KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 9. sayfa

9. sayfa 382 karardan 24 kayıt

Kurul kararı 2021/389

Bireysel emeklilik hizmetinin açık rıza şartına bağlanması

Ihbar eden ilgili kisi, bireysel emeklilik sigorta sirketinin internet sayfasindan police bilgilerine ulasmak icin giris yaparken kisisel verilerin islenmesine riza gostermeye zorlandigi, bu kutuyu isaretlemeden hicbir islem yapilamadigini bildirmistir. Kurul, veri sorumlusunun aydinlatma ve acik riza metinlerini ayirmadigi, bu haliyle aydinlatma yukumlulugunu usulune uygun yerine getirmedigi ve acik rizayi hizmet sartinamit baglama ihtimali bulundugu tespit edilmistir. Veri sorumlusunun aydinlatma yukumlulugunu mevzuata uygun hale getirmesi ve acik rizayi hizmet sartina baglamamasi yonunde talimat verilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺250.000
Kurul kararı 2021/407

Hastane arşivinden hasta dosyalarının çıkarılması

Veri sorumlusu hastanede calisan bir hekim, 789 hastaya ait dosyalarin arsivden alinarak hastane disina cikarilmasini saglamis, bu durum 17 gun sonra kamera kayitlarinin incelenmesiyle tespit edilmistir. Dosyalarin 54'u yediemine teslim edilmis, geriye kalanlarinin akibeti bilinmemektedir. Kurul, dosya guvenligine yonelik yeterli tedbirlerin alinmadigini, calisanlara kisisel verilerin korunmasi egitiminin tamamlatilmadigini ve ihlalin tespitinden 25 gun sonra Kuruma bildirildigini, ilgili kisilere bildirim yapilmadigini tespit etmistir. Kanun'un 12'nci maddesi kapsaminda veri guvenligini saglamamak ve bildirim yukumlulugunu yerine getirmemek nedeniyle toplam 600.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺600.000
Kurul kararı 2021/359

Site yönetimi uygulamasında telefon numarasının paylaşılması

Ilgili kisi, oturdugu sitenin yonetim sirketinin telefon numarasini rizasi disinda bir mobil uygulama ile paylastigini ve bilgi mesajlari gonderildigini sikayet etmistir. Yonetim sirketi, uygulamayi yonetim hizmetleri icin kullandigini ve ilgili kisinin kendisinin programa kaydoldugunu iddia etmistir. Kurul, ilgili kisinin ikamet ettigi sitede Kat Mulkiyeti Kanunu'ndan kaynaklanan yukumlulukler icin verilerin islenmesinin zorunlu oldugunu, ancak veri aktarimi sirasinda aydinlatma yapilmasi gerektigini tespit ederek yonetim sirketinin aydinlatma yukumlulugunu yerine getirmesi yonunde talimat verilmesine karar vermistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2021/361

Banka uygulamasından rıza dışı tanıtım iletileri gönderilmesi

Ilgili kisi, maas musterisi oldugu bankanin mobil uygulamalari uzerinden acik rizasi alinmadan tanitim iletileri gonderildigini, kisisel verilerinin silinmesi talebine cevap olarak hesap ve kredi kartlarinin iptal edildigini sikayet etmistir. Banka, kullanicilarin uygulamayi indirdikten sonra bildirim tercihi istendigini, izin vermeyenlere pazarlama iletisi gonderilmedigini ve ilgili kisinin silme talebine istinaden hesabinin kapatildigini, ancak sonrasinda yeniden hesap acildigini savunmustur. Kurul, veri sorumlusunun Kanun'un 7'nci maddesi kapsaminda hareket ettigini ve ilgili kisiye zarar olusmadigini belirleyerek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/358

Bankacılık ilişkisi sonrası saklanan verilerin imhası ve SMS gönderimi

İlgili kişi, 2003 yılında kurulan bankacılık ilişkisinin sona ermesine rağmen kişisel verilerinin 16 yıldır saklandığını, SMS'ler gönderildiğini ve kredi kartı teklifleri için arandığını şikayet etmiştir. Banka, 5411 sayılı Bankacılık Kanunu'nun 42'nci maddesi gereğince müşteri bilgilerinin son işlem tarihinden itibaren 10 yıl saklanması gerektiğini, e-haciz iptali gibi yasal bilgilendirme içeren SMS'lerin iletişim izni gerektirmediğini savunmuştur. Kurul, veri sorumlusunun başvuruya 2 gün gecikmeli cevap vermesinin hukuka uygun olmadığını belirleyerek bu konuda dikkatli olunması gerektiği yönünde talimat verilmesine karar vermiştir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/333

