Kişisel Verileri Koruma Kurulun Kararları: Veri Güvenliğinin Sağlanmaması 3 Şubat 2020
Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, kişisel veri kayıt sistemi kuran, yöneten ve bu verileri işlenmekle yükümlü olan veri sorumlarına, ilgili kanuna aykırı davranmaları sebebiyle son dönemde Kişisel Verileri Koruma Kurulu tarafından çeşitli yaptırımlar uygulanmış ve bu yaptırımlar kurul kararı şeklinde kurumun internet sitesinde yayımlanmıştır. İlgili kararlar incelendiğinde veri sorumlularının yaptığı ihlallerden en yaygın olanının kanunun 12.maddesinin 1. fıkrasında yer alan kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önleme ile kişisel verilerin muhafazasını sağlama yükümlülüğünü yerine getirmemesi olduğu görülmüştür.
Kişisel Verilerin Korunması Kanununun (“KVKK”) 12. maddenin 1. fıkrası kapsamında olup veri güvenliğinin sağlanamaması ile ilgili olarak verilmiş olan kurul kararları
- Veri sorumlusu tarafından, bir şirketin çalışanlarına e-posta yoluyla gönderilen sözleşme örneklerinde veri sorumlusu tarafından, kanunun 5’inci maddesinde sayılan kişisel veri işleme şartlarından herhangi birine dayanmaksızın şirket adına sürecin yönetiminden sorumlu kişinin (ilgili kişi) ev adresinin yazılması nedeniyle kurul tarafından KVKK madde 12 kapsamında veri güvenliğini sağlayamayan veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir.
- Veri sorumlusu tarafından ilgili kişinin talebi üzerine gerçekleştirilen işlemde işlemin gerektirmediği kişisel veri içeren bir belgenin müşteriden istenilmesinin ilgili mevzuatta yer almaması ve ulaşılmak istenen amaç ile bağdaşmaması nedeniyle KVKK’nın 4’üncü maddesinde hukuka ve dürüstlük kurallarına uygun olma ilkesi ile belirli, açık ve meşru amaçlar için işlenme ilkesine aykırılık teşkil ettiği dikkate alınarak, kurulca KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde kişisel veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir.
- Veri sorumlusu tarafından müşterisinin kişisel verilerinin yer aldığı bir belgenin, aynı isme sahip başka bir kişiye gönderilmesinin; veri sorumlusu açısından sistemsel bir açığa işaret ettiği dikkate alınarak, kurul tarafından KVKK’nın 12’nci maddesinin 1 numaralı fıkrası çerçevesinde veri güvenliğinin sağlanması hususunda gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir.
- İlgili kişi tarafından, online olarak insan kaynakları hizmeti sunan veri sorumlusuna ait bir platform üzerinden yapılan iş başvurusunun akabinde; veri sorumlusunun, ilgili kişiye ait başvuru bilgisi, ad ve soyadı ile e-posta adresi bilgisini içeren kişisel verileri herhangi bir hukuki sebebe dayanmadan diğer işe başvuranlarla paylaştığı tespit edildiğinden, bu durumun; KVKK’nın 12’nci maddesinin 1 numaralı fıkrasına aykırılık teşkil etmesi nedeniyle anılan şirket hakkında idari para cezası uygulanmıştır.
For English Version:
