Kişisel Verileri Koruma Kurulu’nun 18/05/2022 tarihli ve 2022/491 sayılı Karar Özeti
“Veri sorumlusu bir giyim mağazası için katalog modeli olarak çalışan ilgili kişinin fotoğraflarının, iş ilişkisinin sona ermesinden sonraki süreçte açık rızası olmaksızın veri sorumlusuna ait internet sitesinde yayınlanmaya devam etmesi” hakkında Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 18/05/2022 tarihli ve2022/491 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişi, veri sorumlusuna ait ürünlerin tanıtımı amacıyla katalog modeli olarak çalıştığı ve bu kapsamda çekilen fotoğrafların veri sorumlusunun internet sitesi üzerinde yayınladığını belirterek, veri sorumlusu ile aralarındaki iş ilişkisi sona ermesine rağmen ilgili fotoğrafların yayınlanmaya devam edildiği ve yayından kaldırılması talebinin veri sorumlusuna iletilmesine karşın fotoğrafların yayından kaldırılmadığı talepleri ile Kurul’a başvuru yapılmıştır.
- Veri Sorumlusunun Savunması
İlgili kişinin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- ilgili kişi ile aralarında bir eser sözleşmesi bulunduğunu ve bu sözleşme kapsamındailgili kişinin fotomodellik görevini ifa ettiğini,
- ürünlerin tanıtımı amacı ile yayınlanan ve ilgili kişinin de bulunduğu fotoğrafların,ürünlerin stokları bitene kadar kullanıldığını,
- fotoğrafların kullanımı için ilgili kişiye ödeme yapıldığı ve bu kapsamda ilgili kişinin açıkrızasının bulunduğu ve zaten açık rızası olmaksızın model olarak fotoğraflarını çekmenin mümkün olmayacağını,
- eser sahibi olan ilgili kişinin, eserin kullanımına ilişkin ödemeler dikkate alındığında eserin halka arz edilmesi ve yayınlanması için haklarını devrettiğini,
- stokların tükenmesini müteakip fotoğrafların kaldırıldığını,
- ilgili kişinin fotoğrafların kaldırılması talebi bulunmadığını, kullanılması için kendi belirlediği bir miktar ödemeyi talep ettiğini
belirterek, ilgili kişiye yapılan ödeme dekontlarını da Kurul ile paylaşmıştır.
- Kurul Değerlendirmesi
Kurul’un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- ilgili kişi ile veri sorumlusu arasında yazılı yapılmamış dahi olsa bir sözleşmenin bulunduğu,
- ilgili kişinin veri sorumlusu ile arasındaki sözleşme uyarınca fotomodellik yaptığı,
- ürünlerin stokların tükenmesini müteakip internet üzerinde yayınlanan fotoğrafların kaldırıldığı,
değerlendirmeleri kapsamında ilgili kişi verilerinin, Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 5. maddesi ile düzenlenen ve kişisel verilerin açık rıza olmaksızın işlenme şartlarından olan “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerinişlenmesinin gerekli olması” şartına dayanarak işlendiği kanaatine varmıştır.
- Karar
Kurul, değerlendirmeleri sonucunda, ilgili kişi görsel verilerinin, veri sorumlusu ile ilgili kişiarasındaki sözleşmeye dayanarak ve Kanun’un 5. madde 2. fıkrasının (c) bendi kapsamında işlendiği, söz konusu ürünlerin stoklarının bitmesini takiben ilgili görsellerin veri sorumlusu tarafından kaldırıldığı da dikkate alındığında Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 17/03/2022 tarihli ve 2022/249 sayılı Karar Özeti
“Bir teknoloji şirketi tarafından ilgili kişinin kişisel verilerinin açık rızası olmaksızın yurt dışına aktarılması” hakkında Kurul’un 17/03/2022 tarihli ve 2022/249 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişi, veri sorumlusunun sistemine internet sitesi üzerinden üye olduğunu, internet sitesinde çerez politikasının yer almadığını, aydınlatma metninde yurt dışına aktarım yapıldığının bildirildiğini ancak ilgili kişinin bu yönde bir açık rızasının olmadığını belirtmiştir.
İlgili kişi, veri sorumlusunun internet sitesinde yer alan aydınlatma metnindeki e-posta adresine yaptığı başvuruya otuz (30) gün içerisinde cevap verilmemesi üzerine Kurul’a başvuruda bulunmuştur.
