KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 7. sayfa

7. sayfa 335 karardan 24 kayıt

Kurul kararı 2021/424

Bir bankanın, varlık yönetim şirketinin ve üç farklı avukatın borçlu olmayan ilgili kişinin kişisel verisini işleyerek icra takibi başlattıkları…

Ilgili kisi, farkli bir sahis yerine sehven T.C. kimlik numarasinin kaydedilmesi nedeniyle Banka, Varlik Yonetim Sirketi ve avukatlar tarafindan borclu olmadigi halde icra takibi baslatildigini, KKB kayitlarina kara liste olarak islendigini sikayet etmistir. Banka, 2017'de basvuru uzerine hatanin duzeltildigini ve Varlik Yonetim Sirketine bildirim yapildigini savunmustur. Kurul, Bankanin sehven yanlis T.C. kimlik numarasi kaydederek veri isleme ilkelerine aykiri davrandigini, ilgili kisinin talebine ragmen duzeltmenin gecikmeli yapildigini tespit ederek Banka hakkinda Kanun'un 18'inci maddesi uyarinca 100.000 TL idari para cezasi uygulanmasina ve Varlik Yonetim Sirketi ile avukatlarin kayitlarini duzeltmesi yonunde talimat verilmesine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/407

Bir hastanenin veri ihlal bildirimi hakkında

Veri sorumlusu hastanede calisan bir hekim, 789 hastaya ait dosyalarin arsivden alinarak hastane disina cikarilmasini saglamis, bu durum 17 gun sonra kamera kayitlarinin incelenmesiyle tespit edilmistir. Dosyalarin 54'u yediemine teslim edilmis, geriye kalanlarinin akibeti bilinmemektedir. Kurul, dosya guvenligine yonelik yeterli tedbirlerin alinmadigini, calisanlara kisisel verilerin korunmasi egitiminin tamamlatilmadigini ve ihlalin tespitinden 25 gun sonra Kuruma bildirildigini, ilgili kisilere bildirim yapilmadigini tespit etmistir. Kanun'un 12'nci maddesi kapsaminda veri guvenligini saglamamak ve bildirim yukumlulugunu yerine getirmemek nedeniyle toplam 600.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺600.000
Kurul kararı 2021/389

Bir sigorta şirketi tarafından hizmetin açık rıza şartına bağlanması hakkındaki ihbar” ile ilgili olarak

Ihbar eden ilgili kisi, bireysel emeklilik sigorta sirketinin internet sayfasindan police bilgilerine ulasmak icin giris yaparken kisisel verilerin islenmesine riza gostermeye zorlandigi, bu kutuyu isaretlemeden hicbir islem yapilamadigini bildirmistir. Kurul, veri sorumlusunun aydinlatma ve acik riza metinlerini ayirmadigi, bu haliyle aydinlatma yukumlulugunu usulune uygun yerine getirmedigi ve acik rizayi hizmet sartinamit baglama ihtimali bulundugu tespit edilmistir. Veri sorumlusunun aydinlatma yukumlulugunu mevzuata uygun hale getirmesi ve acik rizayi hizmet sartina baglamamasi yonunde talimat verilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2021/358

İlgili kişiye bir banka tarafından SMS gönderilmesi ve ilgili kişinin bu banka nezdindeki kişisel verilerinin imha edilmesi talebinin yerine…

İlgili kişi, 2003 yılında kurulan bankacılık ilişkisinin sona ermesine rağmen kişisel verilerinin 16 yıldır saklandığını, SMS'ler gönderildiğini ve kredi kartı teklifleri için arandığını şikayet etmiştir. Banka, 5411 sayılı Bankacılık Kanunu'nun 42'nci maddesi gereğince müşteri bilgilerinin son işlem tarihinden itibaren 10 yıl saklanması gerektiğini, e-haciz iptali gibi yasal bilgilendirme içeren SMS'lerin iletişim izni gerektirmediğini savunmuştur. Kurul, veri sorumlusunun başvuruya 2 gün gecikmeli cevap vermesinin hukuka uygun olmadığını belirleyerek bu konuda dikkatli olunması gerektiği yönünde talimat verilmesine karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/361

Bir bankanın mobil uygulamalar üzerinden ilgili kişiye rızası dışında tanıtım iletileri göndermesi

