Tarafların iddia ve Beyanlarının Özeti

Bilindiği üzere, ilgili kişi vekilleri veri sorumlusu hakkındaki Kurum kayıtlarına 22.11.2019 tarih ve *** evrak sayısı ile intikal eden 21.11.2019 tarihli başvurusunda özetle; veri sorumlusunun ilgili kişiye Kanunun 13 üncü maddesi kapsamında herhangi bir cevap vermediği, Veri sorumlusu tarafından ilgili kişinin çok sayıda kişisel verisinin, özellikle özel nitelikli kişisel verisi olan ceza mahkumiyeti verisinin üçüncü kişilere aktarıldığı, veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yükümlülüğünde bulunulmadığı ve veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın işlemiş olduğu iddia edilerek veri sorumlusu hakkında gereğinin yapılması talep edilmiş olup konuya ilişkin değerlendirmeler Kurul gündemine sunulmuştur.

Yapılan incelemeler neticesinde Kişisel Verileri Koruma Kurulunun 24/11/2020 tarih ve 2020/899 sayılı Kararı ile;

İlgili kişinin kişisel verilerinin veri sorumlusu tarafından hukuka aykırı olarak işlenmesine ilişkin başvurusunun tarafımızca incelenmesi neticesinde;

– İlgili kişi vekillerinin veri sorumlusu tarafından 27.09.2019 tarihinde teslim alınan başvurusuna cevap verilmediği iddiası ile ilgili olarak, veri sorumlusundan alman cevabi yazı ekinde veri sorumlusu tarafından 21.10.2019 tarihli keşide edilen ihtarname ile ilgili kişi vekiline cevap verildiği görüldüğünden konuya ilişkin Kurul tarafından tesis edilecek bir işlem olmadığına,

– İlgili kişinin çok sayıda ve çeşitli nitelikteki kişisel verilerinin işlendiği, söz konusu kişisel verilerin veri sorumlusu ile organik bağı bulunan şirketlere aktarıldığı, veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın ve hatalı olarak işlenmiş olması ve ilgili kişinin mahkumiyet verisinin veri sorumlusu tarafından bahsi geçen diğer şirketlere ve üçüncü kişilere hukuka aykırı olarak aktarılması iddialarına ilişkin bilgi ve belgeleri iddialarım tevsik etmek adına Kurumumuz ile paylaşması gerekmekte iken ilgili kişi vekilleri tarafından bu durumu kanıtlayıcı bir belge Kurumumuza sunulmadığı anlaşılmış olup bu çerçevede söz konusu kişisel veri işleme faaliyetlerinin gerçekleştirildiği tespit edilemediğinden, konuya ilişkin Kurul tarafından tesis edilecek bir işlem olmadığına; ancak bahsi geçen iddiaları kanıtlayıcı bilgi ve belgelerin Kurumumuza sunulması halinde başvurunun değerlendirmeye alınabileceği yönünde bilgi verilmesine,

– Veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yükümlülüğünde bulunulmadığı hususunda bildirim yapılmadığı iddiasının incelenmesi neticesinde: veri sorumlusundan alınan cevabi yazı ekinde, veri sorumlusunun kişisel verilerin işlenmesi hususunda çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiği, kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tüm tedbirleri aldığı beyan edilmekte olup veri sorumlusunun çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiğini tevsik eden herhangi bir belgeyi Kurumumuz ile paylaşmadığı görülmüştür. Dolayısıyla aydınlatma yükümlülüğünün tebliğe uygun olarak gerçekleştirilip gerçekleştirilmediği hususunda veri sorumlusunun Kurula bilgi vermesi konusunda talimatlandırılmasının uygun olacağına,

– Veri sorumlusunun ilgili kişinin özel nitelikli kişisel verisi olan ceza mahkumiyeti verisini, ilgili kişinin açık rızası bulunmaksızın işlemiş olması iddiasının incelenmesi neticesinde: şikayete konu verinin ceza mahkumiyeti bilgisi olmadığı, yargılama sürecinin devam ettiği göz önüne alındığında veri sorumlusu tarafından işlenen bu verinin 6698 sayılı Kanunun 6 ncı maddesi kapsamında özel nitelikli kişisel veri olmadığı değerlendirilmekte olup, veri sorumlusu Şirketin faaliyetlerini yürütebilmesi için söz konusu kişisel verinin Kanunun 5 inci maddesinin ikinci fıkrasının (e) bendinde yer verilen “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.” kapsamında işlendiği, bu sebeple ilgili kişinin söz konusu iddiasına yönelik Kanun kapsamında yapılacak bir işlem olmadığına” karar verilmiştir.

Bu kapsamda söz konusu Kurul Kararı 08.01.2021 tarih ve *** sayılı yazı ile veri sorumlusuna 15.01.2021 tarihinde tebliğ edilmiş olup söz konusu Kararda; aydınlatma yükümlülüğünün tebliğe uygun olarak gerçekleştirilip gerçekleştirilmediği hususunda tarafımıza bilgi verilmesi istenilmiştir. Söz konusu Kurul Kararı’nın tebliğ edilmesinden itibaren en geç 30 gün içerisinde veri sorumlusu tarafından tarafımıza bilgi verilmemiştir.

Söz konusu Kurul Kararı’na itiraz niteliğinde 10/03/2021 tarihinde Kurumumuza intikal eden başvurusunda özetle; veri sorumlusunun ilgili kişiye karşı aydınlatma yükümlülüğünü yerine getirip getirmediği hususunda Kurula bilgi vermesi, gerekli işlemlerin yürütülmesi ve taraflarına bilgilendirmede bulunulması, veri sorumlusunun ilgili kişinin kişisel verilerini hukuka aykırı, hileli ve gerçeğe aykırı olarak işlediği ve Kanunu ihlal ettiğinin tespitini, bu tespit doğrultusunda veri sorumlusu hakkında idari yaptırım uygulanması ve söz konusu Kurul Kararı’nın kaldırılması ve yerine yeni bir işlem tesis edilerek yeniden inceleme yapılması talep edilmiştir.

III. İddia ve Beyanların Değerlendirilmesi ile Gerekçe

1-) İlgili kişinin 22.11.2019 tarihli şikayeti ve bu kapsamda veri sorumlusundan alınan cevap yazısının incelenmesi neticesinde Kişisel Verileri Koruma Kurulu’nun 24/11/2020 tarih ve 2020/899 sayılı Kararı ile; “… Veri sorumlusu tarafından ilgili kişinin çeşitli nitelikteki kişisel verisinin işlendiği ve bu işleme sırasında veri sorumlusu tarafından herhangi bir aydınlatma yükümlülüğünde bulunulmadığı hususunda bildirim yapılmadığı iddiasının incelenmesi neticesinde; veri sorumlusundan alınan cevabi yazı ekinde, veri sorumlusunun kişisel verilerin işlenmesi hususunda çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiği, kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tüm tedbirleri aldığı beyan edilmekte olup veri sorumlusunun çalışanlarına karşı aydınlatma yükümlülüğünü yerine getirdiğini teesik eden herhangi bir belgeyi Kurumumuz ile paylaşmadığı görülmüştür. Dolayısıyla aydınlatma yükümlülüğünün tebliğe uygun olarak gerçekleştirilip gerçekleştirilmediği hususunda veri sorumlusunun Kurula bilgi vermesi konusunda talimatlandırılmasının uygun olacağına…” karar verilmiştir.

2-) Şikayet üzerine veya resen incelemenin usul ve esaslarına ilişkin olarak Kanunun 15 inci maddesinin 5 inci fıkrası “ Şikayet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması halinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgilere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.” hükmünü amirdir.

3-) Kanun’un “Kabahatler” başlıklı 18 inci maddesinin birinci fıkrasının (c) bendinde Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verileceği hükme bağlanmıştır.

4-) Öte yandan, 5326 sayılı Kabahatler Kanunun 17 nci maddesinin yedinci fıkrasına göre ise, idari para cezalarının her takvim yılı başından geçerli olmak üzere o yıl için 213 sayılı Vergi Usul Kanunun mükerrer 298 inci maddesi hükümleri uyarınca tespit ve ilan edilen yeniden değerleme oranında artırılması gerekmekte olup, bu kapsamda veri sorumlusu hakkında idari para cezası uygulanmasına karar verilmesi halinde, veri sorumlusu tarafından hukuka aykırı veri işlendiği sonucuna varılması halinde söz konusu idari para cezasının şikâyete konu veri işleme faaliyetinin gerçekleştiği yıl olan 2021 yılı için % 9,1 olan yeniden değerleme oranıyla değerlenmek suretiyle Kanunun 18 inci maddesinin 1 inci fıkrasının (c) bendi çerçevesinde uygulanabilecek idari para cezasının alt limiti 49.167.- TL, üst limiti ise 1.966.860.- TL olarak hesaplanmaktadır.

5. Söz konusu Kurul kararının gereğinin veri sorumlusu tarafından yerine getirilmediği göz önünde bulundurulduğunda veri sorumlusu tarafından Kanunun 15 Inci maddesinin 5 inci fıkrasına aykırı hareket edildiği değerlendirilmekte olup veri sorumlusu hakkından Kanunun 18 inci maddesinin birinci fıkrasının (c) bendi kapsamında idari para cezası uygulanmasının uygun olacağı sonucuna varılmıştır.
6. Bu kapsamda, veri sorumlusu Şirketin ekonomik durumu hakkında bilgi edinmek üzere Şirketin internet adresi, MERSIS, Türkiye Ticaret Sicili Gazetesi ve İstanbul Ticaret Odası Bilgi Bankasında inceleme yapılmış olup Şirketin, ilk tescil işlemini ** yılında gerçekleştirmiş olduğu, ***TL kayıtlı sermaye miktarına sahip olduğu, yatırım ve danışmanlık sektöründe faaliyet gösterdiği, merkez ofisi ***, Türkiye merkez ofisi *** olmak üzere ofisleri bulunan bir anonim şirket olduğu bilgisi edinilmiştir.
7. Diğer taraftan, ilgili kişinin Kurumumuza 10/03/2021 tarihinde intikal eden dilekçesinde söz konusu Kurul Kararı’nın kaldırılması ve yerine yeni bir işlem tesis edilerek yeniden inceleme yapılması talep edilmektedir. Bununla birlikte anılan Kurul Kararı’nın değiştirilmesine yönelik olarak hukuki anlamda somut zemine oturan argümanları söz konusu olmadığı dikkate alındığında ilgili kişinin Kurul Kararına itirazına ilişkin olarak Kanun kapsamında yapılacak bir işlem olmadığı sonucuna varılmıştır.

1. Kararın Hukuki Dayanağı

6698 sayılı Kanunun 15 ve 18 inci maddeleri,

1. Sonuç

İlgili kişinin veri sorumlusuna başvurusuna ilişkin alınan 24.11.2020 tarih ve 20/899 sayılı kararı hakkında ilgili kişi tarafından yapılan itiraz ve Kararın yerine getirilmemesine ilişkin hususların değerlendirilmesi neticesinde;

– Kişisel Verileri Koruma Kurulunun 24.11.2020 tarih ve 2020/899 sayılı Kararının gereğini veri sorumlusu tarafından yerine getirilmediği göz önünde bulundurulduğunda veri sorumlusu tarafından Kanunun 15 inci maddesinin (5) numaralı fıkrasına aykırı hareket edildiği değerlendirilmekte olup veri sorumlusu hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (c) bendi kapsamında 75.000 TL idari para cezası uygulanmasına,

– Diğer taraftan, ilgili kişinin Kuruma 10.03.2021 tarihinde intikal eden dilekçesinde söz konusu Kurul Kararının kaldırılması ve yerine yeni bir işlem tesis edilerek yeniden inceleme yapılması talep edilmekle birlikte anılan Kurul Kararının değiştirilmesine yönelik olarak hukuki anlamda somut zemine oturan argümanların söz konusu olmadığı dikkate alındığında ilgili kişinin Kurul Kararına itirazına ilişkin olarak Kanun kapsamında yapılacak bir işlem olmadığına

karar verilmiştir.