KİŞİSEL VERİLERİ KORUMA KURULU KARAR ÖZETLERİ

 

1. Giriş

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 10 Ağustos 2026 tarihinde Kurum’un resmi internet sitesinde yayımlanan yeni karar özetleri; kişisel verilerin işlenme şartları, aydınlatma yükümlülüğü, açık rıza, ilgili kişi hakları, işyerlerinde kamera ve ses kaydı uygulamaları, çerezler, ticari ileti faaliyetleri, özel nitelikli kişisel veriler ve kişisel veri güvenliğinin sağlanmasına ilişkin önemli değerlendirmeler içermektedir.

Kurum tarafından yayımlanan toplam 47 karar özeti, farklı sektörlerde faaliyet gösteren veri sorumlularının karşılaşabileceği çeşitli kişisel veri işleme süreçlerini ve veri güvenliği risklerini somut olaylar üzerinden ortaya koymaktadır.

Kararlar özellikle, geçerli bir veri işleme şartının bulunmasının tek başına yeterli olmadığı; veri işleme faaliyetlerinin aynı zamanda Kanun’da öngörülen genel ilkelere uygun, ölçülü ve ilgili kişilerin makul beklentileriyle uyumlu şekilde yürütülmesi gerektiğini göstermesi bakımından önem taşımaktadır.

Bu kapsamda hazırlanan işbu bültende, Kişisel Verileri Koruma Kurulu (“Kurul”) karar özetlerinin her biri; kararın konusu, Kurul’un temel değerlendirmeleri ve karar sonucunda ortaya çıkan uygulamaya yönelik hususlar çerçevesinde kısaca ele alınmıştır. Amaç, güncel Kurul uygulamasında öne çıkan yaklaşımların ve veri sorumluları bakımından dikkat edilmesi gereken başlıca uyum başlıklarının toplu şekilde sunulmasıdır.

1. Reklam ve Pazarlama Amaçlı İzinsiz SMS Gönderilmesi ve Arama Yapılması Hakkında Kurul Kararı

Kurul’un 10.06.2026 tarih ve 2026/1183 sayılı karar özeti yayımlanmıştır.

Tasarruf finansman sektöründe faaliyet gösteren veri sorumlusu tarafından yürütülen “marka elçiliği” programı kapsamında, müşterilerden üçüncü kişilere ait iletişim numaralarının temin edildiği; ilgili kişinin telefon numarasının da bu şekilde veri sorumlusuna aktarılarak kendisine reklam ve pazarlama amacıyla SMS gönderildiği ve arama yapıldığı, söz konusu veri işleme faaliyetinin açık rıza alınmaksızın gerçekleştirildiği iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kişisel verilerin ilgili kişiden elde edilmemesi ve iletişim amacıyla kullanılacak olması hâlinde, ilk iletişim sırasında aydınlatma yükümlülüğünün yerine getirilmesi gerektiği,
• İlgili kişinin kampanya görüşmesine devam etmesi şeklindeki davranışın, somut olayda Kanun kapsamında geçerli bir açık rıza olarak değerlendirilemeyeceği,
• Geçerli açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerektiği,
• “Marka elçiliği” programı kapsamında herhangi bir veri işleme şartı bulunmaksızın gerçekleştirilen veri işleme faaliyetlerinin Kanun’a aykırı olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İlgili kişinin kişisel verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK veya Kanun”) ’un 5’inci maddesinde yer alan geçerli bir veri işleme şartı bulunmaksızın işlenmesi nedeniyle veri sorumlusu hakkında 1.000.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Kişinin pazarlama görüşmesine devam etmesi veya kampanyaya ilgi göstermesi, KVKK kapsamında geçerli açık rıza yerine geçmemektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

2. Ceza İnfaz Kurumunda Gerçekleştirilen Kişisel Veri İşleme Faaliyeti Hakkında Kurul Kararı

Kurul’un 19.12.2024 tarih ve 2024/2158 sayılı karar özeti yayımlanmıştır.

Kapalı ceza infaz kurumunda bulunan ilgili kişi tarafından; tahsilat ve reddiyat makbuzlarında ad, soyad, T.C. kimlik numarası, cezaevi kayıt numarası, hüküm durumu ve cezaevine giriş tarihi gibi kişisel verilerinin açık şekilde yer aldığı ve bu bilgilerin görevli personel tarafından görülebildiği belirtilerek Kurum’a başvurulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak infaz mercileri tarafından işlenmesi hâlinde Kanun hükümlerinin uygulanmayacağı,
• Hükümlü ve tutuklulara ait paraların kayıt altına alınması ile tahsilat ve reddiyat makbuzlarının düzenlenmesinin ilgili mevzuatta açıkça düzenlendiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Tahsilat ve reddiyat makbuzlarında yer alan kişisel verilerin işlenmesinin Kanun’un 28’inci maddesinin (1) numaralı fıkrasının (d) bendinde düzenlenen istisna kapsamında bulunduğu ve bu nedenle Kanun hükümlerinin uygulanamayacağı dikkate alınarak yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İnfaz işlemleri kapsamında infaz mercileri tarafından gerçekleştirilen kişisel veri işleme faaliyetleri, KVKK’nın 28/1-(d) maddesi uyarınca Kanun’un uygulama alanı dışında kalabilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

3. Uçuş Sırasında Sunulan İnternet Hizmetinin Açık Rıza Şartına Bağlanması Hakkında Kurul Kararı

Kurul’un 15.08.2024 tarih ve 2024/1393 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, uçuş sırasında sunulan internet hizmetinden yararlanabilmek için portalda yer alan ve kişisel verilerin doğrulama amacıyla paylaşılmasını öngören onay kutusunun zorunlu tutulduğu; söz konusu veri işleme faaliyeti bakımından açık rıza dışındaki işleme şartlarına dayanılması mümkün olmasına rağmen açık rıza talep edildiği iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• İnternet hizmetinden yararlanılabilmesi amacıyla ilgili kişiye ait soyadı, koltuk numarası veya bilet numarasının havayolu şirketi sistemleri üzerinden doğrulanmasının hizmetin sunulması için gerekli olduğu,
• Söz konusu veri işleme faaliyetinin açık rıza dışındaki veri işleme şartlarına dayanılarak gerçekleştirilebileceği,
• Buna rağmen ilgili kişiden açık rıza talep edilmesinin ilgili kişiyi yanıltıcı ve yanlış yönlendirici nitelikte olduğu ve hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil ettiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusu internet servis sağlayıcının açık rıza dışındaki veri işleme şartları mevcut olmasına rağmen ilgili kişiden açık rıza talep etmesi nedeniyle 90.000 TL idari para cezası uygulanmasına,

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir kişisel veri işleme faaliyeti açık rıza dışındaki hukuki sebeplerden birine dayanabiliyorsa, ayrıca açık rıza talep edilmesi ilgili kişinin yanıltılması ve yanlış yönlendirilmesi sonucunu doğurabilir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

4. Güvenlik Kameraları, Çerezler ve Pazarlama Amaçlı Açık Rıza Hakkında Kurul Kararı

Kurul’un 08.08.2024 tarih ve 2024/1361 sayılı karar özeti yayımlanmıştır.

Kurul tarafından, veri sorumlusu tarafından gerçekleştirilen güvenlik kamerası ile görüntü ve ses kaydı alınması, çerezlerin kullanılması ve pazarlama amacıyla kişisel verilerin işlenmesine yönelik açık rıza süreçleri incelenmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Güvenlik amacıyla kamera ile görüntü kaydı alınmasının, somut olayın koşulları çerçevesinde gerekli ve ölçülü olması hâlinde hukuka uygun bir veri işleme faaliyeti olarak değerlendirilebileceği,
• Kamera sistemleri aracılığıyla ses kaydı alınmasının, yalnızca güvenlik amacı bakımından görüntü kaydının yeterli olduğu durumlarda gereklilik ve ölçülülük ilkeleri bakımından ayrıca değerlendirilmesi gerektiği,
• Zorunlu olmayan çerezler bakımından ilgili kişinin önceden ve açık bir şekilde rıza göstermesine imkân sağlayan opt-in yöntemiyle açık rıza alınması gerektiği,
• Pazarlama amacıyla kişisel verilerin işlenmesine yönelik açık rızanın, ilgili kişiye sunulan hizmetin zorunlu bir unsuru hâline getirilmemesi ve özgür iradeye dayanması gerektiği,
• Aydınlatma ve açık rıza süreçlerinin birbirinden ayrı yürütülmesi gerektiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Zorunlu olmayan çerezler ve açık rıza süreçlerindeki aykırılıklar nedeniyle 250.000 TL, aydınlatma yükümlülüğünün yerine getirilmemesi nedeniyle ise 15.000 TL olmak üzere toplam 265.000 TL idari para cezası uygulanmasına,
• Aydınlatma, çerez ve açık rıza süreçlerinin Kanun’a uygun hâle getirilmesi ve reklam/pazarlama amaçlı açık rızanın hizmetin ön şartı olarak zorunlu tutulmaması hususlarında veri sorumlusunun talimatlandırılmasına,
• Güvenlik kameralarıyla görüntü kaydı alınması bakımından ayrıca işlem tesis edilmemesine

