Tarafların iddia ve Beyanlarının Özeti

İlgili Kişi ve Veri sorumlusu hakkındaki Kurum kayıtlarına 22.11.2019 tarih ve evrak sayısı ile intikal eden 21.11.2019 tarihli başvurusunda özetle,

– İlgili kişinin 20/09/2018 ve 31/08/2019 tarihleri arasında veri sorumlusu bünyesinde tam zamanlı ve belirsiz süreli olarak belirlenmiş faka yazılı olarak düzenlenmemiş iş sözleşmesi ile Is Kanunu ve Sosyal Sigortalar ve Genel Sağlık Sigortası Kanununa tabi olarak satış müdürü unvanıyla çalıştığı,

– Veri sorumlusunun başka şirketlerle organik bağ içerisinde olup bu şirketlerle ticari faaliyet yürüttüğü ve aynı insan kaynaklan ve muhasebe birimini kullandığı,

– Veri sorumlusunun Özbekistan’da bir şubesi olduğu ve ilgili kişinin satış faaliyetleri ile ilgili Özbekistan’a seyahat ettiği,

– Veri sorumlusu ile ilgili kişi arasında düzenlenen iş sözleşmesinin tesisi ve ifası sırasında, ilgili kişinin hangi kişisel verilerinin hangi amaç ve kapsamda işleneceği, hangi kişisel verilerinin üçüncü kişilere ne şekilde aktarılacağı, hangi kişisel verilerinin işlenmesine rızası olduğu, hangi kişisel verilerinin hangi idan ve teknik tedbirlerle korunacağı hususunda veri sorumlusu tarafından herhangi bir aydınlatma yapılmadığı,

– İş sözleşmesi kapsamında ilgili kişinin hangi verilerinin işlenmesinin zorunlu oldu ve nitelikli kişisel verisinin işlenip işlenmediği hususunda veri sorumlusu tarafından bir bildirimde bulunulmadığı,

Buna karşın ven sorumlusu tarafından ilgili kişinin çok sayıda ve çeşitli nitelikteki kişisel venlerin işlendiği ve herhangi bir aydınlatma yapmadığı,

– İlgili kişinin kişisel verilerinin veri sorumlusu ile organik bağı bulunan şirketlere aktarıldığı,

– Veri sorumlusu ile ilgili kişi arasındaki iş sözleşmesinin 31/08/2010 tarihinde sona erdiği, ilgili kişi tarafından veri sorumlusu 25/09/2019 tarihinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında başvuruda bulunulduğu, başvurunun ilgili Noterlik tarafından PTT kanalı ile tebliğ edildiği,

– İlgili kişinin veri sorumlusuna yapmış olduğu başvuruda, başta özel nitelikli venler olmak üzere İşlenen kişisel verilerinin neler olduğu, bu kişisel verilerin üçüncü kişilere aktarılıp aktarılmadığı, böyle bir aktarım yapıldıysa hangi kişilere ve hangi koşullarda yapıldığı hususların sorulduğu ancak herhangi bir şekilde cevap verilmediği,

– Bunun üzerine, veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızasının bulunmaksızın ve hatalı olarak işlemiş olması ve ilgili kişinin mahkumiyet verisinin veri sorumlusu tarafından bahsi geçen diğer şirketlere ve üçüncü kişilere hukuka aykırı olarak aktarılmasını kuvvetle muhtemel olması sebebiyle ilgili kişi vekilleri tarafından Kurumumuza şikayet başvurusunda bulunulduğu,

İddialarına yer verilerek gereğinin yapılması talep edilmektedir.

ilgili kişi vekilinden alınan dilekçe incelendiğinde;

1. A) Veri sorumlusunun ilgili kişiye Kanunun 13 üncü maddesi kapsamında herhangi bir cevap vermediği,
2. B) Veri sorumlusu tarafından ilgili kişinin çok sayıda kişisel verisinin, özellikle özel nitelikli kişisel verisi olan ceza mahkumiyeti verisinin üçüncü kişilere aktarıldığı,

1. C) Veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yapılmadığı,
2. D) Veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın işlenmiş olduğu

İddiaları mevcuttur.

Bu kapsamda, Kişisel Verileri Koruma 03.03.2020 tarih ve 2020/198 sayılı Karan ile başvuruya ilişkin inceleme başlatılmasına karar verilmiş olup, ilgili kişinin iddiaları ile ilgili olarak veri sorumlusunu muhatap 16/07/2020 tarih ve sayılı yazı ile Kanunun konu ile ilgili maddeleri hakkında bilgi verilmiş, söz konusu şikayet dilekçesine ilişkin olarak Kurumumuza bilgi verilmesi ve bu kapsamda ilgili tüm bilgi belge ve kayıtlar ile Veri Sorumlusu Tanıtım Formu da doldurularak 15 gün içinde Kurumumuza gönderilmesi talep edilmiştir.

