EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

"Aydınlatma Yükümlülüğü" etiketli kararlar

2021/670

06/07/2021

Konu: İlgili kişinin veri sorumlusu bankaya yaptığı iş başvurusunun olumsuz sonuçlanması sonrası kişisel verilerinin işlenmeye devam etmesi.

Kararı Paylaşın

Karar Özeti:

Veri sorumlusu tarafından, ilgili kişiye gerekli aydınlatmalar yapılarak kişisel verilerinin işlendiği, ilgili kişinin şirket prensiplerine uygun olarak değerlendirilebilmesi için ve diğer başvurularda iletilen bilgilerle eşleştirme yapılabilmesi amaç ve işleme şartlarına dayanarak işlendiği, iş başvurusunun kabul edilmemesinin akabinde, işlenen kişisel verilerin ilgili kişinin talebi üzerine yalnızca isim-soy isim ve kimlik numarası ile veri sorumlusunun başvuru değerlendirmesine esas genel gerekçesinin muhafaza edildiği, saklama amacının ilgili kişiye iletildiği, ilgili kişinin sonraki başvurusunu müteakip ilgili kişiye ait kişisel verilerin ilk periyodik imha işleminde silineceği bilgisinin iletildiği belirtilmiştir. Kurul tarafından gerçekleştirilen incelemeler sonucu, kişisel verinin işlenmesinin sonucunda elde edilecek menfaat ile ilgili kişinin temel hak ve hürriyetlerinin yarışabilir düzeyde olmadığı, veri sorumlusu tarafından hazırlanan imha politikasına dayanarak gerçekleştirilecek resen imha işleminin bu duruma uygun olmayacağı, ilgili kişinin talebi üzerine imha işleminin gerçekleştirilmesinin gerektiği belirtilmiştir. Bu kapsamda, veri sorumlusuna idari para cezası uygulanmasına ve veri sorumlusunun talimatlandırılmasına karar verilmiştir.

Ceza: İdari para cezası verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2021/572

09/06/2021

Konu: İlgili kişinin fotoğrafının öğrencisi olduğu okul tarafından kullanılması.

Kararı Paylaşın

Karar Özeti:

İlgili kişinin öğrenci olarak öğretmenleri ile yaptığı bir görüşmede rızası olmaksızın fotoğrafının çekildiği, çekilen fotoğrafın yayınlandığı, ilgili kişi ve velisinin kişisel verilerin işlenmesine, yayımlanmasına veya kullanılmasına açık bir rıza vermediği, konuya ilişkin veri sorumlusuna başvuruda bulunulduğu ancak verilen cevabın yetersiz olduğu belirtilmiştir. Kurul tarafından gerçekleştirilen incelemeler sonucunda, ıslak imza ile imzalanarak açık rıza verildiğinin görüldüğü, ilgili kişinin kişisel verilerinin silinmesini veri sorumlusundan talep ettiği, bahse konu fotoğrafın aktif olarak kullanılmadığı, fotoğraftaki ilgili kişinin görüntüsünün ayrılabilir olup olmadığının veri sorumlusunca ele alınması gerektiği belirtilmiştir. Bu kapsamda, veri sorumlusunun veri sorumlusunun ‘‘Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’’ ve KVKK’nın 15’inci maddesinin (5) numaralı fıkrası gereği gerekli dikkat ve özeni göstermesi hususunda talimatlandırılmasına; veri işleme faaliyetlerinin revize edilmesi gerektiği yönünde de bilgilendirilmesine karar verilmiştir.

Ceza: İdari para cezası verilmemiştir.

İlgili GDPR kararlarını görmek ister misin?

2021/389

20/04/2021

Konu: Bir sigorta şirketi tarafından hizmetin açık rıza şartına bağlanması hakkındaki ihbar hakkında.

Kararı Paylaşın

Karar Özeti:

Karara konu olayda, ihbar eden ilgili kişinin bir sigorta şirketinden (Şirket) bireysel emeklilik sözleşmesi (BES) yaptırdığı, Şirketin internet sayfasından poliçe bilgilerine ulaşmak için giriş yapmaya çalıştığında bir onay kutucuğu sunularak kişisel verilerin işlenmesine rıza göstermek zorunda bırakıldığı, bu kutucuğu işaretlememesi halinde hiçbir işlem yapamayacağının anlaşıldığı, ancak kişisel verilerinin işlenmesine onay vermek zorunda bırakılmasının hukuka aykırı olduğu belirtilerek KVKK kapsamında gereğinin yapılması talep edilmiştir. Kurulun yapmış olduğu inceleme sonucunda; Kanunun 5’inci maddesinde yer alan diğer işleme şartları mevcut iken ilgili kişilerin açık rızasının alınmasının Kanunun 4 üncü maddesinde yer alan “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırı olduğu dikkate alındığında Kanunun 12’nci maddesinin 1 numaralı fıkrasında yer alan yükümlülüklerini yerine getirmeyen veri sorumlusu hakkında, KVKK’nın 18’inci maddesinin 1 numaralı fıkrasının b bendi uyarınca söz konusu uygulamanın ihbar eden dışında pek çok kişi üzerinde olumsuz etki doğurabileceği, veri sorumlusunun sunduğu hizmet bakımından geniş bir müşteri kitlesi bulunduğu, Şirketin kusuru, ekonomik durumu ve haksızlık içeriği gibi hususlar da göz önünde bulundurularak idari para cezası uygulanmasına karar verilmiştir.

Ceza: 250.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2021/303

24/03/2021

Konu: İlgili kişinin rızası dışında verilerinin işlenmesi ve diğer şirketlere aktarılması hakkındaki 2020/899 sayılı karara ilişkin itiraz hakkında.

Kararı Paylaşın

Karar Özeti:

2020/899 sayılı Kurul Kararıyla veri sorumlusuna verilen talimatta aydınlatma yükümlülüğünün gerçekleştirilip gerçekleştirilmediği hususunda bilgi istenmiş ancak veri sorumlusu Kuruma herhangi bir bilgi vermemiştir. Bunun üzerine kuruma yapılmış olan 2020/899 sayılı kararın itiraz niteliğinde olan başvuruda; veri sorumlusunun aydınlatma yükümlülüğünü yerine getirip getirmediği hususunda Kurula bilgi vermesi, veri sorumlusunun ilgili kişinin verilerini hukuka aykırı işlediği ve Kanunu ihlal ettiğinin tespitini, bu tespit doğrultusunda veri sorumlusuna idari yaptırım uygulanması ve söz konusu Kurul Kararı’nın kaldırılıp yerine yeni işlem tesis edilerek inceleme yapılması talep edilmiştir. Kurul yapılan incelemede; veri sorumlusunun talimatı yerine getirmemesi sebebiyle KVKK md.18 f.1 b.(c) kapsamında 75.000 TL idari para cezasına karar vermiştir. Kurul kararına ilişkin itiraz hususunda ise hukuki anlamda somut zemine oturan argümanların olmaması sebebiyle yapılacak bir işlem olmadığına karar vermiştir. 

Ceza: 75.000 TL -İdari para cezası verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2021/85

03/02/2021

Konu: İlgili kişinin Kanunun 11’inci maddesi kapsamındaki başvurusuna veri sorumlusu tarafından verilen cevabın yeterli bulunmaması.

Kararı Paylaşın

Karar Özeti:

İlgili kişinin ürün siparişi verdiği, bu işlem ve veri sorumlusunun e-bültenine kayıt olması esnasında kişisel verilerini işlenmesine ilişkin bir aydınlatmanın bulunmadığı, 26.06.2019 tarihinde veri sorumlusundan buna ilişkin bilgi talep ettiği, veri sorumlusunun 23.07.2019 tarihindeki cevabının ise yeterli bulunmadığı; zira veri sorumlusunun internet sitesinde bulunan ‘‘Kişisel Veriler Politikası’’ (Politika bölümünün bir aydınlatma olmadığı, ‘‘belirli ve açık’’ olmadığı, Politikada IP, Çerez gibi verilerin sayıldığı ancak verilen cevapta bu konulara ilişkin bir bilgilendirmenin yapılmadığı, cevap metni ile Politika’nın çeliştiği, Politikada veri bazında bir bilgilendirmenin bulunmadığı belirtilmiştir. Kurul tarafından gerçekleştirilen incelemeler sonucunda, veri sorumlusunun detaylı bilgilendirme için ilgili kişileri Aydınlatma Metnine yönlendirmesi gerekliliğini yerine getirmediği, veri sorumlusunun internet sitesinin en alt bölümünde bir link olarak yer alan politika metninin internet sitesinden alışveriş yapan ilgili kişilerin aydınlatıldığını ispatta yetersiz kaldığı belirtilmiştir. Bu kapsamda veri sorumlusunun, söz konusu hukuka aykırılıkların giderilmesi ve sonucundan Kurula bilgi vermesi hususlarında talimatlandırılmasına  karar verilmiştir.

Ceza: İdari para cezası verilmemiştir.

İlgili GDPR kararlarını görmek ister misin?

2020/899

24/11/2020

Konu: İlgili kişinin rızası dışında verilerinin işlenmesi ve üçüncü taraflara aktarılması hakkında.

Kararı Paylaşın

Karar Özeti:

İlgili kişi tarafından Kurum’a iletilen şikayette; bir dönem Veri Sorumlusu bünyesinde çalışmış olan ilgili kişi , veri sorumlusunun aydınlatma yükümlülüğünü yerine getirmediği bu sebeple de kişisel verileri hukuka aykırı işlediği, ilgili kişinin kişisel verilerini diğer şirketlere aktardığı, veri sorumlusuna KVKK md.13 kapsamında başvurduğunu ancak herhangi bir dönüş alamadığını ayrıca veri sorumlusunun, özel nitelikli kişisel veri olan ceza mahkumiyeti verisini rıza alınmaksızın ve hatalı işlediğini, bu veriyi diğer şirketlere aktarmış olduğunun kuvvetle muhtemel olduğu iddialarında bulunmuştur. Veri Koruma Otoritesi iddialar ve cevaplarla sunulan belgeler doğrultusunda yapmış olduğu incelemede; veri sorumlusunun kendisine yapılmış olunan başvuruya makul sürede yanıt verdiği ve bu noktada hukuka aykırı bir eylem olmadığı için bir işlem tesis etmemiştir. İlgili kişinin çok sayıda verisinin (özellikle özel nitelikli kişisel verisi olan ceza mahkumiyeti verisi) diğer şirketlere aktarıldığı iddiası hususunda ilgili kişinin kanıtlayıcı bir belge sunmaması sebebiyle bir işlem tesis edilmemiştir. İlgili kişinin, veri sorumlusunun gerekli aydınlatma yükümlülüğünü yerine getirmediği iddiasına ilişkin veri sorumlusu tarafından herhangi bir belge Kurum ile paylaşılmamış bu sebeple işbu hususta veri sorumlusunun Kurula bilgi vermesi konusunda talimat verilmiştir. Son olarak özel nitelikli kişisel verisi olan ceza mahkumiyeti verisinin ilgili kişinin rızası alınmaksızın işlenmiş olduğu iddiasında; şikayete konu verinin ceza mahkumiyeti kapsamına giremeyeceği bu sebeple özel nitelikli veri olmadığı değerlendirmesine varılmış olup, bu verinin işlenmesinin KVKK md.5 f.2 b.(e) kapsamında olduğu için herhangi bir işlem tesis edilmemiştir.

Ceza: Veri sorumlusu talimatlandırılmıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/769

08/10/2020

Konu: İlgili kişinin eski çalışanı olduğu şirketi devralan veri sorumlusu şirket tarafından Kanuna aykırı veri işleme faaliyetinde bulunulması.

Kararı Paylaşın

Karar Özeti:

Kurul tarafından, Kişinin kişisel verilerinin 2014-2015 yıllarında işlendiğinin anlaşıldığı, 6698 sayılı KVK Kanunu’nun 07.04.2016 itibariyle yürürlüğe girdiği, söz konusu tarihler itibariyle Kanun’un yürürlüğe girmemiş olması sebebiyle kişisel verilerin elde edilmesi sırasında aydınlatma yükümlülüğünün yerine getirilmesinin de mümkün olmadığı, dolayısıyla bu hususta Kanun kapsamında yapılacak bir işlem bulunmadığına,İşverenin çalışanlarının özlük dosyalarını düzenlemesi bakımından veri sorumlusu sıfatını haiz olduğu, bu kapsamda İş Kanunu ve Sosyal Sigortalar Kanunu kapsamındaki yükümlülükleri dolayısıyla veri işleme faaliyetinin gerçekleştirildiği, söz konusu veri işleme faaliyetinin Kanunun 5. maddesinde yer alan ‘kanunlarda açıkça öngörülme’ ve ‘veri sorumlusunun hukuki yükümlülüğünün yerine getirilebilmesi için zorunlu olması’ şartlarına dayanarak gerçekleştirildiğine, igili kişinin açık rızası olmaksızın sağlık verilerinin işlenmesine ilişkin olarak Kurul tarafından belirlenen özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemler alınmak suretiyle mevzuatta öngörülen görevleri kapsamında iş yeri hekimi tarafından sağlık verisinin işlenmesinin mümkün olduğuna, ilgili kişinin ticari elektronik ileti gönderilmek suretiyle kişisel verilerinin hukuka aykırı işlendiği iddiasına ilişkin olarak somut delile rastlanılamadığından Kurum tarafından yapılacak herhangi bir işlem bulunmadığına karar verilmiştir.

Ceza: İdari yaptırım uygulanmamıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/766

08/10/2020

Konu: Bir banka tarafından Kurul Kararı ile verilen talimatların gereğinin yerine getirilmemesi hakkında.

Kararı Paylaşın

Karar Özeti:

İlgili kişi tarafından veri sorumlusu banka hakkında; internet sayfasında aydınlatma metni yerine veri sorumlusunun Kişisel Verilerin İşlenmesi ve Korunması Politikasına link verildiği, aydınlatma yükümlülüğünün gereğince yerine getirilmediği belirtilmiştir. Kurul tarafından yapılan incelemeler neticesinde, veri sorumlusunun aydınlatma metninde Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak kişisel verilerin hangi kişisel veri işleme şartına dayanılarak işlendiğine ilişkin ayrıntılı bilgiye yer verilmediği, yalnızca KVKK’nın5înci ve 6’incı maddelerinin ilgili fıkra ve bentlerine yer verilmesiyle yetinildiği, aydınlatmanın kişisel verilerin elde edilmesi sırasında ve faaliyet bazlı olarak yerine getirilmesi gerektiği talimatına ilişkin olarak cevap yazısı ile ekinde herhangi bir ifadeye ve tesvik edici belgeye yer verildiğinden bahisle aydınlatma yükümlülüğünün usulüne uygun şekilde yerine getirilmemesi dolayısıyla KVKK’nın 15’inci maddesinin 5 numaralı fıkrasına aykırı hareket edildiğine kanaat edilerek KVKK’nın 18’inci maddesinin 1 numaralı fıkrasının c bendi uyarınca veri sorumlusu hakkında idari para cezası uygulanmasına karar verilmiştir.

Ceza: 120.000,00-TL idari para cezası uygulanmıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/765

08/10/2020

Konu: Bir banka tarafından Kurul kararı ile verilen talimatın gereğinin yerine getirilmemesi hakkında.

Kararı Paylaşın

Karar Özeti:

Kurul tarafından yapılan incelemler sonucunda, aydınlatma metninin kategorik şekilde ve her bir işleme faaliyeti özelinde olacak şekilde yenilenmesine yönelik veri sorumlusunun talimatlandırılmış olmasına karşın, veri sorumlusu tarafından talimatlandırma kapsamında gerekli işlemlerin yapılmamış olması sebebiyle ve aydınlatma metninin Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyuacak USul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak düzenlenmemesi sebebiyle KVKK’nın 15’inci maddesinin 5 numaralı fıkrası ve 18’inci maddesinin 1 numaralı fıkrasına aykırılık sebebiyle idari para cezası uygulanmasına karar verilmiştir.

Ceza: 120.000,00-TL idari para cezası uygulanmıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/559

22/07/2020

Konu: Kişisel verilerin 108 sayılı Sözleşme dayanak gösterilerek yurt dışına aktarılması hakkında.

Kararı Paylaşın

Karar Özeti:

Karara konu olayda, otomotiv sektöründe faaliyet gösteren veri sorumlusu firmanın yurtdışına yapmış olduğu veri aktarımının hangi hukuki sebebe dayandığı belirtilmesinin talep edilmesi üzerine firmanın “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesine (108 sayılı sözleşme) dayandığı anlaşılmıştır. Bunun üzerine Kurum 108 sayılı sözleşmeye dayanarak yurtdışına veri aktarımının mümkün olup olmadığını resen incelemiştir. Kurulun yapmış olduğu inceleme sonucunda, 108 sayılı sözleşmeye taraf olmanın tek başına ülkeyi güvenli ülke statüsüne sokmayacağını; dolayısıyla kanuna aykırı biçimde yurtdışına kişisel veri aktarımı yapıldığı gerekçesiyle idari para cezası uygulanmasına karar verilmiştir. Ayrıca yurtdışına aktarılan verilerin silinmesi/yok edilmesi konusunda şirketin talimatlandırılmasına karar verilmiştir.

Ceza: 900.000-TL idari para cezası verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2 / 41234

Türkçe dilinde GDPR karar özetlerini görmek ister misin?