"sınırlı ve ölçülü olma” ilkesi" etiketli kararlar

“Karar metninde, konaklama hizmetleri sunan bir otelin temizlik ve bakım görevlerini düzenlemek amacıyla oluşturulan “”Housekeeping Task Sheet”” belgesinin incelenmesi mevzu bahistir. Buna göre belgede, konaklayan müşterilere ait kişisel verilerin işlendiği ve üçüncü kişilerle paylaşıldığı iddiaları üzerinde durulmaktadır. Kurul, kişisel verilerin işlenmesine ilişkin genel ilkelerin Türkiye’deki veri koruma kanunu olan “”Kanun””un 4. maddesinde; verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği ilkesine özellikle vurgu yapılmıştır. İlgili belge üzerinde yer alan isim ve soyisim bilgilerinin, otel çalışanlarına konaklayan misafirlerin isimlerini bilmelerini gerektirecek bir ihtiyaç olmadığı ifade edilmiştir. Ayrıca, konaklayanların bu tür bilgilerini paylaşmak istememe hakkına vurgu yapılmış ve kişisel veri güvenliği risklerinin göz önünde bulundurularak veri minimizasyonu ilkesine uyulması gerektiği Kurul’un değerlendirmeleri neticesinde ifade edilmiştir. Şikayet konusu belgenin sahteliği iddiasına yönelik olarak, belgenin doğruluğunun ve sahteliğinin tespitine dair yeterli kanıt olmadığı; ayrıca, otel tarafından sunulan konaklama hizmetlerine ilişkin belgelerin düzenlenmesi sürecinde konuklara ait kişisel verilerin işlenmesine dair aydınlatma yükümlülüğünün yerine getirilmediği ve bu noktada bir eksiklik olduğu belirtilmiştir. Konaklama belgesini dolduran kişilerin iletişim bilgilerinin reklam ve pazarlama amaçlı kullanılmasına ilişkin düzenleme ise açık rıza unsurlarını ihlal ettiği ifade edilmiştir.

Sonuç olarak, otel tarafından alınması gereken teknik ve idari tedbirlerin yeterince alınmadığına dair bir tespitte bulunulmuş; bu nedenle, otel yönetimine 500.000 TL idari para cezası uygulanması, belgelerin düzeltilmesi ve bu süreçlerin Kurul’a bildirilmesi, ayrıca belirtilen eksikliklerin düzeltilmesi için otel yönetimine talimat verilmesine karar verilmiştir.”