KVKK ihlallerinde yaptırımlar ve Kurul kararları

Yaptırımlar

Türk hukukunda kişisel verilerin korunması mevzuatının bazı ihlalleri hapis cezasıyla sonuçlanabilir:

• Türk Ceza Kanunu uyarınca kişisel verilerin hukuka aykırı olarak elde edilmesi, işlenmesi ve aktarılması hâlinde hapis cezası (altı aydan dört yıla kadar) veya adli para cezası uygulanabilir;
• Türk Ceza Kanunu’nun 60. maddesi uyarınca tüzel kişiler hakkında; faaliyet izninin iptali ile suçun işlenmesinde kullanılan veya suçun işlenmesiyle elde edilen eşyanın ya da suçtan sağlanan menfaatlerin müsaderesi gibi güvenlik tedbirleri uygulanabilir;
• 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“Kanun”) aykırılık hâlinde uygulanan idari para cezaları her yıl yeniden değerleme oranıyla güncellenir; 2026 yılı için tutarlar, Kanun m. 18/1’deki bentlere göre 85.437 TL ile 17.092.242 TL arasında değişmektedir. 7499 sayılı Kanunla eklenen m. 18/1-d, standart sözleşmenin Kuruma bildirilmemesi hâlinde ayrı bir ceza bandı öngörür;
• kişiler, kişisel verilerinin hukuka aykırı olarak elde edilmesi veya işlenmesi nedeniyle 4721 sayılı Türk Medeni Kanunu (değişiklikleriyle birlikte) uyarınca tazminat talep edebilir (kanun metnine buradan ulaşabilirsiniz) ve
• sektörel düzenlemeler de idari para cezaları öngörmektedir; örneğin Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği (yönetmeliğe buradan ulaşabilirsiniz); kişisel veri ve güvenlik yükümlülüklerini ihlal eden yetkilendirilmiş işletmecilere (hizmet sağlayıcılar, şebeke sağlayıcıları, altyapı işletmecileri) bir önceki takvim yılındaki net satışlarının %3’üne kadar idari para cezası verilmesini öngörmektedir.

Uygulama kararları

Kişisel Verileri Koruma Kurulu (“Kurul”), veri sorumlularının dikkate alması gereken temel esasları ortaya koyan ilke kararları yayımlamaktadır. Bu ilke kararlarının ayrıntılarına aşağıda Kurul kararları başlığı altında yer verilmiştir. İlke kararlarında öne çıkan hususlar şunlardır:

• tüm veri işleme faaliyetleri, Kanun’un 5. ve 6. maddelerindeki kişisel veri işleme şartlarına uygun olmalı; kişisel veri işleyen kişiler Kanun’daki diğer yükümlülüklere de uymalıdır;
• gişe, vezne ve banko gibi hizmet alanlarında hizmet veren kuruluşlar; bu alanlarda yalnızca yetkili kişilerin bulunmasını sağlamalı ve buralarda hizmet alan kişilerin birbirlerine ait kişisel verileri görmesini veya duymasını önleyecek gerekli tedbirleri almalıdır;
• veri sorumluları; yetkisiz erişimlerin ve yetkinin kötüye kullanılmasının durdurulması ve önlenmesi için, uygun veri güvenliğini sağlamaya yönelik gerekli tüm teknik ve idari tedbirleri almalıdır;
• ilgili kişilerin iletişim bilgilerinin hukuka aykırı şekilde kullanılması suretiyle yapılan reklam faaliyetlerine son verilmelidir;
• kişi ve kuruluşların, çeşitli yollarla elde edilen veriler üzerinden kişisel veri sorgulanmasına imkân tanıyan yazılım programlarını kullanması hukuka aykırıdır ve bu tür kullanımlar hakkında Türk ceza mevzuatı kapsamında işlem yapılır ve
• ilgili kişilerce beyan edilen iletişim bilgilerinin doğrulanması için; telefon numarasına ve/veya e-posta adresine doğrulama kodu ve/veya doğrulama bağlantısı gönderilmesi gibi makul tedbirler alınmalıdır.

Yukarıda belirtilen ilke kararlarının yanı sıra, uygulamayı aydınlatması bakımından önem taşıyan bazı örnek Kurul kararları şunlardır:

• Kurul, 2020/559 sayılı kararıyla; geçerli bir hukuki sebep bulunmaksızın yurt dışına kişisel veri aktaran bir veri sorumlusuna 900.000 TL idari para cezası uygulamıştır. Veri sorumlusunun, 108 sayılı Sözleşme’nin taraflar arasındaki yurt dışına veri aktarımı için tek başına yeterli olduğu yönündeki savunması Kurul tarafından kabul edilmemiştir. 108 sayılı Sözleşme’ye taraf olmak, ilgili ülkenin güvenli ülke sayılması için yeterli değildir; yalnızca bu Sözleşme’ye dayanılarak yapılan yurt dışı aktarımları Kanun’daki şartları karşılamaz (karara buradan ulaşabilirsiniz);
• Kurul, 2019/157 sayılı kararında; sunucuları/veri merkezleri Türkiye dışında bulunan hizmet sağlayıcılardan e-posta hizmeti alınmasının yurt dışına veri aktarımı sayılacağını belirtmiştir. Dolayısıyla sunucuları yurt dışında bulunan veri sorumlularından/veri işleyenlerden alınan saklama hizmetlerinin de Kanun’un 9. maddesine uygun olması gerekir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/746 sayılı kararında; bilgi talep etme hakkının erişim hakkını da kapsadığını ve ilgili kişinin kişisel verilerinin kendisine verilmesi talebinin hukuka uygun olduğunu belirtmiştir. Ancak ilgili kayıt, ilgili kişi dışındaki kişilere ait kişisel veriler de içeriyorsa; üçüncü kişilerin kişisel verilerinin maskelenmesi ve/veya kaydın alternatif bir biçimde (örneğin çözümleme metni ya da kaydın kendisi olarak) sunulması mümkündür (karara buradan ulaşabilirsiniz);
• Kurul, 2020/494 sayılı kararında; iş sözleşmesi feshedilen çalışanın açtığı işe iade davasında işverenin kamera kayıtlarını delil olarak sunmasının hukuka uygun olduğunu tespit etmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2021/115 sayılı kararıyla; bankanın daha önce bu numara üzerinden iletişim kurmuş olması gerekçesiyle, borçlunun kardeşine ait telefon numarasını alternatif numara olarak kaydeden veri sorumlusuna 175.000 TL idari para cezası uygulamıştır (karara buradan ulaşabilirsiniz);
• Kurul, 2020/755 sayılı kararında; site yöneticisi konumundaki veri sorumlusunun, ödenmemiş aidat dökümü ve cep telefonu numarası dâhil talep edilen bazı kişisel verileri ilgili kişinin ev sahibiyle paylaşmasının Kanun’u ihlal etmediğine karar vermiştir; zira bu işleme, 634 sayılı Kat Mülkiyeti Kanunu’nun 22. maddesinin ev sahibine tanıdığı hakların kullanılması için gereklidir (karara buradan ulaşabilirsiniz);
• Kurul, 2021/111 sayılı kararında, borca ilişkin olarak borçlunun yakınlarıyla iletişime geçilmesi konusunda; herhangi bir veri işleme şartı bulunmaksızın kişisel veri işleyen ilk avukatlık bürosuna 50.000 TL, bu verileri doğruluğunu kontrol etmeden başka bir avukatlık bürosuna aktaran şirkete 115.000 TL ve söz konusu verilerin borçlunun kendisine ait olduğunu bilmesine rağmen bu kişilerle iletişime geçen avukatlık bürosuna 100.000 TL idari para cezası uygulanmasına karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/407 sayılı kararıyla; ilgili kişinin sağlık verilerini e-posta yoluyla ilgili kişiyle birlikte üçüncü bir kişiye de ileten veri sorumlusu hastaneye 100.000 TL idari para cezası uygulamıştır (karara buradan ulaşabilirsiniz);
• Kurul, 2020/404 sayılı kararıyla; aydınlatma yükümlülüğünü gereği gibi yerine getirmeyen, işyeri giriş ve çıkışlarında parmak izi gibi biyometrik veriler dâhil olmak üzere özel nitelikli kişisel verileri geçerli bir açık rıza olmaksızın işleyen ve kişisel verileri yurt dışına aktaran veri sorumlusuna toplam 250.000 TL idari para cezası uygulamıştır (karara buradan ulaşabilirsiniz) ve
• Kurul, 2020/335 sayılı kararıyla; açık rızayı araç kiralama hizmetinin ön şartı hâline getiren ve açık rıza vermeyen müşteriye hizmet sunmayan veri sorumlusuna 50.000 TL idari para cezası uygulamıştır (karara buradan ulaşabilirsiniz).

Kurul kararları

Kurul ayrıca Kanun’u, ikincil düzenlemeleri ve uygulamayı açıklığa kavuşturmak amacıyla kararlar yayımlamaktadır. Öne çıkan kararlar şunlardır:

• Özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin 2018/10 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; veri sorumlularının, özel nitelikli kişisel verilerin korunmasına yönelik ayrı bir politika ve prosedür belirlemesi gerektiğini açıklamış ve daha önce Kişisel Veri Güvenliği Rehberi’nde belirlenen tedbirlerin uygulanmasının önemini vurgulamıştır. Hizmet alanlarında veri güvenliğine ilişkin 2017/62 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; gişe, vezne ve banko gibi hizmet alanlarında hizmet veren kuruluşların, bu alanlarda yalnızca yetkili kişilerin bulunmasını sağlaması ve buralarda hizmet alan kişilerin birbirlerine ait kişisel verileri görmesini veya duymasını önleyecek gerekli tedbirleri alması gerektiğini açıklamıştır. Kurul bu bağlamda özellikle bankalara ve sağlık kuruluşlarına atıfta bulunmuştur. Telefon rehberi hizmetlerine ilişkin 2017/61 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; telefon numarası veya ad üzerinden sorgulama imkânı sunan ve kişisel verileri, Kanun’da ve ilgili mevzuatta belirlenen haklı bir sebep olmaksızın paylaşan internet siteleri ile uygulamaların faaliyetlerine derhâl son vermesi gerektiğine, aksi hâlde idari veya cezai yaptırımlarla karşılaşacaklarına karar vermiştir. Kararda; tüm veri işleme faaliyetlerinin Kanun’un 5. ve 6. maddelerindeki kişisel veri işleme şartlarına uygun olması ve kişisel veri işleyen kişilerin Kanun’daki diğer yükümlülüklere de uyması gerektiği vurgulanmaktadır.

Kurulun yayımladığı ilke kararları arasında şunlar yer almaktadır:

• Verilere yetkisiz erişilmesine ve verilerin yetkisiz kullanımına ilişkin 2018/63 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; veri sorumlularının, yetkisiz erişimlerin ve yetkinin kötüye kullanılmasının durdurulması ve önlenmesi için, uygun veri güvenliğini sağlamaya yönelik gerekli tüm teknik ve idari tedbirleri alması gerektiğini duyurmuştur.
• İlgili kişilerin iletişim bilgilerinin hukuka aykırı şekilde kullanılması suretiyle yapılan reklam faaliyetlerine ilişkin 2018/119 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul, ilgili kişilerin iletişim bilgileri hukuka aykırı şekilde kullanılarak yapılan reklam faaliyetlerine son verilmesi gerektiğini duyurmuştur. Kurul; e-posta, SMS ve arama yoluyla reklam yapanların da bu faaliyetleri durdurması gerektiğini, aksi hâlde yaptırım uygulanacağını belirtmiştir.
• Kişisel veri sorgulanmasına imkân tanıyan çeşitli yazılım programlarını kullanan kişi ve kuruluşlara ilişkin 2019/308 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; kişi ve kuruluşların, çeşitli yollarla elde edilen veriler üzerinden kişisel veri sorgulanmasına imkân tanıyan yazılım programları kullandığını tespit etmiştir. Kurul özellikle avukatlara, avukatlık bürolarına ve finans, gayrimenkul ile sigorta sektörlerinde faaliyet gösteren kişi ve kuruluşlara atıfta bulunmuştur. Kurul; bu tür yazılım programlarının kullanılmasının Kanun’un 12. maddesine uygun olmadığını ve bu yazılımları kullanan veri işleyenler hakkında Türk ceza mevzuatı kapsamında işlem yapılacağını duyurmuştur.
• İlgili kişilerce bildirilen iletişim bilgilerinin doğrulanması amacıyla veri sorumlularınca alınması gereken teknik ve idari tedbirlere ilişkin 2020/966 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; kişisel verilerin doğru ve gerektiğinde güncel tutulmasını sağlamak amacıyla, ilgili kişilerce beyan edilen iletişim bilgilerinin, telefon numarasına ve/veya e-posta adresine doğrulama kodu ve/veya doğrulama bağlantısı gönderilmesi gibi makul yöntemlerle doğrulanması gerektiğine karar vermiştir.
• Yeterli korumaya sahip ülkelerin belirlenmesinde kullanılacak kriterlere ilişkin 2019/125 sayılı Karar (karara buradan ulaşabilirsiniz): Kanun’un 9. maddesi kapsamında yayımlanmıştır;
• Kişisel veri ihlali bildiriminin usul ve esaslarına ilişkin 2019/10 sayılı Karar (karara buradan ulaşabilirsiniz);
• Veri sorumlusuna başvuru usulü ile Kurula şikâyet sürelerinin belirlenmesine ilişkin 2019/9 sayılı Karar (karara buradan ulaşabilirsiniz);
• Türkiye dışında yerleşik veri sorumlularının Veri Sorumluları Sicili’ne (“Sicil”) kayıt yükümlülüğüne ilişkin 2019/225 sayılı Karar (karara buradan ulaşabilirsiniz). Türkiye dışında yerleşik veri sorumluları; doğrudan veya şubeleri ya da irtibat büroları aracılığıyla Türkiye’de kişisel veri işleme faaliyeti yürütmeleri hâlinde VERBİS’e kayıt olmakla yükümlü olabilir;

Veri Sorumluları Sicili’ne kayıt yükümlülüğünün istisnalarına ilişkin kararlar şunlardır:

• 2018/32 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2018/68 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2018/75 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2018/87 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2019/353 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2020/315 sayılı Karar (karara buradan ulaşabilirsiniz) ve
• kayıt sürelerine ilişkin 2018/88 sayılı Karar (karara buradan ulaşabilirsiniz)

Sicile kayıt sürelerine ilişkin kararlar şunlardır:

• 2019/265 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2019/387 sayılı Karar (karara buradan ulaşabilirsiniz);
• 2020/482 sayılı Karar (karara buradan ulaşabilirsiniz) ve
• 2021/238 sayılı Karar (karara buradan ulaşabilirsiniz).

