KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 6. sayfa

6. sayfa 382 karardan 24 kayıt

Kurul kararı 2022/711

Otomotiv Güvenlik Şirketindeki Veri İhlali

Otomotiv güvenlik ve elektronik sistemleri üretimi yapan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İdari Para Cezası Ceza tutarı ₺500.000
Kurul kararı 2022/707

Mağazacılık Şirketindeki Veri İhlali İncelemesi

Mağazacılık hizmeti veren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/655

Tasfiye edilen şirketin eski ortaklarının borç için aranması

Şikayette, tasfiye edilmiş limited şirketin eski ortaklarına ait kişisel verilerin veri sorumlusu avukat tarafından borç tahsili amacıyla işlendiği, ısrarla arama yapıldığı ve aydınlatma yükümlülüğünün yerine getirilmediği iddia edilmiştir. Kurul, avukatın ilgili kişilerin ad, soyad, T.C. kimlik numarası ve telefon numaralarını UHAP ve bilinmeyen numara servisleri gibi yasal platformlardan edindiğini, bu işlemenin Kanun'un 5/2(ç) "hukuki yükümlülük" ve 5/2(e) "hak arama hürriyeti" şartlarına dayandığını tespit etmiştir. "Defaten/ısrarla" arama iddiasının sunulan belgelerden ispat edilemediği, aydınlatma yükümlülüğüne ilişkin iddiaların ise veri sorumlusuna yapılan başvuruda yer almadığı değerlendirilerek Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/662

Bina girişinde el geometrisi verisinin açık rıza olmaksızın işlenmesi

Şikayette, bir işletmenin hizmet alanına girişte avuç içi ve parmak izi tarandığı, açık rıza alınmadığı iddia edilmiştir. Kurul, kullanılan cihazın "el geometrisi" bilgisini işlediğini, bu cihazın elin 31.000 noktadan üç boyutlu taranarak karakteristiklerini analiz ettiğini, yanılma oranının çok düşük olduğunu tespit etmiştir. El geometrisinin fizyolojik özellik aracılığıyla gerçekleştirilen biyometrik bir kimlik doğrulama yöntemi olduğu, Kanun'un 6. maddesindeki özel nitelikli kişisel veri işleme şartlarının bulunmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış, biyometrik veri işleme uygulamasının durdurulması ve işlenen el geometrisi verilerinin yok edilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/653

E-ticaret alışverişindeki kart ve telefon bilgilerine erişim talebi

Şikayette, veri sorumlusu e-ticaret platformundan yapılan alışverişlere ilişkin kredi kartı bilgileri ve teslimat telefon numarasının Kanun kapsamında talep edildiği ancak veri sorumlusunun bu talebi reddettiği iddia edilmiştir. Kurul, kredi kartı bilgilerinin PCI DSS uyumluluğu gereği mobil ödeme teknolojisi sağlayıcısı aracı şirket bünyesinde tutulduğunu, veri sorumlusunun bu bilgilere erişiminin olmadığını tespit etmiştir. İlgili kişinin üyelik hesabından verilen siparişlerde üçüncü kişinin telefon numarasının bulunduğu durumlarda, ilgili kişinin makul gerekçesi olması ve dolandırıcılık riski bulunmaması halinde bu bilginin kimlik doğrulama mekanizmalarıyla paylaşılabileceği değerlendirilerek veri sorumlusu bu hususta talimatlandırılmıştır. Sonuç Talimat / Uyarı
Kurul kararı 2022/630

Ameliyat sırasında çekilen fotoğrafların sosyal medyada paylaşılması

Şikayette, özel bir hastanede burun ameliyatı sırasında baygın olduğu esnada çekilen fotoğraflarının, hastanede çalışan doktorun sosyal medya hesabında reklam amaçlı paylaşıldığı iddia edilmiştir. Kurul, görsellerde yüzün kaş, bıyık gibi bölümlerinin açıkça yer aldığını ve ilgili kişinin kimliğini belirlenebilir kıldığını tespit etmiştir. Muvafakatnamede açık rıza gösterilen tarafın hastane olduğu, doktorun bu verileri paylaşması için ayrı bir rızanın bulunmadığı değerlendirilerek Kanun'un 12/1 kapsamında gerekli tedbirlerin alınmadığı sonucuna varılmış ve veri sorumlusu hastane hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/594

