KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 8. sayfa

8. sayfa 335 karardan 24 kayıt

Kurul kararı 2021/84

Veri sorumlusu sabit telefon hizmeti sağlayan işletmeci tarafından bir hastanenin müşterilerinin kişisel verilerinin hukuka aykırı olarak işlenmesi

Kuruma intikal eden bir şikâyette; başvuru sahibi Hastanenin, kendilerine başvuran hastalarla iletişim kurmak amacıyla kayıt altına alınan telefon numaraları üzerinden hastalara SMS gönderilmesi için sabit telefon hizmeti sağlayan bir işletmeci (1. 125.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/32

İlgili kişinin kişisel verilerinin bilgisi dışında veri sorumlusu banka nezdinde sorgulanması

Ilgili kisi, bosanma davasinda esi tarafindan kendisine ait karsiliksiz cek bilgilerinin ve tedbir kararlarina iliskin bilgilerin Banka uzerinden sorgulanarak mahkemeye sunuldugunu sikayet etmistir. Banka, sube calisani olan diger esin gorevinden kaynaklanan yetkisini amaci disinda kullandigini tespit ederek disiplin sureci baslattigini, ancak musterilerin birbirini tanimasi nedeniyle Banka sistemlerinden sorgulanmanin onlenemeyecegini savunmustur. Kurul, sorunun tespit edilip gerekli islemlerin yapildigini ve ilgili kisinin ayni iddialari yargi yoluna tasimis olmasini degerlendirerek Kanun kapsaminda yapilacak islem bulunmadigina karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2020/966

Üçüncü Kişilere Ait Kişisel Verilerin Kanuna Aykırı Şekilde İletişim Kanallarına Gönderilmesi Hakkında İlke Kararı

Fatura, ekstre gibi kişisel veri içeren dokümanların SMS/e-posta ile gönderiminde, ilgili kişilerin beyan ettiği iletişim bilgilerinin doğruluğunun teyit edilmesi gerektiğine, aksi halde üçüncü kişilere veri aktarımının Kanun'a aykırılık oluşturacağına dair ilke kararı verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/957

Bir ilaç şirketinin veri ihlal bildirimi hakkında

Güvenlik seviyesini artırmak amacıyla yeni sunucuya geçiş sürecinde sistem parametreleri optimize edilmediğinden 337 çalışanın maaş bordrosu yanlış çalışanlara e-posta ile gönderilmiştir. İhlalin gerçekleşmesinden 13 dakika sonra tespit edildiği ve 2 saat içinde sonlandırıldığı görülmüştür. Kurul, ihlalin kısa sürede tespit ve giderildiğini, çalışanlar arasında gerçekleştiğinden olumsuz etki riskinin düşük olduğunu değerlendirerek yapılacak işlem olmadığına, ancak 72 saat içinde bildirim yapılmadığından daha dikkatli olunması talimatı vermiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/935

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Sigorta şirketinin çağrı merkezi çalışanı, sağlık yenileme talebinde bulunan bir müşteriye sehven başka bir müşterinin poliçe muafiyet bildirimini göndermiştir. DLP sistemi kontrolleri sırasında tespit edilen ihlalden 1 kişinin kimlik, iletişim ve sağlık verileri etkilenmiştir. Kurul, ihlalin 72 saat içinde Kurula bildirildiğini ve ilgili kişiye bildirim yapılacağını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına, ancak sehven gönderilen verilerin silindiğine dair belge sunulması talimatı vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/927

Unutulma hakkı kapsamında ilgili kişinin arama motorunda adı ve soyadı ile bağlantılı sonuçların kaldırılması talebi”ne ilişkin

Üniversite öğretim üyesi olan ilgili kişi, aile yakınının işe alınmasına ilişkin sosyal medyada yayınlanan haberlerin arama motorundan kaldırılmasını talep etmiştir. Kurul, 2020/481 sayılı Kararında belirlenen kriterleri uygulayarak, ilgili kişinin kamusal alanda görev yapması, haberlerin güncel ve gazetecilik faaliyeti kapsamında olması, bilginin özel nitelikli kişisel veri taşımaması ve suç içermemesi değerlendirmelerini yapmıştır. Arama motorunun indeksten çıkarmayı reddetme işleminin yerinde olduğuna, haberlerin gerçeği yansıtmadığı iddiasının ise yargı mercilerine taşınması gerektiğine karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/934

Enerji sektöründe faaliyet gösteren veri sorumlusunun veri ihlali bildirimi hakkında

Veri sorumlusunun kurum içi arşiv platformunda, eğitim sorumlusu çalışanın kullanıcı listesini ortak klasörde saklaması sırasında sehven şifre bilgilerinin de görünür hale gelmesiyle veri ihlali gerçekleşmiştir. İhlalden 2 kişi etkilenmiş, 8 kullanıcı tarafından erişilebilmiş ve dosya ivedilikle kaldırılmıştır. Kurul, ihlalin 72 saat içinde bildirilmemesine rağmen çok uluslu yapı dikkate alınarak makul sürede bildirim yapıldığını, gerekli tedbirlerin alındığını değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına ve ilgili kişilere bildirim yapılması konusunda daha dikkatli olunması talimatı vermiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/915

Belediyede memur olarak görev yapan ilgili kişinin, veri sorumlusu bünyesinde işe giriş çıkış takibinin biyometrik veri işlenerek yapılması

Belediye personeli olan ilgili kişi, mesai kontrolü için parmak izinin alınmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, Danıştay kararlarına da atıfla, üstün güvenlik önlemi gerektirmeyen alanlarda mesai kontrolü için parmak izi alınmasının ölçülülük ilkesine aykırı olduğunu tespit etmiştir. Veri sorumlusunun alternatif yöntemler (sicil numarası, şifreli giriş, ıslak imza) kullanabildiği dikkate alınarak biyometrik veri işleme sisteminin kaldırılması, mevcut verilerin imha edilmesi ve disiplin hükümlerinin işletilmesi talimatı verilmiştir. Sonuç Disiplin İşlemi
Kurul kararı 2020/905

Bir sigorta şirketinin kişisel veri ihlal bildirimi hakkında

Sigorta şirketinin test sunucusuna siber saldırı gerçekleştirildiğine ve 311 kişinin T.C. kimlik no, isim ve e-posta bilgilerinin etkilendiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, test sunucusunun sızma testlerine dahil edilmediğini, zayıf parola kullanıldığını, test için gerçek veri işlendiğini ve SSL VPN gibi güvenlik önlemlerinin alınmadığını tespit etmiştir. Teknik tedbirlerin yetersizliği nedeniyle 300.000 TL, 72 saatlik bildirim süresine uyulmaması ve ilgili kişilere bildirim yapılmaması nedeniyle 30.000 TL olmak üzere toplam 330.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺330.000
Kurul kararı 2020/816

Bir teknoloji şirketinin veri ihlal bildirimi hakkında

Mağazada alışveriş yapan müşterinin e-faturası, aynı ad-soyada sahip başka bir müşterinin e-posta adresine gönderilmiştir. CRM sistemindeki telefon numarası karışıklığından kaynaklanan ihlalin ertesi gün tespit edildiği, hatalı e-postanın silinmesi sağlandığı ve ilgili kişiye telefon ile bildirim yapıldığı görülmüştür. Kurul, ihlalden 1 kişinin etkilendiğini ve olumsuz etki riskinin düşük olduğunu değerlendirerek Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/787

Sağlık sektöründe faaliyet gösteren bir şirketin veri ihlal bildirimi hakkında

Sağlık sektöründe faaliyet gösteren veri sorumlusunun kullandığı yaygın bir uygulamadaki açıktan yararlanılarak sunucuya zararlı yazılım yüklendiğine dair veri ihlali bildiriminde bulunulmuştur. İhlalden 200 kişinin kimlik, iletişim ve fatura bilgileri etkilenmiştir. Kurul, ihlalin veri sorumlusunun tedbir eksikliğinden kaynaklanmadığını, makul teknik ve idari tedbirlerin alındığını ve ihlale kısa zamanda müdahale edildiğini değerlendirerek ilgili kişilere bildirim yapıldığına dair belge sunulması halinde yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/766

Bir Banka Tarafından Kurul Kararı ile Verilen Talimatların Gereğinin Yerine Getirilmemesi Hakkında Kişisel Verileri Koruma Kurulu’nun 08/10/2020…

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin güncellenmesi ve faaliyet bazlı aydınlatma yapılması talimatı verilmişti. İnceleme sonucunda, bankanın yeni bir aydınlatma metni hazırladığı ancak kişisel verilerin hangi işleme şartına dayanılarak işlendiğini ayrıntılı belirtmediği, farklı bankacılık ürünleri için genel nitelikli aydınlatma metni kullandığı tespit edilmiştir. Kurul kararının yerine getirilmemesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2020/765

Bir Banka Tarafından Kurul Kararı ile Verilen Talimatın Gereğinin Yerine Getirilmemesi Hakkında Kişisel Verileri Koruma Kurulu’nun 08/10/2020…

Banka hakkında daha önce verilen Kurul kararında aydınlatma metninin Tebliğ hükümlerine uygun hale getirilmesi talimatı verilmişti. İnceleme sonucunda, bankanın aydınlatma metninde kişisel verilerin hangi işleme şartına dayanılarak işlendiğine ilişkin ayrıntılı bilgiye yer vermediği, sadece Kanun maddelerini sıraladığı tespit edilmiştir. Kurul kararına uyulmaması ve Kanunun 15/5 maddesine aykırı hareket edilmesi nedeniyle bankaya 120.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺120.000
Kurul kararı 2020/769

İlgili kişinin eski çalışanı olduğu şirketi devralan veri sorumlusu şirket tarafından kanuna aykırı veri işleme faaliyetinde bulunulması

Eski çalışan olan ilgili kişi, şirket devri sonrası aydınlatma yapılmadığını, sağlık verilerinin açık rızası olmadan işlendiğini ve ticari elektronik ileti gönderildiğini şikayet etmiştir. Kurul, kişisel verilerin 2014-2015 yıllarında Kanun yürürlüğe girmeden önce işlendiğini, özlük dosyasının İş Kanunu ve Sosyal Sigortalar Kanunu kapsamında tutulduğunu, sağlık verilerinin sır saklama yükümlülüğü altındaki iş yeri hekimi tarafından işlendiğini değerlendirerek şikayetle ilgili yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/763

İnternetten market alışveriş hizmeti veren veri sorumlusunun veri ihlal bildirimi hakkında

Veri sorumlusunun çalışanı, 400 kişilik alıcı grubuna e-posta gönderirken sehven 43 müşterinin e-posta adresini konu satırına eklemiştir. İhlalin tespiti üzerine ilgili kişilere bildirim yapılmış ve hatalı e-postanın imha edilmesi talep edilmiştir. Kurul, ihlalden yalnızca e-posta adreslerinin etkilendiğini, ilgili kişilere bildirim yapıldığını ve 72 saatlik sürede Kurula bildirimde bulunulduğunu değerlendirerek veri sorumlusu hakkında Kanunun 12. maddesi kapsamında yapılacak işlem olmadığına karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/755

İlgili kişinin aidat borcu bilgisinin site yönetimi tarafından ev sahibine iletilmesi

Kiracı olan ilgili kişi, aidat borç bilgilerinin site yönetimi tarafından ev sahibiyle paylaşılmasının hukuka aykırı olduğunu şikayet etmiştir. Kurul, 634 sayılı Kat Mülkiyeti Kanununun 22. maddesi uyarınca ev sahibi ile kiracının ortak giderlerden müştereken sorumlu olduğunu değerlendirmiştir. Aidat bilgilerinin paylaşılmasının Kanunun 5/2-e bendi kapsamında bir hakkın tesisi, kullanılması veya korunması çerçevesinde gerçekleştirildiğine ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/746

İlgili kişinin veri sorumlusu ile abonelik sözleşmesi kurma amacıyla gerçekleştirdiği telefon görüşmesi kayıtlarına erişim talebi

İlgili kişi, telekomünikasyon şirketinin müşteri hizmetleriyle yaptığı görüşmelerin ses kayıtlarına erişim talebinin reddedildiğini şikayet etmiştir. Kurul, Kanunun 11/1-b maddesi kapsamında bilgi talep etme hakkının erişim hakkını da kapsadığını değerlendirmiştir. Ses kayıtlarının doğrudan verilmesi yerine, üçüncü kişilerin verileri maskelenerek dökümlerinin ilgili kişiye gönderilmesi ve başvuruların süresinde cevaplanması yönünde veri sorumlusunun talimatlandırılmasına karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/744

Bir Bankanın veri ihlal bildirimi hakkında

Banka çalışanının 346 müşteriye ait kimlik, iletişim ve finans verilerini üçüncü kişiye e-posta ile gönderdiğine dair veri ihlali bildiriminde bulunulmuştur. Kurul, DLP sistemlerinin yetersiz kaldığını ve çalışana verilen eğitimin etkin olmadığını tespit etmiştir. Veri güvenliğine ilişkin tedbirlerin yetersizliği nedeniyle 225.000 TL, 72 saatlik bildirim süresine uyulmaması nedeniyle 50.000 TL olmak üzere toplam 275.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺275.000
Kurul kararı 2020/715

Bir e-ticaret şirketinin veri ihlal bildirimi hakkında

Veri sorumlusunun internet sitesinde, başka sitelerden sızdırılmış e-posta ve şifrelerle 832 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, aynı IP adresinden başarısız giriş denemelerinin sınırlandırılması ve şifre değiştirme politikası gibi tedbirlerin ihlalden önce alınması gerektiğini tespit etmiştir. Veri güvenliğini sağlamaya yönelik gerekli teknik tedbirleri almayan veri sorumlusuna Kanunun 18/1-b maddesi uyarınca 165.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺165.000
Kurul kararı 2020/710

İcra Müdürlükleri tarafından ilgili kişilerin yakınlarına haciz ihbarnamesi gönderilmesi

İlgili kişiler, icra takibi esnasında borçlu olmayan akrabalarının kişisel verilerinin İcra Müdürlüğü tarafından paylaşıldığını şikayet etmiştir. Kurul, İcra ve İflas Kanununun 89. maddesi kapsamında borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla haciz ihbarnamesi gönderilmesinin kanuni bir yükümlülük olduğunu tespit etmiştir. Kişisel verilerin işlenmesinin Kanunun 5/2-a bendi kapsamında 'kanunlarda açıkça öngörülme' şartına dayandığına ve şikayetle ilgili yapılacak işlem olmadığına karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/691

İlgili kişinin cep telefonu numarasının, açık rızası olmaksızın bir dernek tarafından reklam içerikli SMS gönderimi için işlenmesi hakkında

İlgili kişi, bir derneğin cep telefonuna açık rızası olmaksızın reklam SMS'i gönderdiğini ve bilgi talebine yanıt verilmediğini şikayet etmiştir. Dernek, telefon numarasının muhtemelen önceki SMS bağışından kaldığını ancak açık rıza tespit edemediğini belirtmiştir. Kurul, kişisel verinin hukuka aykırı olarak elde edilip işlendiğini ve başvuruya yanıt verilmediğini tespit ederek idari para cezası uygulamış, telefon numarasının imha edilmesi talimatı vermiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/667

Bir sigorta şirketinin ilgili kişiye vereceği hizmeti açık rıza şartına bağlaması sebebiyle Kuruma iletilen şikâyet

İlgili kişi, sigorta şirketinin sağlık sigortası poliçesini yenilemek için açık rıza talep etmesinin Kanuna aykırı olduğunu şikayet etmiştir. Kurul, sağlık sigortası poliçesinin özel nitelikli kişisel veri olan sağlık verilerini içerdiğini, bu verilerin Kanunun 6/3 maddesi kapsamında işlenemeyeceğini değerlendirmiştir. Sağlık verilerinin işlenmesinin ancak ilgili kişiden açık rıza alınarak gerçekleştirilebileceği, dolayısıyla açık rıza talebinin Kanuna aykırılık teşkil etmediğine karar verilmiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/649

Biyometrik imza verisinin kullanılmasına ilişkin görüş talebi” ile ilgili olarak

Biyometrik imzanın 6098 sayılı Borçlar Kanunu kapsamında değerlendirilip değerlendirilemeyeceği hakkında görüş talep edilmiştir. Kurul, biyometrik imzanın özel nitelikli kişisel veri olan biyometrik veri niteliğinde olduğunu, Borçlar Kanununun 15. maddesindeki imza düzenlemesinin Kanunun 6/3 maddesindeki 'kanunlarda öngörülme' şartını karşılamadığını belirlemiştir. Biyometrik imza kullanımının ancak açık rıza alınması, aydınlatma yapılması ve Kurul tarafından belirlenen özel nitelikli veri güvenlik önlemlerinin alınması şartıyla mümkün olduğu değerlendirilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/608

İlgili kişinin, bilet satın almamasına karşın bir havayolu şirketinden uçak bileti satın aldığına dair SMS alması

İlgili kişi, havayolu şirketinin mobil uygulamasından başka biri tarafından alınan bilete ilişkin telefon numarasına SMS gönderildiğini şikayet etmiştir. İnceleme sonucunda, telefon numarasının bileti alan kişi tarafından sehven girildiği ve veri sorumlusunun bu durumdan kastı olmaksızın işlem gerçekleştiği tespit edilmiştir. Kurul, telefon numarası doğrulama sistemi bulunmadığından Kanunun 12. maddesine aykırılık oluşmadığına, ancak veri sorumlusunun ilgili kişi başvurularına süresinde cevap vermesi gerektiğine karar vermiştir. Sonuç İhlal Tespit Edilmedi