Kişisel Verileri Koruma Kurumu ayrıca, gelişmekte olan bu alanda mevzuatı ve uygulamayı açıklığa kavuşturmak amacıyla Kurulun özetlenmiş ve anonimleştirilmiş kararlarını yayımlamaktadır. Bu kararlar; Kurulun veri işleme, veri aktarımı ve güvenlik ihlallerinin belirli yönlerine nasıl yaklaşacağına dair fikir vermektedir. Kararlarda öne çıkan hususlar şunlardır:

• Unutulma hakkına ilişkin 2020/481 sayılı Karar (karara buradan ulaşabilirsiniz): Kurul; üçüncü taraf internet sitelerinden toplanan veriler üzerinden çalışan arama motorlarının, veri işleme faaliyeti yürüten birer veri sorumlusu olduğunu belirtmiştir. Kurul, ilgili kişilerin arama motoru sonuçlarından çıkarılma taleplerini unutulma hakkının bir alt başlığı olarak değerlendirmiştir. Bu taleplerin değerlendirilmesinde; ilgili kişinin temel hak ve özgürlükleri ile kamunun bilgiye erişim menfaati arasında bir denge testi yapılması gerekir. Kurul, bu denge testinde kullanılabilecek 13 kriterden oluşan bir liste yayımlamıştır.
• Kurul; kişisel veri güvenliği ihlalinin ilgili kişilere ihlalden 17 ay sonra bildirilmesinin makul süreyi aştığına ve bunun veri güvenliği ihlali oluşturduğuna karar vermiştir (karara buradan ulaşabilirsiniz);
• başka bir veri işleme şartı mevcutken ilgili kişiden ayrıca açık rıza alınması, veri sorumlusu bakımından hakkın kötüye kullanılması niteliğindedir; açık rıza, hizmetin ön şartı olarak da ileri sürülemez (karara buradan ulaşabilirsiniz);
• Kurul, mahkemelere talep edilenden fazla kişisel veri aktarılmasının veri minimizasyonu ilkesine aykırı olduğuna karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul, haklarını kullanmak isteyen ilgili kişilere 30 gün içinde yanıt vermeyen veri sorumlularını uyarmıştır (karara buradan ulaşabilirsiniz);
• Kurul; hukuki yükümlülüklerine dayanarak kişisel verileri on yıl süreyle saklayan bir şirketi, bu verileri hukuki yükümlülükleri dışındaki amaçlarla işlediği gerekçesiyle uyarmıştır (karara buradan ulaşabilirsiniz);
• Kurul; bir müşterinin kişisel verilerini aynı isimli başka bir müşteriye gönderen veri sorumlusuna, bu hatanın teknik ve idari tedbir eksikliğine işaret ettiği gerekçesiyle yaptırım uygulamıştır (karara buradan ulaşabilirsiniz);
• Kurul; hukuki dayanağı bulunmaksızın, üçüncü kişilere gönderilen örnek sözleşmelere bir çalışanın ikamet adresinin eklenmesinin ihlal oluşturduğuna karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul; basın özgürlüğünün özel hayatın gizliliği hakkı karşısında ağır bastığı gerekçesiyle, ilgili kişinin adının geçtiği bir köşe yazısından adının çıkarılması talebini reddetmiştir (karara buradan ulaşabilirsiniz);
• Kurul; ilgili işlemin gerçekleştirilmesi için gerekli olmayan ve kişisel veri içeren ek belgeler edinen bir veri sorumlusuna yaptırım uygulamıştır (karara buradan ulaşabilirsiniz);
• Kurul, 2019/122 sayılı kararıyla; ilgili kişinin başvurusuna yanıt vermeyen banka çalışanları hakkında disiplin hükümlerinin uygulanmasına ve bankanın, resmî internet sitesindeki aydınlatma metnini Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e uygun hâle getirmesine karar vermiştir (karara buradan ulaşabilirsiniz).
• Kurul, 2019/82 sayılı kararıyla; bir market zincirinin sadakat kartı uygulamasının pazarlama aracı olarak tasarlandığına ve bu nedenle özel nitelikli kişisel verilerin işlenmesi için rıza istenmesinin, veri sorumlusunun faaliyet kapsamıyla bağlantılı, sınırlı ve ölçülü olmadığına karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2018/90 sayılı kararında; veri sorumlusunun aydınlatma yükümlülüğü ile açık rıza alma süreçlerini ayrı ayrı yerine getirmesi gerektiğini belirtmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2018/106 sayılı kararında; kimliği belirsiz kişi veya kişilerin veri sorumlusu olarak kabul edilemeyeceğini belirtmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2018/156 sayılı kararıyla; yargı mercilerinin görev alanına giren konulara ilişkin olarak Kuruma yapılan başvuruların Kanun kapsamında değerlendirilmeyeceğine karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul; Microsoft’un, şirket sistemlerinde meydana gelen bir veri ihlali nedeniyle 8 Mayıs 2019’da Kurula bildirimde bulunduğunu duyurmuştur. Microsoft; hizmet sağlayıcılarından biri bünyesinde çalışan bir müşteri destek yöneticisinin kimlik bilgilerinin, üçüncü kişilerce yetkisiz olarak ele geçirildiğini bildirmiştir. Şirket; bu yöneticinin, Microsoft politikalarını ihlal ederek hesap giriş bilgilerini 13 destek temsilcisiyle paylaştığını rapor etmiştir. Bunun sonucunda üçüncü kişiler, 1 Ocak 2019 ile 28 Mart 2019 tarihleri arasında Microsoft kullanıcılarının e-posta hesaplarına kısmen erişebilmiştir (duyuruya buradan ulaşabilirsiniz);
• Kurul; Microsoft’un, güvenlik sistemlerindeki bir yapılandırma hatası sonucu müşteri kayıtlarının hukuka aykırı şekilde ifşa edilmesine yol açan bir ihlal nedeniyle 29 Ocak 2020’de Kurula bildirimde bulunduğunu duyurmuştur;
• Kurul, biyometrik verilere ilişkin 2019/81 ve 2019/165 sayılı iki güncel kararını ortaya koymuştur. Buna göre Kurul; üyelerinin giriş ve çıkışlarında biyometrik veri işlemeleri nedeniyle, spor salonu işleten iki ayrı veri sorumlusuna idari yaptırım uygulamıştır. Kurul; üyelerden alınan açık rızanın, hizmetten yararlanmanın ön şartı olarak sunulduğu, dolayısıyla bu rızaların özgür iradeyle verilmiş sayılamayacağı ve geçersiz olduğu yorumunu yapmıştır. Ayrıca Kurul; veri sorumlularının, üyelerinin spor salonlarına girişte parmak izi kullanmasını zorunlu ve tek yol olarak dayatması uygulamasının, toplanan verinin mümkün olduğunca azaltılmasını gerektiren ölçülülük ilkesine uygun olmadığına karar vermiştir. Kurul; açık rıza alınmasının, gereğinden fazla kişisel veri toplanmasını hukuka uygun hâle getirmeyeceğini ve veri toplamanın işleme amacıyla sınırlı ve ölçülü olması gerektiğini de açıkça belirtmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2019/296 sayılı kararıyla; ilgili kişinin erişim talebinin, başvurunun noter aracılığıyla veya güvenli elektronik imzalı e-posta ile gönderilmediği gerekçesiyle reddedilmesinin, Kanun’da ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de öngörülmeyen bir külfet oluşturduğuna karar vermiştir. Bu durum, ilgili kişinin usulüne uygun başvuru yapma hakkını engellemekte olup Tebliğ’in 6. maddesinde öngörülen hukuka ve dürüstlük kurallarına aykırılık oluşturmaktadır (karara buradan ulaşabilirsiniz);
• Kurul, 2020/13 sayılı kararıyla erişim hakkının uygulanmasına ilişkin görüşünü ortaya koymuştur (karara buradan ulaşabilirsiniz);
• Kurul, 2020/173 sayılı kararıyla; açık rızanın genel bir aydınlatma metnine dâhil edilemeyeceğine ve kişisel verilerin aktarılmasından önce alınması gerektiğine karar vermiştir. İlgili kişinin onayının bir onay (opt-in) bölümü üzerinden alınması, açık rıza şartlarının karşılanması için yeterli değildir. Bu onaya dayanılarak gerçekleştirilen aktarımlar hukuka aykırıdır (karara buradan ulaşabilirsiniz);
• Kurul, 2020/649 sayılı kararında ıslak imza ile biyometrik imza arasındaki farkı vurgulamıştır. Biyometrik imza çözümleri belirli bir standart çerçevesinde tanımlanmamıştır; farklı kurgusal özelliklere sahiptir ve ıslak imzaya eşdeğer kabul edilmez. 6098 sayılı Türk Borçlar Kanunu’ndaki imzaya ilişkin hükümler, klasik imza ile elektronik imzaya yönelik düzenlemeler olup biyometrik imzayı kapsamaz. Biyometrik imza özel nitelikli kişisel veri olduğundan, ancak Kanun’un 7499 sayılı Kanunla değişik 6/3 maddesindeki şartlardan birinin varlığı ve 6/4 uyarınca Kurulca belirlenen yeterli önlemlerin alınması hâlinde işlenebilir (karar 2024 değişikliğinden öncedir). 6098 sayılı Türk Borçlar Kanunu hükümleri ise “kanunlarda açıkça öngörülme” şartını karşılamamaktadır (karara buradan ulaşabilirsiniz);
• Kurul, ilgili kişinin arama motoru sorgu sonuçlarından çıkarılma talebine ilişkin 2020/927 sayılı kararını yayımlamıştır. Kurul; talebin görevli mahkemece değerlendirilmesi gerektiğine ve Kanun’un kapsamına girmediğine karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/93 sayılı kararıyla; ruh sağlığı verileri dâhil olmak üzere sağlık verilerinin silinmesini veya değiştirilmesini gerektiren bir durum bulunmadığına karar vermiştir; zira veriler, “yetkili kurum ve kuruluşlar” şartını taşıyan Bakanlık tarafından ve “kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı” amacıyla işlenmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/508 sayılı kararıyla; belirli bir amaçla alenileştirilmiş kişisel verilerin aynı amaçla işlenmesinin Kanun’u ihlal etmediğine karar vermiştir. Avukat arama sitelerinde yayımlanan kişisel veriler, Türkiye Barolar Birliği ile aynı amaçla işlendiğinden bu işleme hukuka aykırı değildir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/667 sayılı kararıyla; sigorta poliçesinin yenilenmesi için özel nitelikli kişisel verilerin elde edilmesi gerekli olduğundan, sigorta şirketinin, müşterisinin özel nitelikli kişisel verilerinin işlenmesi için açık rıza talep etmesinin hukuka uygun olduğuna karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul, icra takibi sırasında kişisel verilerin işlenmesine ilişkin 2020/710 sayılı kararını yayımlamıştır. 2004 sayılı İcra ve İflas Kanunu’nun 89. maddesi (kanun metnine buradan ulaşabilirsiniz), icra takibindeki alacaklıya, borçluya ait malvarlığı değerlerini elinde bulundurabilecek, borçlu dışındaki üçüncü kişilere karşı takibini sürdürme imkânı tanıdığından; bu kapsamda borçlu olmayan üçüncü kişilerin verilerinin işlenmesi Kanun’u ihlal etmez (karara buradan ulaşabilirsiniz);
• Kurul, sesli ve görüntülü kayıt yapan güvenlik kamerası (CCTV) uygulamasına ilişkin 2020/212 sayılı kararını yayımlamıştır. Kurul; veri sorumlularının her bir sesli ve görüntülü kayıt uygulamasının, ölçülülük ilkesi temelinde ayrıca değerlendirilmesi gerektiğini vurgulamıştır (karara buradan ulaşabilirsiniz);
• Kurul, 2020/307 sayılı kararıyla; ticaret sicili müdürlüklerinin uygulamasını ve ticaret sicili kayıtlarının aleniyeti ilkesini değerlendirmiştir. Ticaret sicili müdürlüklerince kaydedilen belgeler, gerçek kişi temsilcilere ait kişisel veriler içermektedir. Bu nedenle ticaret sicili müdürlükleri; kişisel veri içeren bölümlerin karartılması kaydıyla, talep edilen belgeleri ve/veya bilgileri üçüncü kişilere sağlamalıdır. Kurul; ticaret sicili müdürlüklerinin, ellerinde bulunan kişisel veriler bakımından sır saklama yükümlülüğü altında olduğunu ve 5490 sayılı Nüfus Hizmetleri Kanunu uyarınca nüfus kayıt bilgisi vermeye yetkili merci olmadığını belirtmiştir (karara buradan ulaşabilirsiniz);
• Kurul, 2020/507 sayılı kararıyla; ölen kişinin yasal mirasçılarının, sağlığa ilişkin kişisel veriler içeren kayıtları edinme hakkına sahip olduğuna karar vermiştir (karara buradan ulaşabilirsiniz);
• Kurul; bir havayolu şirketi müşterisinin, çağrı merkeziyle yaptığı görüşmeye ait ses kayıtlarını talep etmesine ilişkin 2020/504 sayılı kararını yayımlamıştır. Ses kayıtları, ilgili müşterinin verilerinin yanı sıra üçüncü kişilere ait kişisel veriler de içerdiğinden; havayolu şirketi, müşterisine ilgili görüşmenin karartılmış bir çözümleme metnini (transkriptini) sunmuştur. Kurul; bilgi talep etme hakkının, üçüncü kişilerin haklarını ihlal etmemek kaydıyla, ilgili veriyi edinme hakkını da kapsadığını belirtmiştir. Verinin üçüncü kişilerin haklarını ihlal etmesi hâlinde; ilgili kişiye ait tüm ayrıntıları içeren veri içeriğinin, transkript gibi alternatif bir biçimde sunulması, ilgili kişinin talebinin karşılanması bakımından uygun bir yoldur (karara buradan ulaşabilirsiniz);
• Kurul; veri ihlali bildiriminin amacının, ihlal nedeniyle ilgili kişilerin karşılaşabileceği olumsuz sonuçların hızla önlenmesine veya en aza indirilmesine imkân tanımak olduğuna karar vermiştir. Bu doğrultuda Kurul, 2019/271 sayılı kararında, bir veri ihlali bildiriminde bulunması gereken asgari unsurları belirlemiştir (karara buradan ulaşabilirsiniz) ve

Kurul, aşağıda sayılanlar hakkında idari para cezası uygulamıştır:

• hastaların kişisel verileri için yeterli düzeyde koruma sağlayamayan bir hastane (karara buradan ulaşabilirsiniz);
• bir iş başvurusu sahibinin kişisel verilerini, hukuki dayanağı bulunmaksızın diğer başvuru sahipleriyle paylaşan bir kariyer platformu (karara buradan ulaşabilirsiniz);
• bir iş başvurusu sahibinin özgeçmişini, başvuranın onayı olmaksızın, ortak bir elektronik platform üzerinden diğer grup şirketleriyle paylaşan bir şirket (karara buradan ulaşabilirsiniz);
• müşterilerini korumak için gerekli teknik ve idari tedbirleri alamayan bir teknik servis şirketi; Kurul daha sonra, önceki kararına uymaması nedeniyle bu şirkete ikinci bir idari para cezası uygulamıştır (2019/52 sayılı karara buradan ulaşabilirsiniz);
• kullanıcıların görsel verilerine hukuka aykırı erişimi önleyemeyen bir sosyal medya platformu (Facebook). Bu veri ihlali bir “API hatasından” kaynaklanmış; bunun sonucunda üçüncü taraf uygulamalar, 12 gün boyunca kullanıcı fotoğraflarına erişebilmiştir. Uygulanan ceza, toplam 1,65 milyon TL olup iki kalemden oluşmaktadır: Kurul; gerekli teknik ve idari tedbirlerin alınması için zamanında harekete geçilmemesi nedeniyle öncelikle 1.100.000 TL, API hatasının tespitinden sonra Kurula en kısa sürede bildirimde bulunulmaması nedeniyle ise ikinci olarak 550.000 TL idari para cezası uygulamıştır (2019/104 sayılı karara buradan ulaşabilirsiniz);
• ulaştırma ve konaklama sektörlerinde faaliyet gösteren üç ayrı şirket: Kurul; gerekli idari ve teknik tedbirlerin alınmaması ile veri ihlalinin Kurula ve ilgili kişilere en kısa sürede bildirilmesi yükümlülüğüne uyulmaması nedeniyle, ulaştırma şirketlerinin her birine ayrı ayrı 550.000 TL, bir otele ise 1,45 milyon TL idari para cezası uygulamıştır (2019/144 sayılı karara buradan ulaşabilirsiniz);
• ilgili kişinin açık rızasını almaksızın, aynı konuya ilişkin olarak ilgili kişiye birden çok kez kısa mesaj gönderen bir varlık yönetim şirketi (2019/159 sayılı karara buradan ulaşabilirsiniz);
• ilgili kişinin açık rızası olmaksızın ticari elektronik ileti gönderen bir veri sorumlusu. Kurul; ilgili kişiye ticari elektronik ileti gönderilmesinin bir veri işleme faaliyeti olduğuna ve Kanun’un 5. maddesinde öngörülen veri işleme şartlarına uygun olması gerektiğine karar vermiştir (2019/162 sayılı karara buradan ulaşabilirsiniz);
• kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğünü yerine getirmeyen bir veri sorumlusu; 50.000 TL idari para cezası uygulanmıştır (2019/166 sayılı karara buradan ulaşabilirsiniz);
• kullanıcı verilerine hukuka aykırı erişimi önleyemeyen bir sosyal medya platformu (Facebook). Bu veri ihlali, Facebook’un üç farklı özelliğine ilişkin birden çok hatanın karmaşık etkileşiminden kaynaklanmıştır. Ancak söz konusu ihlal, Kanun’da öngörüldüğü şekilde Facebook tarafından Kurula usulüne uygun olarak bildirilmemiştir. Bunun üzerine Kurul, Kanun’un 15/1 maddesi uyarınca Facebook hakkında resen inceleme başlatmıştır. İnceleme sonucunda Kurul; olası veri ihlallerini önlemek için gerekli teknik ve idari tedbirleri almaması ve ihlali Kurula bildirmemesi nedeniyle Facebook’a 1,6 milyon TL idari para cezası uygulamıştır (2019/269 sayılı karara buradan ulaşabilirsiniz);
• kişisel verilerin korunması için yeterli düzeyde idari ve teknik tedbir almayan bir veri sorumlusu; ayrıca veri ihlalinin Kurula ve ilgili kişilere en kısa sürede bildirilmesi yükümlülüğünün ihlali nedeniyle ikinci bir idari para cezası uygulanmıştır (2019/222 sayılı karara buradan ulaşabilirsiniz);
• sadakat programı üyeliğinin kullanıcı adı ve şifresinin değiştirilmesi talebine karşılık, ilgili kişiden kimlik kartının her iki yüzünü talep eden bir havayolu şirketi; kimlik kartında yer alan sağlık ve din verileri (özel nitelikli kişisel veriler), ilgili kişinin açık rızası alınmaksızın işlenmiştir. Kurul ayrıca veri sorumlusunun; kişisel verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı şekilde veri işlediğine karar vermiştir (2019/294 sayılı karara buradan ulaşabilirsiniz);
• ilgili kişinin kendisi tarafından alenileştirilen kişisel verileri, alenileştirme amacına aykırı şekilde işleyen bir veri sorumlusu (2019/331 sayılı karara buradan ulaşabilirsiniz);
• ilgili kişinin özel nitelikli kişisel verisini, açık rızası olmaksızın bir köşe yazısında ifşa eden bir gazete. Kurul; özel nitelikli kişisel verinin, kişisel veri işleme şartlarına aykırı olarak açıklandığına karar vermiş ve kişisel verilerin hukuka aykırı işlenmesini önleyemeyen gazeteye idari para cezası uygulamıştır (2019/372 sayılı karara buradan ulaşabilirsiniz);
• kredi kartının teslimi sırasında, kişisel verilerin korunmasının sağlanmasına ilişkin yükümlülükleri doğrultusunda yeterli idari ve teknik tedbirleri almayan ve ilgili kişinin verilerinin güncel tutulması için yeterli ve makul çabayı göstermeyen bir banka. Kurul; kuryenin, zarfın içinde yer alan veriler bakımından veri sorumlusu olmadığına; ancak hizmetini sunmak için kullandığı gönderici ve alıcı adı-soyadı gibi veriler bakımından veri sorumlusu olarak hareket ettiğine karar vermiştir (karara buradan ulaşabilirsiniz);
• yeterli güvenlik açığı testleri yürütmek için yeterli düzeyde idari ve teknik tedbir almayan bir oyun şirketi. Yetkisiz erişim, şirketin log kayıtları üzerinden tespit edilmiş; ancak şirket, olası ihlal riskini log kayıtları aracılığıyla fark edememiştir. Önleyici teknik tedbirler, kullanıcı verilerinin ihlalinden sonra alınmış ve Kurula herhangi bir bildirimde bulunulmamıştır (2020/286 sayılı karara buradan ulaşabilirsiniz);
• düzeltme talebine ilişkin hukuki ihtarı, kişisel veri içeren bölümleri maskelemeden yayımlayan bir medya şirketi (2020/145 sayılı karara buradan ulaşabilirsiniz);
• önceki bir kiralama işleminde elde edilen kredi kartı bilgilerini, başka bir kiralama işleminin ödemelerinde kullanan bir araç kiralama şirketi. Müşteri sözleşmelerinde, kredi kartı bilgilerinin gelecekteki olası işlemlerde kullanılmasına imkân tanıyan hükümler haksız şart olarak değerlendirilmiş olup bu tür hükümler açık rıza şartlarının karşılanması için yeterli değildir (2020/166 sayılı karara buradan ulaşabilirsiniz);
• öğrencilerinin planlama becerileri ile dikkat süreçlerini değerlendirmek amacıyla, ilgili kişinin velisinin açık rızasını almaksızın CAS Testi (Bilişsel Değerlendirme Sistemi) uygulayan bir özel okul. CAS Testi sonuçları, özel nitelikli kişisel veri kapsamında değerlendirilmesi gereken, öğrencilerin zihinsel değerlendirmesine ilişkin bilgiler içerdiğinden; veri sorumlusu, aydınlatma yükümlülüğünü yerine getirmeli ve ilgili kişinin velisinin açık rızasını almalıdır (2020/255 sayılı karara buradan ulaşabilirsiniz);
• müşterilerinin açık rızasını, hizmetlerinin ön şartı olarak alan bir araç kiralama şirketi (2020/335 sayılı karara buradan ulaşabilirsiniz);
• işyerinde parmak izi uygulaması yürüten bir şirket. Kurul; özel nitelikli kişisel verinin, kişisel veri işleme şartlarına aykırı olarak işlendiğine karar vermiş ve aydınlatma yükümlülüğü ile açık rıza alma yükümlülüğüne aykırılık nedeniyle şirkete idari para cezası uygulamıştır (2020/404 sayılı karara buradan ulaşabilirsiniz) ve
• alacaklarına ilişkin olarak borçlusunun kardeşiyle iletişime geçen bir banka. Kurul; kişisel verilerin, veri işleme şartlarına aykırı olarak işlendiğine karar vermiş ve açık rıza alınmaması nedeniyle bankaya idari para cezası uygulamıştır. Buna karşılık Kurul; banka adına, alacakların tahsili amacıyla borçlunun kardeşiyle iletişime geçen banka avukatı hakkında idari para cezası uygulamamıştır; zira avukat, aramayı bankanın sağladığı iletişim bilgilerine dayanarak yapmış ve görüştüğü kişinin bankanın borçlusu olmadığını fark ettiği anda görüşmeyi sonlandırmıştır (2021/115 sayılı karara buradan ulaşabilirsiniz).

Kurul, aşağıdaki durumda disiplin hükümlerinin uygulanmasına karar vermiştir:

Öğrencilerin sınav sonuçlarını internette yayımlayarak üçüncü kişilerin erişimine açan bir devlet üniversitesi. Kurul; yıllar önce sınava giren öğrencilerin sınav sonuçlarının, herhangi bir süre sınırı olmaksızın üçüncü kişilerin erişimine açık kalamayacağını belirtmiş ve veri sorumlusunun, Kurulun bilgi ve belge talebine zamanında yanıt vermediğine karar vermiştir (2019/188 sayılı karara buradan ulaşabilirsiniz).

Yaptırım riskinin azaltılmasında ilk adım kurumsal uyumdur: KVKK & GDPR uyum programı hizmetimiz ve KVKK mevzuat kaydımız güncel çerçeveyi sunar.