Bu kapsamda veri sorumlusundan alınan Kurum kayıtlarına 11/08/2020 tarih ve 29882 sayı ile intikal eden cevabi yazıda özetle;

Başvurucu avukatı tarafından müvekkil şirkete gönderilen 25.09.2019 tarihli ihtarnamenin müvekkil  şirket adına 21.10.2019 tarih ve *** yevmiye numaralı ihtarnamenin keşide edildiği, taraflarınca keşide edilen ihtarnamenin başvurucu vekili tarafından bildirilen adrese gönderildiği,

– Söz konusu cevabi ihtarnamede Başvurucu adına işlenen verilerin Kanunun 5 inci maddesinin ikinci fıkrası kapsamında kaldığı ve özel nitelikli bir veri işlenmesinin gündeme gelmediği, Başvurucu hakkında dolandırıcılık suç isnadıyla ceza kovuşturmasının yürüdüğünün Başvurucunun gerek çalışma arkadaşlarına gerekse de işveren vekiline bizzat kendisi tarafından beyan edildiği, Başvurucunun iş akdinin devam ettiği süre boyunca edinilen tüm kişisel verilerinin silindiği, cevabi ihtarnamenin işbu yazı ekinde yer aldığı,

– Müvekkil Şirket tarafından Başvurucuya ait kişisel verilerin başkaca şirketlere aktarılmasının söz konusu olmadığı, Başvurucu tarafın bu hususu ispat etmekle mükellef olduğu ve işbu asılsız iddiasına yönelik herhangi bir somut bilgi de sunmadığı,

– Müvekkil Şirketin Başvurucuya ait işlediği verilerin Kanunun 5 inci maddesinin ikinci fıkrası kapsamında Başvurucu ile aralarında kurulan ve devam eden iş akdinin kurulması için zorunlu veriler ile kanunlarda açıkça öngörülen haller ve hukuki zorunlulukların yerine getirilmesi için gerekli durumlar kapsamında elde etmesi gereken veriler olduğu, bu nedenle söz konusu verilerin işlenmesi durumunda Müvekkil Şirketin açık rıza alma zorunluluğu bulunmadığı, ilgili verilerin de Başvurucunun iş akdinin sona ermesi ile silindiği,

–  Başvurucu hakkında dolandırıcılık suç isnadıyla ceza kovuşturmasının yürüdüğü bilgisinin Başvurucunun gerek iş arkadaşlarıma gerekse de işveren vekiline bizzat kendisi tarafından açıklandığı, muhatap tarafından paylaşılan bu bilginin ve Başvurucuya ait herhangi bir özel nitelikli verinin Müvekkil Şirket tarafından herhangi bir suretle başvurucudan talep edilmediği ve işlenmediği, Başvurucunun Müvekkil Şirket aleyhinde İş Mahkemesindeki davasını ikame etmiş olup yargılamanın devam ettiği, ilgili yargılama sürecinde de Davacının başkaca soruşturma ve ceza dosyalarında da şüpheli/sanık sıfatıyla yargılandığı,

– Müvekkil Şirketin kişisel verilerin elde edilmesi ve işlenmesi hususunda başta Kanun olmak üzere herhangi bir mevzuata aykırı eyleminin bulunmadığı, ilgili mevzuat kapsamında kişisel verilerin işlenmesi ve veri güvenliği hususunda üzerine düşen tüm yükümlülükleri özenle yerine getirdiği, kişisel verilerin işlenmesi hususunda çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiği, veri isteme faaliyetini meşru amaçlarla hukuka uygun ve amacıyla bağlantılı, sinirli ve ölçülü olarak yerine getirdiği ve hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik idari ve teknik tüm önlemleri aldığı,

ifade edilerek başvurunun reddi talep edilmiştir.

III. iddia ve Beyanların Değerlendirilmesi ile Gerekçe

1. Bilindiği üzere Kanunun “Tanımlar” başlıklı 3 üncü maddesinde kişisel veri kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi, kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasını engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, veri sorumlusu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmaktadır
2. Kanunun 4 üncü maddesinde kişisel verilerin işlenmesine ilişkin genel ilkelere yer verilmekte olup söz konusu maddenin birinci fıkrasında “Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.” hükmüne yer verilmekte ve 2 inci fıkrasında ise kişisel verilerin işlenmesinde uyulması gereken ilkeler “Hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” olarak sıralanmaktadır.

