KVKK Hakkında Gelişmeler

Kişisel Verilerin Korunması Kanunu’nun uygulanmasına yönelik bazı güncel gelişmeleri sizlerle paylaşmak istiyoruz.

1). Kişisel Verileri Koruma Kurulu’ndan Facebook’a İdari Para Cezası

11.04.2019 tarihinde Facebook „a toplam 1.650.000.-TL idari para cezası verilmesine karar verdi. Kurul kararındaki detaylar şöyle:

Facebook kullanıcı fotoğraflarına erişebilmek için üçüncü taraf uygulamalara izin veren bir fotoğraf API hatası keşfedilmiştir. Sorun her ne kadar çözülse de, 13 Eylül – 25 Eylül 2018 tarihleri arasında bazı üçüncü taraf uygulamalarının 12 gün boyunca yetkisini aşan düzeyde kullanıcı fotoğraflarına erişmiş olabileceği ihtimali bulunmaktadır. 6698 sayılı KVKK‟nun 12. Maddesinin 5. Fıkrasına göre, “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmü gereğince, Facebook‟un Kurul‟a bildirimde bulunması gerektiği halde hiçbir şekilde bildirimde bulunmaması sebebiyle Kurul re ‟sen inceleme yapmıştır.

İnceleme sonucunda;

• Hatanın giderilmesi sürecinde Facebook gerekli tedbirleri almayarak üçüncü taraf uygulamalarının yetkilerini aşan düzeyde ve 12 gün boyunca kullanıcı fotoğraflarına erişebileceği bir ortam oluşturmuştur.
• Ortaya çıkan hata ile kullanıcıların henüz paylaşmadığı fotoğraflara da erişilebildiği tespit edilmiştir.
• Bu sebeplerle Facebook‟un KVK Kanunu‟nun 4/2/a ve 12./1 maddelerinde belirtilen “Hukuka ve dürüstlük kurallarına uygun olma” ve 4/s/ç‟de belirtilen “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine aykırılık teşkil ettiği sonucuna varılmıştır.
• Açıklanan ihlalin 6,8 milyon kullanıcıyı ve 876 geliştirici tarafından oluşturulan 1.500 uygulamayı etkilemiş olabileceği, Türkiye‟de ise yaklaşık 300 bin kullanıcının veri ihlalinden etkilenmiş olabileceği hususları dikkate alınarak ortada bir veri ihlali olduğu ve ihlalin oluşmaması için Kanunun 12/1 maddesi çerçevesinde gerekli teknik ve idari tedbirleri almadığı anlaşılan Facebook hakkında Kanun‟un 18/1/b maddesi uyarınca 1.100.000.-TL idari para cezası;
• Söz konusu veri ihlalinin 19.09.2018 tarihinde tespit edilmesine rağmen Kurum‟a bildirim yapılmadığının ve 13.09.2018 - 25.09.2018 tarihleri arasında gerçekleşen veri ihlalinin ilgili kişilere 17.12.2018 tarihinde bildirilmeye başlandığının tespit edildiği ifade edilerek, bu çerçevede Kanun‟un 12 /5 maddesi kapsamında “en kısa sürede bildirim yapılması gerektiği” yükümlülüğüne aykırı hareket ettiği tespit edilen Facebook hakkında Kanun‟un 18/1/b maddesi uyarınca 550.000.-TL idari para cezası verilmiştir.
  

2). Microsoft kullanıcılarına ait e-posta hesaplarındaki bilgilere yetkisiz erişim

Kurul‟a ait internet sitesinden yapılan duyuruya göre, “veri sorumlusu” sıfatıyla Microsoft Corporation tarafından Kurum‟a 08.05.2019 tarihli bir yazı gönderilmiştir ve yazıda özetle;

• Microsoft‟un bir hizmet sağlayıcısının bünyesinde çalışan çağrı destek yöneticisine ait kimlik bilgilerinin ele geçirildiği ve bu sayede Microsoft ile bağı olmayan kişilerin Microsoft kullanıcılarının e-posta hesaplarındaki bilgilere erişebildiğinin belirlendiği;
• İhlalden etkilenen Türkiye‟de yerleşik kişi sayısının tahmini 1820 kişi olduğu belirtilmiştir.
  

6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12/5 maddesi uyarınca “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmüne binaen Microsoft veri güvenliğinin ihlalini öğrendikten sonra en kısa süre içerisinde Kurul‟a bildirimde bulunmuştur ve bu veri ihlali Kurum‟un internet sayfasında ilan edilmiştir. Microsoft süresinde yaptığı bu bildirim sayesinde –Kurul’un incelemesinde Microsoft’un KVK Kanunu kapsamında kusurlu olduğu bir durum olduğunun tespit edilmesi durumu hariç- Kurul‟un ihlalden ötürü vereceği muhtemel idari para cezalarından da kurtulmuştur.

3). Başvurusu kabul edilen Kurum, Avrupa Veri Koruma Otoriteleri Konferansına akredite kurumlar arasına dahil edilmiştir.

Kurul internet sitesinde yazılan duyuruya göre “Kişisel Verilerin korunması ve buna ilişkin vatandaşlık bilincinin oluşmasında etkin ve uluslararası alanda söz sahibi bir otorite olmak” şeklinde ilan edilen vizyon doğrultusunda Kurum tarafından 4 Ocak 2018 tarihinde Avrupa Veri Koruma Otoriteleri Konferansına (Spring Conference) akreditasyon başvurusu yapılmış; 8-10 Mayıs 2019 tarihleri arasında gerçekleştirilen 29. Avrupa Veri Koruma Otoriteleri Konferansında yapılan oylama neticesinde söz konusu başvurumuz kabul edilmiştir. Türkiye, Avrupa çapındaki Veri Koruma Otorite temsilcilerinin katılım sağladığı, veri korumaya ilişkin hususların tartışılarak ilke kararlarının alındığı söz konusu uluslararası platformda “akredite ülke” olarak yerini alacaktır.” denilmiştir.

Bu gelişme, kişisel verilerin korunması alanındaki yasal düzenlemelerin etkin uygulanması konusunda itici güçlerden biri olacaktır. Ayrıca mevcut yasal düzenlemelerin AB düzenlemeleriyle eş güdümlü olması ve uygulanmasına da hassasiyet gösterilmesinde ilave bir etken olacaktır. Buradan hareketle, Türkiye‟de KVK kanunu ve ilgili yasal düzenlemelere uyulması hususunda denetimlerin sıklaşacağı düşüncesindeyiz.

Kişisel verilerin gizliliği ve korunmasının önemine atıfla, yasal düzenlemelere harfi harfine uygun hareket edilmesi gerektiğini ve Kanuna göre gerekli hazırlıkların yapılmış olmasının son derece önemli olduğunu bir kez daha hatırlatmakta fayda görüyoruz.