Sigorta hasar dosyasının üçüncü şirkete aktarılması ve aydınlatma

Ilgili kisi, trafik kazasi sonrasi kasko policesi kapsaminda hasar dosyasi acildigini, ancak aracinin pert sureci islemlerinin bilgisi ve onay olmadan ucuncu bir sirkete aktarildigini sikayet etmistir. Veri sorumlusu sigorta sirketi, sovtaj yonetimi hizmetleri kapsaminda ucuncu kisi sirketle sozlesme imzaladigini ve kisisel verilerin sozlesmenin ifasi icin aktarildigini savunmustur. Kurul, aktarimin Kanun'un 8'inci maddesi kapsaminda sozlesmenin ifasi ile ilgili oldugunu, aydinlatma metninde bu hususun belirtildigini tespit ederek sikayetin reddine karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/311

Kozmetik sitesindeki sistem hatasıyla müşteri hesaplarının karışması

Veri sorumlusu e-ticaret sitesinde yeni bir kampanya nedeniyle yuksek erisim yasanmis, veri isleyen tarafindan eklenen yeni sunucularda DDos koruma fonksiyonunun hatali calismasi sonucunda 48 dakika boyunca uye girisi yapan musterilere rastgele diger uyelerin profil bilgileri (ad-soyad, e-posta, adres) gorunur olmustur. Kurul, fonksiyonun canli ortama alinmadan once yeterli test yapilmadan uygulamaya konuldugunu, sitenin yogun oldugu saatlerde degisiklik yapildigini ve kisisel verilerin sifreleme/maskeleme ile korunmadigini tespit etmistir. Kanun'un 12'nci maddesinin (1) numarali fikrasi kapsaminda gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkinda Kanun'un 18'inci maddesi uyarinca 200.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2021/241

Ölen eşin hayat sigortası poliçesine mirasçının erişim talebi

Sikayetci, olen esinin hayat sigortasi policesisnin, is kazasi nedeniyle yapilmasi gereken odeme miktarinin tespiti icin gerekli oldugunu, ancak veri sorumlusu sigorta sirketi tarafindan ozel vekaletname gerektiği gerekçesiyle policenin verilmedigini sikayet etmistir. Kurul, muteveffanin Grup Hayat Sigortasi Policesi kapsaminda sigortali oldugunu, sigorta teminatinin tamaminin murislere odendigini, muteveffanin taraf olmadigi Grup Sigortasi Sozlesmesi'nin paylasilma yukumlulugu bulunmadigini tespit etmistir. Sikayetcinin policenin tam metnini sigorta ettiren bankadan veya yargi yoluyla talep edebilecegi degerlendirilerek sikayetin reddine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/242

Tur şirketi müşterisinin verilerinin üçüncü kişiye aktarılması

Ilgili kisi, bir tur sirketinden tatil paketi satin aldiktan sonra paylastigi kisisel verilerinin ucuncu bir kisiye aktarildigini ve mahkeme dosyasina sunuldugunu sikayet etmistir. Veri sorumlusu, tum satis kanallarindan yapilan rezervasyonlarin tek bir satis altyapisinda saklandigini, log kayitlarinin tutuldugunu ve ilgili kisinin verilerinin hicbir sekilde ucuncu kisilerle paylasilmadigini savunmustur. Kurul, log kayitlarini inceleyerek veri sorumlusunun ilgili kisinin verilerini Kanun'a aykiri sekilde ucuncu kisilerle paylastigina dair yeterli delil bulunmadigini belirlemis ve sikayetin reddine karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/228

Taraf olunmayan icra dosyası için telefon numarasının işlenmesi

Ilgili kisi, taraf olmadigi bir icra dosyasi ile ilgili telekomunkasyon sirketi adina hareket eden hukuk burosu tarafindan telefon numarasina mesajlar gonderildigini, her iki tarafa yaptigi basvuruya yasal surede cevap alamadigini sikayet etmistir. Kurul, avukatin muvekkili ile arasindaki vekalet sozlesmesi kapsaminda ayri bir veri sorumlusu sifatini haiz oldugunu, borclu sirketin ortagi olarak Ticaret Sicil Gazetesi'nden ilgili kisinin ismini ogrendigini ve BTK yetkilisi bir kurulustan telefon numarasina ulastigini tespit etmistir. Avukatin Kanun'un 5'inci maddesinin (2) numarali fikrasinin (e) bendi kapsaminda bir hakkin tesisi icin veri islemesinin meşru sayilabilecegine, ancak Kanun'un 10'uncu maddesi kapsaminda aydinlatma yukumlulugunu yerine getirmesi gerektigi yonunde talimat verilmesine karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/230

Kamu personelinin eski eşinin maaş verilerini yetkisiz sorgulaması

Ilgili kisi, kamu kurumu personeli olan bosanma surecindeki esinin, gorev geregi eristigi SGK sisteminden T.C. kimlik numarasi ile maas bilgilerini sorguladigini ve bosanma davasinda mahkeme ile paylaştığını sikayet etmistir. Kurul, ilgili personelin evlilik devam ederken ve esinin bilgisi dahilinde sorgulama yaptigini beyan ettigini ancak sistemin amaci disinda kullanildigini, bunun veri isleme ilkelerine aykiri oldugunu tespit etmistir. Ilgili personelin Il Mudurlugu tarafindan yazili olarak uyarildigi belirtilmis, veri sorumlusu kamu kurumunun erisim yetkilerini gozden gecirmesi ve gerekli tedbirleri almasi yonunde talimat verilmesine karar verilmistir. Sonuç Disiplin İşlemi
Kurul kararı 2021/227

Eğitim kurumu adına açık rıza olmaksızın reklam SMS'i gönderilmesi

Ilgili kisi, bir egitim kurumu tarafindan cep telefonuna acik rizasi olmaksizin reklam/bildirim amacli SMS gonderildigini sikayet etmistir. Yapilan incelemede, SMS gonderiminin isim hakki sozlesmesi kapsaminda faaliyet gosteren baska bir sirket tarafindan gerceklestirildigini, bu sirketin telefon numarasini anket yapan firmalardan aldigini beyan ettigi tespit edilmistir. Kurul, ilgili kisinin telefon numarasinin ucuncu bir kisi tarafindan anket formuna sehven girildigini, veri sorumlusunun acik rizanin alindigina dair ispat yukumlulugunu yerine getiremedigini belirleyerek Kanun'un 18'inci maddesi uyarinca idari para cezasi uygulanmasina karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/238

Salgın döneminde VERBİS kayıt sürelerinin uzatılması

COVID-19 salgini nedeniyle yasanan zorluklar gerekce gosterilerek cesitli veri sorumlulari, ust kuruluslar ve kamu kurumlari tarafindan Veri Sorumlulari Sicili'ne (VERBİS) kayit surelerinin uzatilmasi talep edilmistir. Kurul, yillik calisan sayisi 50'den cok veya yillik mali bilanco toplami 25 milyon TL'den cok olan veri sorumlulari, ana faaliyet konusu ozel nitelikli kisisel veri isleme olan veri sorumlulari ve kamu kurum ve kuruluslari icin Sicile kayit yukumlulugunu yerine getirme suresinin 31.12.2021 tarihine kadar uzatilmasina oybirligi ile karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2021/205

İşten çıkarma sürecinde kişisel cihaz ve e-postaların incelenmesi

Ilgili kisi, is sozlesmesinin feshedilmesi surecinde sahsi esyalarina el konuldugunu, sirket bilgisayarinin ve kisisel harici hard diskinin alindigini, e-postalarinin incelendigini ve sifreleri ile banka bilgilerinin ekrana yansitildigini sikayet etmistir. Kurul, ilgili kisinin ayni iddialari daha once is mahkemesinde dava konusu yaptigini ve mahkemenin bu iddialari hakli bulmadigini, davalarin halen istinaf asamasinda oldugunu tespit etmistir. Dilekce Hakkinin Kullanilmasina Dair Kanun'un 6'nci maddesinin (b) bendi kapsaminda konunun yarginin gorev alanina girdigi degerlendirilerek Kurul'un bu konuda karar almasina yer olmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2021/190

Banka çalışanının müşteri kimliğini kişisel telefonuyla fotoğraflaması

Bir bankanin sube calisaninin, musteri sikayet uzerine yapilan incelemede, kendisine tanimlanan Musteri Bilgileri ve Belgeleri gozlem yetkisini amaci disinda kullanarak bir musterinin kimlik goruntusunu sahsi cep telefonu ile fotograflayip ucuncu kisiyle paylastigi tespit edilmistir. Kurul, calisanlarin sinirsiz sayida musteri bilgisi sorgulayabildigini, sorgulama kota limitlerinin ihlalden sonra getirildigini ve verilen egitimler ragmen calisanin rol ve sorumluluklari hakkinda farkindaliginin saglanamdigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 100.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2021/187

Emeklilik sistemindeki hatayla müşteri raporlarının yanlış gönderilmesi

Veri sorumlusu emeklilik sirketi, bilgi sistemleri hizmeti aldigi veri isleyende meydana gelen sistemsel hata nedeniyle 28 musteri sirkete, diger 31 musteri sirketin calisanlarina ait kisisel verileri iceren raporlari hatali sekilde gondermistir. Kurul, ihlalin 2018 yilinda gerceklesmesine ragmen 2020 yilinda tespit edildigini, uygulama yaziliminda gerekli kontrollerin yapilmadigini ve veri guvenliginin takibinin saglanmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 125.000 TL idari para cezasi uygulanmasina ve ilgili kisilere yapilacak bildirimlerin Kurulun 2019/271 sayili Kararina uygun olmasi yonunde talimat verilmesine karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/154

Eski sigorta acentesi çalışanının müşteri verilerini aktarması

Veri sorumlusu sigorta acentesinin eski bir calisaninin, gorev geregi eristigi 544 musteriye ait kimlik, iletisim ve arac plaka numaralarini kurumsal e-posta adresinden sahsi gmail hesabina gonderdigi ve sonrasinda yeni isyerine aktardigi tespit edilmistir. Kurul, DLP sistemlerinin dogru yapilandirilmadigi, log kayitlarinin duzenli kontrol edilmedigi ve calisana verilen kisisel veri koruma egitimlerinin tamamlanmadan isten ayrilmasina izin verildigi icin veri guvenligine yonelik gerekli teknik ve idari tedbirlerin alinmadigini belirlenmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 150.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺150.000
Kurul kararı 2021/140

Belediyelerin sunduğu internet hizmetlerinde kişisel veri işleme

Kararda, ilgili kisinin kisisel verilerinin islenmesine iliskin sikayeti incelenmistir. Kurul, veri sorumlusunun savunmasini ve ileri surulen iddialari Kanun huumleri cercevesinde degerlendirmis, kisisel verilerin islenmesinin hukuki temelini incelemistir. Yapilan degerlendirmeler sonucunda karar verilmistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/115

Banka borcu bilgisinin avukat tarafından kardeşe iletilmesi

İlgili kişi, bankaya olan borcu nedeniyle kız kardeşinin cep telefonunun banka avukatı tarafından aranarak ve SMS gönderilerek kişisel verilerinin hukuka aykırı paylaşıldığını şikayet etmiştir. Kurul, kız kardeşinin telefon numarasının banka sistemine açık rıza olmadan kaydedildiğini ve Yasal Takip Sisteminde avukat ile paylaşıldığını tespit etmiştir. Bankanın borçlu dışındaki kişilerin verilerini avukat ile paylaşmasının hukuka aykırı olduğu değerlendirilerek bankaya 175.000 TL idari para cezası uygulanmış, numaranın borçluya ait olmadığını bilemeyecek durumda olan avukat hakkında ise yapılacak işlem olmadığına karar verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺175.000
Kurul kararı 2021/111

Borç tahsilatında yanlış telefon numarasının hukuk bürolarınca işlenmesi

İlgili kişi, yakınına ait borca ilişkin cep telefonuna SMS gönderildiğini şikayet etmiştir. İncelemede, borç tahsilatı için kullanılan Yasal Takip Sistemine ilgili kişinin telefon numarasının ilk Hukuk Bürosu çalışanı tarafından girildiği ve ikinci Hukuk Bürosu tarafından bu numaraya SMS gönderildiği tespit edilmiştir. Kurul, her iki Hukuk Bürosu Avukatının veri sorumlusu sıfatını haiz olduğunu, alacaklı Şirketin ise verilerin doğruluğunu denetlemeden paylaştığını değerlendirerek ilk Avukata 50.000 TL, Şirkete 115.000 TL ve SMS gönderen ikinci Avukata 50.000 TL olmak üzere toplam 215.000 TL idari para cezası uygulamıştır. Sonuç İdari Para Cezası Ceza tutarı ₺215.000
Kurul kararı 2021/85

E-ticaret sitesinin eksik aydınlatması ve yetersiz başvuru cevabı

Şikayette, bir e-ticaret sitesinden alışveriş yapan ilgili kişinin aydınlatma yükümlülüğünün gereği gibi yerine getirilmediği iddia edilmiştir. Kurul, veri sorumlusunun internet sitesinde yer alan "Kişisel Veriler Politikası" metninin Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesinin (g), (ğ) ve (j) bentlerine aykırı olduğunu tespit etmiştir. Karar kapsamında Kanun'un 10. maddesi uyarınca aydınlatma yükümlülüğünün usulüne uygun yerine getirilmesi ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusu talimatlandırılmıştır. Sonuç Talimat / Uyarı
Kurul kararı 2021/78

Hat satışında pasaport fotoğraflarının kişisel telefonlarla çekilmesi

Kuruma yapilan ihbarda, veri sorumlusunun Istanbul Havalimani subesinde dis hatlara gelen yolculara kontorlü hat satisi yapilirken musteri pasaport fotograflarinin rizasi olmadan cekilip whatsapp grubunda depolandigi ve ucuncu kisilerle paylasildiginin iddia edildigi, ihbarcinin eski calisan olarak bu gruplara uye oldugu belirtilmistir. Veri sorumlusu, sistem uzerinde yapilan her islemin telekomunkasyon sirketi tarafindan kontrol edildigini, sahsi telefonlarin magazada kullaniminin yasak oldugunu savunmustur. Kurul, veri sorumlusunun calisanlarini kisisel verilerin korunmasi konusunda bilgilendirdigini, ancak calisanlarin bu kurallara uygun davranmadiginin tespit edildigini, veri sorumlusunun gerekli teknik ve idari tedbirleri aldigini belirleyerek sikayetin reddine karar vermistir. Sonuç Talimat / Uyarı
Kurul kararı 2021/84

Hastane telefonlarının sabit telefon hizmeti sağlayıcısınca işlenmesi

Kuruma intikal eden bir şikâyette; başvuru sahibi Hastanenin, kendilerine başvuran hastalarla iletişim kurmak amacıyla kayıt altına alınan telefon numaraları üzerinden hastalara SMS gönderilmesi için sabit telefon hizmeti sağlayan bir işletmeci (1. 125.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/79

Banka borcu bilgisinin aile üyeleriyle paylaşılması

Ilgili kisi, kredi karti borcuna iliskin banka tarafindan ablasi ve babasina ait telefon numaralarinin arandigini, ailelerinin iletisim bilgilerine nasil ulasildigi ve kisisel verilerinin ucuncu kisilerle neden paylasildigini sikayet etmistir. Banka, ilgili kisiye ulasilamadigi durumlarda Risk Merkezi'nden elde edilen alternatif numaralardan arandigini, yapilan gorusmelerde sadece geri arama notu birakildigini, ilgili kisinin talebi uzerine bu numaralardan aranmama kaydinin olusturuldugunu savunmustur. Kurul, verilerin Risk Merkezi'nden yasal duzenlemeler cercevesinde elde edildigini, ancak ucuncu kisilerin aranmasinin Kanun'a uygun olup olmadiginin degerlendirilmesi gerektigi ve ilgili kisinin talebinin karsilanmis oldugu dikkate alinarak sikayetin reddine karar vermistir. Sonuç Disiplin İşlemi