20 Mart 2021 tarihinde Kişisel Verileri Koruma Kurumu’nun (Kurum) internet sitesinde 9 yeni karar yayımlandı. Söz konusu kararların özetlerini bilgilerinize sunarız.
İlgili kişi, çalıştığı şirketten Kanun’un 11. maddesi kapsamında bilgi talebinde bulunmuş ancak şirketten yeterli bir cevap alamamıştır. İlgili kişi, Kurul’a yaptığı şikâyette aşağıdaki hususlara yer vermiştir:
Kurul tarafından yapılan değerlendirmede; her ne kadar veri sorumlusu tarafından Kuruma gönderilen savunma yazısında çalışan ve aday çalışanlarının her birine KVKK Aydınlatma Metni ve Açık Rıza metninin tebliğ edildiği ve çalışanların bu metinleri imza karşılığı olarak veri sorumlusuna teslim ettiği ifade edilse de bu yazıların ekinde aydınlatma metnine yer verilmediği belirtilmiştir.
Ayrıca “Kişisel Verilerin İşlenmesine İlişkin Çalışan Muvafakatnamesi”nin hem aydınlatma metni hem de açık rıza metni olarak düzenlendiği kabul edildiğinde, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de yer alan hüküm gereği açık rıza ve aydınlatma metninin ayrı ayrı yerine getirilmesi gerektiği sebebiyle aydınlatmanın şekli olarak usulüne uygun yapılmadığı ifade edilmiştir. Muvafakatnamenin içerik olarak da aydınlatma yükümlülüğünü yerine getirmediği ve aşağıda belirtilen eksiklikleri taşıdığı tespit edilmiştir:
Veri sorumlusu ayrıca savunmasında çalışan tarafından onayın verilmemesi sebebiyle özlük dosyasının tamamlanmamış kabul edileceğini belirtmiştir. Ancak Kurul bu durumun, çalışana rıza gösterme imkânının etkin bir biçimde sunulmaması anlamına gelmekte olduğunu ve verilen rızanın geçerli bir açık rıza beyanı olarak değerlendirilemeyeceğini belirtmiştir. Kurul ayrıca biyometrik verilerin işlenmesinin Kanun’un 4. maddesinde yer alan “İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine de aykırı olduğu, “ acil durum yönetimi sürecinin yürütülmesi, fiziksel mekân güvenliği ve yetkili kurum ve kuruluşlara bilgi verilmesi amaçları ”nın farklı yollarla da hasıl olması mümkünken söz konusu veri işleme faaliyeti ile orantısız bir veri işleme yapıldığını tespit etmiştir. Bir diğer eksiklik olarak; kişisel verilerin aktarıldığı üçüncü kişiler arasında “ Bu bölümde sayılan şirketlerin yerini alabilecek diğer şirketler ” benzeri ifadelerin yer alması halinde, işlenecek kişisel verilerin tam olarak nereye aktarılacağının rıza verecek ilgili kişi tarafından tam olarak bilinemeyebileceğinden, bu şekilde verilen rızanın açık rıza olarak değerlendirilemeyeceği belirtilmiştir. Son olarak veri sorumlusu tarafından serverları yurt dışında bulunan hizmetlerin kullanımının yurt dışına kişisel veri aktarımı olduğu ve Kanun’un 9. maddesine uygun hareket edilmesi gerektiği ifade edilmiştir.
Bu sebeple veri sorumlusu hakkında;
idari para cezası uygulanmasına karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6913/2020-404
İlgili kişi tarafından yapılan şikâyette, yakınına ait bir borca ilişkin cep telefonuna iki adet kısa mesaj (SMS) gönderildiği; bu doğrultuda ilgili hukuk bürosuna ve alacak sahibi Şirkete başvuruda bulunduğu ancak verilen yanıtların birbiri ile çelişkili ve yetersiz olduğu ifade edilmiş ve 6698 sayılı Kanun kapsamında gereğinin yapılması talep edilmiştir.