Ilgili kisi, maas musterisi oldugu bankanin mobil uygulamalari uzerinden acik rizasi alinmadan tanitim iletileri gonderildigini, kisisel verilerinin silinmesi talebine cevap olarak hesap ve kredi kartlarinin iptal edildigini sikayet etmistir. Banka, kullanicilarin uygulamayi indirdikten sonra bildirim tercihi istendigini, izin vermeyenlere pazarlama iletisi gonderilmedigini ve ilgili kisinin silme talebine istinaden hesabinin kapatildigini, ancak sonrasinda yeniden hesap acildigini savunmustur. Kurul, veri sorumlusunun Kanun'un 7'nci maddesi kapsaminda hareket ettigini ve ilgili kisiye zarar olusmadigini belirleyerek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/359

İlgili kişinin kişisel verilerinin site yönetim hizmetini sağlayan veri sorumlusu şirket tarafından bir mobil uygulama ile hukuka aykırı olarak…

Ilgili kisi, oturdugu sitenin yonetim sirketinin telefon numarasini rizasi disinda bir mobil uygulama ile paylastigini ve bilgi mesajlari gonderildigini sikayet etmistir. Yonetim sirketi, uygulamayi yonetim hizmetleri icin kullandigini ve ilgili kisinin kendisinin programa kaydoldugunu iddia etmistir. Kurul, ilgili kisinin ikamet ettigi sitede Kat Mulkiyeti Kanunu'ndan kaynaklanan yukumlulukler icin verilerin islenmesinin zorunlu oldugunu, ancak veri aktarimi sirasinda aydinlatma yapilmasi gerektigini tespit ederek yonetim sirketinin aydinlatma yukumlulugunu yerine getirmesi yonunde talimat verilmesine karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2021/333

Bir sigorta şirketi tarafından işlenen kişisel verilerin üçüncü kişiye aktarılması ve ilgili kişiye veri aktarımına ilişkin aydınlatma yapılmaması

Ilgili kisi, trafik kazasi sonrasi kasko policesi kapsaminda hasar dosyasi acildigini, ancak aracinin pert sureci islemlerinin bilgisi ve onay olmadan ucuncu bir sirkete aktarildigini sikayet etmistir. Veri sorumlusu sigorta sirketi, sovtaj yonetimi hizmetleri kapsaminda ucuncu kisi sirketle sozlesme imzaladigini ve kisisel verilerin sozlesmenin ifasi icin aktarildigini savunmustur. Kurul, aktarimin Kanun'un 8'inci maddesi kapsaminda sozlesmenin ifasi ile ilgili oldugunu, aydinlatma metninde bu hususun belirtildigini tespit ederek sikayetin reddine karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/311

Bir kozmetik şirketinin veri ihlal bildirimi hakkında

Veri sorumlusu e-ticaret sitesinde yeni bir kampanya nedeniyle yuksek erisim yasanmis, veri isleyen tarafindan eklenen yeni sunucularda DDos koruma fonksiyonunun hatali calismasi sonucunda 48 dakika boyunca uye girisi yapan musterilere rastgele diger uyelerin profil bilgileri (ad-soyad, e-posta, adres) gorunur olmustur. Kurul, fonksiyonun canli ortama alinmadan once yeterli test yapilmadan uygulamaya konuldugunu, sitenin yogun oldugu saatlerde degisiklik yapildigini ve kisisel verilerin sifreleme/maskeleme ile korunmadigini tespit etmistir. Kanun'un 12'nci maddesinin (1) numarali fikrasi kapsaminda gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkinda Kanun'un 18'inci maddesi uyarinca 200.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2021/242

İlgili kişinin kişisel verilerinin bir tur şirketi tarafından üçüncü kişilerle paylaşılması

Ilgili kisi, bir tur sirketinden tatil paketi satin aldiktan sonra paylastigi kisisel verilerinin ucuncu bir kisiye aktarildigini ve mahkeme dosyasina sunuldugunu sikayet etmistir. Veri sorumlusu, tum satis kanallarindan yapilan rezervasyonlarin tek bir satis altyapisinda saklandigini, log kayitlarinin tutuldugunu ve ilgili kisinin verilerinin hicbir sekilde ucuncu kisilerle paylasilmadigini savunmustur. Kurul, log kayitlarini inceleyerek veri sorumlusunun ilgili kisinin verilerini Kanun'a aykiri sekilde ucuncu kisilerle paylastigina dair yeterli delil bulunmadigini belirlemis ve sikayetin reddine karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/241

Ölenin sigorta poliçesine yasal mirasçısının erişim talebinin sigorta şirketi tarafından reddedilmesi