3. Kanunun “Kişisel Verilerin İşlenme Şartları” başlıklı 5 inci maddesinin birinci fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, ikinci fıkrasında ise Kanunlarda açıkça öngörülmesi, fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifayla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkı tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı halinde ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu hükümleri yer almaktadır.

4. Kanunun “Özel nitelikli kişisel verilerin işlenme şartları” 6 ncı maddesi kişilerin ırki, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olduğu, özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu, birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel verilerin, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebildiği, sağlık ve cinsel hayata ilişkin kişisel verilerin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebildiği, özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınmasının şart olduğu hükümlerini amirdir.
5. Kanunun “Kişisel verilerin aktarılması” başlıklı 8 inci maddesinin birinci fıkrasında da kişisel verilerin ilgili kişinin açık rızası olmaksızın aktarılamayacağı hükme bağlanmış olup, anılan maddenin ikinci fıkrasında ise kişisel verilerin açık rıza aranmaksızın aktarılabileceği haller Kanunun 5 inci maddesinin ikinci fıkrası ile 6 ncı maddesinin üçüncü fıkrasına atıfta bulunarak belirlenmiştir.
6. Kanunun “Kişisel verilerin yurt dışına aktarılması” başlıklı 9 uncu maddesinin birinci fıkrası kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı, ikinci fıkrası kişisel verilerin 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verilerin aktarılacağı yabancı ülkede; yeterli korunmanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumaya yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceği hükümlerini haizdir.
7. Kanunun “Veri Sorumlusunun Aydınlatma Yükümlülüğü” başlıklı 10 uncu maddesi uyarınca, veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında ilgili kişilere;
8. a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
9. b) Kişisel verilerin hangi amaçla işleneceği,
10. c) 11 inci maddede sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.
11. Diğer yandan, “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”de (Aydınlatma Tebliği) de veri sorumluları veya yetkilendirdiği kişiler tarafından aydınlatma yükümlülüğü kapsamında uyulacak usul ve esaslar belirlenmiştir. Anılan Teblig’in 5 inci maddesinin birinci fıkrasının;

(a) bendinde; “İlgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir.”,

(d) bendinde; “Aydınlatma yükümlülüğünün yerine getirilmesi, ilgili kişinin talebine bağlı değildir.”,

(e) bendinde, “Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.”,

(f) bendinde, “Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin aynı ayrı yerine getirilmesi gerekmektedir.”,

(h) bendinde; “Kanunun 10 uncu maddesinin birinci fıkrasının (c) bendinde yer alan “hukuki sebep” ten kasıt, aydınlatma yükümlülüğü kapsamında kişisel verilerin Kanunun 5 ve 6 ncı maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğidir. Aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerekmektedir.” hükümlerine yer verilmiştir.

9. Kanunun “İlgili Kişinin Hakları” başlıklı 11 inci maddesinin birinci fıkrası kapsamında herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel verileri işlenmişse buna ilişkin bilgi talep etme ve kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme haklarına sahiptir. Kanunun “Veri Sorumlusuna Başvuru başlıklı 13 üncü maddesi ise ilgili kişinin bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna ileteceği, veri sorumlusunun başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracağı ile veri sorumlusunun talebi kabul edeceği veya gerekçesini açıklayarak reddedeceği ve cevabını ilgili kişiye yazılı olarak elektronik ortamda bildireceği hükümlerini amirdir.
10. Diğer yandan, Kanunun “Veri Sorumlusuna Başvuru” başlıklı 13 üncü maddesine göre ilgili kişinin, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna ileteceği, veri sorumlusunun başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracağı, Kanunun “Kurula Şikayet” başlıklı 14 üncü maddesi kapsamında ise başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; ilgili kişinin, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabileceği hususları düzenlenmiştir.
11. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in (Tebliğ) “Başvuru Usulü” başlıklı 5 inci maddesi, ilgili kişinin, Kanunun 11 inci maddesinde belirtilen hakları kapsamında taleplerini, yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna ileteceği ile başvuruda; ad, soyada ve başvuru yazılı ise imza, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası ve talep konusunun bulunmasının zorunlu olduğu belirtilmektedir.
12. Bu çerçevede (A)’ da yer verilen; ilgili kişi vekillerinin veri sorumlusu tarafından 27.09.2019 tarihinde teslim alınan başvurusuna cevap verilmediği iddiası ile ilgili olarak, veri sorumlusundan alınan cevabi yazı ekinde veri sorumlusu tarafından 21.10.2019 tarihli keşide edilen ihtarname ile ilgili kişi vekiline cevap verildiği görülmekte olup söz konusu iddiası hakkında veri sorumlusunun Kanunun 13 üncü maddesinin ikinci fıkrasında yer alan “Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır….” hükmüne aykırı bir eylemde bulunmadığı görülmüştür. Dolayısıyla, konuya ilişkin Kurul tarafından tesis edilecek bir işlem olmadığı sonucuna varılmıştır.

14, (B) de yer verilen; veri sorumlusu tarafından ilgili kişinin çok sayıda kişisel verisinin, özellikle özel nitelikli kişisel verisi olan ceza mahkumiyeti verisinin veri sorumlusu ile organik bağı bulunan ********* ve diğer şirketlere aktarıldığı iddiasına ilişkin olarak; Türk Medeni Kanunun 6 ncı maddesinde yer alan “Kamanda aksine bir hüküm bulunmadıkça, taraflardan her biri, hakkımı dayandırdığı olguları varlığı ispatla yükümlüdür.” hükmü uyarınca ilgili kişinin, iddialarımı teşvik etmek adına Kurumumuz ile kanıtlayıcı bir belge paylaşmadığı görülmüştür.

Bu kapsamda söz konusu kişisel verilerin aktarılması faaliyetinin gerçekleştirildiği tespit edilemediğinden, konuya ilişkin Kurul tarafından tesis edilecek bir işlem olmadığı, ancak bahsi geçen iddiaları kanıtlayıcı bilgi ve belgelerin Kurumumuza sunulması halinde başvurunun bu çerçevede değerlendirmeye alınabileceği yönünde ilgili kişiye bilgi verilmesinin uygun olacağı kanaatine varılmıştır.

15. (C)’ de yer verilen; veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yükümlülüğünde bulunulmadığı hususunda bildirim yapılmadığı iddiasının incelenmesi neticesinde; veri sorumlusundan alınan cevabi yazı ekinde, veri sorumlusunun kişisel verilerin işlenmesi hususunda çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiği, kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tüm tedbirleri aldığı beyan edilmekte olup veri sorumlusunun çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiğini tevsik eden herhangi bir belgeyi Kurumumuz ile paylaşmadığı görülmüştür. Dolayısıyla aydınlatma yükümlülüğünün tebliğe uygun olarak gerçekleştirilip gerçekleştirilmediği hususunda veri sorumlusunun Kurula bilgi vermesi konusunda talimatlandırılmasının uygun olacağı sonucuna varılmıştır.
16. (D)’de yer verilen; veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın işlemiş olması iddiasının incelenmesi neticesinde; veri sorumlusundan alınan cevabi yazı ekinde, veri sorumlusunun ilgili kişiye ait işlediği verilerin Kanunun 5. Maddesinin ikinci fıkrası kapsamında ilgili kişi ile aralarında kurulan ve devam eden iş akdinin kurulması için zorunlu veriler ile kanunlarda açıkça öngörülen haller ve hukuki zorunlulukların yerine getirilmesi için gerekli durumlar kapsamında elde etmesi gereken veriler olduğu ve iye ait herhangi bir özel nitelikli verinin veri sorumlusu tarafından talep edilmediği ve işlenmediği beyan edilmektedir.

Başvuruya konu somut olayda ilgili kişinin soruşturma ve ceza dosyasında şüpheli/sanık sıfatıyla yargılandığı ifade edilmekte olup dolayısıyla bu bilginin 6698 sayılı Kanunun 6 ncı maddesinde tahdidi olarak sayılan özel nitelikli veriler arasında yer alan ceza mahkumiyeti verisi olup olmadığı hususunun değerlendirilmesi gerekir. Bu kapsamda, 5271 sayılı Ceza Muhakemesi Kanununun 223 üncü maddesinin beşinci fıkrasında yer alan “Yüklenen suçu işlediğinin sabit olması halinde, sanık hakkında mahkumiyet kararı verilir.” hükmü uyarınca ceza mahkumiyeti kararının verilmesi için sanığın işlediği suçun kesinleşmesi gerektiği vurgulanmaktadır. Dolayısıyla şikayete konu verinin ceza mahkumiyeti bilgisi olmadığı, yargılama sürecinin devam ettiği göz önüne alındığında veri sorumlusu tarafından her ne kadar söz konusu verinin işlenmediği iddia edilse de ilgili kişiye gönderilen ihtarnamede “… iş akdi yürürlükte iken, Muhatap aleyhine dolandırıcılık suç isnadı ile ceza davasının yürütüldüğü Müvekkil Şirket tarafından öğrenilmiştir…” ifadelerine yer verildiği dolayısı ile söz konusu verinin Kanunun 3 üncü maddesinde yer aldığı şekilde bir veri işleme faaliyetine tabi tutulduğu ancak işlenen bu verinin ceza mahkumiyeti bilgisi içermemesi nedeni ile 6698 sayılı Kanunun 6 ncı maddesi kapsamında özel nitelikli kişisel veri olmadığı değerlendirilmektedir. Diğer taraftan ilgili kişi hakkında yürütülen dolandırıcılık soruşturmasına ilişkin kişisel verisinin veri sorumlusu Şirketin faaliyetlerini yürütebilmesi için Kanunun 5 inci maddesinin ikinci fıkrasının (e) bendinde yer verilen “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.” kapsamında işlediği, bu sebeple ilgili kişinin söz konusu iddiasına yönelik Kanun kapsamında yapılacak bir işlem olmadığı kanaatine varılmıştır.