Uyuşturucu testi sonuçlarının işverenle paylaşılması

Şikayette, işveren bünyesinde çalışan ilgili kişilerin uyuşturucu testine zorlandığı, test sonuçlarının işyerindeki üçüncü bir kişinin e-posta adresine gönderildiği, dolayısıyla sağlık verilerinin rızaları olmaksızın paylaşıldığı iddia edilmiştir. Kurul, veri sorumlusu sağlık kuruluşunun test sonuçlarını gönderdiği üçüncü kişinin işyeri hekimi olmadığını, Kanun'un 6. maddesi kapsamında sır saklama yükümlülüğü altında bulunan kişilerden olmadığını tespit etmiştir. Açık rızayı kanıtlayıcı belge sunulmadığı, özel nitelikli kişisel verilerin hukuka aykırı işlendiği değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2022/545

Müşterisi olunmayan bankanın aydınlatma yapmadan veri işlemesi

Şikayette, ilgili kişinin bir elektronik eşya mağazasından kredi sorgulaması için veri sorumlusu bankaya SMS gönderdiği, bankanın daha önceden kişisel verilerini işlediği, aydınlatma yapılmadığı ve başvuruya usulüne uygun yanıt verilmediği iddia edilmiştir. Kurul, bankanın ilgili kişinin iradesiyle başlattığı kredi hesaplama sürecinde kişisel verilerini KPS, Kredi Kayıt Bürosu ve TBB Risk Merkezi aracılığıyla işlediğini, bu verilerin banka bünyesinde önceden tutulmadığını tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak Aydınlatma Tebliği'ne uyum açısından bazı eksiklikler bulunduğu değerlendirilerek aydınlatma metninin Tebliğ'e uygun hale getirilmesi ve başvurulara eksiksiz yanıt verilmesi hususlarında veri sorumlusu talimatlandırılmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2022/489

Birlik belgelerinin vekil avukatla ve Baro dosyasında paylaşılması

Şikayette, ilgili kişinin hukuki danışmanlık sözleşmesi bulunan Birlik ile arasındaki anlaşmazlık sonrasında, kendisini Birlik vekili olarak tanıtan bir avukatı Baroya şikayet ettiği, bu avukatın savunma dilekçesi ekinde ilgili kişiye ait serbest meslek makbuzu ve stopaj ödeme listesi fotokopilerine yer verdiği iddia edilmiştir. Kurul, Birliğin kamu tüzel kişiliğini haiz olarak dışarıdan avukatlık hizmeti aldığını, ilgili kişinin kişisel verilerini içeren belgelerin avukat ile paylaşılmasının Kanun'un 5/2(e) bendi kapsamında "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu tespit etmiştir. Avukatın bu belgeleri Baro soruşturması kapsamında savunma dilekçesine eklemesinin de aynı hukuki sebebe dayandığı değerlendirilerek her iki veri sorumlusu hakkında Kanun kapsamında yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/491

Eski katalog modelinin fotoğraflarının internet sitesinde tutulması

Şikayette, giyim mağazasında katalog modeli olarak çalışan ilgili kişinin iş ilişkisinin sona ermesine rağmen fotoğraflarının veri sorumlusunun internet sitesinde yayınlanmaya devam ettiği iddia edilmiştir. Kurul, ilgili kişi ile veri sorumlusu arasında yazılı olmayan bir fotomodellik sözleşmesinin bulunduğunu, bu sözleşme kapsamında çekilen fotoğrafların Kanun'un 5/2(c) bendi uyarınca "sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması" şartına istinaden işlendiğini tespit etmiştir. Kıyafet stoklarının bitmesiyle fotoğrafların kaldırıldığı ve ilgili kişinin belirttiği linklerin artık açılmadığı anlaşıldığından veri sorumlusu hakkında Kanun kapsamında yapılacak işlem bulunmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/388

Belediyelerin Ödeme ve Borç Sorgulama Hizmetleri Hakkında İlke Kararı

Belediyelerin emlak vergisi sorgulama sayfalarında yalnızca TC kimlik numarası ile vatandaşların emlak bilgilerine erişilmesinin Kanun'un 12. maddesine aykırılık oluşturduğu, ek güvenlik tedbirlerinin alınması gerektiğine dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2022/386