Yapılan incelemede alacaklı Şirketin abonelerine ait borçların takibinin yapılabilmesi amacıyla iki aşamalı bir süreci ilgili Hukuk Büroları avukatları ile yürüttüğü ve Yasal Takip Sistemi (YTS) adı verilen ve üyelere ait bilgilerin bulunduğu sistemin kullanıldığı anlaşılmıştır. Karara konu olay özelinde ise şikâyetçiye ait GSM numarasının, ilk Hukuk Bürosu çalışanı tarafından temin edildiği ve Yasal Takip Sistemine bu büro çalışanı tarafından kaydedildiği görülmüştür. Söz konusu Hukuk Bürosu çalışanı tarafından numaranın borçlu kişinin yakınına ait olduğunu belirli kılacak şekilde ‘not’ olarak kaydedildiği, dolayısıyla borçlu kişinin yakını olması nedeniyle ilgili kişiye ait telefon numarasının YTS sistemine işlendiği anlaşılmıştır. Bu kapsamda Kurul, ilgili sistemde borçlu kişiye ait olmayan ve YTS sisteminde bulunmayan numarayı bir şekilde temin ederek işlemesi dolayısıyla ilk Hukuk Bürosu Avukatının olay özelinde veri sorumlusu olduğuna kanaat getirilmiştir. Ek olarak İlgili kişinin kişisel verilerinin açık rızası olmaksızın işlendiği iddiası ile ilgili olarak ilk Hukuk Bürosu Avukatından alınan savunmada, ilgili kişinin telefon numarasının farklı yollarla ulaşılabilmiş olacağı belirtilmiştir. Yapılan değerlendirmede ileri sürülen olasılıkların açık rıza dışındaki işleme şartlarına ilişkin bir hukuki dayanak oluşturmadığı tespit edilmiştir.
Bunlara ilaveten borçların tahsilatına ilişkin ikinci aşamada ilk avukatlık bürosunun YTS’ye girmiş olduğu verilerin ikinci Hukuk Bürosu ile paylaşıldığı görülmüştür. Yapılan incelemede şikâyetçiye kısa SMS gönderen ikinci Hukuk Bürosu Avukatından bahse konu telefon numarasının borçlu kişiye ait olmadığı bilgisinin mevcut ve açıkça belirli olduğu halde kullanılarak SMS gönderildiği hususu dikkate alınmıştır. Bu nedenle şikâyetçiye SMS gönderen ikinci Hukuk Bürosu Avukatının da YTS sistemi çerçevesinde kişisel veri işleme faaliyetinde bulunduğu dolayısıyla veri sorumlusu olduğuna karar verilmiştir.
Diğer taraftan söz konusu şikâyete konu olayda veri sorumlusu Şirket tarafından borç takibi yapılabilmesi amacıyla kullanılan sisteme ilk avukat tarafından girilen verilerin doğruluğu ve güncelliği noktasında gerekli denetim ve kontroller yapılmaksızın dosyanın ikinci bir avukat ile paylaşıldığı anlaşılmıştır. Bu nedenle 6698 sayılı Kanunun 4 üncü maddesine atıfta bulunularak söz konusu davranışın genel ilkelerden biri olan doğru ve gerektiğinde güncel olma ilkesine aykırılık teşkil ettiği sonucuna varılmıştır.
Bu çerçevede;
karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6917/2021-111
Şikâyet dilekçesinde bir kargo firmasında görev yaparken iş akdinin haksız olarak feshedilmesinin ardından özlük dosyası kapsamında yer alan kişisel verilerinin birer suretini 6698 sayılı Kanun’un 11 inci maddesinin (1) numaralı fıkrasının (b) bendi kapsamında talep edilmesine rağmen, 30 gün içerisinde herhangi bir cevap verilmediği belirtilmiştir. Bu nedenlerle veri sorumlusu hakkında yaptırım uygulanması ve özlük dosyası kapsamında yer alan kişisel verilerinin birer suretinin tarafına verilmesi amacıyla veri sorumlusunun talimatlandırılması talep edilmiştir.
Konuya ilişkin olarak veri sorumlusu kargo firmasından alınan savunmada; ilgili kişi tarafından yapılan başvuruda kişisel verilerine ilişkin bilgi talep etmediği, kendisi tarafından verilen belgelerin birer örneğini talep ettiği belirtilmiştir. Bu doğrultuda Kanunun 11 inci maddesinde ilgili kişinin haklarının düzenlendiği ancak ilgili kişinin veri sorumlusuna başvurarak kendisinden ilgili belge örneklerini isteyebileceğine ilişkin bir hakkın madde metninde düzenlenmediği ifade edilmiştir. Bu nedenle, Kanunda düzenlenmeyen bir konu olan belge örneği talebi içeren bu talebin Kanunun 11 inci maddesi kapsamında karşılanmasının mümkün olmadığı ileri sürülmüştür.
Kararda öncelikle ilgili mevzuat hükümlerine atıfta bulunulmuştur. Ardından Anayasanın 20 nci maddesinde yer verilen düzenleme ile “… kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme…” hakkına sahip olduğu ve Kanunun 11 inci maddesinin (1) numaralı fıkrasının (b) bendi çerçevesinde ise ilgili kişilerin kişisel verileri işlenmişse buna ilişkin bilgi talep etme hakkına sahip olduğunun düzenlendiği belirtilmiştir. Bu kapsamda ilgili kişinin veri sorumlusundan kişisel veri niteliğinde olan ilgili belgeleri Kanunun 11 inci maddesinin (1) numaralı fıkrasının (b) bendi kapsamında talep ettiği, yukarıda anılan mevzuat kapsamında ilgili kişinin kişisel verilerine erişme hakkının olduğu ve bu hakkını veri sorumlusuna karşı ileri sürebileceği değerlendirilmiştir.
Diğer yandan veri sorumlusu tarafından, ilgili kişinin konu ile ilgili olarak yargı yoluna başvurduğu ve bu nedenle şikâyetin reddinin gerektiği ileri sürülmüştür. Ancak yapılan değerlendirmede söz konusu şikâyetin konusunun kişisel verilere ilişkin olması, suç unsuru barındırmaması ve açılan davanın kişisel verilere ilişkin bir dava olmaması sebepleriyle konunun kişisel verilere ilişkin olan yönünün ele alınmasında bir sakınca olmadığı sonucuna varılmıştır.
Bu kapsamda ilgili kişiye ait kişisel veri niteliğindeki bilgilerini içeren ilgili belgelerin birer örneğinin ilgili kişiye verilmesi ve veri sorumlusunun, ilgili kişiler tarafından Kanun kapsamında yapılan başvurulara yasal süresi içerisinde cevap vermesi noktasında azami dikkat ve özeni göstermesi gerektiği hususlarında talimatlandırılmasına karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6916/2020-435
Şikâyet dilekçesinde özetle; Google arama motorunda ilgili kişinin adı ve soyadının aratılması sonucunda veri sorumlusu Gazetenin internet sitesinde yer alan habere ulaşıldığı, bu haberde ilgili kişinin hüküm giydiği suça ilişkin bilgilerin yer aldığı belirtilmiştir. Anılan haberin 2009 Haziran dönemine ait olduğu, söz konusu cezanın tamamının infaz edildiği, ulaşılan haberler nedeniyle ilgili kişinin iş hayatının ve ailesinin bu durumdan olumsuz etkilendiği, ancak Gazeteye yapılan başvurunun aynı gün reddedildiği ifade edilmiştir. Bu doğrultuda haberlerin kaldırılması, ilgili kurumlara 6698 sayılı Kanun kapsamında idari para cezası verilmesi, veri işlenmesinin ve verinin yurt dışına aktarılmasının durdurulması, ilgili kurumlar hakkında Savcılığa suç duyurusunda bulunulması talep edilmiştir.
Veri sorumlusu Gazete savunmasında, Kanunun ‘İstisnalar’ başlıklı 28 inci maddesinin birinci fıkrasının (c) bendine atıfta bulunarak, kişisel verilerin ‘ifade özgürlüğü’ kapsamında işlenmesinin ‘hukuka uygunluk’ nedeni olarak değerlendirileceğinin açıkça ifade edildiğini belirtmiştir. Nitekim Gazetenin savunmasında esasen şikâyet konusu yazının ‘kamunun haber alma hakkı’ kapsamında kaleme alındığı ve istisnalar arasında olan ‘ifade özgürlüğü’ içerisinde değerlendirilmesi gerektiği ve 6698 sayılı Kanuna aykırı bir işlemin bulunmadığı” yönünde karar verilmesi talep edilmiştir.