- Veri Sorumlusunun Savunması
İlgili kişinin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- İlgili kişi başvurusunun sehven gözden kaçırılması sebebiyle yanıtsız kaldığını,
- İnternet sitesinde yer alan aydınlatma metninde, çerezler vasıtası ile işlenen kişisel verilere ilişkin bilgilerin belirtildiği ve aydınlatma meninin Kanun'a uygun olduğunu,
- Hizmetlerinin birçok ülkeyi kapsadığını ve bu ülkelerdeki milyonlarca kullanıcının menfaatlerinin en güvenli şekilde karşılanabilmesi için yurt dışında bulunan bulut servis teknolojilerinin kullanıldığını,
- İnternet sitesinde bulunan aydınlatma metninde yer alan yurt dışına aktarım bildirimin verilerin bulutta tutulması sebebiyle gerçekleştirildiğini,
- Türkiye'deki barındırma hizmetlerinde ihtiyaç duyulan modern altyapı teknolojilerinin büyük çoğunluğunun bulunmadığını ve Türkiye'de operasyonu bulunan birçok teknoloji şirketinin de kendilerinin çalıştığı şirketten hizmet aldığını,
- Yurt dışından alınan barındırma hizmetinin tercih edilmesinin nedenin tüketicilerinin menfaatini üstün tutmak olduğunu ve tüketicilerinin menfaatini üstün tutmak olduğunu ve tüketicilerin ihtiyaçlarını karşılayabilmesinin de ancak bu firmanın sağladığı yenilikçi yapay zeka ve veri aktarımı teknolojileri sayesinde mümkün olabildiğini,
- Türkiye'de faaliyete devam edebilmeleri için yurt dışında bulunan servis veya muadillerini kullanmasının gerekli olduğunu,
- Barındırma hizmeti alınan şirket ile taahhütname çalışmasının uzun zamandır yapıldığını ve en kısa sürede taahhütnamenin Kurul’un onayına sunacağını
belirtmiştir.
- Kurul Değerlendirmesi
Kurul’un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- veri sorumluların internet sitesinde gizlilik politikasının bulunmasının zorunlu olmadığını ve asli sorumluluğunun ilgili kişilere karşı aydınlatma yükümlülüğünün yerine getirilmesi olduğu,
- ilgili kişinin başvurusunun veri sorumlusu tarafından sehven gözden kaçırılmasının gerekli ve her türlü idari ve teknik tedbirlerin alınmadığı anlamına geldiği,
- barındırma hizmeti kullanımı dolayısıyla yurt dışındaki sunucularda verilerin saklanmasının veri işleme faaliyeti olduğu ve Kanun’un 9. maddesine uygun olmayan bir veri işleme faaliyeti yapıldığı,
- Kurul tarafından onaylanan bir taahhütname sürecinin bulunmamasının yanı sıra, yurt dışına aktarım faaliyeti için ilgili kişilerin açık rızasının da alınmadığı
kanaatine varmıştır.
- Karar
Kurul, değerlendirmeleri sonucunda,
- Veri sorumlusu tarafından yurt dışı aktarımına ilişkin olarak ilgili kişilerden açık rıza alınmaması, söz konusu fiilden etkilenen kişi sayısının fazla olması ve yurt dışına kişisel veri aktarma faaliyetinin veri sorumlusu tarafından sistematik olarak, kasten ve icrai hareketle yapılması nedeniyle 950.000 TL idari para cezası uygulanmasına,
- Kişisel verilerin yurt dışına aktarılmasına ilişkin işlemlerin Kanun'un 9. maddesine uygun hale getirilmesini teminen gerekli düzenlemelerin yapılması ve Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- İlgili kişiler tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirlerin veri sorumlusu tarafından alınması konusunda veri sorumlusunun uyarılmasına,
karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 22/06/2022 tarihli ve 2022/594 sayılı Karar Özeti
“Özel nitelikli kişisel sağlık verisi niteliğindeki bağımlılık yapıcı madde testinin sonuçlarının ilgili kişilerin açık rızası alınmaksızın veri sorumlusu özel bir sağlık kuruluşu tarafından ilgili kişilerin işyerinde görevli üçüncü bir kişiye ait e-posta adresine gönderilmesi” hakkında Kurul’un 22/06/2022 tarihli ve 2022/594 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişiler, aynı işyerinde görev almakta olup; baskıyla uyuşturucu testine tabi tutuldukları, testin yapıldığı sağlık kuruluşu tarafından test sonuçlarının kendilerine herhangi bir aydınlatma yapılmadan ve açık rızaları alınmadan işyerindeki başka bir personele gönderildiği, yine ilgili sağlık kuruluşu tarafından sonuçların işverene gönderildiği beyan edilse de söz konusu kişinin işveren olmadığı talepleri ile Kurul’a başvuru yapılmıştır.
- Veri Sorumlusunun Savunması
İlgili kişilerin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- ilgili kişilerin madde tarama testi için şikayette belirtilen üçüncü kişi ile birlikte kliniğe geldiklerini,
- kayıtların ilgili kişilerden alınan bilgiler ve verdikleri açık beyanlar çerçevesinde oluşturulduğunu, ödemeyi de yine ilgili üçüncü kişinin yaptığını,
- ilgili kişilerin herhangi bir şekilde testin rızaları dışında yapıldığını belirtmediğini,
- ilgili kişilerin kayıt esnasında üçüncü kişi e-posta adresini iletişim bilgisi olarak kendilerinin verdiğini,
- hizmetlerin sunulması sırasında gerekli teknik ve idari tedbirlerin alındığını
belirtmiştir.
İnceleme sürecinde Kurul tarafından ilgili kişilerin işvereninden bahse konu üçüncü kişinin görevi hakkında da bilgi talep edilmiştir. İşveren tarafından gönderilen cevabiyazıda;
- bir personelden depodan uyuşturucu dumanı kokusu geldiği bilgisinin edinildiği ve bunun bahse konu üçüncü kişi ile paylaşıldığı,
- ilgili iddia üzerine çalışanlara uyuşturucu testi yaptırılmasının kararlaştırıldığı,
- söz konusu personellerin gönüllü olarak uyuşturucu testini yaptırdığı,
- test sırasında bahse konu üçüncü kişinin ilgili kişilere test sonuçlarının kendi e-posta adreslerine mi yoksa üçüncü kişinin e-posta adresine mi gönderilmesini istediklerini sorduğu, karşılık olarak ilgili kişilerin test sonuçlarının anılan üçüncü kişinin e-posta adresine gösterilmesine sözlü olarak rıza gösterdikleri,
- test sonuçları geldikten sonra ilgili kişilere gösterildiği ve akabinde üçüncü kişi tarafından derhal silindiği,
- üçüncü kişinin herhangi bir imza yetkisinin bulunmadığı ve mağaza çalışanı olduğu
belirtilmiştir.
- Kurul Değerlendirmesi
Kurul'un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- veri sorumlusunun ilgili kişilere ait özel nitelikli kişisel verileri Kanun’un 6. maddesinde sayılan kişilerden işyeri hekimine değil bir mağaza çalışanına ilettiği,
- veri sorumlusunun söz konusu kişinin işveren olduğu düşünülerek işlem yaptığını belirtmesi nedeniyle, ilgili kişilere ait özel nitelikli kişisel verileri göndereceği e-posta adresinin iş yeri hekimine ait olup olmadığını tespit etmeden gönderdiğinin anlaşıldığı,
- veri sorumlusu tarafından yapılan ilgili kişilerin test sonuçlarının üçüncü kişie-posta adresine gönderilmesine açık beyanlarının bulunduğu savunmanın herhangi bir şekilde kanıtlanamadığı,
değerlendirmeleri kapsamında ilgili kişilerin sağlık verilerinin, Kanun’un 6. maddesi ile düzenlenen veri işleme şartlarından herhangi birine dayanmaksızın üçüncü kişiler ile paylaşıldığı ve uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı kanaatine varmıştır.
- Karar
Kurul değerlendirmeleri sonucunda, ilgili kişilere ait sağlık verilerinin, Kanun'un 6. maddesinde yer alan herhangi bir işleme şartına dayanmaksızın üçüncü kişiler ile paylaşılması ve bu kapsamda kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirlerin alınmaması nedeniyle Kanun'un 12. maddesinin (1) numaralı fıkrasının ihlal edilmesi ve ilgili ihlalden etkilenen kişi sayısı ile veri sorumlusunun birçok ilde hizmet verdiği de dikkate alınarak, 75.000 TL idari para cezası uygulanmasına karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 04/08/2022 tarihli ve 2022/790 sayılı Karar Özeti
“Bir üniversite hastanesi tarafından ilgili kişinin sağlık verilerinin idari bir davaya esas teşkil etmek üzere talebine binaen davalı kamu kurumuna aktarılması” hakkında Kurul’un 04/08/2022 tarihli ve20
Kişisel Verileri Koruma Kurulu’nun 18/05/2022 tarihli ve 2022/491 sayılı Karar Özeti
“Veri sorumlusu bir giyim mağazası için katalog modeli olarak çalışan ilgili kişinin fotoğraflarının, iş ilişkisinin sona ermesinden sonraki süreçte açık rızası olmaksızın veri sorumlusuna ait internet sitesinde yayınlanmaya devam etmesi” hakkında Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 18/05/2022 tarihli ve2022/491 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişi, veri sorumlusuna ait ürünlerin tanıtımı amacıyla katalog modeli olarak çalıştığı ve bu kapsamda çekilen fotoğrafların veri sorumlusunun internet sitesi üzerinde yayınladığını belirterek, veri sorumlusu ile aralarındaki iş ilişkisi sona ermesine rağmen ilgili fotoğrafların yayınlanmaya devam edildiği ve yayından kaldırılması talebinin veri sorumlusuna iletilmesine karşın fotoğrafların yayından kaldırılmadığı talepleri ile Kurul’a başvuru yapılmıştır.
- Veri Sorumlusunun Savunması
İlgili kişinin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- ilgili kişi ile aralarında bir eser sözleşmesi bulunduğunu ve bu sözleşme kapsamındailgili kişinin fotomodellik görevini ifa ettiğini,
- ürünlerin tanıtımı amacı ile yayınlanan ve ilgili kişinin de bulunduğu fotoğrafların,ürünlerin stokları bitene kadar kullanıldığını,
- fotoğrafların kullanımı için ilgili kişiye ödeme yapıldığı ve bu kapsamda ilgili kişinin açıkrızasının bulunduğu ve zaten açık rızası olmaksızın model olarak fotoğraflarını çekmenin mümkün olmayacağını,
- eser sahibi olan ilgili kişinin, eserin kullanımına ilişkin ödemeler dikkate alındığında eserin halka arz edilmesi ve yayınlanması için haklarını devrettiğini,
- stokların tükenmesini müteakip fotoğrafların kaldırıldığını,
- ilgili kişinin fotoğrafların kaldırılması talebi bulunmadığını, kullanılması için kendi belirlediği bir miktar ödemeyi talep ettiğini
belirterek, ilgili kişiye yapılan ödeme dekontlarını da Kurul ile paylaşmıştır.
- Kurul Değerlendirmesi
Kurul’un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- ilgili kişi ile veri sorumlusu arasında yazılı yapılmamış dahi olsa bir sözleşmenin bulunduğu,
- ilgili kişinin veri sorumlusu ile arasındaki sözleşme uyarınca fotomodellik yaptığı,
- ürünlerin stokların tükenmesini müteakip internet üzerinde yayınlanan fotoğrafların kaldırıldığı,
değerlendirmeleri kapsamında ilgili kişi verilerinin, Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 5. maddesi ile düzenlenen ve kişisel verilerin açık rıza olmaksızın işlenme şartlarından olan “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerinişlenmesinin gerekli olması” şartına dayanarak işlendiği kanaatine varmıştır.
- Karar
Kurul, değerlendirmeleri sonucunda, ilgili kişi görsel verilerinin, veri sorumlusu ile ilgili kişiarasındaki sözleşmeye dayanarak ve Kanun’un 5. madde 2. fıkrasının (c) bendi kapsamında işlendiği, söz konusu ürünlerin stoklarının bitmesini takiben ilgili görsellerin veri sorumlusu tarafından kaldırıldığı da dikkate alındığında Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 17/03/2022 tarihli ve 2022/249 sayılı Karar Özeti
“Bir teknoloji şirketi tarafından ilgili kişinin kişisel verilerinin açık rızası olmaksızın yurt dışına aktarılması” hakkında Kurul’un 17/03/2022 tarihli ve 2022/249 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişi, veri sorumlusunun sistemine internet sitesi üzerinden üye olduğunu, internet sitesinde çerez politikasının yer almadığını, aydınlatma metninde yurt dışına aktarım yapıldığının bildirildiğini ancak ilgili kişinin bu yönde bir açık rızasının olmadığını belirtmiştir.
İlgili kişi, veri sorumlusunun internet sitesinde yer alan aydınlatma metnindeki e-posta adresine yaptığı başvuruya otuz (30) gün içerisinde cevap verilmemesi üzerine Kurul’a başvuruda bulunmuştur.
- Veri Sorumlusunun Savunması
İlgili kişinin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- İlgili kişi başvurusunun sehven gözden kaçırılması sebebiyle yanıtsız kaldığını,
- İnternet sitesinde yer alan aydınlatma metninde, çerezler vasıtası ile işlenen kişisel verilere ilişkin bilgilerin belirtildiği ve aydınlatma meninin Kanun'a uygun olduğunu,
- Hizmetlerinin birçok ülkeyi kapsadığını ve bu ülkelerdeki milyonlarca kullanıcının menfaatlerinin en güvenli şekilde karşılanabilmesi için yurt dışında bulunan bulut servis teknolojilerinin kullanıldığını,
- İnternet sitesinde bulunan aydınlatma metninde yer alan yurt dışına aktarım bildirimin verilerin bulutta tutulması sebebiyle gerçekleştirildiğini,
- Türkiye'deki barındırma hizmetlerinde ihtiyaç duyulan modern altyapı teknolojilerinin büyük çoğunluğunun bulunmadığını ve Türkiye'de operasyonu bulunan birçok teknoloji şirketinin de kendilerinin çalıştığı şirketten hizmet aldığını,
- Yurt dışından alınan barındırma hizmetinin tercih edilmesinin nedenin tüketicilerinin menfaatini üstün tutmak olduğunu ve tüketicilerinin menfaatini üstün tutmak olduğunu ve tüketicilerin ihtiyaçlarını karşılayabilmesinin de ancak bu firmanın sağladığı yenilikçi yapay zeka ve veri aktarımı teknolojileri sayesinde mümkün olabildiğini,
- Türkiye'de faaliyete devam edebilmeleri için yurt dışında bulunan servis veya muadillerini kullanmasının gerekli olduğunu,
- Barındırma hizmeti alınan şirket ile taahhütname çalışmasının uzun zamandır yapıldığını ve en kısa sürede taahhütnamenin Kurul’un onayına sunacağını
belirtmiştir.
- Kurul Değerlendirmesi
Kurul’un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- veri sorumluların internet sitesinde gizlilik politikasının bulunmasının zorunlu olmadığını ve asli sorumluluğunun ilgili kişilere karşı aydınlatma yükümlülüğünün yerine getirilmesi olduğu,
- ilgili kişinin başvurusunun veri sorumlusu tarafından sehven gözden kaçırılmasının gerekli ve her türlü idari ve teknik tedbirlerin alınmadığı anlamına geldiği,
- barındırma hizmeti kullanımı dolayısıyla yurt dışındaki sunucularda verilerin saklanmasının veri işleme faaliyeti olduğu ve Kanun’un 9. maddesine uygun olmayan bir veri işleme faaliyeti yapıldığı,
- Kurul tarafından onaylanan bir taahhütname sürecinin bulunmamasının yanı sıra, yurt dışına aktarım faaliyeti için ilgili kişilerin açık rızasının da alınmadığı
kanaatine varmıştır.
- Karar
Kurul, değerlendirmeleri sonucunda,
- Veri sorumlusu tarafından yurt dışı aktarımına ilişkin olarak ilgili kişilerden açık rıza alınmaması, söz konusu fiilden etkilenen kişi sayısının fazla olması ve yurt dışına kişisel veri aktarma faaliyetinin veri sorumlusu tarafından sistematik olarak, kasten ve icrai hareketle yapılması nedeniyle 950.000 TL idari para cezası uygulanmasına,
- Kişisel verilerin yurt dışına aktarılmasına ilişkin işlemlerin Kanun'un 9. maddesine uygun hale getirilmesini teminen gerekli düzenlemelerin yapılması ve Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- İlgili kişiler tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirlerin veri sorumlusu tarafından alınması konusunda veri sorumlusunun uyarılmasına,
karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 22/06/2022 tarihli ve 2022/594 sayılı Karar Özeti
“Özel nitelikli kişisel sağlık verisi niteliğindeki bağımlılık yapıcı madde testinin sonuçlarının ilgili kişilerin açık rızası alınmaksızın veri sorumlusu özel bir sağlık kuruluşu tarafından ilgili kişilerin işyerinde görevli üçüncü bir kişiye ait e-posta adresine gönderilmesi” hakkında Kurul’un 22/06/2022 tarihli ve 2022/594 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişiler, aynı işyerinde görev almakta olup; baskıyla uyuşturucu testine tabi tutuldukları, testin yapıldığı sağlık kuruluşu tarafından test sonuçlarının kendilerine herhangi bir aydınlatma yapılmadan ve açık rızaları alınmadan işyerindeki başka bir personele gönderildiği, yine ilgili sağlık kuruluşu tarafından sonuçların işverene gönderildiği beyan edilse de söz konusu kişinin işveren olmadığı talepleri ile Kurul’a başvuru yapılmıştır.
- Veri Sorumlusunun Savunması
İlgili kişilerin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- ilgili kişilerin madde tarama testi için şikayette belirtilen üçüncü kişi ile birlikte kliniğe geldiklerini,
- kayıtların ilgili kişilerden alınan bilgiler ve verdikleri açık beyanlar çerçevesinde oluşturulduğunu, ödemeyi de yine ilgili üçüncü kişinin yaptığını,
- ilgili kişilerin herhangi bir şekilde testin rızaları dışında yapıldığını belirtmediğini,
- ilgili kişilerin kayıt esnasında üçüncü kişi e-posta adresini iletişim bilgisi olarak kendilerinin verdiğini,
- hizmetlerin sunulması sırasında gerekli teknik ve idari tedbirlerin alındığını
belirtmiştir.
İnceleme sürecinde Kurul tarafından ilgili kişilerin işvereninden bahse konu üçüncü kişinin görevi hakkında da bilgi talep edilmiştir. İşveren tarafından gönderilen cevabiyazıda;
- bir personelden depodan uyuşturucu dumanı kokusu geldiği bilgisinin edinildiği ve bunun bahse konu üçüncü kişi ile paylaşıldığı,
- ilgili iddia üzerine çalışanlara uyuşturucu testi yaptırılmasının kararlaştırıldığı,
- söz konusu personellerin gönüllü olarak uyuşturucu testini yaptırdığı,
- test sırasında bahse konu üçüncü kişinin ilgili kişilere test sonuçlarının kendi e-posta adreslerine mi yoksa üçüncü kişinin e-posta adresine mi gönderilmesini istediklerini sorduğu, karşılık olarak ilgili kişilerin test sonuçlarının anılan üçüncü kişinin e-posta adresine gösterilmesine sözlü olarak rıza gösterdikleri,
- test sonuçları geldikten sonra ilgili kişilere gösterildiği ve akabinde üçüncü kişi tarafından derhal silindiği,
- üçüncü kişinin herhangi bir imza yetkisinin bulunmadığı ve mağaza çalışanı olduğu
belirtilmiştir.
- Kurul Değerlendirmesi
Kurul'un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- veri sorumlusunun ilgili kişilere ait özel nitelikli kişisel verileri Kanun’un 6. maddesinde sayılan kişilerden işyeri hekimine değil bir mağaza çalışanına ilettiği,
- veri sorumlusunun söz konusu kişinin işveren olduğu düşünülerek işlem yaptığını belirtmesi nedeniyle, ilgili kişilere ait özel nitelikli kişisel verileri göndereceği e-posta adresinin iş yeri hekimine ait olup olmadığını tespit etmeden gönderdiğinin anlaşıldığı,
- veri sorumlusu tarafından yapılan ilgili kişilerin test sonuçlarının üçüncü kişie-posta adresine gönderilmesine açık beyanlarının bulunduğu savunmanın herhangi bir şekilde kanıtlanamadığı,
değerlendirmeleri kapsamında ilgili kişilerin sağlık verilerinin, Kanun’un 6. maddesi ile düzenlenen veri işleme şartlarından herhangi birine dayanmaksızın üçüncü kişiler ile paylaşıldığı ve uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı kanaatine varmıştır.
- Karar
Kurul değerlendirmeleri sonucunda, ilgili kişilere ait sağlık verilerinin, Kanun'un 6. maddesinde yer alan herhangi bir işleme şartına dayanmaksızın üçüncü kişiler ile paylaşılması ve bu kapsamda kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirlerin alınmaması nedeniyle Kanun'un 12. maddesinin (1) numaralı fıkrasının ihlal edilmesi ve ilgili ihlalden etkilenen kişi sayısı ile veri sorumlusunun birçok ilde hizmet verdiği de dikkate alınarak, 75.000 TL idari para cezası uygulanmasına karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
Kişisel Verileri Koruma Kurulu’nun 04/08/2022 tarihli ve 2022/790 sayılı Karar Özeti
“Bir üniversite hastanesi tarafından ilgili kişinin sağlık verilerinin idari bir davaya esas teşkil etmek üzere talebine binaen davalı kamu kurumuna aktarılması” hakkında Kurul’un 04/08/2022 tarihli ve 2022/790 sayılı Karar Özeti
- Başvuru Konusu
İlgili kişi, taraf olduğu ve idare mahkemesi nezdinde görülen bir dava dosyasında, davalı kamu kurumu tarafından üniversite hastanesi tarafından ilgili kişiye ait sağlık verilerinin davalıya teslim edildiğini, teslim edilen bilgiler arasında ilgili kişinin üniversite hastanesine muayene için gittiğinde düzenlenen anamnezformunun bulunduğunu belirtmiştir. Bu formda, ilgili kişinin uyuşturucu madde kullanmamasına rağmen uyuşturucu madde kullandığına ilişkin beyanlarının yeralması nedeniyle, ilgili kişi hakkında Cumhuriyet Başsavcılığına suç duyurusunda bulunulduğunu ve ilgili kişinin gözaltında kaldığını, konutu ve arabasının arandığını belirtmiştir.
Yapılan soruşturma neticesinde, ilgili kişinin uyuşturucu madde kullanmadığı ve doktorun muayene esnasında ilgili kişiyi yanlış anladığı tespit edilmiştir. İlgili kişi de sağlık dosyasında uyuşturucu madde kullanıldığına ilişkin verilerin ve bilgilerin silinmesini ilişkin Kurul’a başvuruda bulunmuştur.
- Veri Sorumlusunun Savunması
İlgili kişilerin Kurul’a başvurusu üzerine Kurul veri sorumlusundan savunmasını talep etmiştir. Veri sorumlusu savunmasında;
- Davalı kamu kurumunun istemi üzerine ilgili kişiye ait üniversite hastanesi kayıtlarında mevcut olan istirahat raporu, anamnez formları, gibi belgelerin görevli personele teslim edildiğini,
- Kişisel verilerin Kanun’un 8/2-b bendine dayalı olarak aktarıldığını,
- İlgili kişinin kişisel verilerinin silinmesi için üniversite hastanesine herhangi bir müracaatının bulunmadığını,
- İlgili verilerin, doktor-hasta görüşmeleri neticesinde Hastane Bilgi Yönetim Sistemine girildiği için verilerin silinemediğini
belirtmiştir.
- Kurul Değerlendirmesi
Kurul’un somut olay çerçevesinde gerçekleştirdiği incelemeleri ile;
- Veri sorumlusu tarafından kamu kurumuna teslim edilen istirahat raporu, anamnezformları, epikriz raporları, konsültasyon formları, hasta medikal klinik seyir bilgileri, patoloji raporu, radyoloji raporlarının özel nitelikli kişisel veri olduğu,
- İlgili kişi ile kamu kurumu arasında devam eden idari dava nedeniyle talep edilen özel nitelikli kişisel verilerin veri sorumlusu üniversite hastanesi tarafından kamu kurumuna aktarılmasına ilişkin işleme faaliyetinin Kanun’a uygun olmadığı,
- Davalı kamu kurumu tarafından ilgili kişinin belirli tarihler arasında ameliyat işlemi geçirip geçirmediğinin sorulmasına rağmen üniversite hastanesi tarafından veri minimizasyonu ilkesine aykırı olarak kamu kurumunun yazısında talep edilenden fazla bilgi ve belgenin tesliminin gerçekleştirildiği ve kişisel verilerin işlenmesinde işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri gözetilmediği,
- İlgili kişinin kendisi hakkında sehven oluşturulduğunu iddia ettiği sağlık verilerine ilişkin öncelikle veri sorumlusunun bağlı bulunduğu İl Sağlık Müdürlüğüne başvurulması gerektiği
değerlendirmeleri kapsamında ilgili kişinin sağlık verilerinin, Kanun'un 6. maddesi ile düzenlenen veri işleme şartlarından herhangi birine dayanmaksızın kamu kurumu ile paylaşıldığı ve uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı kanaatine varmıştır.
- Karar
Kurul, değerlendirmeleri sonucunda,
- İlgili kişiye ait sağlık verilerinin, Kanun’un 6.maddesinde yer alan herhangi bir işleme şartına dayanmaksızın kamu kurumu ile paylaşılması ve bu kapsamda kişisel verilerin hukuka aykırı olarak işlenmesini önleme kamacıyla gerekli teknik ve idari tedbirlerin alınmaması nedeniyle Kanun’un 12.maddesinin (1) numaralı fıkrasının ihlal edilmesi nedeniyle Kanun’un 18.maddesinin (3) numaralı fıkrası çerçevesinde disiplin hükümlerine göre işlem yapılmasına ve yapılan işlem hakkında Kurul’a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- Veri sorumlusu tarafından gerek kendi bünyesinde ve gerektiği takdirde ilgili kişiyi de yönlendirmek suretiyle İl Sağlık Müdürlüğü nezdinde gerekli işlemlerin yapılması ve sonucundan Kurul’a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- Şikayete konu edilen verilerin aktarıldığı kamu kurumu nezdinde de bu verilerin imha edilmesinin sağlanması hususunda gerekli işlemlerin tesis edilmesine ve yapılan işlemin sonucunda Kurul'a bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- İlgili kişi başvurularının talebin niteliğine gören kısa sürede ve en geç otuz gün içinde sonuçlandırması gerektiğinin hatırlatılmasına
karar vermiştir.
İlgili karara buradan ulaşabilirsiniz.
HUKUKİ UYARILAR VE BİLDİRİMLER
1. Mesleki Düzenlemeler
DL Avukatlık Bürosu’nun avukatları İstanbul Barosu üyesi olup Avukat unvanını taşımaktadırlar ve İstanbul Barosu ile Türkiye Barolar Birliği tarafından çıkarılan mesleki düzenlemelere bağlı faaliyet göstermektedirler.
2. Hukuki Uyarı
Bu internet sitesinde yayımlanan içerikler sadece bilgilendirme amaçlı olarak hazırlanmış olup herhangi bir şekilde hukuki görüş olarak kullanılmamalıdır. Bu site ve içerdiği bilgilerin avukat-müvekkil ilişkisi kurma amacı bulunmamaktadır. DL Avukatlık Bürosu ve avukatları doğru ve tam bilgi temin etmeyi amaçlamış olup, yayımlanan içerikler mevzuat değişikliği veya yeni tarihli yargı kararları nedeniyle güncelliğini yitirebilir ve yürürlükte olan yasal gelişmelerin son halini yansıtmayabilir. DL Avukatlık Bürosu bu internet sitesinde bulunan içerikleri dilediği zaman değiştirme ve gözden geçirme hakkını saklı tutar.
Bu internet sitesinde bulunan hiçbir içerik herhangi bir olaya özgülenebilecek hukuki danışmanlık yerine geçmez. Kullanıcı bu internet sitesine girerek, DL Avukatlık Bürosunu ve avukatlarını işbu internet sitesinde bulunan bilgilere dayanarak hareket etmesi sonucu meydana gelen herhangi bir zarar veya ziyandan sorumlu tutmayacağını kabul etmektedir.
Bu internet sitesinde yer alan tüm bilgiler, Türkiye Barolar Birliği’nin Meslek Kuralları ve ilgili mevzuatına bağlı kalınarak ve ilgili mevzuatla reklam yasağına ilişkin düzenlemelere uygun olarak hazırlanmıştır. İnternet sitesini ziyareteden tüm kullanıcılar, Kullanım Koşulları'nda yer alan düzenlemeleri kabul etmiş sayılırlar.
3. Fikri Mülkiyet Hakları
Bu internet sitesinde yayımlanan içerikler DL Avukatlık Bürosu’nun malik veya lisans sahibi olduğu telif hakkı ve/veya diğer fikri mülkiyet hakları uyarınca koruma altındadır. İşbu internet sitesinin içeriği DL Avukatlık Bürosu’nun yazılı izni olmaksızın kısmen ya da tamamen kopyalanamaz, dağıtılamaz, kullanılamaz ya da değiştirilemez. Bu onay DL Avukatlık Bürosu ile info@dlhukuk.com adresinden iletişime geçilerek talep edilebilir.
4. Bağlantılar (Links)
İnternet sitesinin herhangi bir bölümüne DL Avukatlık Bürosu’nun yazılı ön onayı olmaksızın elektronik bağlantı (electronic link) verilemez. DL Avukatlık Bürosu, DL Avukatlık Bürosu internet sitesine yapılan elektronik bağlantıların kaldırılmasını talep etme hakkını saklı tutar.
İnternet sitemizin bir bölümü üçüncü kişilerin internet sitelerine atıfta bulunabilir ve üçüncü kişilere ait internet siteleri DL Avukatlık Bürosu’nun internet sitesine atıfta bulunabilir. DL Avukatlık Bürosu harici internet sitelerinin içeriğinden sorumlu tutulamaz.