Sikayetci, olen esinin hayat sigortasi policesisnin, is kazasi nedeniyle yapilmasi gereken odeme miktarinin tespiti icin gerekli oldugunu, ancak veri sorumlusu sigorta sirketi tarafindan ozel vekaletname gerektiği gerekçesiyle policenin verilmedigini sikayet etmistir. Kurul, muteveffanin Grup Hayat Sigortasi Policesi kapsaminda sigortali oldugunu, sigorta teminatinin tamaminin murislere odendigini, muteveffanin taraf olmadigi Grup Sigortasi Sozlesmesi'nin paylasilma yukumlulugu bulunmadigini tespit etmistir. Sikayetcinin policenin tam metnini sigorta ettiren bankadan veya yargi yoluyla talep edebilecegi degerlendirilerek sikayetin reddine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/227

Bir eğitim kurumu tarafından ilgili kişinin cep telefonu numarasının herhangi bir veri işleme şartına dayanmaksızın işlenmesi ve ilgili numaraya…

Ilgili kisi, bir egitim kurumu tarafindan cep telefonuna acik rizasi olmaksizin reklam/bildirim amacli SMS gonderildigini sikayet etmistir. Yapilan incelemede, SMS gonderiminin isim hakki sozlesmesi kapsaminda faaliyet gosteren baska bir sirket tarafindan gerceklestirildigini, bu sirketin telefon numarasini anket yapan firmalardan aldigini beyan ettigi tespit edilmistir. Kurul, ilgili kisinin telefon numarasinin ucuncu bir kisi tarafindan anket formuna sehven girildigini, veri sorumlusunun acik rizanin alindigina dair ispat yukumlulugunu yerine getiremedigini belirleyerek Kanun'un 18'inci maddesi uyarinca idari para cezasi uygulanmasina karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/228

Hukuk Bürosu tarafından ilgili kişinin kişisel verilerinin muhatabı ve tarafı olmadığı icra takibi ile ilgili işlemlerde hukuka aykırı olarak…

Ilgili kisi, taraf olmadigi bir icra dosyasi ile ilgili telekomunkasyon sirketi adina hareket eden hukuk burosu tarafindan telefon numarasina mesajlar gonderildigini, her iki tarafa yaptigi basvuruya yasal surede cevap alamadigini sikayet etmistir. Kurul, avukatin muvekkili ile arasindaki vekalet sozlesmesi kapsaminda ayri bir veri sorumlusu sifatini haiz oldugunu, borclu sirketin ortagi olarak Ticaret Sicil Gazetesi'nden ilgili kisinin ismini ogrendigini ve BTK yetkilisi bir kurulustan telefon numarasina ulastigini tespit etmistir. Avukatin Kanun'un 5'inci maddesinin (2) numarali fikrasinin (e) bendi kapsaminda bir hakkin tesisi icin veri islemesinin meşru sayilabilecegine, ancak Kanun'un 10'uncu maddesi kapsaminda aydinlatma yukumlulugunu yerine getirmesi gerektigi yonunde talimat verilmesine karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/230

İlgili kişinin kişisel verisinin kamu kurumu personeli olarak görev yapan eski eşi tarafından sorgulanarak elde edilmesi ve adli makamlar ile…

Ilgili kisi, kamu kurumu personeli olan bosanma surecindeki esinin, gorev geregi eristigi SGK sisteminden T.C. kimlik numarasi ile maas bilgilerini sorguladigini ve bosanma davasinda mahkeme ile paylaştığını sikayet etmistir. Kurul, ilgili personelin evlilik devam ederken ve esinin bilgisi dahilinde sorgulama yaptigini beyan ettigini ancak sistemin amaci disinda kullanildigini, bunun veri isleme ilkelerine aykiri oldugunu tespit etmistir. Ilgili personelin Il Mudurlugu tarafindan yazili olarak uyarildigi belirtilmis, veri sorumlusu kamu kurumunun erisim yetkilerini gozden gecirmesi ve gerekli tedbirleri almasi yonunde talimat verilmesine karar verilmistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/238

Veri Sorumluları Siciline Kayıt Tarihlerinin Uzatılması İle İlgili

COVID-19 salgini nedeniyle yasanan zorluklar gerekce gosterilerek cesitli veri sorumlulari, ust kuruluslar ve kamu kurumlari tarafindan Veri Sorumlulari Sicili'ne (VERBİS) kayit surelerinin uzatilmasi talep edilmistir. Kurul, yillik calisan sayisi 50'den cok veya yillik mali bilanco toplami 25 milyon TL'den cok olan veri sorumlulari, ana faaliyet konusu ozel nitelikli kisisel veri isleme olan veri sorumlulari ve kamu kurum ve kuruluslari icin Sicile kayit yukumlulugunu yerine getirme suresinin 31.12.2021 tarihine kadar uzatilmasina oybirligi ile karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/205

İşten çıkarma sürecinde veri sorumlusu işveren tarafından ilgili kişinin kişisel verilerinin hukuka aykırı olarak işlenmesi

Ilgili kisi, is sozlesmesinin feshedilmesi surecinde sahsi esyalarina el konuldugunu, sirket bilgisayarinin ve kisisel harici hard diskinin alindigini, e-postalarinin incelendigini ve sifreleri ile banka bilgilerinin ekrana yansitildigini sikayet etmistir. Kurul, ilgili kisinin ayni iddialari daha once is mahkemesinde dava konusu yaptigini ve mahkemenin bu iddialari hakli bulmadigini, davalarin halen istinaf asamasinda oldugunu tespit etmistir. Dilekce Hakkinin Kullanilmasina Dair Kanun'un 6'nci maddesinin (b) bendi kapsaminda konunun yarginin gorev alanina girdigi degerlendirilerek Kurul'un bu konuda karar almasina yer olmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/187

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Veri sorumlusu emeklilik sirketi, bilgi sistemleri hizmeti aldigi veri isleyende meydana gelen sistemsel hata nedeniyle 28 musteri sirkete, diger 31 musteri sirketin calisanlarina ait kisisel verileri iceren raporlari hatali sekilde gondermistir. Kurul, ihlalin 2018 yilinda gerceklesmesine ragmen 2020 yilinda tespit edildigini, uygulama yaziliminda gerekli kontrollerin yapilmadigini ve veri guvenliginin takibinin saglanmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 125.000 TL idari para cezasi uygulanmasina ve ilgili kisilere yapilacak bildirimlerin Kurulun 2019/271 sayili Kararina uygun olmasi yonunde talimat verilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/190

Bankacılık sektöründeki veri sorumlusunun veri ihlal bildirimi hakkında

Bir bankanin sube calisaninin, musteri sikayet uzerine yapilan incelemede, kendisine tanimlanan Musteri Bilgileri ve Belgeleri gozlem yetkisini amaci disinda kullanarak bir musterinin kimlik goruntusunu sahsi cep telefonu ile fotograflayip ucuncu kisiyle paylastigi tespit edilmistir. Kurul, calisanlarin sinirsiz sayida musteri bilgisi sorgulayabildigini, sorgulama kota limitlerinin ihlalden sonra getirildigini ve verilen egitimler ragmen calisanin rol ve sorumluluklari hakkinda farkindaliginin saglanamdigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 100.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2021/140

Belediyeler tarafından sunulan internet hizmetleri”ne ilişkin

Kararda, ilgili kisinin kisisel verilerinin islenmesine iliskin sikayeti incelenmistir. Kurul, veri sorumlusunun savunmasini ve ileri surulen iddialari Kanun huumleri cercevesinde degerlendirmis, kisisel verilerin islenmesinin hukuki temelini incelemistir. Yapilan degerlendirmeler sonucunda karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/154

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Veri sorumlusu sigorta acentesinin eski bir calisaninin, gorev geregi eristigi 544 musteriye ait kimlik, iletisim ve arac plaka numaralarini kurumsal e-posta adresinden sahsi gmail hesabina gonderdigi ve sonrasinda yeni isyerine aktardigi tespit edilmistir. Kurul, DLP sistemlerinin dogru yapilandirilmadigi, log kayitlarinin duzenli kontrol edilmedigi ve calisana verilen kisisel veri koruma egitimlerinin tamamlanmadan isten ayrilmasina izin verildigi icin veri guvenligine yonelik gerekli teknik ve idari tedbirlerin alinmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 150.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2021/111

İlgili kişinin telefon numarası bilgisinin farklı veri sorumluları tarafından hukuka aykırı olarak işlenmesi”ne ilişkin

İlgili kişi, yakınına ait borca ilişkin cep telefonuna SMS gönderildiğini şikayet etmiştir. İncelemede, borç tahsilatı için kullanılan Yasal Takip Sistemine ilgili kişinin telefon numarasının ilk Hukuk Bürosu çalışanı tarafından girildiği ve ikinci Hukuk Bürosu tarafından bu numaraya SMS gönderildiği tespit edilmiştir. Kurul, her iki Hukuk Bürosu Avukatının veri sorumlusu sıfatını haiz olduğunu, alacaklı Şirketin ise verilerin doğruluğunu denetlemeden paylaştığını değerlendirerek ilk Avukata 50.000 TL, Şirkete 115.000 TL ve SMS gönderen ikinci Avukata 50.000 TL olmak üzere toplam 215.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺215.000
Kurul kararı 2021/115

Bankaya olan borcundan dolayı ilgili kişinin yakınına Bankanın sözleşmeli avukatı tarafından ilgili kişinin borç bilgisinin iletilmesi

İlgili kişi, bankaya olan borcu nedeniyle kız kardeşinin cep telefonunun banka avukatı tarafından aranarak ve SMS gönderilerek kişisel verilerinin hukuka aykırı paylaşıldığını şikayet etmiştir. Kurul, kız kardeşinin telefon numarasının banka sistemine açık rıza olmadan kaydedildiğini ve Yasal Takip Sisteminde avukat ile paylaşıldığını tespit etmiştir. Bankanın borçlu dışındaki kişilerin verilerini avukat ile paylaşmasının hukuka aykırı olduğu değerlendirilerek bankaya 175.000 TL idari para cezası uygulanmış, numaranın borçluya ait olmadığını bilemeyecek durumda olan avukat hakkında ise yapılacak işlem olmadığına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺175.000
Kurul kararı 2021/78

Telekomünikasyon hizmetleri sunan bir veri sorumlusunun ürün satışı esnasında müşterilerinin pasaport fotoğraflarını çekerek depolaması

Kuruma yapilan ihbarda, veri sorumlusunun Istanbul Havalimani subesinde dis hatlara gelen yolculara kontorlü hat satisi yapilirken musteri pasaport fotograflarinin rizasi olmadan cekilip whatsapp grubunda depolandigi ve ucuncu kisilerle paylasildiginin iddia edildigi, ihbarcinin eski calisan olarak bu gruplara uye oldugu belirtilmistir. Veri sorumlusu, sistem uzerinde yapilan her islemin telekomunkasyon sirketi tarafindan kontrol edildigini, sahsi telefonlarin magazada kullaniminin yasak oldugunu savunmustur. Kurul, veri sorumlusunun calisanlarini kisisel verilerin korunmasi konusunda bilgilendirdigini, ancak calisanlarin bu kurallara uygun davranmadiginin tespit edildigini, veri sorumlusunun gerekli teknik ve idari tedbirleri aldigini belirleyerek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/79

Veri sorumlusu banka tarafından ilgili kişinin verilerinin yakınları ile paylaşılması hakkında

Ilgili kisi, kredi karti borcuna iliskin banka tarafindan ablasi ve babasina ait telefon numaralarinin arandigini, ailelerinin iletisim bilgilerine nasil ulasildigi ve kisisel verilerinin ucuncu kisilerle neden paylasildigini sikayet etmistir. Banka, ilgili kisiye ulasilamadigi durumlarda Risk Merkezi'nden elde edilen alternatif numaralardan arandigini, yapilan gorusmelerde sadece geri arama notu birakildigini, ilgili kisinin talebi uzerine bu numaralardan aranmama kaydinin olusturuldugunu savunmustur. Kurul, verilerin Risk Merkezi'nden yasal duzenlemeler cercevesinde elde edildigini, ancak ucuncu kisilerin aranmasinin Kanun'a uygun olup olmadiginin degerlendirilmesi gerektigi ve ilgili kisinin talebinin karsilanmis oldugu dikkate alinarak sikayetin reddine karar vermistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/85

İlgili kişinin Kanunun 11 nci maddesi kapsamındaki başvurusuna veri sorumlusu tarafından verilen cevabın yeterli bulunmaması

Şikayette, bir e-ticaret sitesinden alışveriş yapan ilgili kişinin aydınlatma yükümlülüğünün gereği gibi yerine getirilmediği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde yer alan "Kişisel Veriler Politikası" metninin Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesinin (g), (ğ) ve (j) bentlerine aykırı olduğunu tespit etmiştir. Karar kapsamında Kanun'un 10. maddesi uyarınca aydınlatma yükümlülüğünün usulüne uygun yerine getirilmesi ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç Talimat / Uyarı