EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

EnglishFrenchGermanTurkish

"Veri İhlali" etiketli kararlar

2023/1309

03/08/2023

Konu: Bir havayolu şirketi tarafından ilgili kişiye ait kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması

Kararı Paylaşın

Karar Özeti:

Kurula iletilen şikayette, ilgili kişi ailesi ile birlikte bir seyahat acentesinden bir tur satın almıştır. tur firması tarafından şikayete konu olan veri sorumlusu havayolu firması ile seyahatin panlandığı ve tarafına uçuş bilgilerinin gönderildiği, havayolunun mobil uygulaması üzerinden Check-in işlemi yapmak için Yolcu İsim Kaydını-passenger Name İnformation(PNR) ve soyadını girdiğinde tanımadığı başka yolcu bilgilerini gördüğü, ayrıca uçuşlarını iptal etmek ve değiştirmek gibi birçok işlem hakkının da tanındığı görülmektedir. Şikayet dilekçesine göre, havayolu şirketi tarafından tutulan kişisel verilerin, tanımadığı kişilere açıklanması-yayınlanması ihlali ve ihmal ihtimali söz konusudur. Bu nedenle, kişi, Kişisel Verilerin Korunması Kanunu’nun 11. maddesi çerçevesinde hakları doğrultusunda, veri sorumlusu olarak yaşanan ihlal hakkında bilgi almak, mevcut ihlalin giderilmesini sağlamak, gerekli bildirimlerin yapılmasını talep etmektedir. Veri sorumlusundan gelen yanıtta, kişisel verilerinin hukuka aykırı olarak üçüncü kişilere aktarıldığının kabul edildiği ancak diğer talepleriyle ilgili herhangi bir cevap alamadığı belirtilmiştir. Bu bağlamda, kişi, şahsi verilerinin korunması adına alınan teknik ve idari tedbirler, verilerin işlenme amacı, üçüncü kişilere aktarılan bilgiler ve hukuka aykırı veri işleme faaliyetine son verilmesi hususlarında bilgi talep etmektedir. Kurul tarafından, İlgili kişinin şikayeti üzerine, havayolu şirketi tarafından yapılan bir PNR (Yolcu İsim Kaydı) sistemi incelemesinde, kişisel verilerin hukuka aykırı olarak paylaşıldığına dair bir ihlal tespit edilmiştir. Veri sorumlusunun iddia ettiği PNR + SOYADI kombinasyonuyla giriş işlemi sırasında sadece aynı soyada sahip kişilerin verilerinin görüntüleyebileceği açıklamasına rağmen, ilgili kişinin ekran görüntülerinde farklı soyadına sahip kişilerin verilerinin görüldüğü belirlenmiştir. Bu durum, veri sorumlusunun gerekli teknik ve idari tedbirleri almadığını ve Kanun’un 12. maddesi uyarınca kişisel verilerin güvenliğini sağlama yükümlülüğünü yerine getirmediğini göstermektedir. Bu nedenle, Kanun’un 18. maddesi çerçevesinde veri sorumlusuna idari para cezası uygulanmasına karar verilmiştir. Ayrıca, ortak PNR oluşturulması durumlarında aynı soyadına sahip kişilerin birbirlerinin verilerine erişim sağlanabilmesi konusundaki açıklamaları üzerine, veri sorumlusunun ilave teknik tedbirleri alması ve bu değişiklikleri Kurula bildirmesi için talimatlandırılmasına karar verilmiştir. Ancak, ilgili kişinin diğer sorularına veri sorumlusu tarafından yeterli yanıt verildiği belirlendiğinden, bu konuda ayrı bir işlem yapılmasına gerek olmadığına karar verilmiştir.

Ceza: 300.000 TL idari para cezası, ilave teknik tedbirlerin alınması ve Kurula bilgi verilmesi, veri sorumlusu tarafından bilgi verilmesi amacıyla cevap verilmemesi iddiası kapsamında yeterli yanıt verilmiş olup söz konusu şikayete ilişkin yapılacak bir işlem olmadığına ilişkin karar verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2022/925

08/09/2022

Konu: İlgili kişinin e-posta adresine, başka abonelere ait e-faturaların gönderilmesi hakkında

Kararı Paylaşın

Karar Özeti:

Kuruma iletilen şikayette özetle; ilgili kişinin, kendi e-posta adresine bir başka aboneye ait e-faturaların iletilmesi ile ilgili 2019 yılında veri sorumlusu telekomünikasyon şirketi hakkında Kişisel Verileri Koruma Kurumu’na ilk şikayetinde bulunduğu, bu şikayete istinaden veri sorumlusuna Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanmasına karar verildiği ve veri sorumlusu kişisel verilerin korunmasına ilişkin gerekli tedbirlerin alınması adına talimatlandırıldığı belirtilmiştir. İlgili kişi daha sonra bir başka abonenin e-faturalarının da kendisine iletilmeye başladığını ifade etmiştir. Kurul, veri sorumlusunun Kanun’un 12. maddesinin 1 numaralı bendindeki “gerekli teknik ve idari tedbirleri alma” yükümlülüğünü yerine getiremediğine, buna istinaden yapılan talimata rağmen bir abonenin e-faturalarını ilgili kişiye göndererek söz konusu yükümlülüğün ihlaline devam ettiğine, bunun yanında ilgili kişinin e-posta adresini bir başka abonenin kullanabilme ihtimalinin ancak e-posta adresleri için uygulanabilecek bir doğrulama mekanizması olmaması durumunda mümkün olmasının, veri sorumlusunun kişisel verileri korumak adına alması gereken teknik tedbirleri almadığını açıkça gösterdiğine ve “doğru ve gerektiğinde güncel olma” ilkesine aykırılık teşkil ettiğine kanaat getirmiş, 200.000 TL idari para cezası verilmesine karar verilmiştir.

Ceza: 200.000 TL İdari Para Cezası Verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2022/328

07/04/2022

Konu: İlgili kişinin kişisel verilerinin yer aldığı ihtarnamenin, bordrolama hizmeti sunan veri sorumlusu tarafından başka çalışanlara da gönderilmesi hakkında

Kararı Paylaşın

Karar Özeti:

Kurum’un yapmış olduğu inceleme sonucunda; ilgili kişinin kişisel verilerinin yer aldığı ihtarnamenin veri sorumlusu tarafından yedi kişiye daha gönderildiği iddiasına ilişkin olarak; kişisel verilerin işlenmesi faaliyetinin mevzuatta yer alan herhangi bir işleme şartına dayanmadığı, veri sorumlusunun kişisel verileri hukuka aykırı olarak işlenmesini önlemek yükümlülüğüne uygun davranmadığı Kurumca tespit edilmiş, 100.000 TL idari para cezası uygulanmasına ve Karar hakkında Türkiye Noterler Birliğine bilgi verilmesine karar verilmiştir.

Ceza: 100.000 TL İdari Para Cezası Verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2022/325

07/04/2022

Konu: İlgili kişi ile ilgisi bulunmayan bir işletme adına düzenlenmiş e-faturaların, ilgili kişinin e-posta adresine gönderilmesi hakkında

Kararı Paylaşın

Karar Özeti:

Kurum tarafından incelenen bir şikayette özetle; bir pazarlama şirketinin bölge müdürlüğü yetkilileri tarafından bir market adına düzenlenmiş e-faturaların ilgili kişinin kullanmakta olduğu e-posta adresine 15 defa gönderildiği, ilgili kişinin adına fatura düzenlenen market ile bir ilgisi olmadığı belirtilmiştir. Kurum tarafından yapılan inceleme sonucun damarket sahibi ile ilgili kişinin e-posta adresi benzerliği sebebiyle veri işleyen yetkili satıcı tarafından sehven ilgili kişinin e-posta adresinin sisteme kayıt edilerek herhangi bir kasıt bulunmaksızın işlendiği ve ilgili kişinin faturaların tarafına gönderilmemesi yönündeki talebinin gerekli düzeltme yapılarak yerine getirildiği dikkate alındığında veri sorumlusu pazarlama şirketi hakkında Kanun kapsamında yapılacak bir işlem bulunmadığına, Kurumun 22/12/2020 tarih ve 2020/966 sayılı İlke Kararı kapsamında e-posta gçnderilmesi hususunda gerekli teyit mekanizmalarının kurulmasının uygun olacağının veri sorumlusu şirkete hatırlatılmasına karar verilmiştir.

Ceza: İdari Para Cezası Verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2022/243

17/03/2022

Konu: Aynı isme sahip bir kişinin ilgili kişinin e-postasını kullanması üzerine faturanın farklı bir kişiye gönderilmesi hakkında karar.

Kararı Paylaşın

Karar Özeti:

Kurula ilgili kişi tarafından iletilen şikayette kendisiyle aynı isme sahip bir kişinin faturasının kendi e-posta adresine gönderildiği ve bu konuyla alakalı herhangi bir onaylama metodunun kullanılmadığı belirtilmiştir. Veri sorumlusundan istenen savunmada veri sorumlusu misafir girişlerinde e-posta doğrulamasının yapılmadığını, üye olmaksızın yapılan alışverişlerde kullanılan bu yöntemde sehven hatalı girilen e-posta adreslerinin engellenmesi için gerekli teknik çalışmaların yapıldığını belirtilmiştir. Sonuç olarak Kurul teyit mekanizmasının olmamasından ötürü internet sitesinden yapılacak tüm işlemlerin veri ihlal riski taşıdığını belirterek veri sorumlusunun KVKK’nın 5’inci maddesinde yer alan işleme şartlarını sağlamadığı ve kanunun 12’nci maddesindeki yükümlülükleri yerine getirmediği gerekçesiyle 18’inci maddenin (1) numaralı fıkrasının (b) bendi kapsamında 100.000 TL idari para cezası uygulanmasına karar vermiştir.

Ceza: 100.000-TL İdari para cezası uygulanmıştır.

İlgili GDPR kararlarını görmek ister misin?

2021/1324

23/12/2021

Konu: Yemek Sepeti Elektronik İletişim Perakende Gıda Lojistik AŞ (Yemeksepeti) veri ihlal bildirimi

Kararı Paylaşın

Karar Özeti:

Veri sorumlusu tarafından yapılan veri ihlal bildirimi ile veri sorumlusuna ait bir web uygulama sunucusu üzerindeki açık sebebiyle uygulama kurarak ve komut çalıştırmak suretiyle sunucuya erişildiği, ihlalden 21.504.083 kullanıcının etkilendiği, etkilenen kişisel verilerin kullanıcı adı, adres, telefon numarası, e-posta adresi, şifre ve IP bilgileri olduğu belirtilmiştir. Kurul tarafından yapılan inceleme sonucunda, veri ihlalinin çok büyük çapta olduğu, ihlalin ilgili kişiler açısından kişisel veriler üzerinde kontrol kaybı gibi önemli riskler oluşturacağı, 8 gün boyunca süren veri ihlalinin veri sorumlusu tarafından fark edilmemesinin veri sorumlusunun kusurundan kaynaklandığı, güvenlik uyarılarının hizmet alınan üçüncü taraflarca kontrol edilmediği sebebiyle veri sorumlusunun gerekli denetimleri sağlamadığı belirtilerek KVKK’nın 12’nci maddesinin 1 numaralı fıkrası hükmü çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında KVKK’nın 18’nci maddesinin 1 numaralı fıkrasının b bendi uyarınca idari para cezası uygulanmasına karar verilmiştir.

Ceza: 1.900.000.-TL idari para cezası uygulanmıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/511

30/06/2020

Konu: Bir sigorta şirketinin veri ihlal bildirimi hakkında.

Kararı Paylaşın

Karar Özeti:

Kurum’a iletilen veri ihlali bildiriminde sağlık sigortası müşterilerine yönelik eczane provizyon uygulamasının 2018 yılında değiştirilmesi esnasında, sürekli ilaç kullanım raporu olan 683 farklı müşterinin ilaç geçmişinin yeni sisteme aktarılması amacıyla oluşturulan excel dosyasının kimlik ve ilaç kullanım bilgilerini içerdiği, sisteme kişi bazlı giriş yapılması sırasında excel dokümanın sehven bütün halinde yüklendiği belirtilmiştir. ihlalden 683 kişi etkilenirken, kayıt sayısının ise 2413 olduğu belirtilmiştir. Kurul tarafından yapılan incelemeler neticesinde Kişisel Veri Güvenliği Rehberi’nin Kişisel Veri Güvenliği Politikalarının ve Prosedürlerinin Belirlenmesi’ne ilişkin yükümlülüklere uyulmadığına, özel nitelikli kişisel verilerin işlenmesinde “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”in göz önünde bulundurulmadığına karar verilerek KVKK’nın 12’nci maddesinin 1 numaralı fıkrası hükmü çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmadığına karar verilmiştir.

Ceza: KVKK’nın 18’nci maddesinin 1 numaralı fırkasının b bendi uarınca 100.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2020/191, 2020/192, 2020/193, 2020/194

03/03/2020

Konu: Risk Merkezindeki verilerin muhtelif faktoring şirketleri tarafından ihlal edildiğine ilişkin ihbar hakkında.

Kararı Paylaşın

Karar Özeti:

Kurum’a iletilen ihbarda sorgu adetlerinde ilgi çekici değişim gözlemlenen Risk Merkezi üyeleri hakkında Risk Merkezi Yönetimi tarafından yapılan inceleme neticesinde, üyelerin bazı çalışanları tarafından Risk Merkezinden yapılan sorgulamarın kanunen yetkili olmayan kişilerle paylaşıldığının ve/veya amaç dışı kullanıldığının tespit edildiği belirtilmiştir. Kurul tarafından yapılan incelemeler neticesinde, ihbara konu kişisel veri işleme faaliyetlerinde KVKK’nın 4’üncü madesinde sayılan genel ilkelere riayet edilmediği, söz konusu faalieytelerin KVKK’nın 12’nci maddesinin birinci fıkrasında düzenlenen kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel veriler hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muahfazasını sağlamak yükümlülüklerine aykırılık teşkil ettiğinin tespit edildiği ve veri ihlali süresi, veri ihalalinden etkilenen kişi sayısı, ihlale ilişkin bildirimde bulunulmaması dikkate alınarak veri sorumlusu 4 şirket hakkında KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli tedbirleri almadıkları gerekçesiyle KVKK’nın 18’nci maddesinin 1 numaralı fıkrasının b bendi çerçevesinde idari para cezası uygulanmasına karar verilmiştir.

Ceza: KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde veri güvenliğinin sağlanmaması sebebiyle 950.000,00-TL ve Kurum’a ve ilgili kişilere bildirim yapılmadığından bahisle KVKK’nın 18’nci maddesinin 1 numaralı fıkrasının b bendi çerçevesinde 450.000,00-TL idari para cezası uygulanmasına karar verilmiştir.

İlgili GDPR kararlarını görmek ister misin?

2020/145

18/02/2020

Konu: Veri sorumlusu tarafından ilgili kişilerin kişisel verilerinin hukuka aykırı şekilde internet gazetesi üzerinden yayımlanması.

Kararı Paylaşın

Karar Özeti:

İlgili kişi tarafından Kruul’a iletilen şikayette, veri sorumlusuna ilettiği ihtarnamenin veri sorumlusu tarafından fotoğrafı çekilerek T.C. Kimlik numarası, nüfus kayıtları, anne- baba ismi ve adres bilgisi gibi kişisel veri içerecek şekilde yayımlandığı, ilgili kişi tarafından tekrardan başvuru yapılıncaya kadar 10 gün boyunca ilgili haberin yayınlandığı belirtilmiştir. Kurul tarafından yapılan incelemeler sonucunda, veri sorumlusunun tekzip ihtarnamesini yayınlamasının KVKK’nın 5’inci maddesinin 2 numaralı fıkrasının ç bendi uyarınca “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması hükmü kapsamında hukuka uygun olduğu ancak ihtarnamenin kişisel veri içeren bölümünün olduğu gibi yayınlanmasının KVKK’nın 4’üncü maddesinin “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi ile bağdaşmadığı belirtilerek veri sorumlusu hakkında KVKK madde 12’de belirtilen uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alınmaması sebebiyle idari para cezası uygulanmıştır.

Ceza: 50.000,00-TL idari para cezası uygulanmıştır.

İlgili GDPR kararlarını görmek ister misin?

2020/118

13/02/2020

Konu: İlgili kişinin veri sorumlusu bir banka nezdindeki kişisel verileri olan kiralık kasa bilgilerinin aktarılması.

Kararı Paylaşın

Karar Özeti:

İlgili kişi tarafından Kurul’a yapılan şikayette, borçlu olduğu icra dosyasına ilişkin kişisel verisi olan banka hesap ve kiralık kasa bilgisinin hukuka aykırı şekilde aktarıldığı ve işlendiği belirtilmiştir. Kurul tarafından yapılan değerlendirmeler sonucunda, veri sorumlusu olarak şikayet edilen bankanın, İcra Dairesince ödeme emrinin tebliğ edilmesi ve kiralık kasaya haciz konulması işlemleri nedeniyle kişisel verilerin korunması mevzuatından kaynaklanan bir sorumluluğunun bulunmadığı ve icra ve ifalas hukuku bakımından üçüncü kişi konumunda olduğu, kişisel veri olan hesap ve kiralık kasa bilgisinin veri sorumlusu nezdinde bankacılık ve kişisel verilerin korunması mevzuatına aykırı bir biçimde elde edildiğini gösteren bir bulguya rastlanılmadığı, iligli kişisel verilerin İcra İflas Kanunu’nun ilgili hükümleri çerçevesinde KVKK’nın 5’inci maddesinin 2 numaralı fıkrasının ç bendinde yer alan hukuki yükümlülüğün yerine getirilmesi şartına dayalı olarak KVKK’nın 8’inci maddesine uygun olarak icra iflas mevzuatı çerçevesinde aktarıldığına karar verilmiştir.

Ceza: İdari para cezası verilmemiştir.

İlgili GDPR kararlarını görmek ister misin?

1 / 212

Türkçe dilinde GDPR karar özetlerini görmek ister misin?