1. Kararın Hukuki Dayanağı

6698 sayılı Kişisel Verilerin Korunması Kanununun 3, 4, 5, 6, 8, 10, 11 ve 13 üncü maddeleri Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğin 5 ve 6 ncı maddeleri 5271 sayılı Ceza Muhakemesi Kanununun 223 üncü maddesi

1. Sonuç

İlgili Kişinin kişisel verilerinin veri sorumlusu tarafından hukuka aykırı olarak işlenmesine ilişkin başvurusunun tarafımızca incelenmesi neticesinde;

İlgili kişi vekillerinin veri sorumlusu tarafından 27.09.2019 tarihinde teslim alman başvurusuna cevap verilmediği iddiası ile ilgili olarak, veri sorumlusundan alınan cevabi yazı ekinde veri sorumlusu tarafından 21.10.2019 tarihli keşide edilen ihtarname ile ilgili kişi vekiline cevap verildiği görüldüğünden konuya ilişkin Kurul tarafından tesis edilecek bir işlem olmadığına,

İlgili kişinin çok sayıda ve çeşitli nitelikteki kişisel verilerinin işlendiği, söz konusu kişisel verilerin veri sorumlusu ile organik bağı bulunan şirketlere aktarıldığı, veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın ve hatalı olarak işlenmiş olması ve ilgili kişinin mahkumiyet verisinin veri sorumlusu tarafından bahsi geçen diğer şirketlere ve üçüncü kişilere hukuka aykırı olarak aktarılması iddialarına ilişkin bilgi ve belgeleri iddialarını teşvik etmek adına Kurumumuz ile paylaşması gerekmekte iken ilgili kişi vekilleri tarafından bu durumu kanıtlayıcı bir belge Kurumumuza sunulmadığı anlaşılmış olup, bu çerçevede söz konusu kişisel veri işleme faaliyetlerinin gerçekleştirildiği tespit edilemediğinden, konuya ilişkin Kurul) tarafından tesis edilecek bir işlem olmadığına; ancak bahsi geçen iddiaları kanıtlayıcı bilgi ve belgelerin Kurumumuza sunulması halinde başvurunun değerlendirmeye alınabileceği yönünde bilgi verilmesine,

Veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yükümlülüğünde bulunulmadığı hususunda bildirim yapılmadığı iddiasının incelenmesi neticesinde; veri sorumlusundan alın cevabı yazı ekinde kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tüm tedbirleri aldığı beyan edilmekte olup veri sorumlusunun çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiğini teşvik eden herhangi bir belgeyi Kurumumuz ile paylaşmadığı görülmüştür. Dolayısıyla aydınlatma yükümlülüğünün tebliğe uygun olarak gerçekleştirilip gerçekleştirilmediği hususunda veri sorumlusunun Kurula bilgi vermesi konusunda talimatlandırılmasının uygun olacağına,

Veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın işlemiş olması iddiasının incelenmesi neticesinde; şikayete konu verinin ceza mahkumiyeti bilgisi olmadığı, yargılama sürecinin devam ettiği göz önüne alındığında veri sorumlusu tarafından işlenen bu verinin 6698 sayılı Kanunun 6 ncı maddesi kapsamında özel nitelikli kişisel veri olmadığı değerlendirilmekte olup, veri sorumlusu Şirketin faaliyetlerini yürütebilmesi için söz konusu kişisel verinin Kanunun 5 inci maddesinin ikinci fıkrasının (e) bendinde yer verilen “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.” kapsamında işlendiği, bu sebeple ilgili kişinin söz konusu iddiasına yönelik Kanun kapsamında yapılacak bir işlem olmadığına karar verilmiştir.