KVKK Hakkında Gelişmeler
Kişisel Verilerin Korunması Kanunu’nun uygulanmasına yönelik bazı güncel gelişmeleri sizlerle paylaşmak istiyoruz.
1). Kişisel Verileri Koruma Kurulu’ndan Facebook’a İdari Para Cezası
11.04.2019 tarihinde Facebook „a toplam 1.650.000.-TL idari para cezası verilmesine karar verdi. Kurul kararındaki detaylar şöyle:
Facebook kullanıcı fotoğraflarına erişebilmek için üçüncü taraf uygulamalara izin veren bir fotoğraf API hatası keşfedilmiştir. Sorun her ne kadar çözülse de, 13 Eylül – 25 Eylül 2018 tarihleri arasında bazı üçüncü taraf uygulamalarının 12 gün boyunca yetkisini aşan düzeyde kullanıcı fotoğraflarına erişmiş olabileceği ihtimali bulunmaktadır. 6698 sayılı KVKK‟nun 12. Maddesinin 5. Fıkrasına göre, “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmü gereğince, Facebook‟un Kurul‟a bildirimde bulunması gerektiği halde hiçbir şekilde bildirimde bulunmaması sebebiyle Kurul re ‟sen inceleme yapmıştır.
İnceleme sonucunda;
- Hatanın giderilmesi sürecinde Facebook gerekli tedbirleri almayarak üçüncü taraf uygulamalarının yetkilerini aşan düzeyde ve 12 gün boyunca kullanıcı fotoğraflarına erişebileceği bir ortam oluşturmuştur.
- Ortaya çıkan hata ile kullanıcıların henüz paylaşmadığı fotoğraflara da erişilebildiği tespit edilmiştir.
- Bu sebeplerle Facebook‟un KVK Kanunu‟nun 4/2/a ve 12./1 maddelerinde belirtilen “Hukuka ve dürüstlük kurallarına uygun olma” ve 4/s/ç‟de belirtilen “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine aykırılık teşkil ettiği sonucuna varılmıştır.
- Açıklanan ihlalin 6,8 milyon kullanıcıyı ve 876 geliştirici tarafından oluşturulan 1.500 uygulamayı etkilemiş olabileceği, Türkiye‟de ise yaklaşık 300 bin kullanıcının veri ihlalinden etkilenmiş olabileceği hususları dikkate alınarak ortada bir veri ihlali olduğu ve ihlalin oluşmaması için Kanunun 12/1 maddesi çerçevesinde gerekli teknik ve idari tedbirleri almadığı anlaşılan Facebook hakkında Kanun‟un 18/1/b maddesi uyarınca 1.100.000.-TL idari para cezası;
- Söz konusu veri ihlalinin 19.09.2018 tarihinde tespit edilmesine rağmen Kurum‟a bildirim yapılmadığının ve 13.09.2018 - 25.09.2018 tarihleri arasında gerçekleşen veri ihlalinin ilgili kişilere 17.12.2018 tarihinde bildirilmeye başlandığının tespit edildiği ifade edilerek, bu çerçevede Kanun‟un 12 /5 maddesi kapsamında “en kısa sürede bildirim yapılması gerektiği” yükümlülüğüne aykırı hareket ettiği tespit edilen Facebook hakkında Kanun‟un 18/1/b maddesi uyarınca 550.000.-TL idari para cezası verilmiştir.
2). Microsoft kullanıcılarına ait e-posta hesaplarındaki bilgilere yetkisiz erişim
Kurul‟a ait internet sitesinden yapılan duyuruya göre, “veri sorumlusu” sıfatıyla Microsoft Corporation tarafından Kurum‟a 08.05.2019 tarihli bir yazı gönderilmiştir ve yazıda özetle;
- Microsoft‟un bir hizmet sağlayıcısının bünyesinde çalışan çağrı destek yöneticisine ait kimlik bilgilerinin ele geçirildiği ve bu sayede Microsoft ile bağı olmayan kişilerin Microsoft kullanıcılarının e-posta hesaplarındaki bilgilere erişebildiğinin belirlendiği;
- İhlalden etkilenen Türkiye‟de yerleşik kişi sayısının tahmini 1820 kişi olduğu belirtilmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12/5 maddesi uyarınca “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmüne binaen Microsoft veri güvenliğinin ihlalini öğrendikten sonra en kısa süre içerisinde Kurul‟a bildirimde bulunmuştur ve bu veri ihlali Kurum‟un internet sayfasında ilan edilmiştir. Microsoft süresinde yaptığı bu bildirim sayesinde –Kurul’un incelemesinde Microsoft’un KVK Kanunu kapsamında kusurlu olduğu bir durum olduğunun tespit edilmesi durumu hariç- Kurul‟un ihlalden ötürü vereceği muhtemel idari para cezalarından da kurtulmuştur.
3). Başvurusu kabul edilen Kurum, Avrupa Veri Koruma Otoriteleri Konferansına akredite kurumlar arasına dahil edilmiştir.
Kurul internet sitesinde yazılan duyuruya göre “Kişisel Verilerin korunması ve buna ilişkin vatandaşlık bilincinin oluşmasında etkin ve uluslararası alanda söz sahibi bir otorite olmak” şeklinde ilan edilen vizyon doğrultusunda Kurum tarafından 4 Ocak 2018 tarihinde Avrupa Veri Koruma Otoriteleri Konferansına (Spring Conference) akreditasyon başvurusu yapılmış; 8-10 Mayıs 2019 tarihleri arasında gerçekleştirilen 29. Avrupa Veri Koruma Otoriteleri Konferansında yapılan oylama neticesinde söz konusu başvurumuz kabul edilmiştir. Türkiye, Avrupa çapındaki Veri Koruma Otorite temsilcilerinin katılım sağladığı, veri korumaya ilişkin hususların tartışılarak ilke kararlarının alındığı söz konusu uluslararası platformda “akredite ülke” olarak yerini alacaktır.” denilmiştir.
Bu gelişme, kişisel verilerin korunması alanındaki yasal düzenlemelerin etkin uygulanması konusunda itici güçlerden biri olacaktır. Ayrıca mevcut yasal düzenlemelerin AB düzenlemeleriyle eş güdümlü olması ve uygulanmasına da hassasiyet gösterilmesinde ilave bir etken olacaktır. Buradan hareketle, Türkiye‟de KVK kanunu ve ilgili yasal düzenlemelere uyulması hususunda denetimlerin sıklaşacağı düşüncesindeyiz.
Kişisel verilerin gizliliği ve korunmasının önemine atıfla, yasal düzenlemelere harfi harfine uygun hareket edilmesi gerektiğini ve Kanuna göre gerekli hazırlıkların yapılmış olmasının son derece önemli olduğunu bir kez daha hatırlatmakta fayda görüyoruz.
KVKK Hakkında Gelişmeler
/ Yasal Uyarı
Sayın Ziyaretçimiz;
Internet sitemizde bulunan bilgiler VERDA tarafından, Türkiye Barolar Birliği'nin meslek kuralları ve yürürlükteki Avukatlık Kanunu uyarınca sadece bilgi amaçlı olarak sunulmaktadır.
Bu Internet sitesinde yer alan bilgiler, reklam veya diğer bir ticari amaca hizmet etmemektedir ve bu amaçlarla veya Türkiye Barolar Birliği'nin meslek kurallarına aykırı herhangi diğer bir amaçla kullanılamaz. Ayrıca hiçbir şekilde hukuki tavsiye veya görüş teşkil etmez veya bunların yerine geçmemektedir. Burada yer alan bilgilerden hareketle VERDA ve ziyaretçi arasında avukat-müvekkil ilişkisi doğmaz. Son olarak, burada yer alan bilgiler zaman zaman güncel olmayabilir. Hukuki bir konuda sormak istedikleriniz için irtibat bilgilerimizden bize ulaşabilirsiniz.
VERDA’nın bilgisi ve önceden yazılı onayı olmaksızın, bu siteye atıf yapılamaz veya link verilemez.
Sitemizde yer alan tüm bilgiler, bültenler, marka ve logoya ilişkin tüm fikri mülkiyet hakları VERDA’ya aittir ve VERDA’nın önceden yazılı muvafakati olmadan kopyalanamaz, çoğaltılamaz veya kullanılamaz.
Aşağıda detaylarını okuyabileceğiniz Gizlilik Politikamız kapsamında, sitemizi ziyaretiniz esnasında paylaşmış olduğunuz bilgilerin olması durumunda, söz konusu bilgiler sadece sizlerle irtibata geçmemizin gerekmesi halinde kullanılabilecektir. Bunun haricinde üçüncü kişilerle paylaşılmayacaktır.
Bu Yasal Uyarı ve Gizlilik Politikası’nda değişiklik yapma hakkımız olduğunu belirtir, olası değişikliklerin yine burada yayımlanacağının da altını çizmek isteriz.
/ Gizlilik Politikası
Sitemizi ziyaret etmeniz halinde bizimle her hangi bir kişisel veri paylaşmış olmuyorsunuz.
“İletişim” alanımızdan veya info@verdahukuk.com’a mail atılarak yapılan iş başvuruları kapsamında başvurucunun özgeçmişinde paylaşmış olduğu kişisel veriler (kimlik bilgileri, iletişim bilgileri, eğitim bilgileri gibi özgeçmişte bulunan tüm bilgiler) yalnızca iş başvurusu değerlendirmesinde işlenmektedir.
“Online Borç Ödeme” alanımızdaki uygulama üzerinden yapılan yönlendirmeyle yapılan ödemelerde, sisteme girilen kredi kartı bilgileri VERDA tarafından kaydedilmemektedir. Söz konusu alana yazılan ad, soyad ve irtibat bilgileri ise yalnızca, ödeme yapılan dosya kapsamında bilgi verilmesini gerektiren bir durum halinde, size ulaşabilmek amacıyla kaydedilmektedir.
Kişisel verileriniz, ilgili mevzuatın öngördüğü durumlarda düzenleyici denetleyici kurumlara ve resmi mercilere aktarılabilecektir.
İşlenen veriler ve bilgiler, yasal veya sözleşmesel dosyalama süresi sona erdiğinde tarafımızca uygun görülecek yöntemlerden biri ile silinecek, yok edilecek veya imha edilecektir.
Sitemizdeki çerezleri silebilir, devre dışı bırakabilir ya da engelleyebilirsiniz. Bilgisayarlarında çerez kullanımını devre dışı bırakmış ziyaretçilerimiz de internet sitesini kullanmaya devam edebilir. Ayrıca tüm ziyaretçilerimiz VERDA tarafından kendileri hakkında tutulan bilgileri görmek, değiştirmek ya da silmek için info@verdahukuk.com adresine e-posta göndererek talepte bulunabilirler. Talebin kimlik ve adres bilgilerinizi içermesi ve başvuruya kimliğinizi tevsik edici belgelerin de eklenmesi gerekmektedir.
/ COVID - 19
VERDA
COVID – 19 salgınından kaynaklanan risklere karşı aldığımız tedbirler kapsamında, ekibimizin ofiste bulunmaları gerekmedikçe çalışmalarına uzaktan devam edebilmeleri için gerekli tüm teknolojik ve lojistik altyapı devrededir ve müvekkillerimize verilen hizmetlerin herhangi bir gecikme yaşanmaksızın devam etmesi için her türlü önlem alınmıştır. Hali hazırda ofisimizde fiziksel katılımla çalışma yapılmakta olup, binamızda ve çalışma ofislerimizde detaylı dezenfeksiyon işlemi yapılmıştır. Ayrıca ortak kullanım alanları günlük olarak dezenfekte edilmekte ve ozonlama işlemi yapılmaktadır.