İşten çıkarılma bilgisinin şirketin sosyal medya hesabında paylaşılması

Şikayette, iş akdi feshedilen ilgili kişinin ad ve soyadının veri sorumlusunun sosyal medya hesabında "usulsüzlükler nedeniyle işten atıldığına" dair ifadelerle paylaşıldığı iddia edilmiştir. Kurul, duyurunun şirket müşterilerine değil herkese açık bir platformda yapıldığını, Kanun'un 4. maddesindeki ölçülülük ilkesine aykırı olduğunu ve Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadığını tespit etmiştir. Veri sorumlusunun ilgili kişinin kişisel verilerini hukuka aykırı şekilde işlediği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 30.000 TL idari para cezası uygulanmış ve sosyal medya paylaşımındaki kişisel verilerin imha edilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2022/325

İşletme faturalarının ilgisiz kişinin e-posta adresine gönderilmesi

Şikayette, pazarlama şirketinin Trabzon bölge yetkilileri tarafından ilgili kişinin e-posta adresine bir market adına düzenlenmiş faturaların gönderildiği iddia edilmiştir. Kurul, şirketin dağıtım ağında yetkili satıcının son satıcı bilgilerini DBS'ye kaydettiğini, e-posta adresinin el yazısıyla iletilmesi nedeniyle sehven farklı şekilde kaydedildiğini tespit etmiştir. İlk sözleşme imzalanan şirketin olayda sorumluluğu bulunmadığı, veri işleyen yetkili satıcı tarafından kasıtsız şekilde hatalı kayıt yapıldığı ve düzeltildiği değerlendirilerek ikinci pazarlama şirketi hakkında işlem yapılmadığına, ancak 2020/966 sayılı İlke Kararı kapsamında e-posta teyit mekanizması kurulmasının hatırlatılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/328

Çalışanın kimlik ve adres bilgilerinin toplu ihtarnamede paylaşılması

Şikayette, veri sorumlusu tarafından gönderilen ücretsiz izin ihtarnamesinde ilgili kişinin T.C. kimlik numarası ve adresinin yedi başka çalışanla birlikte paylaşıldığı iddia edilmiştir. Kurul, ihtarnamenin noterliğe iletilmesinin Kanun'un 5/2(e) "bir hakkın tesisi, kullanılması veya korunması" şartına uygun olduğunu, ancak sekiz çalışanın bilgilerinin aynı ihtarnamede karartma veya ayrı keşide işlemi yapılmadan yer almasının kişisel verilerin birbirleriyle paylaşılmasına yol açtığını tespit etmiştir. Bu işleme faaliyetinin Kanun'un 5. maddesindeki şartlardan herhangi birine dayanmadığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/277

Onarım kargosunun yanlış kişiye teslim edilmesi

Şikayette, elektronik perakende zincirine onarım için teslim edilen kulaklığın distribütör firmaya gönderilmesi amacıyla kargo şirketine teslim edildiği, ancak kargonun sehven üçüncü bir şahsa teslim edildiği iddia edilmiştir. Kurul, onarım için gerekli bilgilerin distribütör firmaya aktarılmasının Kanun'un 5/2(c) ve (ç) bentlerine uygun olduğunu, kargo paketinin içeriğini bilmeyen kargo şirketinin veri sorumlusu veya veri işleyen sıfatını haiz olmadığını tespit etmiştir. Hatalı teslimatın kargo şirketinden kaynaklandığı, ancak veri sorumlusunun gelecekte benzer olaylar için Kanun'un 12/5 uyarınca bildirim yükümlülüğüne uyması ve formlarda minimum düzeyde kişisel veri paylaşılması hususunda talimatlandırılmasına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2022/249

