Kişisel Verileri Koruma Kurulu (“Kurul”), 10.09.2020 tarihli ve 2020/691 sayılı Kararında (“Karar”), şikayetçi ilgili kişinin (“Şikayetçi”) kendisine bir dernek (“Veri Sorumlusu”) tarafından reklam içerikli SMS gönderildiği, Veri Sorumlusunun kendisine ait kişisel verilere nereden ulaştığının belirsiz olduğu, Şikayetçinin açık rızası olmaksızın kişisel verilerinin kullanıldığı ve Veri Sorumlusundan bilgi alma talebinin 30 günlük yasal süre içinde yanıtsız bırakıldığı gerekçesiyle Kişisel Verileri Koruma Kurumuna (“Kurum”) yapılan şikâyete ilişkin karar vermiştir.
Veri Sorumlusu, kendisinden istenen savunma çerçevesinde; (i) bilgi edinme başvurusuna idari bir sıkıntı nedeniyle cevap verilemediğini; (ii) Şikayetçinin başvurusu üzerine telefon numarasının pasif konuma getirildiğini; (iii) Şikayetçinin SMS gönderimlerine dair açık rızasının tespit edilemediğini; (iv) Veri Sorumlusunun nezdinde Şikayetçiye dair telefon numarası dışında bir kişisel veri bulunmadığını; (v) Şikayetçinin telefon numarasının yüksek ihtimalle daha önce Şikayetçi tarafından yapılan SMS bağışı nedeniyle ellerinde bulunduğunu ve (vi) şikayet konusu SMS’in Şikayetçiye Veri Sorumlusu tarafından gönderildiğini belirtmiştir.
Kurulun başvuruya konu olaya ilişkin değerlendirmesinde (i) 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 5. maddesinde açık rıza olmaksızın kişisel verilerin işlenemeyeceği ve bunun istinası olan durumların belirtildiği, kişisel veri işleme faaliyetleri kapsamında KVKK’nın 4. maddesinde belirtilen temel ilkelere uyulmasının veri sorumlusunun başlıca yükümlülüklerinden olduğu; (ii) Şikayet konusu olayda Veri Sorumlusunun kişisel veri işleme sebebini tevsik etmediği ve Şikayetçinin telefon numarasının ellerinde neden bulunduğuna dair yapılan açıklamanın gereken hukuki dayanağı teşkil etmediği; (iii) kişisel veri işleme faaliyetinin, açık rıza olmaksızın gerçekleştirilmesinden ötürü KVKK’ya aykırılık teşkil ettiği ve bu durumun Veri Sorumlusunun veri güvenliğine ilişkin yükümlülüklerini yerine getirmediğini gösterdiği; (iv) Veri Sorumlusunun Şikayetçinin bilgi edinme talebi doğrultusunda herhangi bir harekette bulunmamasının ve “idari sıkıntı” olarak gösterilen nedenin aydınlatıcı şekilde açıklanmadığı ve Veri Sorumlusunun Şikayetçinin başvurusuna cevap vermemesinin KVKK’ya aykırılık teşkil ettiği; (v) KVKK’nın 7. maddesi uyarınca başlangıçtan itibaren hukuki sebepten yoksun olarak işlenen kişisel verilerin derhal silinmesi suretiyle halihazırda hukuka aykırılık arz eden durumun giderilmesi gerektiği, (vi) söz konusu telefon numarasının Veri Sorumlusunun sistemlerinde kara listeye alınmış bir şekilde bekliyor olmasının hukuka aykırılığı gidermediği ve bahse konu telefon numarasının imha edilmesi gerektiği tespit edilmiştir.
Kurul yapmış olduğu inceleme sonucunda,
• Veri Sorumlusunun KVKK’nın 12. maddesi uyarınca gereken teknik ve idari tedbirleri almadığı kanaatine varılması nedeniyle, KVKK’nın 18. maddesi uyarınca idari para cezası uygulanmasına,
• Veri Sorumlusunun ilgili kişilerin KVKK kapsamındaki başvurularını yasal süre içerisinde yanıtlaması konusundaki yükümlülüklerine dair talimatlandırılmasına,
• Veri Sorumlusunun Şikayetçiye ait hukuka aykırı olarak elde etmiş olduğu kişisel veri niteliğindeki cep telefonunun imhası konusunda talimatlandırılmasına,
karar vermiştir.
Kararın tam metnine aşağıdaki linkten ulaşabilirsiniz:
https://www.kvkk.gov.tr/Icerik/6832/2020-691
