yasal sureler icinde cevap verilmesi ve veri guvenligi tedbirlerinin gozden gecirilmesi hususunda talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/664

İlgili kişinin, doğal gaz dağıtımı yapan bir şirket tarafından düzenlenen faturasında kişisel verisi niteliğindeki banka bilgisine yer verilmesi

Ilgili kisi, dogal gaz dagitim sirketi tarafindan duzenlenen faturalarda otomatik odeme talimati bolumunde banka adi bilgisine yer verildigini, bu bilginin kisisel veri niteliginde oldugunu ve ucuncu kisilerle paylasilmasi anlamina geldigini sikayet etmistir. Veri sorumlusu, banka bilgisinin otomatik odeme talimati veren musterilerin bankalari araciligiyla sistem entegrasyonu kapsaminda aktarildigini savunmustur. Kurul, ilgili kisinin talebinin veri sorumlusu tarafindan karsilandigini, tum musterilerin faturalarinda banka adi yerine sadece VAR ifadesinin yazilacak sekilde duzenleme yapildigini tespit ederek sikayetin reddine karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/603

İlgili kişinin internet alışveriş sayfası üzerinden ev adresine teslim talepli olarak vermiş olduğu siparişlerinin veri sorumlusu kargo şirketi…

Ilgili kisi, internet alisveris sitesinden ev adresine teslim talepli verdigi siparislerin, belirtmedigi halde isyeri adresine gonderildigini tespit ederek kargo sirketi hakkinda sikayet etmistir. Veri sorumlusu kargo sirketi, ilgili kisinin basvurusunda T.C. kimlik numarasinin bulunmadigini, isyeri adresinin onceki kargolardan elde edildigini ve yasal zorunluluklar nedeniyle silinemedigini savunmustur. Kurul, ilgili kisinin adresinin onceki siparislerde verilen bilgilerden elde edildigini, hatali teslimat nedeniyle musterinin magdur edilmemesi icin gerekli tedbirlerin alindigini tespit ederek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/584

Sigortacılık ve bireysel emeklilik alanında faaliyet gösteren bir şirket tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak…

Ilgili kisi, sigortacilik alaninda faaliyet gosteren sirket tarafindan cep telefonuna, 24 saat icinde iptal yaniti verilmezse aranmak icin olumlu yanit verildigi varsayilacak icerikli SMS gonderildigini sikayet etmistir. Veri sorumlusu, ilgili kisinin telefon numarasini bir Baronun resmi internet sitesinden temin ettigini ve Kanun'un 5'inci maddesinin (2) numarali fikrasinin (d) bendi kapsaminda aleni veri oldugunu savunmustur. Kurul, aleni verinin serbest olmadigi surece islenemeyecegini, mesajdaki zimni onay mekanizmasinin acik riza kosuluyla bagdasmadigini tespit ederek veri sorumlusu hakkinda idari para cezasi uygulanmasina ve ilgili kisinin verilerinin silinmesi yonunde talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/572

İlgili kişinin fotoğrafının öğrencisi olduğu okul tarafından kullanılması’’

Ilgili kisi, ogrenci olarak ogretmenleri ile yaptigi bir gorusmede rizasi olmaksizin fotografinin cekilerek okulun brosurunde ve internet sitesinde kullanildigini sikayet etmistir. Veri sorumlusu okul, fotografin ozel olarak cekilmedigini, tum ogrencilerin katildigi etkinlik sirasinda cekildigini ve veliden izin alindigini savunmustur. Kurul, veliden alinan yazili iznin bulundugunu, ancak ilgili kisinin okul degistirmesi uzerine acik rizasini geri alabilecegini degerlendirmis, veri isleme sartlarinin ortadan kalkmasi halinde fotograflarin silinmesi gerektigi yonunde veri sorumlusuna talimat verilmesine karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/548

İlgili kişinin cep telefonu numarasının kampanya adı altında bir dijital platform bayisi tarafından edinilmesi, işlenmesi ve rızası olmaksızın arama…

Ilgili kisi, sikayette bulunan dijital platform ile hicbir iliskisi olmamasina ragmen surekli olarak cagri merkezinden aranarak uyelik icin pazarlama yapildigini sikayet etmistir. Dijital platform, ilgili kisinin sistemlerinde kayitli olmadigini ve aramanin bir bayii tarafindan yapildigini bildirmistir. Kurul, bayiinin dijital platformdan bagimsiz olarak kisisel verileri elde ederek arama yaptigini, ancak dijital platformun bayii ile olan iliskisinde kisisel verilerin korunmasina iliskin gerekli denetim ve kontrolu saglamadigini tespit ederek dijital platformun veri isleme sureclerini gozden gecirmesi ve bayilerini bilgilendirmesi yonunde talimat verilmesine karar vermistir. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2021/545