Bulut hizmetiyle açık rıza olmaksızın yurt dışına veri aktarılması

Şikayette, veri sorumlusunun internet sitesinde çerez politikası bulunmadığı, yurt dışına veri aktarıldığı ve başvuruya yanıt verilmediği iddia edilmiştir. Kurul, veri sorumlusunun sunucuları yurt dışında bulunan bir bulut hizmeti kullandığını, Kurula onaylı taahhütname sunulmadığını ve açık rıza alınmadığını tespit etmiştir. Veri sorumlusunun yurt dışına sistemli şekilde kişisel veri aktardığı, bu durumun icrai hareketle kasten gerçekleştirildiği, çok sayıda ilgili kişinin etkilendiği değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 950.000 TL idari para cezası uygulanmış, yurt dışına aktarımın Kanun'un 9. maddesine uygun hale getirilmesi ve başvurulara etkin yanıt verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺950.000
Kurul kararı 2022/243

Misafir siparişinde yanlış e-posta adresine fatura gönderilmesi

Şikayette, ilgili kişi ile aynı isme sahip üçüncü bir kişinin e-ticaret sitesine üye olmadan misafir girişiyle sipariş verirken ilgili kişinin e-posta adresini sehven girmesi sonucu faturanın ilgili kişiye gönderildiği iddia edilmiştir. Kurul, misafir girişlerinde e-posta doğrulama mekanizması bulunmadığını, bu durumun veri ihlal riski taşıdığını ve Kanun'un 4/2(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun e-posta adresinin işlenmesinde Kanun'un 5. maddesindeki işleme şartına dayanmadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 100.000 TL idari para cezası uygulanmış ve 2020/966 sayılı İlke Kararı'na uyum hatırlatılmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2022/224

Kartı bulan kişinin iletişim bilgilerinin kart sahibiyle paylaşılması

Şikayette, banka ATM'sinde bulunan banka kartını çağrı merkezine bildiren ilgili kişinin ad, soyad ve telefon numarasının kart sahibi ile paylaşıldığı iddia edilmiştir. Kurul, çağrı merkezi personelinin "kart sahibine kartı sizin bulduğunuzu ileteceğim" ifadesine verilen "tamam" cevabının açık rıza unsurlarını karşılamadığını, ilgili kişinin kişisel verilerinin paylaşılacağı bilgisini içermediğini tespit etmiştir. Aydınlatma yükümlülüğünün yerine getirildiği ancak kişisel verilerin Kanun'un 5. maddesindeki işleme şartlarından birine dayanmadan üçüncü kişiyle paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca idari para cezası uygulanmıştır. Sonuç Ceza verildi · Tutar açıklanmadı
Kurul kararı 2022/229

E-ticaret çerezleriyle hukuka aykırı veri işleme ve yurt dışına aktarım

Şikayette, bir e-ticaret sitesinin çerez politikasının yetersiz olduğu, kesinlikle gerekli olmayan çerezler için açık rıza alınmadığı ve kişisel verilerin yurt dışına aktarıldığı iddia edilmiştir. Kurul, veri sorumlusunun reklam/pazarlama ve analitik çerezleri için açık rıza almadan işlem yaptığını, Kanun'un 9. maddesine uygun olmadan yurt dışına veri aktardığını ve aydınlatma metninin Tebliğ'e uygun olmadığını tespit etmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 800.000 TL idari para cezası uygulanmış, kesinlikle gerekli olmayan çerezler için "opt-in" mekanizmasıyla açık rıza alınması ve yurt dışına aktarımın Kanun'a uygun hale getirilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺800.000
Kurul kararı 2022/184

Borç bilgisinin alacak yönetim şirketince aile üyelerine gönderilmesi

Şikayette, alacak yönetim şirketinin ilgili kişinin kardeşi ve eşine ait telefon numaralarına borç tahsilatı SMS'i gönderdiği iddia edilmiştir. Kurul, veri sorumlusunun çağrı merkezini arayan kişilerin telefon numaralarını otomatik olarak ilgili kişinin numaraları olarak kaydettiğini ve bu numaralara borç bilgisi içeren SMS gönderildiğini tespit etmiştir. Kanun'un 5. maddesindeki işleme şartlarından herhangi birine dayanılmadan üçüncü kişilerin telefon numaralarının işlendiği ve borç bilgisinin paylaşıldığı değerlendirilerek veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 50.000 TL idari para cezası uygulanmış ve bu uygulamaya son verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺50.000
Kurul kararı 2022/172