Kararda ifade özgürlüğünün bir yansıması olan basın özgürlüğü ile kişilik hakları karşı karşıya geldiğinde haberin; kamu ilgi ve yararı taşıması, gerçek ve güncel olması ve özü ile biçimi arasındaki denge kriterleri kapsamında değerlendirilmesi suretiyle hangi hakka üstünlük tanınması gerektiğinin belirlenmesinin önem arz ettiği belirtilmiştir. Nitekim somut olay özelinde bu üç kriter üzerinden değerlendirme yapılmıştır. Konuya ilişkin yapılan inceleme neticesinde ilgili kişinin kendisine ilişkin verinin söz konusu habere konu edilerek yayımlanmasında hâlihazırda kamu yararı bulunduğu ve bu itibarla çatışan haklar bakımından ifade özgürlüğünün kişilik haklarına üstün geldiği sonucuna varılmıştır. Bu nedenlerle söz konusu başvuru Kanunun 28. maddesinin birinci fıkrasının (c) bendi çerçevesinde değerlendirilmiş ve ilgili kişinin şikâyeti ile ilgili olarak Kanun kapsamında yapılacak bir işlem bulunmadığına karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6915/2020-414
Karara konu olan olayda şikâyet başvurusunda ilgili kişi, veri sorumlusu araç kiralama şirketinin hizmet noktasında, yetkilisi olduğu şirket adına kısa süreli araç kiralamak istediği, araç kiralama sözleşmesi ve ilgili belgelerin yetkili tarafından imzalanmasının talep edildiği, imzalanması talep edilen evrakları incelendiğinde önceki kiralamalardan farklı olarak kişisel verilerinin işlenmesine dair açık rıza verdiğine ilişkin evrakın da içinde bulunduğunu tespit ettiği, bunun üzerine kişisel verilerinin işlenmesine rıza göstermek istemediğini, bu nedenle de ilgili evrakı imzalamayacağını çalışana beyan etmesi üzerine araç kiralama işleminin gerçekleştirilmediğini ifade etmiştir. Sonrasında veri sorumlusuna yaptığı başvuru üzerine veri sorumlusu tarafından gönderilen yazıda taleplerine yönelik hiçbir cevap veya çözüm önerisinin yer almadığı gerekçesiyle Kurum’a başvurmuştur. Ancak bu şikâyet başvurusu ilgili kişinin çalıştığı şirket tarafından yapılmış ve veri sorumlusu da şirketi muhatap alarak cevap vermiştir. Kurum ise burada veri sorumlusuna başvuracak olan tarafın şirket değil, mağduriyet yaşayan şirket çalışanı olması sebebiyle ilgili kişiyi başvuruyu kendisinin yapması gerektiğine ilişkin öncelikle bilgilendirmiştir. Bunun üzerine ilgili kişi kendi adına veri sorumlusuna başvuruda bulunmuş olup veri sorumlusu tarafından başvuruya ilişkin cevap verilmemesi üzerine bir önceki şikâyet dilekçesine konu hususları tekrar ederek Kurum’a başvurmuştur.
Veri sorumlusu tarafından yapılan savunmada aşağıdaki hususlara yer verilmiştir:
Kurul tarafından yapılan değerlendirmede, veri sorumlusuna yapılan her iki başvurunun içeriği benzer olsa da birinci başvurunun ilgili kişinin yetkilisi olduğu tüzel kişilik adına, ikinci başvurunun ise ilgili kişinin kendisi tarafından yapıldığı belirtilmiştir. Bu husus göz önüne alındığında başvuruların içerik açısından aynı olsa dahi başvuran kişiler açısından farklı olması sebebiyle iki başvurunun aynı nitelikte olmadığı, bu sebeple ayrı bir başvuru olarak veri sorumlusu tarafından cevaplanması gerekirken herhangi bir cevap verilmediği ve veri sorumlusunun Kanun kapsamında kendisine yapılan başvurulara Tebliğ’e uygun olarak hareket etmediği tespiti yapılmıştır. Bu kapsamda veri sorumlusunun Tebliğ’e uygun hareket etmesi konusunda talimatlandırılmasına karar verilmiştir.
