KVK Kurulu Kararları

Kişisel Verileri Koruma Kurulunun yaptırım ve ilke kararları · 9. sayfa

9. sayfa 335 karardan 24 kayıt

Kurul kararı 2020/622

18 yaşını doldurmamış ilgili kişiye ait sağlık raporunun imha edilmesine yönelik ilgili kişinin babası tarafından veri sorumlusuna başvurulması ve…

18 yaşından küçük ilgili kişinin babası tarafından veri sorumlusuna başvuru yapılmış, ilgili kişinin kendisi ise Kurula şikayette bulunmuştur. Kurul, kişisel verilerin korunması hakkının kişiye sıkı sıkıya bağlı haklardan olduğunu, ayırt etme gücüne sahip küçüklerin bu hakkı bizzat kullanabileceğini veya velisinin de onun adına kullanabileceğini değerlendirmiştir. Her iki tarafın iradesinin örtüştüğü dikkate alınarak hem küçüğün hem velisinin şikayet hakkını kullanmada yetkili olduğuna ve inceleme başlatılmasına karar verilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/559

Kişisel verilerin 108 sayılı Sözleşme dayanak gösterilerek yurt dışına aktarılması hakkında

Otomotiv sektöründe faaliyet gösteren veri sorumlusunun, müşteri kişisel verilerini yurt dışındaki (AB ülkesi) bulut veri tabanına aktardığı tespit edilmiştir. Kurul, 108 sayılı Sözleşmeye taraf olmanın tek başına güvenli ülke statüsü sağlamadığını, yurt dışı aktarım için Kanunun 9. maddesi şartlarının (açık rıza veya taahhütname ve Kurul izni) sağlanmadığını belirlemiştir. Veri sorumlusuna 900.000 TL idari para cezası uygulanmış, hukuka aykırı aktarılan verilerin silinmesi ve aydınlatma metninin güncellenmesi talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺900.000
Kurul kararı 2020/560

Site Yönetimlerine ilişkin 6698 sayılı Kişisel Verilerin Korunması Kanunu ile 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde Kişisel Verileri Koruma…

Site yönetimlerinin KVKK karşısındaki durumu incelenmiş, kat malikleri kurulunun tüzel kişiliği olmasa da veri sorumlusu olarak kabul edilebileceği değerlendirilmiştir. Kurul, veri sorumlusu kavramının geniş yorumlanması gerektiğini, apartman ve site yönetimlerinde kural olarak kat malikleri kurulunun veri sorumlusu sayılacağını, yöneticinin ise vekil sıfatıyla görev yapabileceğini belirlemiştir. Her somut olayda kişisel veri işleme kararlarını alan ve veri kayıt sistemlerini yöneten birimlerin tespit edilmesi gerektiği vurgulanmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/567

Bir oyuncak perakendecisi veri sorumlusunun veri ihlal bildirimi

Veri sorumlusunun internet sitesinde, başka sitelerden elde edilen kullanıcı adı ve şifrelerle 29 müşteri hesabına yetkisiz erişim sağlandığına dair veri ihlali bildiriminde bulunulmuştur. Kurul, veri sorumlusunun iki faktörlü kimlik doğrulama ve güçlü şifre politikası gibi gerekli teknik tedbirleri almadığını tespit etmiştir. Kanunun 12. maddesi kapsamında veri güvenliğini sağlamayan veri sorumlusuna 75.000 TL idari para cezası uygulanmış ve ilgili kişilere usulüne uygun bildirim yapılması talimatı verilmiştir. Sonuç İdari Para Cezası Ceza tutarı ₺75.000
Kurul kararı 2020/542

Aynı gerçek kişinin, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanması hakkındaki görüş talebi” ile ilgili…

Turkiye'de yerlesik olmayan veri sorumlulari adina VERBİS kaydinda bir gercek kisinin birden fazla veri sorumlusu icin irtibat kisisi olarak atanamadigi hususunda gorunmus talep uzerine inceleme yapilmistir. Kurul, yurt icinde yerlesik veri sorumlulari icin bir gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun olmadigina, ancak veri sorumlusu temsilcisi atanan yurt disinda yerlesik veri sorumlulari icin ayni gercek kisinin birden fazla veri sorumlusuna irtibat kisisi olarak atanmasinin uygun bulunduguna karar vermistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/530

Bir bankanın veri ihlal bildirimi hakkında

Banka personelinin 01.01.2019-05.12.2019 tarihleri arasinda 23 musterinin KKB skorlari ve TCKN bilgilerini WhatsApp uzerinden ucuncu kisiyle paylaştigi tespit edilmistir. Personelin 1.052 kisi icin 10.529 adet KKB sorgulamasi yaparak bolge ortalamasinin cok ustunde oldugu ancak bu durumun ihbar ile ogrenildigi belirenmistir. Kurul, sorgularin sinirlandirilmadigi ve yeterli denetim yapilmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 200.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺200.000
Kurul kararı 2020/532

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Emeklilik sirketinin destek hizmeti aldigi sistemde 2011 yilinda gelistirilen yazilimdaki bir hata nedeniyle OKS kapsaminda 61 sirketin 367 calisanina ait kisisel veriler yanlis alicilara gonderilmistir. Hata, yil bilgisinin son rakaminin 0 oldugu durumlarda ortaya cikmis ve ilk kez 2020'de gerceklesmistir. Kurul, yazilimdaki sistemsel hatanin surekli takip edilmesi gerektigini ve gecikmiş tespit nedeniyle kontrollerin zamaninda yapilmadigini tespit etmistir. Hatanin istisnai durumu ve ekonomik kosullar goz onunde bulundurularak KVKK m.12/1 ihlali icin 30.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺30.000
Kurul kararı 2020/504

Veri sorumlusu bir havayolu şirketi tarafından ilgili kişiye ait çağrı merkezi görüşme kayıtlarının transkriptinin teslim edilmemesi

Ilgili kisi, veri sorumlusu havayolu sirketinin cagri merkeziyle yaptigi gorusmeye ait ses kaydinin yaziya dokulerek tarafina iletilmesini talep etmis, sirket prosedurler gerekce gosterilerek talebi reddetmistir. Kurul, KVKK m.11/1-b kapsaminda kisisel verilere erisim hakkinin bilgi talep etme hakkini tamamladigini tespit etmistir. Veri sorumlusunun sonradan ilgili kisiye gorusmenin transkriptini gonderdigini ve benzer taleplerin karsilanmasi yonunde birimlerin bilgilendirildigini gozonunde bulundurarak veri sorumlusu hakkinda yapilacak islem bulunmadigina karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/511

Bir sigorta şirketinin veri ihlal bildirimi hakkında

Saglik sigortasi sirketinin eczane provizyon sistemi degistirilirken 683 musterinin ilac kullanim bilgilerini iceren excel dosyasi sehven dokuman yonetim sistemine yuklenmis ve 11 sigortalinin erisebilecegi hale gelmistir. Kurul, ozel nitelikli kisisel veri iceren dosyanin sistemde 7 ay boyunca acik kaldigini, zaafiyet taramalarinin yapilmadigini ve kriptografik onlemler alinmadigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 100.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000
Kurul kararı 2020/508

Bazı avukatların avukat sorgulama siteleri ile ilgili ihbar başvuruları

Muhtelif avukat sorgulama sitelerinde avukatlara ait kisisel verilerin riza alinmadan yayimlandigi ihbar edilmistir. Kurul, 1136 sayili Avukatlik Kanunu m.6 ve m.66 uyarinca baro levhasina yazilmanin zorunlu oldugunu, Turkiye Barolar Birligi ve il barolari internet sayfalarinda yayimlanan bilgilerin avukatlar tarafindan alenilestirildigi sonucuna varmistir. Sitelerde baro levhalarinda yayimlanan bilgilerden farkli veri bulunmadigi, amac disinda kullanim tespit edilmedigi ve duzeltme/silme imkani saglendigi goz onunde bulundurularak KVKK kapsaminda yapilacak islem bulunmadigina karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/507

Ölenin sağlık verisinin yasal mirasçısı tarafından talep edilmesi

Ilgili kisi, vefat eden babasinin saglik verilerinin tarafina verilmesini Sosyal Guvenlik Kurumundan talep etmis, ancak talebi reddedilmistir. Kurul, KVKK m.3 kapsaminda ilgili kisi taniminin kisisel verileri islenen gercek kisiler oldugunu ve 4721 sayili Turk Medeni Kanunu m.28 uyarinca kisilik olumle sona erdigini degerlendirmistir. Kisisel Saglik Verileri Hakkinda Yonetmelik m.11 uyarinca veraset ilamini ibraz eden yasal mirascilarin murisin saglik verilerini talep edebilecegine, ancak basvurunun KVKK kapsaminda degerlendirilemeyecegine karar verilmistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/494

İlgili kişinin bir kargo şirketine karşı açtığı işe iade davasında, kişisel verisi olan kamera görüntülerinin kargo şirketi tarafından mahkemeye…

Ilgili kisi, veri sorumlusu kargo sirketinde calismisken is arkdasina fiziksel siddet uygulamasi nedeniyle is akdinin feshedildigini, kamera goruntulerinni acik rizasi alinmadan mahkemeye sunuldugunu sikayet etmistir. Kurul, Bilgi Teknolojileri ve Iletisim Kurulu karari uyarinca posta teslimat merkezlerinde kamera sisteminin zorunlu oldugunu, goruntulerin m.5/2-a kapsaminda kanunda acikca ongorulme ve m.5/2-e kapsaminda hakkin korunmasi amaciyla islenmesinin hukuka uygun oldugunu tespit ederek sikayet hakkinda yapilacak islem bulunmadigina karar vermistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/482

Veri Sorumluları Siciline Kayıt Tarihlerinin Uzatılması ile İlgili

Covid-19 salgını nedeniyle bazı işyerlerinin kapalı olması veya uzaktan ya da dönüşümlü çalışma modelinin uygulanması sebebiyle Sicile kayıt yükümlülüğünün süresinde yerine getirilemediği belirtilerek TOBB ve sektör temsilcileri tarafından süre uzatımı talep edilmiştir. Kurul; yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları için kayıt süresini 30.09.2020’ye; yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları ile kamu kurum ve kuruluşları için 31.03.2021’e kadar uzatmıştır. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/471

Ülkemizde temsilciliği bulunan bir yabancı bankanın 6698 sayılı Kanun kapsamında veri sorumlusu sayılıp sayılmayacağı ve Veri Sorumluları Siciline…

Turkiye'de temsilciligi bulunan yabanci bir bankanin KVKK kapsaminda veri sorumlusu sifatini haiz olup olmadigi ve Veri Sorumlulari Siciline kayit yukumlulugune iliskin gorunmus talep uzerine inceleme yapilmistir. Kurul, temsilcilik faaliyetlerinin bankanin kisisel veri isleme faaliyetleriyle siki baglantili oldugunu, bankanin yurtdisinda yerlesik olmasi gerekçesiyle Kanunun uygulama alani bulmayacaginin kabulunun Kanunun amacıyla bagdasmayacagini belirlemistir. Yabanci bankanin Turkiye'de mukim ilgili kisilerin kisisel verilerini islemesi nedeniyle KVKK'ya tabi olduguna ve VERBİS kayit yukumlulugu bulunduguna karar verilmistir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/481

Arama Motorlarında Sonuçların İndeksten Çıkarılmasına Yönelik Talepler Hakkında Karar

Unutulma hakkı kapsamında, medya kuruluşlarının internet sitelerindeki haberlerde yer alan kişisel verilerin silinmesi veya arama motorları tarafından indekslenmemesi taleplerinin değerlendirilmesine ilişkin ilke kararı verilmiştir. Basın özgürlüğü ile kişisel verilerin korunması hakkı arasındaki denge gözetilmiştir. Sonuç İlke Kararı / Rehber
Kurul kararı 2020/465

Kurumsal yazılım hizmeti sunan bir veri sorumlusunun veri ihlali bildirimi hakkında

Siber sucularin parola puskuleme saldirisiyla veri sorumlusunun sistemlerine erisim saglayip 6 terabayt veriyi sIzdirdigi tespit edilmistir. Saldiri Ekim 2018'den Mart 2019'a kadar surdugu halde ancak emniyet birimlerinin bildirimi ile ogrenilmistir. Kurul, zafiyet taramalarinin yapilmamasi ve parola guvenligi farkindaliginin olusturulmamasi gibi tedbir eksikliklerini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 75.000 TL ve 55 gunluk gec bildirim nedeniyle m.12/5 ihlali icin 50.000 TL olmak uzere toplam 125.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2020/463

İlaç sektöründe faaliyet yürüten bir veri sorumlusunun veri ihlali bildirimi hakkında

Veri sorumlusunun sistemlerine siber guvenlik destegi alinan firmanin eski calisani tarafindan fidye yazilimi saldirisi duzenlenmis, kritik sunucular ve yedek dosyalarin bulundugu Data Domain sunucusundaki veriler silinmistir. Kurul, sizma testleri ve log kaydi takibinin yapilmadigini, yedeklerin ag disinda tutulmamasi nedeniyle ihlal etkisinin buyudugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezasi uygulanmis, 72 saat icinde bildirim yapildigi icin m.12/5 kapsaminda islem yapilmamistir. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2021/464

Bir otoyol işletmesinin veri ihlal bildirimi hakkında

Veri sorumlusu sirketin bordro programi uzerinden calisanlarin kisisel e-posta adreslerine gonderilen bordrolarda, sistemsel hata nedeniyle bazi calisanlara baskasina ait ad, soyad, T.C. kimlik numarasi ve sicil numarasi goruntulenebilir hale gelmistir. Kurul, hatanin bordro sisteminde Turkce dili icin bir cihaz turu tanimli olmamasindan kaynaklandigini, tum calisanlara kurumsal e-posta hesabi acilmayarak idari eksikligin de mevcut oldugunu tespit etmistir. Kanun'un 18'inci maddesinin (1) numarali fikrasinin (b) bendi uyarinca 60.000 TL idari para cezasi uygulanmasina karar verilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺60.000
Kurul kararı 2020/466

Bir sigorta şirketinin acentesinde gerçekleşen veri ihlali hakkında

Sigorta sirketinin bir acentesinin bilgisayarina hacker tarafindan erisim saglanmis ve 172 kisinin kimlik ve kredi karti bilgileri ihlalden etkilenmistir. Kurul, acentenin denetlenmedigini, Windows 7 gibi guvenlik destegi sona eren isletim sistemi kullanildigini, anti-virus yaziliminin bulunmadigini ve KVKK egitimlerinin ihlal sonrasi verildigini tespit etmistir. KVKK m.12/1 ihlali nedeniyle 172.000 TL idari para cezasi uygulanmis, ilgili kisilere gecikmiş bildirim yapildigi hatirlatiilmistir. Sonuç İdari Para Cezası Ceza tutarı ₺172.000
Kurul kararı 2020/435

Bir kargo firmasında çalışan ilgili kişinin iş akdinin haksız feshedilmesi sonrası özlük dosyası kapsamında yer alan kişisel verilerinin birer…

İlgili kişi, veri sorumlusu kargo şirketinden iş akdinin feshinden sonra özlük dosyasındaki kişisel verilerinin suretini talep etmiş ancak şirket, talebin Kanun kapsamında olmadığını belirterek cevap vermemiştir. Kurul, savunma yazısı ve istifa dilekçeleri gibi belgelerin kişisel veri niteliğinde olduğunu ve ilgili kişinin bu verilere erişim hakkının bulunduğunu tespit etmiştir. KVKK m.11/1-b kapsamında ilgili kişiye belgelerinin verilmesi ve veri sorumlusunun yasal süresi içinde cevap vermesi hususunda talimat verilmiştir. Sonuç Talimat / Uyarı
Kurul kararı 2020/429

İlgili kişinin kişisel verilerinin, hakkında icra takibi yapan avukat tarafından hukuka aykırı olarak işlenmesi ve açıklanmasına ilişkin şikayet

İlgili kişi, banka borcuna ilişkin bilgilerinin icra işlemlerini yürüten avukat tarafından iş arkadaşları ve ağabeyine SMS ile gönderildiğini şikayet etmiştir. Avukat, sistemde kayıtlı numaralara hatırlatma mesajı gönderdiğini savunmuştur. Kurul, üçüncü kişilerin telefon numaralarının varsayımlara dayanan şekilde elde edilmesini ve borç bilgilerinin bu numaralarla paylaşılmasını hukuka aykırı bulmuş, ayrıca TCKN ile GSM abonelikleri sorgulamasının ölçülük ilkesine aykırı olduğunu tespit etmiştir. KVKK m.12/1 ihlali nedeniyle 125.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺125.000
Kurul kararı 2020/421

Kişisel bakım sektöründe faaliyet yürüten bir veri sorumlusunun veri ihlali bildirimi

Veri sorumlusunun sistemlerine 14.000'den fazla IP adresinden 500.000'i aşkın e-posta/şifre kombinasyonu denenmiş ve 2.092 kullanıcının hesabına yetkisiz erişim sağlanmıştır. Kurul, bu yoğun denemelerinin veri sorumlusu tarafından fark edilememesinin bilişim ağlarının izlenmesi hususunda eksiklik olduğunu gösterdiği tespit etmiştir. KVKK m.12/1 kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında m.18/1-b uyarınca 210.000 TL idari para cezası uygulanmıştır. Sonuç İdari Para Cezası Ceza tutarı ₺210.000
Kurul kararı 2020/414

Hakkında hüküm verildiği suçtan dolayı cezası infaz edilen ilgili kişiye ait haberin yayımlandığı gazetenin internet sitesinden kaldırılması talebi

Ilgili kisi, yurt disinda yasadigi bir olay nedeniyle gazetenin internet sitesinde 2009 yilindan bu yana adi ve mahkumiyet bilgilerinin yer aldigini, cezanin infaz edildigini ve haberin kaldirilmasini talep etmistir. Kurul, KVKK m.28/1-c kapsaminda ifade ozgurlugu istisnasini degerlendirmis, haberin kamu ilgi ve yarari tasidigi, gercek ve guncel oldugu, biciim ve oz arasinda denge bulundugu sonucuna varmistir. Insan kacakciligi sucuna iliskin haberin yayinlanmasinda kamunun ortak menfaati bulundugu ve ifade ozgurlugune ustunluk taninmasi gerektigi belirlendiginden sikayet hakkinda Kanun kapsaminda islem yapilmamistir. Sonuç İhlal Tespit Edilmedi
Kurul kararı 2020/407

İlgili kişinin tahlil sonuçlarının veri sorumlusu hastane tarafından hukuka aykırı şekilde üçüncü kişilere aktarılması

Ilgili kisi, hastanede yaptirdigi Tup Bebek tahlil sonuclarinin e-posta ile gonderilirken tanimedigi baska bir kisiye de gonderildigini sikayet etmistir. Hastane, tahlil sonuclarinin ayni gun ayni test icin hastalarini yonlendiren baska bir doktorun ozel asistanina da gonderildigini kabul etmistir. Kurul, sagliga iliskin ozel nitelikli kisisel verilerin KVKK m.8 kapsaminda hukuki dayanak olmadan ucuncu kisiye aktarilmasinin hukuka aykiri oldugunu tespit etmistir. KVKK m.12/1 ihlali nedeniyle Hastane hakkinda m.18/1-b uyarinca 100.000 TL idari para cezasi uygulanmistir. Sonuç İdari Para Cezası Ceza tutarı ₺100.000