İşe alımda sağlık ve adli sicil verilerinin talep edilmesi

Şikayette, yurt dışında mukim veri sorumlusunun Türkiye'deki irtibat bürosunun işe kabulde adli sicil kaydı, sağlık raporu, kan grubu belgesi ve aile bireylerinin nüfus cüzdanı fotokopilerini istediği, açık rıza almadığı ve başvuruya yanıt vermediği iddia edilmiştir. Kurul, irtibat bürosunun tüzel kişiliği bulunmadığından veri sorumlusu sıfatının yurt dışındaki ana şirkete ait olduğunu, iş akdi kapsamında kişisel verilerin yurt dışına aktarılmasının hukuka uygun olduğunu tespit etmiştir. Ancak ilgili kişinin başvurusuna yasal süre içinde yanıt verilmediği ve imha işlemlerini tevsik edici belge sunulmadığı belirlenmiştir. Veri sorumlusunun başvurulara azami dikkat göstermesi ve imha belgelerini ilgili kişiye ileterek Kurula bilgi vermesi hususunda talimatlandırılmasına karar verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2022/137

Senetli alışverişte e-Devlet şifresi ve kimlik numarası talebi

Resen incelemede, bir alışveriş merkezinin internet sitesinde senetli alışveriş için müşterilerden e-Devlet şifresi istendiği ve üyelik için T.C. kimlik numarası zorunlu tutulduğu tespit edilmiştir. Kurul, e-Devlet şifresi ve T.C. kimlik numarasının zorunlu bilgi olarak talep edilmesinin özgür iradeye dayalı geçerli bir açık rıza oluşturmadığını, veri işleme şartlarına dayanılmadan kişisel veri işlendiğini belirlemiştir. Ayrıca T.C. kimlik numarası girildiğinde daha önce üye olan kişilerin kişisel verilerinin görüntülenmesinin veri güvenliği açığına işaret ettiği tespit edilmiştir. Veri sorumlusu hakkında Kanun'un 18/1(b) bendi uyarınca 300.000 TL idari para cezası uygulanmış, e-Devlet şifreleri ve T.C. kimlik numaralarının imha edilmesi ile güvenlik açığının giderilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺300.000
Kurul kararı 2022/107

Tasarruf finansman şirketinin rızasız reklam SMS'i göndermesi

Şikayette, tasarruf finansman şirketinin ilgili kişiye rızası olmadan ticari elektronik ileti gönderdiği, İleti Yönetim Sistemi'ne (İYS) kayıt yapılmasına temel teşkil edecek bir ilişki bulunmadığı iddia edilmiştir. Kurul, veri sorumlusu tarafından sunulan bilgi ve belgeler çerçevesinde ilgili kişinin veri sorumlusu ile bir ilişkisinin tespit edilemediğini ve ilgili kişinin kişisel verisinin işlenmesi hususunda açık rızasının olduğunun tevsik edilemediğini belirlemiştir. Veri sorumlusunun Kanun'un 12/1 kapsamında gerekli tedbirleri almadığı değerlendirilerek Kanun'un 18/1(b) bendi uyarınca 75.000 TL idari para cezası uygulanmış ve hukuka aykırı işlenen verinin imha edilerek sonucundan Kurula bilgi verilmesi hususunda talimat verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2022/103

İcra takibi belgelerinin şirket çalışanı tarafından sosyal medyada paylaşılması

Şikayette, veri sorumlusu tekstil firmasının çalışanı tarafından ilgili kişinin adının geçtiği şirkete ait icra takibi evrakının sosyal medyada paylaşıldığı iddia edilmiştir. Kurul, şirket unvanında ilgili kişinin adı ve soyadı geçse de, yapılan paylaşımlarda tüzel kişiliğin hedeflendiğini, şirket unvanının veya borç bilgisinin gerçek kişinin hak ve menfaatlerinde bir etkiye sahip olmadığını veya gerçek kişiye belirli bir şekilde davranılması amacıyla kullanılmadığını tespit etmiştir. Bu nedenle paylaşılan verilerin Kanun'un 3. maddesindeki kişisel veri tanımını karşılamadığına ve şikayet konusunun Kanun'un 2. maddesi uyarınca Kanun kapsamında olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi