36 İSTANBUL BAROSU DERGİSİ • Cilt: 93 • Sayı: 2 • Yıl: 2019
veri aktarımı olarak değerlendirildiği, bu itibarla aynı şirketler topluluğu
bünyesinde yer alan veri sorumluları arasında gerçekleşecek veri aktarı-
mında da 6698 sayılı Kişisel Verilerin Korunması Kanununun 8 inci mad-
desi hükümlerinin esas alınması gerektiği dikkate alındığında,
İş başvurusunda bulunan bir adayın açık rızası olmadan kişisel veri-
lerinin bir şirketler topluluğu altında yer alan veri sorumluları arasında
aynı veri tabanını kullanmak suretiyle paylaşılmasının Kanunun 12 nci
maddesinin (1) numaralı fıkrasına aykırılık teşkil etmesi nedeniyle, anı-
lan Şirket hakkında Kanunun 18 inci maddesi uyarınca idari para cezası
uygulanmıştır.
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından
elde edilmesinin veri sorumlusu tarafından en kısa sürede ilgilisine ve Ku-
rula bildirimde bulunulmaması ile ilgili olarak; veri sorumlusunun ger-
çekleşen veri ihlalini ilgili kişilere 17 ay, Kurula ise 10 aylık gecikmeyle
bildirmesinin Kanunda belirtilen “en kısa süre”yi aşan bir süre olduğu ve
bu durumun Kanunun 12 nci maddesinin (5) numaralı fıkrası kapsamın-
da veri güvenliği ihlali olarak değerlendirilmesi nedeniyle Kurul tarafın-
dan Kanunun 18 inci maddesi gereğince ilgili veri sorumlusu hakkında
idari yaptırım uygulanmasına karar verilmiştir.
Açık rızanın hizmet şartına bağlanmasını Kurum idari para cezası
ile cezalandırmıştır.
Veri sorumlusu tarafından Kanunun 5 inci maddesinin (2) numaralı
fıkrasının (c) bendi kapsamında sözleşmenin taraflarına ait kişisel veri
işlenmesi durumunda ayrıca açık rıza alması ve de açık rızayı üyeliğin ve
hizmetin dolayısıyla sözleşmenin bir koşulu olarak dayatmasının;
- Diğer kişisel veri işleme şartlarının varlığı durumunda açık rıza alın-
masının ilgili kişinin yanıltılması ve yanlış yönlendirilmesi dolayısıyla veri
sorumlusunca hakkın kötüye kullanılması anlamına geleceği,
- Ayrıca hizmetin açık rıza şartına bağlanmış olmasının açık rızayı sa-
katlayacağı, dikkate alındığında, bu durumun Kanunun 4 üncü madde-
sinde yer alan hukuka ve dürüstlük kurallarına uygun olma ve işlenme
amacı ile bağlı, sınırlı ve ölçülü olma ilkelerine aykırılık teşkil etmesi ne-
deniyle, Kurul tarafından Kanunun 12 nci maddenin (1) numaralı fıkrası
çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari ted-
birleri alma yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında
Kanunun 18 inci maddesi uyarınca idari yaptırım uygulanmasına karar
verilmiştir.
İşlenme amacının gerektirdiğinden fazla kişisel veri İşlenmesi/Aktarıl-
ması (veri minimizasyonu ilkesine aykırılık) halinde yaptırım uygulanma-
sına karar verilmiştir.
