07 Mayıs 2020 tarihinde Kişisel Verileri Koruma Kurulu (“Kurul”), Amazon Türkiye Perakende Hizmetleri Limited Şirketi’nin (“Veri Sorumlusu”) sebep olduğu veri ihlaline ilişkin 27/02/2020 tarihli ve 2020/173 Sayılı bir karar yayınlamıştır. İhbar sonucu yapıldığı belirtilen incelemede Kurul, Veri Sorumlusu şirkete toplamda 1.200.000.-TL para cezası kesilmesini kararlaştırmıştır.

A. Veri Sorumlusu hakkında 6698 Sayılı Kişisel Verileri Koruma Kanunu (“KVKK”) m.12/1’de düzenlenen veri güvenliğine ilişkin yükümlülüklerini yerine getirmediği gerekçesiyle 1.100.000 TL tutarında idari para cezası uygulanmıştır:

• Ticari Elektronik İleti Gönderimine İlişkin Hükümler İhlal Edilmiştir:

Veri Sorumlusu ilgili kişilerin iletişim bilgilerini işlemek suretiyle ticari elektronik ileti göndermekte ancak açık rızalarını usulüne uygun olarak almamaktadır. Aynı zamanda, üyenin temas kişilerine ait iletişim adresleri de bu kişilerin açık rızalarına dayanmaksızın işlenerek KVKK’nın 4. maddesinde yer alan genel ilkelere aykırı hareket edilmiştir. - Açık Rıza Hükümleri İhlal Edilmiştir: Veri Sorumlusunun “Gizlilik Bildirimi”nde, ilgili kişiden işlenen veriler için açık rızaları istenmeyerek ve veri sahiplerine kişisel verilerini paylaşmamayı tercih etme imkanı tanınmayarak KVKK hükümlerine aykırı davranılmıştır.

• Yurtdışına İzinsiz Veri Transferi Yapılmıştır:

Kişisel verilerin yurt dışına aktarılması konusunda KVKK m.9’da belirtilen yeterli korumanın bulunduğu ülkeler Kurulca henüz belirlenmediğinden; ve veri sorumlusunun Taahhütname imzalayarak Kişisel Verileri Koruma Kurulu’ndan (“Kurul”) alması gereken yurtdışı aktarım izni henüz alınmadığından, yurtdışına veri transferi ancak ilgili kişilerin açık rızası alınmak suretiyle yapılabilir. Ancak Veri Sorumlusu, açık rıza ya da Kurul’dan izin almadan yurtdışına veri transferi yapmaktadır.

B. Veri Sorumlusuna, ayrıca KVKK m.10’dan kaynaklanan aydınlatma yükümlülüğünü yerine getirmediği için 100.000 TL tutarında idari para cezası uygulanmıştır:

• Aydınlatma Yükümlülüğü İhlal Edilmiştir:

Veri Sorumlusunun web sitesinde yayınlanan Gizlilik Bildirimi, kişisel veri transferine ilişkin spesifik bilgilendirme içermemesi, ancak veri işlemeye yönelik genel bir bilgilendirme olması sebebiyle, aydınlatma yükümlülüğünün yerine getirilmesi olarak değerlendirilmemiştir. Ayrıca, siteye girildiği andan itibaren çerezler aracılığıyla kişisel verilerin işlenmeye başlanmasına karşılık, çerezler, üye girişi gibi veri işlemenin başladığı hiçbir aşamada aydınlatma yükümlülüğü, KVKK m.10’da ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenlenen usul ve esaslara uygun olarak yerine getirilmemiştir.

Sonuç olarak, Kurum’un ve Kişisel Verileri Koruma Mevzuatının öngördüğü prosedürlere uyarak hareket etmek büyük önem taşımaktadır. Bu kapsamda; Ticari Elektronik İleti göndermeden önce ilgilinin açık rızası alınmalıdır. Yurtdışına kişisel veri transferi yapmadan önce kişilerin açık rızası veya Taahhütname imzalanarak Kurul’un izni alınmalıdır. Herhangi bir kişisel verinin işlenmesinden önce KVKK m.10’da ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de belirtilen usullere uygun olarak bir aydınlatma yapılmalıdır. Süreçlerin bu hususlara dikkat ederek yürütülmesinin veri koruma mevzuatına uyumluluk bakımından büyük önem taşıdığını vurgulamak isteriz.

Bilgi ve değerlendirmenize sunarız.
Konuya ilişkin her türlü sorunuz için info@gungorlaw.com adresinden ve 0216 687 03 22 numaralı telefondan bize ulaşabilirsiniz.

Saygılarımızla,
GÜNGÖR HUKUK BÜROSU