• Kişisel Verileri Korunması Hakkında Kanunu’nun (“KVKK”) yürürlüğe girmesinden önce işlenmiş kişisel verinin, KVKK’ya uygun hale getirilmemesi ve ilgili kişinin açık rızası olmadan işlenmeye devam edilmesi KVKK’ya aykırıdır. (06.02.2020 tarihli, 2020/103 sayılı karar)
Karara konu olay, ilgili kişinin hesap açtırmak için bankaya başvurduğunda, daha önce aynı bankanın başka bir ildeki şubesinde kendi adına açılmış bir ticari hesabının bulunduğu bilgisini öğrenmesine ilişkindir. Nitekim ilgili kişi daha önce, hesabın açıldığı şubeye gitmemesinin yanında herhangi bir ticari faaliyette de bulunmamıştır. Bu nedenle kişisel verilerinin hukuka aykırı şekilde işlenmesi suretiyle adına hesap açılmış olması hakkında Kurul’a başvuruda bulunmuştur. Başvuru üzerine Kurul tarafından konuya yönelik veri sorumlusunun savunması alınmıştır. Veri sorumlusu banka, potansiyel müşteri kazanımı amacıyla yapılan bir çalışmada üçüncü bir taraftan temin edilen liste vasıtasıyla ilgili kişinin bilgilerine ulaşıldığını ve müşteri numarasının oluşturulduğunu ancak hizmet sözleşmesi imzalanmadığı için müşteri numarasının aktif hale gelmediğini beyan etmiştir.
Kurul tarafından yapılan incelemede müşteri numarasının oluşturulduğu tarihte KVKK’nın yürürlükte olmadığı tespit edilmiş ise de; veri sorumlusu banka tarafından, ilgili kişinin başvurusu üzerine verilen cevap doğrultusunda veri sorumlusu bankanın söz konusu kişisel verileri işlemeye devam ettiği sonucuna ulaşılmıştır.
Bu doğrultuda işlenmiş olan kişisel verinin KVKK’ya uygun hale getirilmemesine karşın silinmemesi ya da yok edilmemesi veya anonim hale getirilmemiş olması nedeniyle genel ilkelere aykırı şekilde kişisel verilerin işlenmeye devam edilmesi; ayrıca açık rıza şartının da yerine getirilmemiş olması hususları göz önüne alınarak Kurul tarafından veri sorumlusu hakkında idari para cezası uygulanmasına karar verilmiştir.
• Kurul tarafından talimat verilen veri sorumlusunun, talimata aykırı davranması halinde veri sorumlusu hakkında idari para cezası uygulanır. (06.02.2020 tarihli, 2020/86 sayılı kararı)
Karara konu olay ilgili kişinin ikinci şikâyet başvurusuna ilişkindir. Kurul’a yapılan ilk başvuruda ilgili kişi, üye olduğu internet sitesinde kayıtlı olan e-posta adresinin güncellenmesini talep etmiş; ancak veri sorumlusu tarafından üyelik e-posta adreslerinde değişim yapılmaması ve istenilen e-posta adresi için yeni bir üyelik başlatılabileceği ileri sürülerek talebinin reddedilmesi üzerine şikâyette bulunmuştur. Kurul tarafından söz konusu başvuruya ilişkin olarak yapılan incelemede, ilgili kişinin, veri sorumlusuna usulüne uygun başvuru yapmaması nedeniyle kimliğinin tanımlanamaması göz önünde bulundurularak ilgili kişinin talebini reddeden veri sorumlusu hakkında KVKK kapsamında uygulanacak bir işlem bulunmadığına karar verilmiştir. Ayrıca veri sorumlusuna yapılacak başvurulara ilişkin olarak, başvuruların etkin, hukuka ve dürüstlük kurallarına uygun şekilde sonuçlandırılması için gerekli her türlü idari ve teknik tedbirlerin alınması hususunda veri sorumlusunun talimat verilmesine karar verilmiştir.
Bunun üzerine ilgili kişi tarafından söz konusu durum ile ilgili olarak veri sorumlusuna ikinci kez başvuruda bulunulmuştur. Nitekim ilgili kişi KEP hesabından veri sorumlusunun KEP hesabına e-posta göndererek sistemlerinde kayıtlı olan e-posta adresinin güncellenmesini talep etmiş ve gönderilen e-posta aynı gün içinde veri sorumlusu tarafından okunmuştur. Buna karşın veri sorumlusunun otuz gün içinde yapılan başvuruya cevap vermemesi nedeniyle ilgili kişi Kurul’a ikinci kez şikâyette bulunmuştur.
Kurul tarafından yapılan incelemede yalnızca başvuruya cevap verilmemesi nedeniyle veri sorumlusu hakkında KVKK kapsamında uygulanabilecek bir idari yaptırım olmadığından bahsedilmiş ise de; şikâyete konu başvurunun, ilgili kişinin veri sorumlusuna yaptığı ikinci başvuru olduğu ve Kurul’a yapılan ilk başvuru sonucunda veri sorumlusunun kendisine yapılacak başvuruları etkin, hukuka ve dürüstlük kurallarına uygun şekilde sonuçlandırılması için gerekli tedbirlerin alınması hususunda talimat verilmesi olması hali üzerinde durulmuştur. Ayrıca şikâyet başvurusundaki belgeler incelenmiş ve ilgili kişi tarafından yapılan başvurunun, veri sorumlusu tarafından kısa süre içinde okunduğu tespit edilmiştir.
Bu doğrultuda veri sorumlusunun Kurul’un talimatlarına aykırı olacak şekilde, ilgili kişinin başvurusunun etkin, hukuka ve dürüstlük kurallarına uygun şekilde sonuçlandırılması için gerekli tedbirleri almayarak cevaplandırmadığı hususu değerlendirilmiş ve Kurul tarafından, veri sorumlusu hakkında idari para cezası uygulanmasına karar verilmiştir.