‘‘Veri sorumlusu tarafından ilgili kişinin cep telefonu numarasına reklam amaçlı SMS gönderilmesi’’

Ilgili kisi, veri sorumlusu hastane tarafindan telefonuna acik rizasi olmaksizin reklam ve pazarlama amacli SMS gonderildigini sikayet etmistir. Hastane, sikayetcinin sistemlerinde kaydi olmadigini savunmus, ancak gonderilen SMS'lerdeki MERSİS numarasinin hastaneye ait oldugu tespit edilmistir. Kurul, ilgili kisiye vekili araciligiyla ihtarname gonderildigini ve hastane tarafindan cevap verilmedigini belirlenmis, Kanun'un 5'inci maddesindeki sartlardan birine dayanmaksizin kisisel veri islendigi icin veri sorumlusu hakkinda idari para cezasi uygulanmasina ve kisisel verinin imha edilmesi yonunde talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/470

İlgili kişinin yemek kartı hesap hareketlerine ilişkin kişisel verilerine erişim talebinin veri sorumlusu tarafından yerine getirilmediği iddiası

İlgili kişi, işvereni tarafından tahsis edilen yemek kartına ait hesap hareketlerinin kendisine iletilmesini talep etmiş, veri sorumlusu ise kimlik doğrulama için ek bilgi istemiş ve gmail adresine şifrelenmiş dosya göndererek şifre için telefon aramasını talep etmiştir. İlgili kişi bu güvenlik önleminin hukuka aykırı olduğunu ve verilerine erişiminin engellendiğini şikayet etmiştir. Kurul, veri sorumlusunun ilgili kişinin verilerine erişim talebini şifreleme yöntemi ile güvenli bir şekilde karşıladığını, bu uygulamanın Kanun'un 12'nci maddesi kapsamında veri güvenliğini sağlamaya yönelik meşru bir tedbir olduğunu değerlendirerek şikayetin reddine karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/426

Yardım masası paneli hizmeti veren bir veri sorumlusunda gerçekleşen veri ihlali hakkında yapılan resen inceleme

Bir e-ticaret sitesinin hizmet aldigi yardim masasi panelinde yapilan toplu yetkilendirme calismasinda SQL Script kodundaki hata sonucu, partner firmaya yanlis yetki verilmis ve 13 farkli firmanin yardim masasi bildirimlerine erisim saglanmistir. Kurul, ihlalin veri sorumlusunun ihmalinden kaynaklandigini, 950'den fazla kisinin etkilendigini ve veri guvenligine yonelik gerekli teknik tedbirlerin alinmadigini tespit etmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 300.000 TL idari para cezasi uygulanmasina ve bilgi belge talebine iliskin gerekli dikkat ve ozenin gosterilmesi hususunda talimat verilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺400.000
Kurul kararı 2021/427

Bir e-ticaret sitesi (veri sorumlusu) nezdinde gerçekleşen veri ihlali hakkında yapılan resen inceleme

E-ticaret sitesinde pazar yeri modeli ile satis yapmak isteyen partner firma, sisteme giris sirasinda bir guvenlik acigi kesfederek ucuncu kisilerin bilgilerine eristiklerini veri sorumlusuna bildirmistir. Veri sorumlusu, partner firma ile gizlilik sozlesmesi imzalayarak durumu kapatmaya calismis, ancak ihbarin Kuruma yapilmasi uzerine inceleme baslatilmistir. Kurul, ihlalin 22.10.2019'da gerceklesip ayni gun tespit edilmesine ragmen Kuruma bildirilmedigini tespit etmis, veri guvenligini saglamaya yonelik teknik tedbirleri almayan ve bildirim yukumlulugune aykiri davranan veri sorumlusu hakkinda toplam 800.000 TL idari para cezasi uygulanmasina karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺800.000
Kurul kararı 2021/422

İlgili kişinin fotoğraflarının veri sorumlusuna ait bir sosyal medya hesabında paylaşılması suretiyle gerçekleşen kişisel veri işleme faaliyeti

Ilgili kisi, veri sorumlusunun is yerinde pilates egitmeni olarak calistigi donemde cekilen fotograflarinin, is iliskisi sona erdikten sonra veri sorumlusunun sosyal medya hesabinda herkese acik sekilde paylasildigi ve talebine ragmen kaldirilmadigini sikayet etmistir. Veri sorumlusu Kuruma savunma sunmamis, ancak ilgili kisiye verdigi cevapta fotograflarin izinle cekildigini ve talepten sonra kullanimdan vazgecildigini belirtmistir. Kurul, veri isleme sartlarinin ortadan kalkmasi halinde verilerin silinmesi gerektigini, veri sorumlusunun Kanun'un 15'inci maddesi kapsaminda Kurul kararini uygulamasi gerektigi yonunde talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı