KİŞİSEL VERİLERİ KORUMA KURULU YENİ KARAR ÖZETLERİNİ YAYIMLADI.

Kişisel Verileri Koruma Kurulu Karar Özetleri

Kişisel Verileri Koruma Kurulu ("Kurul") tarafından çeşitli sektörlere ve veri işleme faaliyetlerine ilişkin yeni karar özetleri yayımlanmıştır. Aşağıda, Kararlardaki somut olaya, Kurul'un dayandığı gerekçeler ve vardığı sonucu içeren özetlerine yer verilmiştir.

Öne Çıkan Hususlar

• 47 kararın yaklaşık yarısı (25 karar) veri ihlali bildirimlerine ilişkindir ve bu kararların büyük bölümü fidye yazılımı (ransomware) veya oltalama (phishing) kaynaklı siber saldırılardan doğmuştur.
• Veri ihlali kararlarında en sık tekrarlanan tedbir eksiklikleri; sızma testi yaptırılmaması, çok faktörlü kimlik doğrulamanın bulunmaması, ağ segmentasyonu/erişim sınırlandırmasının yapılmaması, zayıf parola politikası ve yetersiz log/izleme mekanizmalarıdır. Bu eksiklikler Kanun'un 12. maddesindeki veri güvenliği yükümlülüğüne aykırılık olarak değerlendirilmektedir.
• İdari para cezaları, ihlalin kapsamına (etkilenen kişi sayısı, verinin hassasiyeti) ve alınan/alınmayan tedbirlere göre 15.000 TL ile 1.500.000 TL arasında geniş bir aralıkta belirlenmekte; buna karşılık düşük riskli, sınırlı kapsamlı veya ihlal öncesinde makul tedbirlerin zaten alınmış olduğu olaylarda Kurul idari para cezası uygulamamaktadır.
• Açık rızanın bir hizmetin sunumuna ön şart kılınması ya da başka bir işleme şartına (sözleşmenin ifası, meşru menfaat vb.) dayanan metinlerde ayrıca açık rıza ifadesine yer verilmesi, Kurul tarafından Kanun'un 4. maddesindeki hukuka ve dürüstlük kuralına aykırılık sayılmaktadır ve işbu hususa Karar özetlerinde istikrarlı şekilde yer verilmiştir.
• Aydınlatma yükümlülüğü eksiklikleri (kamera/ses kaydı anonsları, çerez bildirimleri, telefon görüşmesi kayıtları) ayrı ve görece hafif bir ihlal kategorisi olarak öne çıkmakta; bu ihlaller genellikle düşük tutarlı idari para cezaları (15.000-40.000 TL) veya yalnızca düzeltici talimatlarla sonuçlanmaktadır.
• Kanun'un istisna hükümleri (infaz işlemleri, basın/ifade özgürlüğü, yurt dışında sunulan hizmetler, Kanun'da açıkça öngörülen bankacılık/finans veri paylaşımları) somut olaylarda özenle uygulanmakta ve bu kapsama giren şikâyetler Kanun'un uygulama alanı dışında bırakılmaktadır.

Yayımlanan Karar Özetleri

Karar No: 2026/1183 (10/06/2026)

Bir tasarruf finansman şirketi tarafından reklam ve pazarlama amaçlı izinsiz SMS gönderilmesi ve arama yapılması suretiyle işlenen kişisel verilere ilişkin şikâyet hakkında

İlgili kişinin telefon numarası bir tasarruf finansman şirketinin müşterisi (marka elçisi) tarafından uygulama üzerinden şirkete bildirilmiş; şirketin çağrı merkezi kişiyi arayarak tanıtım yapmış ve ardından pazarlama SMS'i göndermiştir. Veri sorumlusu, aramada aydınlatma yapıldığını ve kişinin sorular sorarak zımnen açık rıza gösterdiğini savunmuş, ancak Kurul, görüşmede aydınlatma yükümlülüğünün yerine getirilmediğini ve kişinin konuşmaya devam etmesinin KVKK 3. maddedeki "belirli bir konuya ilişkin olma, bilgilendirmeye dayanma, özgür iradeyle açıklanma" unsurlarını taşıyan geçerli bir açık rıza sayılamayacağını tespit etmiştir. Kurul, verinin 5. madde kapsamında hiçbir işleme şartına dayanmadan işlendiğini belirleyerek bunu 12. maddedeki veri güvenliği yükümlülüğüne aykırılık saymış ve veri sorumlusuna 1.000.000 TL idari para cezası uygulamıştır; ayrı bir aydınlatma incelemesine gerek görülmemiş, başvurunun yanıtsız bırakıldığı iddiası ise yanıt verildiği tespit edildiğinden reddedilmiştir.

Karar No: 2025/881 (22/05/2025)

Telekomünikasyon teknolojileri geliştirme alanında faaliyet gösteren veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusuna ait bir çalışanın, iş seyahati ve harcama onay/takip uygulamasında sehven yaptığı bir işlem sonucunda, veri sorumlusuna ait olmayan farklı bir uygulamanın entegrasyonu yanlışlıkla etkinleştirilmiş ve bazı çalışanların isim, soyisim, iş e-postası ve iş telefon numarası bilgileri bu üçüncü taraf uygulama şirketi ile sehven paylaşılmıştır. İhlal, çalışanların iş e-postalarına gelen otomatik bir bildirim sayesinde fark edilmiş, veri sorumlusu derhal senkronizasyonu iptal etmiş ve karşı şirketten verilerin silinmesini talep etmiştir. Kurul, 488 kişinin etkilendiğini, ilgili çalışanlara son bir yıl içinde kişisel veri koruma eğitimi verilmiş olduğunu ve ihlalin ilgili kişiler üzerinde olumsuz sonuç doğurma olasılığının düşük olduğunu dikkate almıştır. Sonuç olarak Kurul, KVKK m.12 kapsamında bu aşamada veri sorumlusu hakkında ihlal tespiti veya idari para cezası dahil herhangi bir işlem yapılmasına gerek görmemiştir.

Karar No: 2025/833 (02/05/2025)

Bilimin ilerlemesini destekleyen kâr amacı gütmeyen bir kuruluş olarak faaliyet gösteren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Kâr amacı gütmeyen bir bilim kuruluşuna ait haber bülteni dağıtım platformuna yetkisiz erişim sağlanması sonucu Türkiye'de ikamet eden 15 kişinin ad, soyadı ve e-posta adresi bilgileri etkilenmiş; veri sorumlusu ihlali veri işleyeninin bildirimiyle öğrenmiş, ilgili platformu geçici olarak kapatmış ve etkilenen kişilere bildirimde bulunmuştur. Kurul, verilerin dolandırıcılık veya kimlik hırsızlığı gibi amaçlarla kullanıldığına dair kanıt bulunmadığını, etkilenen veri kapsamının sınırlı olması nedeniyle riskin düşük olduğunu ve veri sorumlusunun çok faktörlü kimlik doğrulama gibi ek güvenlik önlemleri aldığını değerlendirmiştir. Bu çerçevede KVKK m.12 kapsamında bu aşamada bir işlem yapılmasına gerek olmadığına karar verilmiş; ancak veri sorumlusuna, Kurul'un 24.01.2019 tarihli 2019/10 sayılı kararına uygun olarak ileride yapılacak bildirimlerde Kişisel Veri İhlal Bildirim Formu'nun kullanılması gerektiği hatırlatılmıştır. İdari para cezası uygulanmamıştır.

Karar No: 2025/601 (28/03/2025)

Otelcilik ve konaklama yönetimi alanında faaliyet gösteren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Hong Kong'da kurulu, Türkiye'de hiçbir tüzel kişiliği, çalışanı veya teknoloji altyapısı bulunmayan bir otel işletmecisinin sistemlerine fidye yazılımı saldırısı düzenlenmiş; forensik inceleme sonucunda Türkiye'de yerleşik kişilerin de dahil olduğu 909 kişinin kimlik (ad, doğum tarihi, pasaport/kimlik no), iletişim (adres, telefon, e-posta) ve ödeme kartı bilgilerinin yer aldığı konaklama rezervasyon veri tabanlarına erişildiği tespit edilmiştir. Veri sorumlusu, dil ve hukuki danışmanlık süreçleri nedeniyle bildirimde gecikme yaşadığını açıklamıştır. Kurul, KVKK'nın yer bakımından uygulama alanının 2019/10 sayılı kararla benimsenen etki ilkesi çerçevesinde değerlendirilmesi gerektiğini, ancak somut olayda ilgili kişilerin sunulan otel hizmetlerinden Türkiye'de değil Hong Kong'da faydalandığını belirterek şirketin KVKK kapsamında veri sorumlusu sayılamayacağı ve veri ihlali bildirim yükümlülüğünün doğmadığı sonucuna varmıştır. Sonuç olarak, işleme faaliyeti Kanun'un maddi/yer bakımından uygulama alanına girmediğinden bu aşamada KVKK kapsamında yapılacak bir işlem bulunmadığına, ihlal tespiti veya ceza uygulanmasına gerek olmadığına karar verilmiştir.

Karar No: 2025/536 (12/03/2025)

Küçük ev aletleri üretimi ve satışı yapan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Küçük ev aletleri üreten bir şirketin müşterilerine gönderdiği toplam 14 adet bilgilendirme e-postasında alıcı e-posta adresleri gizlenmeden (BCC kullanılmadan) gönderilmiş; bu nedenle en az 29, en çok 65 kişinin e-posta adresi diğer alıcılar tarafından görülebilir hale gelmiş ve toplam tahmini 500 müşterinin e-posta adresi sehven ifşa edilmiştir. İhlal, ilgili çalışan tarafından e-postalar gönderildikten hemen sonra fark edilmiş ve e-postaların geri çekilmesi için aksiyon alınmış, bazı alıcılara e-posta iletilmeden geri çekilebilmiştir. Veri sorumlusu, etkilenen müşterilere e-posta ve çağrı merkezi aracılığıyla en kısa sürede bildirimde bulunacağını beyan etmiştir. Kurul, ihlale konu verinin yalnızca e-posta adresinden ibaret olması ve etkilenen kişiler üzerinde olumsuz sonuç doğurma ihtimalinin düşük olması nedeniyle KVKK m.12 kapsamında bu aşamada herhangi bir işlem yapılmasına (ihlal tespiti veya ceza) gerek görmemiştir.

Karar No: 2025/88 (09/01/2025)

Restoran zinciri ve hızlı servis gıda şirketi olan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Bir restoran zincirinin Bilgi İşlem Yöneticisi, tarayıcı üzerinden bulaşan zararlı bir yazılımla bilgisayarına yetkisiz erişim sağlayan saldırganlar tarafından şantaj mesajı almış; saldırganlar, çalışanın tarayıcısında kayıtlı kullanıcı adı/şifreleri ele geçirerek bu bilgilerle şirketin bir sistemine erişmiş ve 505.337 müşteriye ait ad-soyad, cinsiyet, e-posta, telefon ve şehir bilgilerini ele geçirmiştir; çalışan panikle bilgisayarı formatlayıp hard diski çıkarmıştır. Kurul, alarm/log takip sistemi bulunmaması ve risk analizi eksikliğini KVKK m.12/1 (hukuka aykırı erişimi önleme, güvenlik düzeyini temin etme yükümlülüğü) ile Kişisel Veri Güvenliği Rehberi'ne aykırı bulmuş; ayrıca ihlal öncesinde çalışanlara eğitim verildiğine dair belge sunulamamasını yetersiz farkındalık çalışması olarak değerlendirmiştir. Veri sorumlusunun ilgili kişilere Kurul'un 2019/271 sayılı kararına uygun şekilde hiçbir bildirimde bulunmadığı da tespit edilmiştir. Sonuç olarak veri güvenliği tedbirlerinin alınmaması nedeniyle KVKK m.18/1-(b) uyarınca 800.000 TL, ilgili kişilere bildirim yapılmaması nedeniyle (m.12/5) ayrıca 200.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulanmasına karar verilmiştir.

Karar No: 2024/2196 (26/12/2024)

Plastik ev gereçleri ve temizlik ürünleri üretimi yapan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Plastik ev gereçleri ve temizlik ürünleri üreten veri sorumlusunun sistemlerine fidye yazılımı saldırısı düzenlenmiş, saldırganlar verileri şifrelemenin yanı sıra elde ettiklerini de iddia etmiş; veri sorumlusu ise ihlalden etkilenen kişi ve veri kategorileri konusunda birbiriyle çelişen beyanlarda bulunmuş (bazen çalışan ve müşterilerin, bazen sadece 388 çalışanın, bazen de hiçbir kişisel verinin etkilenmediğini iddia etmiş) ve talep edilmesine rağmen ihlale konu doküman örneklerini ve Kişisel Veri İşleme Envanteri'ni Kuruma sunamamıştır. Kurul, tüzel kişiye ait verinin de gerçek kişiyi belirlenebilir kıldığı ölçüde Kanun kapsamında korunduğunu vurgulayarak, sunulan belgelerde çalışanlara ait özel nitelikli veriler dahil çok sayıda kategori tespit edildiğini belirtmiş; veri sorumlusunun ihlal öncesinde güvenli şifreleme/kriptografik anahtar kullanımına, yeterli güvenlik açığı testine, iki faktörlü kimlik doğrulamaya ve ağ segmentasyonuna ilişkin tedbirleri almadığını, bu tedbirlerin ancak ihlal sonrası hayata geçirildiğini tespit etmiştir. Kurul, Kanun'un 12. maddesindeki veri güvenliğine ilişkin teknik ve idari tedbir alma yükümlülüğünün ihlal edildiğine karar vererek 18. maddenin (1) numaralı fıkrasının (b) bendi uyarınca veri sorumlusuna 250.000 TL idari para cezası uygulanmasına hükmetmiştir.

Karar No: 2024/2158 (19/12/2024)

Ceza infaz kurumu tarafından gerçekleştirilen kişisel veri işleme faaliyetine ilişkin yürütülen re'sen inceleme hakkında

Kapalı ceza infaz kurumunda tutuklu/hükümlü olan ilgili kişi, kendisine verilen tahsilat ve reddiyat makbuzlarında ad-soyad, T.C. kimlik no, cezaevi kayıt no, hüküm durumu gibi kişisel verilerinin (kendisi adına para yatıran üçüncü kişinin bilgileri dahil) hiçbir maskeleme yapılmadan açıkça yer aldığını ve bu belgeleri birçok memur/idarecinin gördüğünü ileri sürerek şikâyette bulunmuştur. Veri sorumlusu (ceza infaz kurumu), bu bilgilerin UYAP kayıtlarından otomatik geldiğini, yalnızca görevli memurların gördüğünü ve işlemenin ilgili yönetmelik ve yönerge hükümlerine (Ceza İnfaz Kurumlarının Yönetimi Yönetmeliği md. 60-61 vb.) dayandığını belirtmiştir. Kurul, söz konusu veri işleme faaliyetinin bir infaz merci tarafından infaz işlemleri kapsamında yürütüldüğünü, dolayısıyla KVKK 28. maddenin (1)(d) bendindeki istisna kapsamında Kanun'un uygulanmayacağını değerlendirmiş; herhangi bir ihlal tespiti veya idari para cezası öngörmeden yapılacak işlem bulunmadığına karar vermiştir.

Karar No: 2024/1899 (07/11/2024)

Avrupa'da bulunan grup şirketlerine kurumsal destek hizmetleri sağlayan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Avrupa'daki grup şirketlerine kurumsal destek hizmeti veren veri sorumlusunun bünyesindeki Fransa kullanıcı hesabına, Belize merkezli kara listede yer alan bir IP adresinden yetkisiz erişim sağlanmış; pazarlama amaçlı kullanılan ve "herkese açık" ayarlanmış klasörler üzerinden FTP sunucusuna erişilerek yaklaşık 70.000 kişinin ad-soyad, e-posta, iletişim ve adres bilgileri ele geçirilmiştir. Kurul, ihlalin uzun süre fark edilememesini ve tekrarlanan yetkisiz erişimleri sistemin takip/kontrolündeki yetersizliğe, klasörlerin herkese açık bırakılmasını ve zayıf parola kullanımını ise Kişisel Veri Güvenliği Rehberi'nde yer alan erişim yetkilendirme ve güçlü parola ilkelerine aykırılığa bağlamıştır. Kanun'un 12. maddesi uyarınca gerekli teknik ve idari tedbirleri almadığı sonucuna varılan veri sorumlusuna, Kanun'un 18. maddesinin (1) numaralı fıkrasının (b) bendi gereği 700.000 TL idari para cezası uygulanmasına karar verilmiştir.

Karar No: 2024/1898 (07/11/2024)

İlaç ve sağlık ürünleri alanında faaliyet gösteren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

İlaç ve sağlık ürünleri alanında faaliyet gösteren veri sorumlusunun sunucusu, saldırganın komuta-kontrol merkezinden indirdiği zararlı yazılım ve şifreli dosyalarla Ransomware virüsüyle şifrelenmiş; ilk erişim yönteminin tam olarak tespit edilememesine karşın RDP servisine kaba kuvvet saldırısı veya veri tabanı servisine parola denemesi ile bağlantı sağlanmış olabileceği, saldırganın ayrıca sunucu loglarını sildiği belirlenmiştir. İhlalden 520 kişi (196 mevcut çalışan, 303 eski çalışan, 17 müşteri/iş ortağı) etkilenmiş, kimlik, iletişim, özlük ve müşteri işlem bilgileri etkilenmiş; Kurul, veri sorumlusunun sızma testleri, güvenlik duvarı sıkılaştırması, uç nokta güvenliği ve log yönetimi konusunda Kişisel Veri Güvenliği Rehberi'nde öngörülen tedbirleri yeterince almadığını, ihlal sonrası hazırlanan Siber Olay Müdahale Raporu'ndaki önerilerin bu eksiklikleri doğruladığını tespit etmiştir. Kanun'un 12. maddesindeki veri güvenliği yükümlülüğünün ihlal edildiğine karar verilerek, 18. maddenin (1) numaralı fıkrasının (b) bendi uyarınca 350.000 TL idari para cezası uygulanmıştır.

Karar No: 2024/1718 (09/10/2024)

Kozmetik ve kişisel bakım şirketi olan veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Kozmetik ve kişisel bakım alanında faaliyet gösteren veri sorumlusunun ağ sunucularından birine trojan virüsü bulaştırılarak marka elçileri, müşteriler ve çalışanlara ait kişisel veriler ele geçirilmiş; saldırganlar 45 Bitcoin fidye talep ederek verilerin satışa çıkarılacağı tehdidinde bulunmuştur. İhlalden Türkiye'den 325 nüfus cüzdanı fotokopisi/ikamet izin belgesi ile 107 marka elçisinin kimlik ve iletişim bilgileri etkilenmiş; Kurul, veri sorumlusunun EDR (uç nokta tespit ve yanıt) çözümünü ancak ihlal sonrası uyguladığını, ihlal öncesi sızma testi yaptırmadığını ve risk analizi sürecinde yeterli özeni göstermediğini, bunun Kişisel Veri Güvenliği Rehberi'ndeki siber güvenlik ve risk belirleme ilkelerine aykırı olduğunu tespit etmiştir. Kanun'un 12. maddesi uyarınca gerekli tedbirleri almayan veri sorumlusuna, ihlalin boyutu, kusur ve ekonomik durum da dikkate alınarak 18. maddenin (1) numaralı fıkrasının (b) bendi gereği 500.000 TL idari para cezası uygulanmasına karar verilmiştir.

Karar No: 2024/1523 (10/09/2024)

Turizm, otelcilik ve konaklama işletmeciliği yapan veri sorumlusu tarafından Kuruma intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Otelcilik alanında faaliyet gösteren veri sorumlusunun bir personeline phishing içerikli e-posta gönderilmiş, personelin bağlantıya tıklaması sonucu bilgisayarı yetkisiz üçüncü kişilerce ele geçirilmiş ve bu bilgisayarda bulunan ön büro personeline ait aylık/haftalık vardiya çizelgesi (450 çalışanın ad-soyad bilgilerini içeren) ihlalden etkilenmiştir. Kurul, ihlal ilgili personelin bilgisayarıyla sınırlı kalmış olsa da, sunulan bilgi güvenliği denetim raporunda sistemlerde güncelleme eksiklikleri, zayıf parola kullanımı, uygun olmayan SSL sertifikası, spam e-postalarına karşı %99 korumasızlık ve sunucu odalarına girişte kimlik doğrulama mekanizması bulunmaması gibi ciddi zafiyetler tespit etmiş, bunların Kişisel Veri Güvenliği Rehberi'ndeki sistem tedariği/bakımı, çalışan farkındalığı ve fiziksel ortam güvenliği ilkelerine aykırı olduğuna hükmetmiştir. Kanun'un 12. maddesindeki veri güvenliği yükümlülüğünün ihlal edildiği gerekçesiyle, 18. maddenin (1) numaralı fıkrasının (b) bendi uyarınca 500.000 TL idari para cezası uygulanmıştır.

Karar No: 2024/1393 (15/08/2024)

Uçak yolculuğu esnasında sunulan internet hizmetinin veri sorumlusu olduğu tespit edilen internet servis sağlayıcı tarafından açık rıza şartına bağlanmasına ilişkin şikâyet hakkında

İlgili kişi, uçuşta ücretli internet paketine üye olurken "bilgilerimin ilgili makamlar ve şirketle paylaşılmasını kabul ediyorum" kutucuğunu onaylamadan işleme devam edemediğini, bu açık rıza şartının gereksiz olduğunu ve aydınlatma yapılmadığını ileri sürerek havayolu şirketini şikâyet etmiştir. İnceleme sonucunda soyadı/koltuk-bilet numarası verisinin havayolu sistemince doğrulanıp internet servis sağlayıcıya aktarılmasının hizmetin sunulması için KVKK 5/2 (c), (ç) ve (e) bentlerindeki işleme şartlarına dayandığı, dolayısıyla açık rızaya ihtiyaç olmadığı, gerçek veri sorumlusunun internet servis sağlayıcı olduğu tespit edilmiştir. Kurul, gereksiz yere açık rıza istenerek kişinin yanıltılmasının KVKK 4. maddedeki hukuka ve dürüstlük kuralına aykırılık teşkil ettiğine ve bunun 12. madde veri güvenliği yükümlülüğü ihlali sayıldığına hükmederek internet servis sağlayıcısına 18. madde uyarınca 90.000 TL idari para cezası vermiş, havayolu şirketi hakkında (aydınlatma iddiası usulden, yurtdışı aktarım iddiası ise esastan) işlem yapılmasına gerek görmemiştir.

Karar No: 2024/1361 (08/08/2024)

Veri sorumlusu tarafından güvenlik kamerasıyla ses ve görüntü kaydı alınması, aydınlatma yükümlülüğünün yerine getirilmemesi, internet sitesinde çerezler vasıtasıyla kişisel verilerin işlenmesi ve hizmetin ön şartı olarak reklam ve pazarlama amaçlı açık rıza alınmasına ilişkin şikâyet hakkında

Bir eğitim kurumuna öğrenci olmak için başvuran ilgili kişi, kurumdaki bir eğitmenle yaşadığı tartışma sonrası hakkında suç duyurusu yapıldığını, bu süreçte kamerayla ses/görüntü kaydı alındığını, aydınlatma yapılmadığını, internet sitesinde çerezler için açık rıza alınmadığını ve iletişim formunda reklam/pazarlama amaçlı açık rızanın hizmetin ön şartı haline getirildiğini iddia etmiştir. Kurul, güvenlik kameralarının MEB Özel Öğretim Kurumları Yönetmeliği gereği (KVKK 5/2-ç "hukuki yükümlülük") hukuka uygun olduğunu, iddia edilen ses kaydının aslında eğitmen tarafından bizzat alındığını, ancak kamera/telefon kayıtlarına ilişkin bilgilendirmenin KVKK 10. maddeye uygun tam bir aydınlatma teşkil etmediğini, zorunlu olmayan analitik çerez için opt-in açık rıza mekanizması bulunmadığını ve iletişim formundaki açık rızanın "belirli bir konuya ilişkin olma" ile "özgür iradeyle açıklanma" unsurlarını taşımadan reklam/pazarlama amacına genişletildiğini (KVKK 4. madde dürüstlük ilkesine aykırılık) tespit etmiştir. Sonuçta veri sorumlusuna aydınlatma eksikliği için 15.000 TL, çerez/açık rıza ihlalleri için 250.000 TL olmak üzere toplam 265.000 TL idari para cezası uygulanmış; ayrıca aydınlatma metninin düzeltilmesi, çerezlerde opt-in mekanizması kurulması ve reklam amaçlı açık rızanın hizmetten ayrıştırılması hususlarında veri sorumlusu talimatlandırılmıştır.

Karar No: 2024/1359 (08/08/2024)

İlgili kişinin banka hesap bilgilerine bilgisi olmaksızın ve gerekli aydınlatma ve açık rıza alma yükümlülükleri yerine getirilmeksizin veri sorumlusu sigorta şirketi tarafından elde edildiği ve işlendiği iddiası hakkında

Trafik kazası sonrası aracında değer kaybı oluşan ilgili kişi, kendisinin müşterisi bile olmadığı sigorta şirketinin banka/IBAN bilgilerine rızası ve bilgisi dışında ulaştığını ve bu hesaba ödeme yaptığını ileri sürerek şikâyette bulunmuştur. Sigorta şirketi, IBAN bilgisinin karşı taraf (poliçe sahibi) tarafından hasar bildirimi sırasında kendisine iletildiğini, bunun Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları Ek-6 uyarınca zorunlu belge sunma yükümlülüğünden kaynaklandığını ve KKB IBAN doğrulama hizmetiyle teyit edildiğini savunmuştur. Kurul, IBAN bilgisinin hasar bildirimi sırasında mevzuat gereği elde edilmesini hukuka uygun bulmuş, aynı bilginin daha sonra aynı kazaya ilişkin değer kaybı ödemesi için kullanılmasını da KVKK 5/2-(e) bendi "bir hakkın tesisi/kullanılması/korunması için veri işlemenin zorunlu olması" şartı kapsamında değerlendirerek ihlal tespit etmemiştir. Herhangi bir idari para cezası uygulanmamış; yalnızca başvuruya geç cevap verilmesi nedeniyle veri sorumlusuna hatırlatmada bulunulmuştur.

Karar No: 2024/1350 (08/08/2024)

İlgili kişinin kişisel verisi niteliğindeki cep telefonu numarasının elektronik haberleşme işletmecisi veri sorumlusu tarafından SMS gönderilmek suretiyle işlenmesi hakkında

Bir elektronik haberleşme işletmecisinin abonesi olan ilgili kişiye, kampanya/paket süresinin bitimine ilişkin bilgilendirme adı altında 08.05.2023-26.07.2023 tarihleri arasında 20'den fazla SMS gönderilmiş, kişi çağrı merkezini iki kez arayarak reddettiği halde göndermenin sürdüğü, ayrıca sözleşmedeki ticari iletişim reddi kutucuğunun pasif rıza (işaretlenmezse rıza var sayılan) sistemiyle kurgulandığı iddia edilmiştir. Kurul, telefon numarasının KVKK 5/2-ç bendi (hukuki yükümlülük - Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği md.11/3) kapsamında işlenmesini kendi başına hukuka uygun bulmuş, ancak aynı içerikli mesajların bu denli sık ve yoğun gönderilmesinin ilgili kişinin makul beklentisini aştığını ve KVKK 4. maddedeki hukuka/dürüstlük kuralına uygun olma ilkesine aykırı şekilde hakkın kötüye kullanılması niteliğinde olduğunu tespit etmiştir. Bu nedenle KVKK 12. ve 18/1-(b) maddeleri uyarınca veri sorumlusuna 100.000 TL idari para cezası uygulanmış; ayrıca açık rıza metninin sözleşme metninden ayrı sunulması gerektiği hususunda veri sorumlusuna hatırlatma yapılmıştır.

Karar No: 2024/790 (16/05/2024)

Yazılım ve teknoloji odaklı girişim yatırımları ve geliştirme faaliyetleri yürüten veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun kullanıcılarına özel çalışma alanı sunan mobil uygulamasının veri tabanına yetkisiz kişilerce erişilmiş; ihlal tarihinde 7.823 üyeye ait isim-soyisim, e-posta ve telefon numarası bilgilerine ulaşılmış, ayrıca uygulamadaki bazı isim/fotoğraf bilgileri değiştirilmiştir. Kurul, veri tabanı şifresine nasıl erişildiğinin tespit edilememesini ve tüm veri tabanı alanlarında yeterli log yapısı bulunmamasını Kişisel Veri Güvenliği Rehberi'ndeki takip ve loglama gerekliliklerine aykırı bularak, Kanun'un 12. maddesinin (1) fıkrası uyarınca gerekli teknik ve idari tedbirlerin alınmadığına hükmetmiştir. Ayrıca ihlalin yalnızca veri bütünlüğünü değil gizlilik ve erişilebilirliği de etkileyebileceği gerekçesiyle ilgili kişilere bildirim yapılmamasının da Kanun'un 12/5 maddesine aykırı olduğu tespit edilmiştir. Sonuç olarak veri sorumlusuna güvenlik tedbirlerinin alınmaması nedeniyle 250.000 TL, bildirim yükümlülüğünün yerine getirilmemesi nedeniyle 100.000 TL olmak üzere toplam 350.000 TL idari para cezası uygulanmıştır.

Karar No: 2024/756 (09/05/2024)

Hazır giyim ve tekstil ürünlerinin perakende satışı gerçekleştiren veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun deposundaki paketleme personelinin sehven yaptığı bir hata sonucunda, bir müşteriye ait kargo ve fatura (ad-soyad, adres, telefon, e-posta, sipariş bilgisi) başka bir müşteriye teslim edilmiştir. İhlalin sistemsel bir güvenlik açığından değil insan hatasından kaynaklandığı, kamera kayıtları incelenerek tespit edildiği ve yalnızca 1 müşterinin etkilendiği belirlenmiştir. Veri sorumlusu ilgili kişiyi telefon ve e-posta ile derhal bilgilendirmiş, ilgili kişi de herhangi bir hak kaybı yaşamadığını bildirmiştir. Kurul, ihlalin ilgili kişi üzerinde olumsuz sonuç doğurma riskinin düşük olduğunu değerlendirerek Kanun'un 12. maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına, yani idari para cezası uygulanmamasına karar vermiştir.

Karar No: 2024/728 (09/05/2024)

Finans ve muhasebe alanında faaliyet gösteren uluslararası bir meslek kuruluşu olan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun Amsterdam ofis müdürü, Başkan/CEO'dan gelmiş gibi görünen sahte (oltalama/phishing) bir e-postaya yanıt vererek, AB/AEA bölgesindeki 217 Türk üyenin ad-soyad, üyelik numarası ve bazı durumlarda e-posta bilgilerini içeren üye listesini Kamboçya IP adresli saldırgana göndermiştir. Kurul, e-posta güvenlik sisteminin sıkılaştırılmasının ihlalden ÖNCE değil ihlalden SONRA yapıldığını, çalışanlara eğitim verilmiş olmasına rağmen şüpheli e-postanın doğrulanmadan yanıtlandığını tespit ederek Kanun'un 12/1 maddesi uyarınca gerekli teknik ve idari tedbirlerin alınmadığına hükmetmiştir. Ayrıca veri sorumlusunun ihlali 72 saatlik süre içinde Kurula bildirmediği (Kanun m.12/5 ihlali) tespit edilmiştir. Sonuç olarak güvenlik tedbirlerinin alınmaması nedeniyle 750.000 TL, geç bildirim nedeniyle 250.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulanmıştır.

Karar No: 2024/592 (18/04/2024)

Veri sorumlusu banka çalışanı ilgili kişi ile bir müşteri arasında gerçekleştirilen telefon görüşmelerine ilişkin kayıtlara erişim talebinin veri sorumlusu tarafından reddedilmesi hakkında

Banka çalışanı olan ilgili kişi, bir müşteriyle yaptığı kayıtlı telefon görüşmesinde hakaret ve küfre maruz kaldığını, bu görüşme kaydını savcılığa sunarak hukuki yollara başvurmak istediğini, ancak bankanın kaydı KVKK'yı ve "Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik"i gerekçe göstererek kendisine vermeyi reddettiğini belirterek şikâyette bulunmuştur. Banka, kayıtta müşterinin kredi bilgisi gibi müşteri sırrı niteliğinde veriler bulunduğunu, maskelense dahi müşterinin "sorunlu müşteri" olduğu bilgisinin sızacağını öne sürmüştür. Kurul, ilgili kişinin talebinin karşı tarafın müşteri sırlarına değil, kendisine yönelen hakareti kanıtlamaya yönelik olduğunu, Anayasa m.20/3 ve Kanun'un 11. maddesinin (b) bendi (kişisel verilere erişim hakkı) kapsamında bu talebin hukuka uygun olduğunu, dolayısıyla Yönetmelik'in somut olayda uygulanamayacağını değerlendirmiştir. Sonuç olarak, bankanın başvuruyu reddetmesinin ilgili kişinin hakkını ihlal ettiği tespit edilmiş; idari para cezası öngörülmemekle birlikte veri sorumlusunun müşteriye ait sır niteliğindeki bilgileri maskeleyerek görüşme kaydını ilgili kişiye sunması yönünde talimatlandırılmasına ve başvuru süreçlerinde Kanun'a uyum konusunda daha özenli davranılması gerektiği hususunda hatırlatma yapılmasına karar verilmiştir.

Karar No: 2024/540 (28/03/2024)

Veri sorumlusu tarafından iş yerinin kamera ile izlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyeti hakkında

İş akdini haklı nedenle feshettiğini belirten üretim görevlisi bir çalışan, fesih gerekçelerinden birinin işyerindeki "soyunma/giyinme odası"na kamera yerleştirilmesi ve rızası alınmadan görüntülerinin kaydedilmesi olduğunu ileri sürerek şikâyette bulunmuştur. Veri sorumlusu, söz konusu alanın gerçek bir soyunma odası olmayıp çalışanların kişisel eşyalarını kilitli dolaplarda sakladığı bir bölme olduğunu, kameraların hırsızlık olayları üzerine bizzat çalışanların (şikâyetçinin imzasının da bulunduğu) talebiyle ve 60 gün saklama süreli, aydınlatma metni verilerek yerleştirildiğini savunmuştur. Kurul, işlemenin Kanun'un 5. maddesinin 2. fıkrasının (f) bendi (veri sorumlusunun meşru menfaati) kapsamında olduğunu ve 4. maddedeki ilkelere aykırılık oluşturmadığını, dolayısıyla bu yönden ihlal ve idari para cezası bulunmadığını tespit etmiştir; buna karşılık aydınlatma metninde hukuki sebebin somutlaştırılmadığı (yalnızca maddelere genel atıf yapıldığı) ve açık rıza ile aydınlatmanın tek metinde birleştirildiği gerekçesiyle metinlerin Kanun'un 10. maddesi ve Aydınlatma Tebliği'ne uygun yeniden düzenlenmesi konusunda veri sorumlusu talimatlandırılmış, ayrıca vekâletnamede "özel yetki" aranmaması gerektiği hususunda uyarılmıştır.

Karar No: 2024/444 (14/03/2024)

İlgili kişinin, kapatmış olduğu borcuna ilişkin bilgilerin risk raporundan silinmesi talebinin Kredi Kayıt Bürosu AŞ tarafından reddedilmesi hakkında

İlgili kişi, 2016 yılında kapattığı ve bir varlık yönetim şirketine devredilmiş kredi borcunun Findeks Risk Raporu'nda görünmeye devam ettiğini, bu verinin imha talebinin KKB tarafından reddedildiğini belirterek şikâyette bulunmuş; ayrıca sicil affı olarak bilinen 5834 sayılı Kanun'un Geçici 3. maddesine dayanmıştır. KKB, varlık yönetim şirketi ve Türkiye Bankalar Birliği'nden alınan bilgilerle, Risk Merkezi'nin (RM) 5411 sayılı Bankacılık Kanunu'nun Ek 1. maddesi uyarınca kurulduğu ve verileri Kanun'un 5. maddesinin 2. fıkrasındaki "kanunlarda açıkça öngörülmesi" işleme şartına dayanarak, borcun kapandığı tarihten itibaren 10 yıl süreyle (2027'ye kadar) işlemeye devam edeceği açıklanmış; Geçici 3. madde düzenlemesinin yalnızca belirli şartları taşıyan (2021 öncesi gecikmiş ve süresinde ödenen) borçları kapsadığı, ilgili kişinin durumunun bu kapsamda olmadığı belirtilmiştir. Kurul, bu değerlendirmeleri benimseyerek verinin işleme süresinin henüz dolmadığı sonucuna varmış ve Kanun kapsamında herhangi bir ihlal ya da idari işlem uygulanmasına yer olmadığına karar vermiştir.

Karar No: 2024/415 (06/03/2024)

Otomotiv sektöründe faaliyet gösteren bir yan sanayi üretim firması olan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun verilerinin tutulduğu, merkezi Fransa'da bulunan sunuculara Lockbit fidye yazılımıyla saldırı gerçekleştirilmiş; bu saldırı Türkiye'deki 8 sunucuya da bulaşarak çalışanlar, müşteriler ve kullanıcılardan oluşan 43 kişiyi (kayıt sayısı 100.000'i aşabilir) ve işlem güvenliği, finans (e-fatura, e-irsaliye, e-defter) ile pazarlama (çizim, maliyet, teklif) verilerini etkilemiştir. Kurul, ağ bileşenleri arasında erişim sınırlandırması veya alt ağlara ayırma yapılmamasını Veri Güvenliği Rehberi'nin 3.3. maddesine, sızma testi yaptırılmaması ve düzenli sistem takip/kontrolünün sağlanmamasını ise 3.2. maddesine aykırı bularak KVKK m.12/1 kapsamındaki veri güvenliği yükümlülüğünün ihlal edildiğine karar vermiştir. Sonuç olarak veri sorumlusuna Kanun'un 18/1-b maddesi uyarınca 430.000 TL idari para cezası uygulanmıştır.

Karar No: 2024/413 (06/03/2024)

Tarım makineleri, traktör ve tarımsal ekipman üretimi ile ticareti alanında faaliyet gösteren veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun bağlı bulunduğu yurtdışındaki şirketin sistemleri fidye yazılımıyla şifrelenmiş, saldırganlar darkweb'de örnek veri paylaşarak para talep etmiş ve ihlalden 56 çalışanın kimlik, iletişim, özlük ile bir kısım sağlık/kaza raporu verisi etkilenmiştir. Kurul; sızma/anormal hareket takibinin yetersizliğini (Rehber 3.2), çok faktörlü doğrulamanın ancak ihlal sonrası etkinleştirilmesini (Rehber 3.4, bulutta depolama), sunucu yamalarının ihlalden sonra yapılmasını (Rehber 3.1) ve farklı veri sorumlularının ortak sunucu kullanmasını (Rehber 3.3) KVKK m.12/1'e aykırı teknik/idari tedbir eksiklikleri olarak değerlendirmiştir. Sonuç olarak m.18/1-b uyarınca 150.000 TL idari para cezası uygulanmasına karar verilmiştir.

Karar No: 2024/282 (22/02/2024)

İlgili kişinin abonelik sözleşmesinin bir telekomünikasyon şirketi tarafından kimlik belgesi eksikliği sebebiyle feshedilmesi kapsamında yürütülen kişisel veri işleme faaliyetlerine ilişkin şikâyet ile Kurul tarafından başlatılan resen inceleme hakkında

İlgili kişi, taşındığı adreste altyapı değişikliği nedeniyle yeni sözleşme kurulması istenirken kimlik belgesi ibraz etmediği için internet abonelik sözleşmesinin feshedildiğini, ayrıca elindeki ıslak imzalı sözleşme ile kimlik bilgilerinin kaybedildiğinin söylendiğini belirterek verilerinin imhasını ve üçüncü kişilerle paylaşılmamasını talep etmiş; şikâyet ekindeki sözleşmede açık rıza ifadelerine ve grup şirketlerine veri aktarımına yer verilmesi üzerine Kurul resen inceleme de başlatmıştır. Kurul, yeni sözleşme için kimlik istenmesini KVKK m.5/2-(c) (sözleşmenin kurulması/ifası) ve m.5/2-(ç) (hukuki yükümlülük, ilgili Yönetmelik hükmü) kapsamında hukuka uygun bulmuş, kimlik bilgilerinin muhafazasının bir hakkın tesisi/korunması amacıyla (m.5/2-e) da gerekli olduğuna ve bu nedenle imha talebinin reddedilmesi gerektiğine hükmetmiştir. Buna karşılık, veri sorumlusu açık rıza dışında bir işleme şartına (m.5/2-f, meşru menfaat) dayandığını savunmasına rağmen sözleşmede ayrıca açık rıza niteliğinde ifadelere yer vermesinin ilgili kişiyi yanıltabileceği gerekçesiyle KVKK m.4/2-(a) (hukuka ve dürüstlük kuralına uygunluk) ilkesine aykırı bulunmuştur. Sonuç olarak internet hizmetinin iptaline yönelik işlemde KVKK'ya aykırılık görülmemiş, ancak sözleşmedeki açık rıza ifadeleri nedeniyle veri sorumlusuna KVKK m.12/1-(a) ve m.18/1-(b) uyarınca 350.000 TL idari para cezası uygulanmış; ayrıca sözleşme metninin düzeltilmesi, ıslak imzalı sözleşme örneğinin ilgili kişiye gönderilmesi ve verilerin aktarıldığı grup şirketleri listesinin paylaşılması yönünde veri sorumlusu talimatlandırılmıştır.

Karar No: 2024/275 (22/02/2024)

Yerel bir basın organının seçim anketi sonuçlarına ilişkin verileri internet sitesinde paylaşmasına ilişkin ihbar hakkında

Yerel bir basın organının internet sitesinde yayımladığı seçim anketi sonuçlarında, katılımcıların ad-soyad baş harfleri ve telefon numaralarının son dört hanesi maskelenerek, bazı kayıtlarda mahalle bilgisiyle birlikte oy yönelimi (siyasi düşünce) bilgilerinin yer aldığı ihbar edilmiştir. Veri sorumlusu açık rıza onam formları alındığını ve verilerin maskelendiğini savunsa da Kurul, uygulanan maskelemenin anonimleştirme için yeterli olmadığını, dolaylı tanımlayıcıların (telefon, mahalle) kişiyi belirlenebilir kıldığını ve siyasi düşünce bilgisinin özel nitelikli veri olarak Kanun'un 6. maddesi kapsamında geçerli bir açık rızaya dayanmadığını tespit etmiştir. İlgili kişilere iletilen mesaj metninin açık rızanın unsurlarını (belirli konu, bilgilendirme, özgür irade) taşımadığı belirlenmiştir. Sonuç olarak Kanun'un 12/1 maddesi uyarınca güvenlik tedbiri alınmadığı gerekçesiyle 40.179 TL idari para cezası uygulanmış, ayrıca açık rıza ve aydınlatma yükümlülüklerinin mevzuata uygun yerine getirilmesi konusunda veri sorumlusuna hatırlatmada bulunulmuştur.

Karar No: 2024/284 (22/02/2024)

Bir kamu kuruluşunun iştiraki hakkındaki kişisel verilerin hukuka aykırı işlenmesi, amacına aykırı kullanılması ve üçüncü taraflara aktarılması ile aydınlatma metninin hukuka aykırılığı konulu şikâyet hakkında

Veri sorumlusu nezdinde üç yıl çalışıp işten ayrılan ilgili kişi; eski kurumsal e-posta hesabına işten sonra erişildiğini, ateş ölçüm kamerasıyla sağlık verisinin işlendiğini, Personel Yönetim Sistemi (PYS) üzerinden istirahat raporlarının bir kamu kurumuna aktarıldığını ve aydınlatma metninin hukuka aykırı olduğunu ileri sürerek şikâyette bulunmuştur. Kurul, e-posta hesabına işten çıkış sonrası giriş yapılmadığını (AD kayıtlarıyla tespit), ateş ölçümünün veri kayıt sisteminin parçası olmadığından kişisel veri işleme sayılmadığını, istirahat raporlarının PYS'de tutulmasının Kanun'un 5. maddesinin 2. fıkrasının (ç) bendi (hukuki yükümlülük) ve 6. maddenin 3. fıkrasına uygun olduğunu, kamu kurumunun bu süreçte veri işleyen sıfatında olduğunu değerlendirmiştir. Sonuç olarak Kanun'a aykırılık bulunmadığından idari para cezası verilmemiş; ancak PYS'deki sağlık verilerine genel müdür düzeyinde erişilebilmesi nedeniyle erişim yetkisinin sınırlandırılması, kurumsal e-posta hesabının denetlenebileceğine dair bilginin aydınlatma metnine (10. madde ve Aydınlatma Tebliği'nin 5. maddesi uyarınca) eklenmesi ve ilgili kişinin 11. madde kapsamındaki bilgi talebinin (hangi verilerin işlendiği vb.) tam olarak karşılanması hususlarında veri sorumlusu talimatlandırılıp hatırlatmalarda bulunulmuştur.

Karar No: 2024/292 (22/02/2024)

İlgili kişinin kişisel verilerinin Kredi Kayıt Bürosu AŞ tarafından hukuka aykırı şekilde işlendiğine yönelik şikâyet hakkında

İlgili kişi, Kredi Kayıt Bürosu AŞ'ye (KKB) yaptığı başvuruda kişisel verilerinin silinmesini talep etmiş, ancak veri sorumlusu verilerin silinmeyeceğini ve kullanılmaya devam edileceğini bildirince bunun hukuka aykırı işleme, üçüncü kişilerle paylaşma ve ticari kazanç sağlama teşkil ettiğini ileri sürerek şikâyette bulunmuştur. Veri sorumlusu savunmasında, 5411 sayılı Bankacılık Kanunu m.73 ve 5464 sayılı Kanun m.29 uyarınca bankalar/finansal kuruluşlar arası veri paylaşımının Kanun'un 5. maddesinin 2. fıkrası kapsamında rıza gerektirmediğini, ayrıca ilgili kişinin Findeks platformuna üye olduğunu ve üyelik verilerinin iptal tarihinden itibaren 10 yıl saklanıp sonra imha edileceğini bildirmiştir. Kurul, Kanun'un 5. maddesindeki açık rıza istisnalarını (kanuni yükümlülük, meşru menfaat vb.) ve 7. maddedeki silme/imha rejimini hatırlatarak, veri sorumlusunun verdiği yanıtı açık ve yeterli bulmuş ve Kanun kapsamında herhangi bir ihlal tespit etmemiştir; idari para cezası veya ek bir talimat verilmemiştir.

Karar No: 2024/197 (08/02/2024)

Bir üniversite tarafından parmak izi verilerinin işlenmesi suretiyle devamsızlık takibi uygulamasına ilişkin şikayet üzerine ve resen yürütülen inceleme hakkında

Bir üniversitenin Hukuk Fakültesi'nde ders yoklamasının parmak izi okuma cihazlarıyla yapılması, öğrencilerden "Rıza Beyan Formu" ile açık rıza alınması ve öğrencinin başvurusuna cevap verilmemesi üzerine şikayet edilmiştir. Veri sorumlusu açık rıza alındığını ve bunun mevzuata uygun olduğunu savunmuştur. Kurul, biyometrik veri niteliğindeki parmak izinin özel nitelikli kişisel veri olduğunu, açık rıza bulunsa dahi yoklama gibi bir amaç için parmak izi işlenmesinin Kanun'un 4. maddesindeki ölçülülük ilkesine aykırılık teşkil ettiğini ve Kanun'un 6. maddesi kapsamında geçerli bir işleme şartına dayanmadığını tespit etmiştir. Sonuç olarak, biyometrik veri ile yoklama uygulamasının derhal durdurulması, alternatif yöntemlere geçilmesi, mevcut parmak izi verilerinin imha edilmesi ve bu işlemlerin 30 gün içinde Kurula bildirilmesi yönünde veri sorumlusu talimatlandırılmış, güvenlik tedbirlerinden sorumlu kişiler hakkında disiplin işlemi yapılması istenmiş, ayrıca başvurulara süresinde cevap verilmesi hususunda hatırlatma yapılmıştır (para cezası yerine kamu kurumu olması nedeniyle talimat ve disiplin süreci öngörülmüştür).

Karar No: 2024/133 (25/01/2024)

Online yemek siparişi, restoran entegrasyonu ve teslimat/kurye hizmetleri veren veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Siber saldırganlar veri sorumlusunun veri tabanına saldırarak içerdiği verileri silmiş, ele geçirmiş ve fidye talep etmiş; USOM'a yapılan bildirime göre saldırı DDoS niteliğinde olup nedeni yönetim panel şifresinin tarayıcıya kaydedilmesi ve IP erişiminin PHPMYADMIN ile sınırlandırılmamasıdır. İhlalden 1.362 kullanıcının kimlik (ad-soyad), iletişim (e-posta, telefon) ve lokasyon (adres) verileri etkilenmiştir. Kurul, parola güvenliği ve erişim sınırlandırması konusunda gerekli özenin gösterilmediğini, bunun Kişisel Veri Güvenliği Rehberi'nin 1.2. Kapsam maddesindeki düşük maliyetli/temel tedbirlerin dahi alınmadığını gösterdiğini belirterek KVKK m.12/1 ihlali tespit etmiştir. Sonuç olarak m.18/1-b uyarınca 250.000 TL idari para cezası uygulanmıştır.

Karar No: 2023/2185 (28/12/2023)

İlgili kişiler hakkında bir gazetede yayımlanan ve halen söz konusu gazetenin arşiv kayıtlarında yer alan bir habere ilişkin şikâyet hakkında

2001 yılında yayımlanan ve gazetenin internet arşivinde 20 yılı aşkın süredir erişilebilir kalan, ilgili kişilerin adı aratıldığında ilk sıralarda çıkan bir habere ilişkin, haberin arşivden ve internetten kaldırılması talebiyle şikayette bulunulmuştur; veri sorumlusu ayrıca başvuruya 30 gün içinde cevap vermemiştir. Veri sorumlusu, haberin kamuyu ilgilendiren bir konuyu ele aldığını, özle biçim dengesinin korunduğunu ve Kanun'un 28/1-c maddesi uyarınca basın/ifade özgürlüğü kapsamında Kanun'un istisnası olduğunu savunmuştur. Kurul, haberin basın özgürlüğü kapsamında Kanun'dan istisna olduğuna kanaat getirerek haberin gazete arşivinden imhası talebi hakkında Kanun kapsamında yapılacak işlem bulunmadığına karar vermiştir. Ayrıca ilgili kişilerin asıl talebinin arama sonuçlarında görünmeme (unutulma hakkı) olduğu değerlendirilerek, bu talebin öncelikle arama motorları nezdinde ve Kanun'un 13-14. maddeleri kapsamında ileri sürülmesi gerektiği belirtilmiş; veri sorumlusuna ise başvurulara süresinde ve gerekçeli cevap verilmesi hususunda hatırlatma yapılmış, idari para cezası uygulanmamıştır.

Karar No: 2023/2007 (30/11/2023)

İşveren tarafından işyerinde kamera vasıtasıyla görüntü ve ses kaydı alınması hakkında

Şoför olarak çalışan bir kişi, işvereniyle aralarındaki bir dava sürecinde işvereninin işyerindeki güvenlik kulübesine yerleştirilmiş kamerayla aldığı görüntü ve ses kaydını mahkemeye delil olarak sunduğunu, kendisine bu kayıtlar konusunda hiçbir zaman bilgilendirme yapılmadığını, rızasının alınmadığını ve ortamda uyarı levhası bulunmadığını belirterek şikayette bulunmuştur; işveren savunmasında kaydın yönetime ve çalışma arkadaşlarına küfür edilmesi üzerine bir hakkın tesisi ve korunması amacıyla saklandığını ve sonrasında imha edildiğini ileri sürmüştür. Kurul, Kanun'un 5. maddesinin (2) numaralı fıkrasının (f) bendindeki meşru menfaat şartını değerlendirmiş; güvenlik amacına ulaşmak için görüntü kaydının yeterli olduğunu, ayrıca ses kaydı alınmasının zorunluluk arz etmediğini ve bu amacın başka bir yöntemle de sağlanabileceğini belirleyerek ses kaydı işlemenin Kanun'un 5. maddesindeki hiçbir işleme şartına dayanmadığı, dolayısıyla hukuka aykırı olduğu sonucuna varmıştır; hukuki dayanağı bulunmadığından aydınlatma yükümlülüğünün ayrıca incelenmesine gerek görmemiştir. Sonuç olarak, hukuka aykırı işlenen ses verileri bakımından uygun güvenlik düzeyinin sağlanmaması nedeniyle Kanun'un 12. maddesinin (1) numaralı fıkrasına aykırılıktan Kanun'un 18/1-b maddesi uyarınca 125.000 TL idari para cezası uygulanmış, ayrıca veri sorumlusunun hukuka aykırı işlenen ses verilerini imha etmesi ve sonucunu Kurul'a bildirmesi hususunda talimatlandırılmasına karar verilmiştir.

Karar No: 2023/1863 (02/11/2023)

Bir belediyenin kütüphane üyelik uygulamasına ilişkin şikâyet hakkında

İlgili kişi, belediyeye ait kütüphaneden yararlanmak için üyelik açtırırken kendisinden ad-soyad, T.C. kimlik no, doğum tarihi/yeri, adres ve telefon gibi bilgilerin aydınlatma yapılmadan istendiğini ve bu bilgileri vermezse üyeliğinin iptal edileceğinin söylendiğini belirterek şikâyette bulunmuştur. Kurul, belediyenin bu verileri açık rızaya değil KVKK 5/2-(c) (sözleşmenin ifası) ve (e) (bir hakkın tesisi/korunması) bentlerindeki işleme şartlarına dayanarak işlediğini, dolayısıyla hizmetin açık rıza şartına bağlanmadığını tespit etmiştir. Aydınlatma yükümlülüğünün kütüphane görevlisince sözlü olarak ve ayrıca web sitesi/e-Devlet üyelik ekranındaki aydınlatma metni linkiyle yerine getirildiği, ilgili kişinin verilerinin de imha edilerek üyeliğinin sonlandırıldığı görülmüştür. Sonuç olarak Kurul, ihlal tespit etmemiş ve veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.

Karar No: 2023/1818 (26/10/2023)

Alarm ve görüntüleme sistemi hizmeti sunan veri sorumlusu tarafından ilgili kişinin telefon görüşmelerinin kaydedilmesi hakkında

İlgili kişi, alarm/güvenlik hizmeti veren şirketle telefon görüşmelerinin yazılı sözleşme, uyarı veya aydınlatma olmaksızın rızası dışında kayıt altına alındığını ve bu kayıtların aleyhine kullanıldığını iddia etmiştir. Kurul, görüşme kayıtlarının tutulmasının KVKK 5/2-(e) (bir hakkın tesisi/korunması) ve (f) (veri sorumlusunun meşru menfaati) şartlarına dayandığına ve bu yönüyle hukuka aykırılık bulunmadığına karar vermiştir; ancak veri sorumlusunun "görüşmeleriniz kayıt altındadır" anonsunun KVKK 10. madde ve Aydınlatma Tebliği'nde aranan asgari unsurları (veri sorumlusu kimliği, işleme amacı, aktarım, hukuki sebep, 11. madde hakları) içermediği ve teknik anlamda bir "aydınlatma" niteliği taşımadığı tespit edilmiştir. Kayıt tutma iddiası yönünden ihlal bulunmadığına karar verilirken, aydınlatma yükümlülüğünün yerine getirilmediği gerekçesiyle veri sorumlusuna KVKK 18/1-(a) uyarınca 15.000 TL idari para cezası uygulanmış; ayrıca Kanun ve Tebliğ'e uygun (gerekirse katmanlı) aydınlatma yapılması yönünde talimat verilerek 30 gün içinde Kurula bilgi verilmesi istenmiştir.

Karar No: 2023/1796 (19/10/2023)

İlgili kişinin kişisel verilerinin veri sorumlusu giyim mağazasına ait internet sitesinde üçüncü kişilerin erişimine açılması hakkında

İlgili kişi, bir giyim mağazasının internet sitesindeki teknik bir sorun nedeniyle ad-soyad, telefon, adres ve sipariş bilgilerinin sitede herkesin erişimine açık hale geldiğini, hatta kendi üyeliğiyle başkasının giriş yapıp adres değiştirerek sipariş verdiğini fark ettiğini bildirmiştir. Veri sorumlusu, sorunun CDN hizmeti aldığı üçüncü bir şirketin cache konfigürasyonundan kaynaklandığını, kendisinin ağ trafiğinde anomali tespit etmediğini ve teknik ve idari tedbirlerin sözleşmeyle veri işleyene bırakıldığını savunmuştur. Kurul, KVKK 12. madde uyarınca veri sorumlusu ile veri işleyenin müşterek sorumlu olduğunu, veri sorumlusunun tedbir alma yükümlülüğünü sözleşmeyle veri işleyene devredemeyeceğini, ayrıca canlıya alınmadan önce detaylı test yapılmadığını belirterek KVKK 12/1-(b) (verilere hukuka aykırı erişimi önleme) yükümlülüğünün ihlal edildiğine hükmetmiştir. Bu kapsamda veri sorumlusu hakkında KVKK 18/1-(b) uyarınca 200.000 TL idari para cezası uygulanmasına karar verilmiştir.

Karar No: 2023/1787 (19/10/2023)

İlgili kişinin Covid-19 test sonucunun veri sorumlusu tarafından veri kayıt sisteminde bulunan eski cep telefonu numarasına gönderilmesine ilişkin şikâyet hakkında

İlgili kişi, üniversite kampüsünde yaptırdığı Covid-19 testinin sonucunun, formda kendisinin belirttiği yeni telefon numarası yerine sağlık şirketinin kayıtlarındaki eski (dayısına ait) numaraya SMS ile gönderildiğini, bu sağlık verisinin böylece üçüncü bir kişiyle paylaşıldığını belirtmiştir. Veri sorumlusu, 2011 yılında verilen rıza kapsamında kayıtlı bu numarayı kullandığını, kamu sağlığı gerekçesiyle hareket ettiğini ve test negatif çıktığı için zarar doğmadığını savunmuş olsa da; Kurul, ilgili kişinin açıkça yeni bir numara bildirmesine rağmen sonucun eski numaraya gönderilmesinin KVKK 4/2-(b) "doğru ve gerektiğinde güncel olma" ilkesine aykırılık teşkil ettiğini ve dolayısıyla KVKK 12. maddedeki veri güvenliği yükümlülüğünün ihlal edildiğini tespit etmiştir. Kurul, veri sorumlusuna KVKK 18/1-(b) uyarınca 30.000 TL idari para cezası uygulamış; ayrıca ilgili kişinin telefon numarasının sistemde güncellenmesi ve dayısına ait eski numaranın imha edilerek kayıtlardan çıkarılması yönünde talimat vererek sonucundan Kurula bilgi verilmesini istemiştir.

Karar No: 2023/1675 (28/09/2023)

Endüstriyel mutfak ekipmanları üretimi yapan veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

İK departmanının adres güncelleme bildirimi gönderirken menü karışıklığı nedeniyle toplu gönderim menüsünü kullanması sonucu 1.522 çalışanın ad, soyad, T.C. kimlik numarası ve adres bilgisi sehven 1.589 çalışana SMS ile gönderilmiş; ihlal personelin geri bildirimiyle aynı gün tespit edilmiştir. Kurul, hatanın menülerin benzer tasarımından kaynaklanan anlaşılabilir bir insan hatası olduğunu, veri sorumlusunun yazılım geliştiriciden menü ayrımı talep ettiğini, çalışanlara KVKK ve bilgi güvenliği eğitimleri verildiğini, gizlilik taahhütnameleri, VLAN ayrımı, VPN/PAM erişim kontrolü ve sızma testleri gibi teknik/idari tedbirlerin mevcut olduğunu değerlendirmiştir. Sonuç olarak alınan tedbirlerin Veri Güvenliği Rehberi'ne uygun ve yeterli bulunması nedeniyle KVKK m.12/1 kapsamında bu aşamada yapılacak bir işlem bulunmadığına, yani idari para cezası uygulanmamasına karar verilmiştir.

Karar No: 2023/1610 (21/09/2023)

Bir çevrimiçi yasal spor ve şans oyunları platformu tarafından canlı maç yayını faaliyeti sunumunun ticari nitelikli ileti göndermek suretiyle açık rıza alınması şartına bağlanması hakkında

Üye olan ilgili kişi, platformun canlı maç yayını hizmetinden faydalanabilmek için gerekli iki şartı (üyelik ve son dönemde kupon oynama) yerine getirmesine rağmen, üçüncü şart olan ticari elektronik ileti onayını vermediği için bu hizmetten yararlandırılmadığını, bunun açık rızanın hizmete ön şart olarak dayatılması anlamına geldiğini iddia etmiştir. Veri sorumlusu, canlı yayının temel hizmet olmadığını, alınanın KVKK anlamında açık rıza değil 6563 sayılı Kanun ve ilgili Yönetmelik kapsamında ticari elektronik ileti onayı olduğunu savunmuştur. Kurul ise, canlı yayın hizmetinin sunumunun ticari ileti onayı/açık rıza şartına bağlanmasının, açık rızanın "özgür irade ile verilme" unsurunu zedelediğini, dolayısıyla bu veri işleme faaliyetinin KVKK 5. maddedeki hiçbir işleme şartına dayanmadığını ve KVKK 12/1-(a) uyarınca gerekli teknik/idari tedbirlerin alınmadığını değerlendirmiştir. Sonuç olarak Kurul, veri sorumlusuna KVKK 18/1-(b) uyarınca 250.000 TL idari para cezası uygulamış ve hizmet sunumunun ticari ileti onayı/açık rıza şartına bağlanması uygulamasına son verilerek sonucundan Kurula bilgi verilmesi hususunda talimat vermiştir.

Karar No: 2023/1017 (08/06/2023)

Dijital oyun ve eğlence platformları sunan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme

Dijital oyun ve eğlence platformu sunan veri sorumlusunun bir uygulamasındaki güvenlik açığı kullanılarak iki ayrı saldırıyla önce veri tabanına yetkisiz erişim sağlanmış, ardından veriler sistem dışına aktarılmış; ihlal veri sorumlusunun kendi güvenlik ekipleri tarafından değil, saldırganın bir forum sitesinde 69 milyon kullanıcı verisini satışa çıkarma ilanı vermesiyle ortaya çıkmıştır. Türkiye'de ikamet eden 90.182 kişinin kullanıcı adı, isim, e-posta, doğum tarihi, cinsiyet, ülke ve IP bilgileri etkilenmiş (çocuklar dahil), Kurul bunun ilgili kişiler için yüksek risk oluşturduğunu belirtmiştir. Kurul, veri sorumlusunun ihlal öncesi ve sonrasında sızma testi yaptırmadığını, kullanıcı işlem kayıtlarını düzenli tutmadığını, yama yönetim politikasını ancak ihlalden sonra uyguladığını ve aynı güvenlik açığının ikinci kez istismar edilmesine engel olamadığını tespit ederek Kanun'un 12. maddesindeki tedbir alma yükümlülüğünün ihlal edildiğine karar vermiş; 18. maddenin (1) numaralı fıkrasının (b) bendi uyarınca 1.500.000 TL idari para cezası uygulanmıştır.

Karar No: 2023/412 (21/03/2023)

Bir hosting firması tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Veri sorumlusunun satış ve muhasebe yazılımındaki üçüncü parti müşteri yönetim panelinin güvenlik açığı üzerinden yetkisiz erişim sağlanmış, veriler Almanya merkezli bir IP'ye aktarılıp yabancı bir web sitesinde/darkweb'de yayınlanmış ve durum ihlalden yaklaşık altı ay sonra bir müşteri ihbarıyla tespit edilmiştir; 31.179 müşteri, kullanıcı ve çalışanın kimlik, iletişim, müşteri işlem ve finans verileri, hizmet detayları, şifre içeren e-postalar, kimlik/şirket belgeleri ile log kayıtlarında sehven açık bırakılan 3.027 kredi kartı bilgisi etkilenmiştir. Kurul; sızma takibinin yetersizliğini, toplu veri indirmeyi engelleyecek çözüm bulunmamasını, saldırı tespit sistemi kullanılmamasını, veri maskeleme ve veri minimizasyonu ilkelerine uyulmamasını, iki faktörlü kimlik doğrulamanın ihlalden önce alınmamasını ve güçlü parola politikasının bulunmamasını KVKK m.12/1'e aykırı teknik/idari tedbir eksiklikleri olarak saymıştır. Sonuç olarak m.18/1-b uyarınca 350.000 TL idari para cezası uygulanmıştır.

Karar No: 2022/1407 (28/12/2022)

Moda tekstil faaliyeti yürüten veri sorumlusunun veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Kimliği belirsiz kişiler, veri sorumlusunun bir müşterisini arayarak teslim alınmayan kargo bedeli bahanesiyle 200 TL göndermesini istemiş; veri sorumlusu bünyesinde yapılan incelemede kendisinden kaynaklanan bir veri sızıntısına rastlanmamış, bildirimde 1 kişinin (telefon numarası) etkilendiği belirtilmiş ancak Cumhuriyet Başsavcılığına yapılan suç duyurusundan daha fazla müşterinin arandığı anlaşılmıştır. Kurul, müşteri iletişim bilgilerinin veri sorumlusundan değil elektronik ticaret, kargo veya finans kuruluşu gibi başka veri sorumlusu sistemlerinden sızmış olabileceğini, ihlalin öğrenilmesiyle aynı gün web sitesi/sosyal medya üzerinden duyuru yapıldığını ve sızma testi, üç katmanlı kimlik doğrulama, ihlal müdahale planı ile gizlilik taahhütnameleri gibi makul tedbirlerin mevcut olduğunu değerlendirmiştir. Sonuç olarak KVKK m.12/1 kapsamında bu aşamada yapılacak bir işlem bulunmadığına, yani idari para cezası uygulanmamasına karar verilmiştir.

Karar No: 2022/1375 (23/12/2022)

Bir sanayi şirketi olan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Sanayi sektöründe faaliyet gösteren veri sorumlusunun ABD'deki bir çalışanının internetten indirdiği zararlı bir programı çalıştırması sonucu fidye yazılımı 797 sunucuya bulaşmış; 4.885 çalışan, müşteri ve tedarikçiye ait kimlik, adres, IBAN, telefon, fotoğraf, pasaport ve kan grubu bilgileri etkilenmiştir. Kurul, ihlal öncesi yaptırılan sızma testi raporlarında tespit edilen basit şifreleme, brute-force korumasının bulunmaması, desteği kesilmiş işletim sistemi (Windows 7) kullanımı, yanlış yapılandırılmış SNMP servisleri, ağ segmentasyonu eksikliği ve yetersiz personel eğitimi gibi zafiyetlerin ihlale kadar giderilmediğini, bunun Kanun'un 12. maddesinin (1) numaralı fıkrasındaki veri güvenliği yükümlülüğüne aykırılık teşkil ettiğini tespit etmiştir. Bu nedenle veri sorumlusuna Kanun'un 18/1-b maddesi uyarınca 800.000 TL idari para cezası uygulanmış; ayrıca ihlalin Kurul'a 23 gün gecikmeyle bildirilmesi (Kanun'un 12/5 maddesindeki "en kısa sürede bildirim" yükümlülüğüne aykırılık) nedeniyle ek 200.000 TL ceza kesilerek toplam 1.000.000 TL idari para cezasına hükmedilmiştir.

Karar No: 2022/1152 (20/10/2022)

İlgili kişinin erişim hakkı talebinin reddedilmesine ilişkin şikâyeti hakkında

Ceza infaz kurumunda bulunan ilgili kişi, kurum müdürlüğüne yaptığı başvuruda 6698 sayılı Kanun ve 4982 sayılı Bilgi Edinme Hakkı Kanunu kapsamında dosyasının elektronik kaydını görme/inceleme, örnek ve suret temin etme, eksik/yanlış işlenen verilerinin düzeltilmesini sağlama ve verilerinin işleme amacına uygun kullanılıp kullanılmadığını öğrenme haklarının tanınmasını talep etmiş; ayrıca kendisine kapalı zarfla gönderilen Kurum yazısının içinde bulunduğu ceza infaz kurumu tarafından açılıp okunduktan sonra geciktirilerek teslim edildiğini ve dosyasındaki kişisel verilerinin rızası dışında diğer kurum ve kuruluşlarla paylaşıldığını ileri sürerek şikâyette bulunmuştur. Kurul, ceza infaz kurumunun bu veri işleme faaliyetlerinin 6698 sayılı Kanun'un 28. maddesinin birinci fıkrasının (d) bendi kapsamında infaz işlemlerine ilişkin olması nedeniyle Kanun'dan istisna olduğunu, yazının geciktirilerek teslim edildiği iddiasının Kanun kapsamında bir talep içermediğini, verilerin üçüncü kurum ve kuruluşlarla paylaşıldığına ilişkin iddianın ise bunu tevsik edici belge Kuruma sunulmadığından esastan değerlendirilemeyeceğini tespit etmiştir. Sonuç olarak Kurul, şikâyete konu hususların büyük kısmının Kanun'un 28/1-(d) bendindeki istisna kapsamında kaldığına, kalan iddiaların ise Kanun kapsamında değerlendirilemeyeceğine karar vermiş; herhangi bir ihlal tespiti veya idari para cezası öngörmemiştir.

Karar No: 2022/1087 (07/10/2022)

Bir teknoloji şirketi olan veri sorumlusu tarafından Kurula iletilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Teknoloji şirketi olan veri sorumlusu, kimliği belirsiz kişilerce şirket sistemlerindeki kişisel verilere erişildiğini iddia eden tehdit içerikli bir e-posta almış ve bunu Kurul'a ihlal olarak bildirmiştir. Veri sorumlusu, iki bağımsız güvenlik firmasına eş zamanlı sızma testi ve adli bilişim incelemesi yaptırmış; internet sızma testinde "güvensiz veritabanı kullanımı", web uygulama testinde "hassas bilgilerin erişilebilir olması" gibi orta/yüksek seviye bazı bulgular saptanmış olsa da, tehdit e-postasında örnek olarak sunulan verilerin hiçbirinin şirket sistemlerindeki gerçek verilerle eşleşmediği ve herhangi bir veri sızıntısı/kaybı tespit edilemediği ortaya konmuştur. Kurul, sunulan sızma testi ve adli bilişim raporlarında ihlale dair somut bir bulgu bulunmadığını değerlendirerek, Kanun'un 12. maddesinin (1) numaralı fıkrası çerçevesinde bu aşamada veri sorumlusu hakkında yapılacak bir işlem bulunmadığına karar vermiştir; idari para cezası uygulanmamıştır.

Karar No: 2022/714 (21/07/2022)

Tarımsal emtia ticareti alanında faaliyet gösteren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Tarımsal emtia ticareti yapan veri sorumlusunun üst düzey yöneticisine ait e-posta hesabı oltalama, sosyal mühendislik veya keylogger yoluyla ele geçirilmiş; saldırganlar bu hesaptan yaklaşık 1.000 kişiye, sahte fatura görünümünde zararlı yazılım barındıran bir siteye yönlendiren e-postalar göndermiştir. İhlalden müşteri, tedarikçi ve çalışanlara ait ad, soyadı, e-posta ve unvan bilgileri etkilenmiş, bazı müşterilerin oltalama saldırısına maruz kalarak maddi zarar görmüş olabileceği değerlendirilmiştir; ihlal ancak bir müşterinin telefonla bildirimi üzerine, hesabın 2-3 gündür ele geçirilmiş olduğu tespit edilerek fark edilebilmiştir. Kurul, veri sorumlusunun ihlal öncesinde çift katmanlı kimlik doğrulama, saldırı tespit sistemi ve düzenli log/erişim takibi gibi tedbirleri almadığını, ayrıca güçlü parola politikasının etkin uygulanmadığını belirleyerek bunu Kanun'un 12. maddesinin (1) numaralı fıkrasına aykırılık saymış ve Kanun'un 18/1-b maddesi uyarınca 200.000 TL idari para cezası uygulanmasına karar vermiştir.

Karar No: 2022/711 (21/07/2022)

Otomotiv güvenlik ve elektronik sistemleri üretimi yapan veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Otomotiv güvenlik ve elektronik sistemleri üreticisi veri sorumlusunun İK yazılımını yürüten hizmet sağlayıcısına ait, 2003 yılından beri kullanılan bir kullanıcı hesabının ele geçirilmesiyle başlayan çok aşamalı bir siber saldırı sonucu ağ içinde yanal hareketler gerçekleştirilmiş ve sunuculara fidye yazılımı bulaştırılmış; saldırganlar ayrıca ele geçirdikleri bazı verileri kendi bloglarında da yayınlamıştır. İhlalden 660 kişi etkilenmiş olup müşteri/tedarikçi temsilcilerinin iletişim bilgileri, müşterilerin satın alma portalı şifreleri, çalışanların bordro, izin, kan grubu, Covid-19 durumu ve doktor raporu gibi hassas bilgileri de dahil olmak üzere geniş kapsamlı veri etkilenmiştir. Kurul, hizmet sağlayıcının Kanun'un 12. maddesinin (2) numaralı fıkrası uyarınca veri sorumlusuyla müştereken sorumlu olduğunu, bilişim ağlarının düzenli taranmadığını ve ihlalin yaklaşık iki hafta boyunca fark edilemediğini (veri güvenliği takibi eksikliği) tespit ederek, Kanun'un 12/1 maddesine aykırılık nedeniyle Kanun'un 18/1-b maddesi uyarınca 500.000 TL idari para cezası uygulanmasına karar vermiştir.

Karar No: 2022/707 (21/07/2022)

Mağazacılık hizmeti veren veri sorumlusu tarafından Kurula intikal ettirilen veri ihlal bildirimine istinaden yürütülen inceleme hakkında

Mağazacılık hizmeti veren veri sorumlusunun veri işleyeni nezdinde yaşanan teknik/konfigürasyon hatası nedeniyle bazı mobil e-ticaret müşterileri, kendi üyelik sayfalarına girdiklerinde önbelleğe alınmış başka müşterilere ait ad-soyadı (beyana dayalı), telefon, e-posta ve maskelenmiş kredi kartı numarası bilgilerini görüntülemiştir; ihlal, çağrı merkezine gelen bir müşteri şikayeti üzerine fark edilmiş, kesin olarak 17, en fazla 136 kişinin etkilenmiş olabileceği tahmin edilmiştir. Kurul, verilerin kamuoyuna ifşa olmadığını, sorunun kısa sürede tespit edilip sistemin kapatılarak giderildiğini, tedarikçinin veri paylaşımını uluslararası güvenlik standartlarıyla sınırlandırdığını ve veri sorumlusunun ilgili sistemleri denetlediğini değerlendirerek kişisel verilerin kötüye kullanılma riskinin düşük olduğu sonucuna varmıştır. Bu çerçevede Kurul, Kanun'un 12. maddesinin (1) numaralı fıkrası kapsamında veri sorumlusu hakkında bu aşamada yapılacak bir işlem bulunmadığına karar vermiş; idari para cezası uygulanmamıştır.

Uygulamada Dikkat Edilecek Hususlar

• Veri ihlali müdahale planınızı ve teknik envanterinizi gözden geçirin; sızma testi, çok faktörlü kimlik doğrulama, ağ segmentasyonu ve log/izleme mekanizmalarının güncelliğini düzenli olarak denetleyin — kararların büyük kısmında cezanın belirleyici unsuru, ihlalden ÖNCE alınmış olan tedbirlerin varlığıdır.
• Veri ihlali bildirimlerini Kurul'a ve etkilenen ilgili kişilere gecikmeksizin (en kısa sürede) yapın; geç bildirim, ihlalin kendisinden bağımsız olarak tek başına ayrı bir idari para cezası sebebi olarak değerlendirilmektedir.
• Açık rıza metinlerinizi gözden geçirin: açık rızayı bir hizmetin sunumuna ön şart hâline getirmeyin ve başka bir işleme şartına (sözleşmenin ifası, meşru menfaat, hukuki yükümlülük vb.) dayanan süreçlerde ayrıca açık rıza ifadesine yer vermeyin; bu durum Kurul tarafından hukuka ve dürüstlük kuralına aykırılık olarak değerlendirilmektedir.
• Aydınlatma metinlerinizi (kamera, çerez, çağrı merkezi kaydı anonsları dahil) KVKK m.10 ve Aydınlatma Tebliği'nin aradığı asgari unsurları (veri sorumlusu kimliği, işleme amacı, hukuki sebep, aktarım, ilgili kişi hakları) somut biçimde içerecek şekilde güncelleyin; maddelere yapılan genel/soyut atıflar yeterli görülmemektedir.
• İlgili kişi başvurularına (erişim, düzeltme, silme, itiraz) süresinde ve gerekçeli yanıt verin; süre aşımı veya yanıtsızlık, başvuru esastan haklı bulunmasa dahi ayrı bir eksiklik olarak değerlendirilmektedir.
• Veri işleyenlerle (tedarikçi, hizmet sağlayıcı, hosting/CDN sağlayıcıları) yapılan sözleşmelerde güvenlik yükümlülüğünün tamamen tedarikçiye devredilemeyeceğini, veri sorumlusunun Kanun'un 12. maddesi kapsamındaki müşterek sorumluluğunun devam ettiğini gözetin.
• Kanun'un istisna hükümlerine (infaz işlemleri, basın/ifade özgürlüğü, kanunda açıkça öngörülen bankacılık/finans veri paylaşımları) dayanmadan önce, somut işlemenin gerçekten istisna kapsamına girip girmediğini değerlendirin; Kurul bu istisnaları dar ve olay bazında yorumlamaktadır.