Kurul, ilgili kişinin kişisel verilerinin “kanunlarda açıkça öngörülmesi” ve “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” şartlarının var olması sebebiyle ilgili kişisel verilerin işlendiğini tespit etmiştir. Önceki içtihadına paralel olarak Kurul, karara konu olayda kişisel veri işleme şartlarının varlığına rağmen açık rıza alınmasının, ilgili kişinin yanıltılması ve yanlış yönlendirilmesi dolayısıyla veri sorumlusunca hakkında kötüye kullanılması anlamına geldiğini tespit etmiştir. Dolayısıyla 6698 sayılı Kanun’un 5. maddesinin ikinci fıkrasının söz konusu olmadığı diğer hallerde açık rıza alınması yoluna gidildiği ve açık rıza verilmemesi halinde hizmetten yararlandırılamayacağı dolayısıyla hizmetin açık rıza şartına bağlandığı ifade edilmiştir.
Bu nedenlerle araç kiralama hizmeti alımı esnasında veri sorumlusu tarafından 6698 sayılı Kanun’un 5. maddesinin ikinci fıkrasında yer alan işleme şartları dışındaki haller kapsamında hizmetten faydalanmak isteyen kişilerin kişisel verilerinin işlenmesi amacıyla toptan bir şekilde açık rıza alımı yoluna gidildiği, hizmetin ifası için gerekli olmamasına rağmen kişisel verilerin talep edildiği ve açık rıza verilmemesi durumunda da kişilere hizmet verilmediği dikkate alındığında; veri sorumlusu hakkında 50.000 TL idari para cezası uygulanmasına karar verilmiştir.
Karara ulaşmak iç in: https://kvkk.gov.tr/Icerik/6909/2020-335
Söz konusu şikâyet başvurusunda ilgili kişi, personeli olduğu üniversiteye iletmiş olduğu dilekçesinin akıbeti hakkında kendisine bilgi verilmesini talep ettiğini ve bu kapsamdaki talebine ilişkin cevabın ise doğrudan ve sadece kendisine verilmesi gerekirken başvurusunun halihazırda görevli olduğu aynı üniversitenin meslek yüksekokulu müdürlüğüne iletildiğini ifade etmiştir. Ayrıca bu yazının tüm taraflara açık biçimde yazılmış ve personele iletilen alelade resmi yazı şeklinde iletildiği, ilgili kişinin üçüncü kişilerin erişimine açılan kişisel bilgilerinin 6698 sayılı Kanun kapsamında korunmasına yönelik olarak veri sorumlusundan gerekli tedbirleri almasını talep ettiği ancak yasal süre içinde gerekli tedbirlerin alınmadığı ve tarafına cevap verilmediği belirtilerek 6698 sayılı Kanun kapsamında gereğinin yapılması için talepte bulunduğu belirtilmiştir.
Üniversite tarafından Kurum’a iletilen cevap yazısında, ilgilinin başvurusunda yazı içeriğinde kendisine ait ad, soyad, unvan ve sicil numarasına yer verilerek kişisel bilgilerinin üçüncü kişilerin erişimine açıldığının belirtildiği ancak ilgilinin zaten üniversiteye bağlı bir birimde görevli olması sebebiyle bu bilgilerin çalıştığı birimde bulunması zorunlu olan bilgiler olduğu belirtilmiştir. Buna ek olarak başvuruya dilekçenin geldiği sistem üzerinden bağlantı kurularak, herhangi bir kasıt olmaksızın cevapla butonu ile yanıt verildiği için doğrudan çalıştığı birime gitmesine neden olunduğu ve bu nedenlerle de ilgili kişinin kişilik haklarının korunması ilkesi doğrultusunda zedeleyici/yıpratıcı bir tutum sergilenmesinin söz konusu olmadığı ifade edilmiştir.
Yapılan incelemeler neticesinde öncelikle veri sorumlusunun kendisine yapılan başvuruya cevap vermemesinin başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırma yükümlülüğüne aykırı olduğu değerlendirilmiş ve veri sorumlusunun kendilerine yapılan başvurulara Tebliğe uygun olarak cevap verilmesi hususunda azami dikkat ve özenin gösterilmesi konusunda talimatlandırılmasına karar verilmiştir.
Buna ek olarak başvuruya konu olayda ilgili kişinin Bilgi Edinme Hakkı Kanunu kapsamında veri sorumlusuna yönelik başvurusuna verilen yanıtın, ilgili kişinin çalıştığı birime gönderilmesi suretiyle kişisel verilerinin açıklanmasında Kanunun 5. maddesi kapsamında herhangi bir hukuki dayanak söz konusu olmaması nedeniyle 6698 sayılı Kanun’un 18. maddesinin üçüncü fıkrası uyarınca işlem yapılmasına ve işlemin sonucu hakkında Kurul’a bilgi verilmesine karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6910/2020-336
Karara konu şikâyet başvurusunda, bir Tıp Merkezinin internet sitesinde pazarlama amaçlı olarak “Video Tanıtım” bölümü içerisinde şikayetçiye ait görsel ve işitsel kişisel verilerin işlendiği, şikayetçinin akdedilen iş sözleşmesinin sona ermesi sebebiyle bu verilerin işleme amacı veya konusunun kalmadığı gerekçesiyle veri işlemenin durdurulmasını ve verilerinin kaldırılmasını talep ettiği, bu çerçevede veri sorumlusuna başvurduğu, bildirimde bulunmasına rağmen yasal sürede ilgili kişiye bilgi verilmediği, internet sitesindeki videoların silinmediği ifade edilerek tarafına bilgi verilmesi için talepte bulunduğu belirtilmiştir.
Kurul tarafından, ilgili kişinin silme talebinin üzerinden makul süre geçmesine rağmen söz konusu kişisel veri işleme faaliyetine 6698 sayılı Kanun’un 5. maddesinde yer alan kişisel verilerin işlenme şartlarından herhangi birine dayanmaksızın devam edildiği, bu durumun ise Kanun’a aykırılık teşkil ettiği tespit edilmiştir.
Bu sebeple, veri sorumlusu hakkında 6698 sayılı Kanun’un 12. maddesinde kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almaması nedeniyle 75.000 TL idari para cezası uygulanmasına karar verilmiştir. Buna ek olarak ilgili kişinin talebi doğrultusunda işlenmesini gerektiren herhangi bir sebep bulunmaması durumunda veri sorumlusu tarafından ilgili kişiye ait işlenen tüm kişisel verilerin silinmesi veya yok edilmesi ve tevsik edici belgelerin ilgili kişiye ve Kurul’a gönderilmesi hususunda ve 6698 sayılı Kanun’un 13. maddesi kapsamında başvuruda bulunan ilgili kişilere cevap verilmesine ilişkin gerekli özeni göstermesi hususunda veri sorumlusunun talimatlandırılmasına karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6911/2020-379
İlgili kişi, şikâyete konu hastanenin Tüp Bebek bölümüne tahlil için başvurduğunda tahlil sonuçlarının e-posta yoluyla kendisinden başka bir e-posta adresine ve tanımadığı bir kişiye daha gönderildiğini fark etmiştir. Veri sorumlusu hastaneye ihtarname ile bilgi talebinde bulunmuş olup, hastane hatanın kabul edildiğini içeren bir cevap vermiştir. Bunun üzerine Kurul’a yapılan şikâyet başvurusu kapsamında veri sorumlusunun savunması alınmış ve hastane özetle; tahlil sonuçlarının aynı gün aynı test için hastalarını hastane laboratuvarına yönlendirmiş olan başka bir doktorun özel asistanına ve hastaların kendilerine e-posta olarak iletildiğini belirtmiştir. Ayrıca yetkilendirmeye ilişkin değişikliklerin yapılacağını ifade etmiştir.
Kurul, tahlil sonuçlarının özel nitelikli kişisel veri olduğunu belirterek, hastaneden bağımsız şekilde çalışan ve ayrı bir gerçek kişi veri sorumlusu olarak değerlendirilen doktorun asistanına mail atılmak suretiyle aktarılmasında Kanun’un 8. maddesi kapsamında bir hukuki dayanak bulunmadığına ve söz konusu aktarımın sehven yapıldığının beyan edilmesi sebebiyle kişisel verilerin hukuka aykırı olarak aktarıldığına karar vermiştir. Bunun üzerine Kurul, Kanun’un 12. maddesinde yer alan veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi sebebiyle 100.000 TL idari para cezası uygulanmasına karar vermiştir.
Ayrıca Kurul, veri sorumlusu Hastanenin veri sorumlusu olarak müdürü göstermeleri üzerine tüzel kişilerin, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizatihi kendilerinin veri sorumlusu olduğunu ve hukuki sorumluluğun da tüzel kişinin şahsında doğacağını hatırlatmıştır.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6914/2020-407
İlgili kişi, memuriyete ilk giriş tarihinden önce hakkında verilmiş olan ceza kararının özlük dosyasında yer alması, verilen kararda yer alan beş yıllık denetim süresinin dolması ve davanın düşmesine karar verilmesi, kararın adli sicil kaydından silinmesi ve bu itibarla özlük dosyasında yer alan karar ve ilgili dosyanın kaldırılarak imha edilmesi için çalıştığı kuruma başvurmuştur. İlgili kişinin başvurusu reddedilmiş olup, ilgili kişi bu dosyanın açık rızası dâhilinde, resmi olarak güvenlik soruşturması yapılmadan, kurumunda çalışmaya ilk başladığı tarihte İl Yazı İşleri Müdürünün kendisine sözlü olarak güvenlik soruşturması yapması ve mahkeme sürecinin devam etmesi sebebiyle mahkeme kararını getirmesinin gerekmesi üzerine özlük dosyasına konulduğunu ve bu verinin özlük dosyasında var olmasını gerektiren bir sebebin bulunmadığını belirterek özlük dosyasında yer alan mahkeme dosyasının kaldırılmasını talep etmiştir.
Veri sorumlusu kurum, ilgili kişinin başvuru belgeleri arasında yer alan “Güvenlik Soruşturması ve Arşiv Araştırması Formu”nda “Hakkınızda Verilmiş Bulunan Mahkûmiyet Hükmü veya Halen Devam Eden Ceza Davası Bulunup Bulunmadığı” kısmının “Var” olarak beyan edilmesi nedeniyle, 657 sayılı Devlet Memurları Kanunu’nda yer alan şartlara engel teşkil edip etmediğinin tespiti amacıyla, söz konusu mahkeme kararlarının ilgili kişinin kendi isteği ile kuruma sunduğunu belirtmiştir.
Sonuç olarak; atamaya esas teşkil eden belgelerin neler olduğuna ilişkin olarak 657 sayılı Kanun’da herhangi bir hüküm yer almasa bile, özel nitelikli kişisel veri niteliğini haiz bulunan “Ceza Mahkûmiyeti ve Güvenlik Tedbirleri” bilgisinin 657 sayılı Devlet Memurları Kanunu uyarınca atamayı yapacak kuruma sağlanması hususunda adli sicil bilgisinin talep edilmesinin, ilgili kişinin atamasının devlet memurluğu görevinin niteliği göz önünde bulundurularak Kanun’a aykırılık teşkil etmediğine ve kişisel verinin işlenebilmesinde “kanunlarda öngörülme” prensibi doğrultusunda hareket edileceği ve söz konusu ifadenin, “maddi kanun” biçiminde anlaşılması gerektiğine, bu doğrultuda, Devlet Personel Başkanlığının Kurum görüş talebine verdiği cevap ile 2 Seri No’lu Kamu Personeli Genel Tebliği hükümleri değerlendirildiğinde sözü edilen kararların özlük dosyasından çıkarılmasına yer olmadığına karar verilmiştir.
Karara ulaşmak için: https://kvkk.gov.tr/Icerik/6912/2020-396
Bilgi ve değerlendirmelerinize sunarız.