Kişisel Verileri Koruma Kurulu’nun Yeni Yayımlanan Kararları 11 Haziran 2019

Kurul tarafından yayımlanan son dört karar özetini aşağıda bilgilerinize sunarız.

Teknik Servis Hizmeti Veren Veri Sorumlusunun Kişisel Verilerin Muhafazasını Sağlamaması Konusunda Kişisel Verileri Koruma Kurulu’nun 14/02/2019 tarihli ve 2019/23 sayılı Kararı:

Teknik servis hizmeti veren veri sorumlusu firmanın, servise cihaz girişi yapıldığına ilişkin müşterilerine bir form numarası verdiği, form numarası sorgulaması ile kişilerin kendi telefonlarının servisteki durumlarına ilişkin bilgilere ulaşabildiği ancak form/takip numarasının son hanelelerinin değiştirilmesi yoluyla farklı kişilere ait kişisel verilere ulaşıldığı konusunda Kişisel Verileri Koruma Kurulu’na ihbarda bulunulmuştur. İlgili veri sorumlusu, yapılan sorgulamalarda cihaz sahiplerinin kişisel verilerine erişimin mümkün olmadığını belirtmesine rağmen Kurul tarafından yapılan incelemede, başka cihaz sahiplerine ilişkin de sorgulamalar yapılabildiği ve söz konusu sorgulamalarla farklı kişilere ait isim, soy isim, adres, IMEI numarası bilgilerine erişim sağlanabildiğini tespit etmiştir. Kurul buna istinaden, 14/02/2019 tarihli ve 2019/23 sayılı kararıyla, veri sorumlusu hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. Maddesine göre kişisel verilerin muhafazasının sağlanmasını temin etmek için gerekli idari ve teknik tedbirlerin alınmaması sebebiyle ilgili kanunun 18. Maddesi uyarınca 150.000 TL idari para cezası uygulanmasına, ayrıca söz konusu kanuna aykırılığın giderilmesi sağlana kadar da ilgili internet linkinin kullanımının durdurulmasına karar vermiştir.

Teknik Servis Hizmeti Veren Veri Sorumlusunun Kurul Kararına Uymaması Hakkında Kişisel Verileri Koruma Kurulu’nun 05/03/2019 tarihli ve 2019/52 sayılı Kararı:

Kişisel Verileri Koruma Kurulu’nun 14/02/2019 tarihli ve 2019/23 sayılı Kararın Veri Sorumlusu Şirkete tebliği sonrasında Şirket internet sitesi üzerinde farklı form numaraları ile yapılan sorgulamalarda, başka cihazlara ait sorgulamaların halen gerçekleştirilebildiği ve başka bir güvenlik doğrulamasının da yapılmadığı ve aynı internet sitesinde yer alan ‘’ Cihaz Kayıt Görüntüleri için Tıklayınız’’ linki seçildiğinde açılan yeni pencerede IMEI numaralarının halen açık şekilde gösterildiği tespit edilmiştir. Bu itibarla, 2019/23 sayılı Kurul kararıyla şirkete tebliğ edilen “...söz konusu aykırılığın ivedilikle giderilmesi, bahse konu aykırılığın giderildiği hususunun Kurula tevsiki sağlanıncaya kadar işbu Kararda yer alan linklerin kullanımının derhal durdurulması...” şeklindeki talimatın Şirket tarafından Kişisel Verileri Koruma Kanunu’nun 15. Maddesine aykırı olarak yerine getirilmemesinden dolayı, şirket hakkında ilgili kanunun 18. Maddesi çerçevesinde 50.000 TL idari para cezası uygulanmasına karar vermiştir. Ayrıca Kurul, cihaz takibi için sorgulama yapılabilmesine imkân veren sistemin değiştirmesi ve hâlihazırda sorgulama yapılan sisteme erişimin ivedilikle kapatılması konusunda Şirket’e talimat vermiştir.

