EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

"Erişim Yetkisi" etiketli kararlar

2021 / 427

27/04/2021

Konu: Bir e-ticaret sitesi nezdinde gerçekleşen veri ihlali hakkında yapılan resen inceleme

Kararı Paylaşın

Karar Özeti:

Kurul tarafından yapılan incelemede, veri sorumlusu tarafından kendi tedarikçisi konumunda olan firma yetkilerinin, veri sorumlusunun sistemine giriş yaptıklarında üçüncü kişilere ait kişisel verilere erişim sağladıkları ilk tarih itibariyle bu hususta yetkili olmadıkları, bu anlamda taraflar arasında imzalanan “Gizlilik Sözleşmesi” öncesinde ” veri sorumlusu uhdesinde bulunan kişisel verilere yetkisiz erişim sağlandığının anlaşıldığı, hukuka aykırı erişim meydana gelmesinden sonra veri sorumlusu ile şahıslar arasında imzalanan gizlilik sözleşmesi ile geçmişe dönük olarak, meydana gelmiş olan veri ihlalinin ortadan kaldırılmasının hukuken mümkün olmadığı belirtilmiştir. Bununla birlikte ihlalin veri sorumlusu tarafından tedarikçi konumunda olan firmanın da bulunduğu tedarikçi grubuna “tüm bildirimlerde arama” yetkisinin verilmesi sonucunda oluştuğunun tespit edildiği, bu durumun yetkisiz erişime ilişkin düzenli kontrolün sağlanmadığının ve yetkilendirme süreçlerinin kontrol edilmeyerek veri ihlali öncesinde veri sorumlusu tarafından ilgili kişiler üzerinde oluşabilecek potansiyel zararları önlemek adına gerekli tedbirlerin alınmadığına karar verilmiştir. Bu kapsamda, veri sorumlusunun KVKK’nın 12’inci maddesinin 1 numaralı fıkrası kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğünü ihlal ettiğine karar verilmiştir.

Ceza: Veri sorumlusu hakkında KVKK’nın 12’nci maddesinin 1’nci fıkrası uyarınca 600.000,00-TL idari para cezası ve 72 saat içerisinde bildirimde bulunma yükümlülüğüne aykırı davranılması sebebiyle 200.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2020/435

28/05/2020

Konu: Bir kargo firmasında çalışan ilgili kişinin iş akdinin haksız feshedilmesi sonrası özlük dosyası kapsamında yer alan kişisel verilerinin birer suretinin tarafına verilmesi talebine veri sorumlusu tarafından cevap verilmemesi.

Kararı Paylaşın

Karar Özeti:

Karara konu olayda, ilgili kişi iş akdinin haksız olarak feshedilmesi sonucunda özlük dosyasında yer alan kişisel verilerin birer suretini talep etmiş fakat talebe veri sorumlusu olan kargo firması tarafından yanıt verilmemiştir. Kargo firması tarafından yapılan savunmada KVKK’nın 11’inci maddesinde belge örneği talebinin düzenlenmemiş olduğunu ve bu sebeple işçinin bu maddeye dayanamayacağını, ilgili kişi tarafından verilmiş olan ve talep edilen dilekçelerin Kanun kapsamında “Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla” işlenen veri olmadığını, Anayasa’nın 38’inci maddesi uyarınca susma hakkının kullanıldığını, nitekim aleyhine açılmış davada bu belgelerin delil olarak kullanılacağını, ilgili başvurunun yargı merciinin alanına girdiğini bu nedenle reddedilmesi gerektiğini ileri sürmüştür. Kurulun yapmış olduğu inceleme sonucunda veri kavramının belirli veya belirlenebilir olmak şartıyla, bir kişiye ilişkin bütün bilgileri ifade ettiği, ” doktorun reçetesi doktorun kişisel verisidir.” kararına atıf yaparak işçiye ait verilerin yer aldığı belgeleri kişisel veri olarak ve bu minvalde özlük dosyasında bu bilgilerin tutulması veri işleme faaliyeti olarak kabul edilmiştir. Şikayet konusunun kişisel verilere ilişkin olduğu ve suç unsuru oluşturmadığına kanaat getirilmiş, ayrıca açılan davanın kişisel verilere ilişkin olmadığı gerekçesiyle kişisel verilere ilişkin yönünün Kurul tarafından ele alınmasında bir sakınca olmadığı ifade edilmiştir.

Ceza: İşlem tesis edilmemiştir.

İlgili GDPR kararlarını görmek ister misin?

2020/13

14/01/2020

Konu: Sermaye piyasası mevzuatı çerçevesinde, veri sorumlusu şirket ile ilgili kişi arasında imzalanan aracılık sözleşmesine ilişkin işlemlerle bağlantılı olarak ilgili kişiyle yapılmış olan telefon görüşmesi kayıtlarına erişim talebinin reddedilmesi hakkında.

Kararı Paylaşın

Karar Özeti:

İlgili kişi tarafından Kurul’a yapılan şikayet başvurusunda sermaye piyasası mevzuatı çerçevesinde alım-satıma aracılık faaliyeti kapsamında, veri sorumlusu ile imzalanan sözleşme uyarınca işlenen kişisel verilerinden, ilgili kişi ile yapılan telefon görüşmesi kayıtlarının iletilmesi talebinde bulunmuştur. Kurul tarafından yapılan değerlendirmeler sonucunda, KVKK’nın 11’inci maddesi kapsamında ilgili kişilere tanınan bilgi talep etme hakkının söz konusu veriye erişim hakkını da kapsadığı belirtilmiştir. Bununla birlikte, bu hakkın kişisel verilerin işlendiği veri kayıt sisteminin/kayıt ortamının doğrudan kendisine erişimi, bu kayıt ortamının kendisinin ilgili kişiye teslimi veya doğrudan verinin kendisinin elde edilmesini değil; veri sorumlusunun veri güvenliğine ilişkin yükümlülüklerini de dikkate alınarak, işlenen kişisel verilerin, teknik/fiziki imkanların el verdiği ölçüde ve verinin muhtevasına/içeriğine ilgili kişi tarafından makul bir şekilde ulaşılabilmesine imkan tanınmasını kapsadığına karar verilmiştir. Bu kapsamda, veri sorumlusu tarafından telefon görüşmesi kayıtlarına ilişkin dökümün, veri sorumlusu tarafından veri güvenliğine ilişkin yükümlülükler de dikkate alınarak, ilgili kişiye gönderilmesine karar verilmiştir.

Ceza: İdari para cezası verilmemiştir.

İlgili GDPR kararlarını görmek ister misin?

2019/273

18/09/2019

Konu: Ölenin sağlık verisinin yasal mirasçısı tarafından talep edilmesi” hakkında.

Kararı Paylaşın

Karar Özeti:

Kurumun yapmış olduğu inceleme sonucunda, 2018 yılında vefat eden eşinin yasal mirasçısı olarak eşinin İstanbul’da tedavi görmüş olduğu Klinikten tüm medikal ve diğer bilgileri talep ettiğini, ancak kendisine yanıt verilmediği iddiası ile kuruma yapmış olduğu başvuru üzerine, talep edilen kişisel verilerin talep eden gerçek kişiye ilişkin olmaması ve ölmüş kişiye ait olması sebebiyle talebin, KVKK’nın 11’inci maddesi kapsamında bir talep olarak değerlendirilmeyeceği, kanısına varıldığından bu hususta KVKK kapsamında yapılacak bir işlemin olmadığına karar verilmiştir.

Ceza: İdari yaptırım uygulanmamıştır.

İlgili GDPR kararlarını görmek ister misin?

Türkçe dilinde GDPR karar özetlerini görmek ister misin?