Bir Kişinin Rızası Dışında Yargıya ve Üçüncü Kişilere Kişisel Verilerinin Aktarılması Konusunda Kişisel Verileri Koruma Kurulu’nun 01/03/2019 tarihli ve 2019/47 sayılı Kararı:

Başvuru sahibi, kendisi ve ailesi hakkındaki kişisel bilgilere hukuk dışı yollarla erişerek rızası dışında yargıya ve üçüncü kişilere aktardığı iddiasıyla bir başka şahıs hakkında Kişisel Verileri Koruma Kurulu’na şikâyette bulunmuştur. Şikâyetin incelemesinde Kurul, şikâyet edilen şahsın kısmen ya da tamamen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen bir kişisel veri işleme faaliyetine rastlanılmadığına, bu çerçevede şikâyet edilenin veri sorumlusu olarak nitelendirilemeyeceğine karar vermiştir. Kurul kararında ayrıca, şikâyet edilen tarafından başvuran ve ailesine ait kişisel verilerin hukuka aykırı bir şekilde elde edildiği iddiasının Türk Ceza Kanunu kapsamında bir suç niteliği taşıdığı, dolayısıyla söz konusu konuya ilişkin olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yapılacak bir işlem bulunmadığını belirtmiştir.

İlgili Kişinin Bankaya Yaptığı Başvurunun Cevaplandırılmaması ve Bankanın İnternet Sitesi Üzerinden Yayımladığı Aydınlatma Metninin Mevzuatta Düzenlenen Şartları Taşımaması Hakkında Kişisel Verileri Koruma Kurulu’nun 02/05/2019 tarihli ve 2019/122 sayılı Kararı:

Başvuru sahibi, 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 11 inci maddesinde belirtilen hakları kapsamındaki talepleri içeren kayıtlı elektronik posta (KEP) aracılığıyla veri sorumlusu T.C. Ziraat Bankası A.Ş.’ye (Banka) başvurmuştur ancak, Kanunda düzenlenen otuz günlük süre içerisinde başvurusu cevaplandırılmamış ve bunun üzerine gerek bu konuda gerekse veri sorumlusunun, internet sitesi üzerinden yayımladığı aydınlatma metninin mevzuatta düzenlenen şartları taşımadığı hususunda Kurul’a şikâyette bulunmuştur. Kurul tarafından şikâyet konusu hususlarda açıklamada bulunması için Banka’ya yazı gönderilmiştir, ancak Banka tarafından herhangi bir cevap verilmemiştir. Bu nedenle, 6698 sayılı kişisel Verileri Koruma Kanunu’nun 18. Maddesinin üçüncü fıkrası uyarınca banka nezdinde ihlale sebebiyet veren sorumlular ile gerekli tedbirleri almak ve denetimleri yapmakla yükümlü kişiler hakkında disiplin hükümlerine göre işlem yapılmasına Kurul tarafından karar verilmiştir. Ayrıca, başvuru sahibinin Kanun’un uygulanmasına yönelik taleplerine banka tarafından cevap verilmesi için de talimat verilmiştir. Söz konusu aydınlatma metni ile ilgili olarak da , “Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ”in (Tebliğ) 5 inci maddesinin birinci fıkrasının (g) ve (h) bentlerinde yer verilen hükümlere uygun hazırlanmaması ( genel ve muğlak ifadelere yer verilmesi ve hukuki sebebin açıkça belirtilmemesi ) nedeniyle, Bankanın internet sitesinde yer alan aydınlatma metninin yeniden gözden geçirilerek Tebliğ hükümlerine uygun hale getirilmesi yönünde Banka’ya talimat vermiştir.

Market Zincirlerinin “Sadakat Kartlari” Hakkında Kişisel Verileri Koruma Kurulunun 25/03/2019 tarihli ve 2019/82 sayılı Kararı:

Bir marketin mağazalarından temin edilen ve bazı alışveriş/ hizmet alımlarında indirim ve puan biriktirme avantajı sağlayan sadakat kart ile ilgili ilgili internet sitesine giriş yapıldığı esnada ekranlara gelen uyarı metninde “….. Kart avantajlarından faydalanmaya devam edebilmek için Kişisel Verilerin Korunması Kanunu kapsamında veri işleme iznini vermen yeterli…iznin yoksa karşına çıkacak olan üyelik ve rıza beyanı metnini okuyarak onayla.” ya da …. Kart tarafından kişilerin cep telefonlarına gönderilen kısa mesajlarda “Kişisel Verilerin Korunması Kanunu kapsamında izninizi lütfen güncelleyiniz. İzni güncel olmayan müşterilerimiz, kişisel bilgileri silineceği için kasalarımızdan cep telefonu söyleyerek alışveriş yapamayacaklar.” şeklinde açıklamalara yer verildiği, bu anlamda açık rızanın bir ürün veya hizmetin sunulmasına ilişkin koşul olarak ileri sürüldüğünden bahisle 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gerekli işlemlerin tesis edilmesi talep edilmiş ve 6698 Sayılı Kişisel Verileri Koruma Kanunu kapsamında müşterilerden açık rıza alınması esnasında “Veri İzni Alma Uygulaması” adı altında 0,01 TL hizmet bedeli alındığı yolunda ihbarda bulunulmuştur. Şikâyetin incelenmesinde Kurul, veri sorumlusu Şirket tarafından hizmet sunumu kapsamında Sadakat Kart Programına katılımın müşteriler açısından zorunlu tutulmadığını, söz konusu Programa üye olmayan müşterilere hizmet sunulmaması gibi bir durum ortaya çıkmadığını tespit etmiştir. Bunun üzerine, şikâyetçinin Şirket tarafından bir hizmet veya ürün sunulmasının açık rıza şartına bağlandığı iddiası ile ilgili olarak yapılacak bir işlem bulunmadığına karar vermiştir. Veri İzni Alma Uygulaması” altında 0,01 TL hizmet bedeli alınması konusunda veri sorumlusu şirket savunma olarak bilgi teknolojileri hatası nedeni ile bu olayın gerçekleştiğini ve müşterilerden alınan bu ödemelerin telafisi olarak müşterilerin kartına aynı tutarda indirim yüklendiğini ve sistemsel bir hatadan kaynaklanan bu durumun derhal telafi edildiğini belirtmiştir. Dolayısıyla Kurul bu konuya ilişkin olarak da Kanun kapsamında Kurumca yapılacak bir işlem bulunmadığına karar vermiştir. Öte yandan, Aydınlatma Metni”nin incelenmesinde ucu açık ifadelere yer verildiği, Sadakat Kart Programına üye olunması aşamasında elde edilen kişisel veriler ve bunların aktarıldığı taraflar hususları başta olmak üzere, “Üyelik ve Rıza Metni” ile “Aydınlatma Metni” arasındaki tutarsızlıklar bulunduğu, ayrıca, aydınlatma metninde özel nitelikli kişisel verilerin de (sendika/dernek/vakıf üyeliklerine ilişkin bilgiler, ceza mahkûmiyeti, güvenlik tedbirleriyle ilgili veriler, cinsel hayat, biyometrik veri ve sağlık durumunuza ilişkin bilgiler gibi) işlenebileceği ifadelerine yer verildiği görülmüş olup, Şirketin temel faaliyet alanının gıda ve ihtiyaç maddelerinin perakende olarak tüketicilere ulaştırılması olduğu, Şirkete ait tüm işyerlerinde sunulan Sadakat Kart uygulamasının ise bir pazarlama programı olarak tasarlandığı dikkate alındığında, ceza mahkûmiyeti, güvenlik tedbirleriyle ilgili veriler gibi özel nitelikli kişisel verilerin işlenmesinin veri sorumlusunun faaliyetleri kapsamında amaçla bağlantılı, sınırlı ve ölçülü olmadığı tespit edilmiştir. Dolayısıyla Kurul, “Üyelik ve Rıza Beyanı” ile “Aydınlatma Metni” arasındaki tutarsızlıkların giderilmesi ve Şirketin Aydınlatma Metninin Kanunun temel ilkeleri ve Tebliğ hükümleri de dikkate alınmak suretiyle güncellenmesi gerektiği hususunda talimat vermiştir.