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Kurulun somut olayda, zorunlu olmayan çerezler bakımından açık rıza mekanizmasının ilgili kişinin önceden ve aktif bir irade açıklamasına dayanacak şekilde, opt-in yöntemiyle kurulması gerektiği yönündeki değerlendirmesi; ayrıca kamera ve ses kaydı ile pazarlama amaçlı veri işleme faaliyetlerinde gereklilik, ölçülülük ve özgür irade unsurlarının birlikte değerlendirilmesi gerektiğini ortaya koymaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

5. Banka Hesap Bilgilerinin Sigorta Şirketi Tarafından İşlenmesi Hakkında Kurul Kararı

Kurul’un 08.08.2024 tarih ve 2024/1359 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, trafik kazası sonrası araç değer kaybı ödemesinin kişisel banka hesabına yapıldığı, ancak banka hesap bilgilerinin veri sorumlusu sigorta şirketiyle paylaşılmadığı ve bu bilgilere açık rıza alınmaksızın ulaşıldığı iddiasıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• İlgili kişiye ait IBAN bilgisinin, kazaya karışan diğer aracın sigortalısı tarafından hasar bildirimi sırasında veri sorumlusuna iletildiği ve ilgili sigortacılık mevzuatı kapsamında bu verinin elde edilmesinin hukuka uygun olduğu,
• Aynı kaza nedeniyle yapılan değer kaybı başvurusu kapsamında söz konusu IBAN bilgisinin ödeme amacıyla kullanılmasının “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” şartına dayandığı,
• İlgili kişinin başvurusuna veri sorumlusunun iç işleyişindeki aksaklık nedeniyle geç cevap verildiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İlgili kişinin banka hesap bilgisinin elde edilmesi ve değer kaybı ödemesi amacıyla kullanılması bakımından Kanun kapsamında yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir kişisel verinin ilgili kişiden doğrudan elde edilmemiş olması, tek başına veri işlemenin hukuka aykırı olduğu anlamına gelmemekte; somut olayda geçerli bir veri işleme şartının bulunup bulunmadığı ayrıca değerlendirilmelidir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

6. SMS Gönderilmesi Suretiyle Cep Telefonu Numarasının İşlenmesi Hakkında Kurul Kararı

Kurul’un 08.08.2024 tarih ve 2024/1350 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, veri sorumlusunun reklam ve pazarlama içerikli SMS’leri sık aralıklarla ve bazı günlerde peş peşe gönderdiği, tekliflerin çağrı merkezi görüşmelerinde reddedilmesine rağmen mesaj gönderimine devam edildiği ve ticari ileti izninin pasif bir yöntemle alındığı iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Veri sorumlusunun ilgili kişinin cep telefonu numarasını işleyebileceği,
• Buna karşın sözleşmenin sona ermesine ilişkin bilgilendirme amacıyla yaklaşık üç aylık dönemde 20’den fazla SMS gönderilmesinin, ilgili kişinin makul beklentisini aşarak hakkın kötüye kullanılması niteliğinde olduğu ve hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil ettiği,
• Açık rıza metninin sözleşme içerisinde yer almasının ilgili kişiler açısından yanıltıcı olabileceği ve açık rızanın unsurlarını sakatlayabileceği, bu nedenle açık rıza metninin sözleşmeden ayrı şekilde sunulmasının uygun olacağı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İlgili kişiye aynı içerikte SMS’lerin sık aralıklarla gönderilmesi nedeniyle veri sorumlusu hakkında 100.000 TL idari para cezası uygulanmasına,
• Açık rıza metninin sözleşme metninden ayrı olarak sunulmasının uygun olacağı hususunun veri sorumlusuna hatırlatılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir veri işleme faaliyetinin geçerli bir hukuki sebebe dayanması, veri sorumlusuna sınırsız şekilde ileti gönderme hakkı vermemekte; ileti sıklığı da dürüstlük ve ölçülülük ilkeleri kapsamında değerlendirilmelidir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

7. Telefon Görüşmesi Kayıtlarına Erişim Talebinin Reddedilmesi Hakkında Kurul Kararı

Kurul’un 18.04.2024 tarih ve 2024/592 sayılı karar özeti yayımlanmıştır.

Veri sorumlusu bankanın çalışanı olan ilgili kişi tarafından, bir müşteriyle gerçekleştirilen ve kayıt altına alınan telefon görüşmesinde kendisine hakaret edildiği, yasal yollara başvurabilmek amacıyla görüşme kaydının kendisine verilmesini talep ettiği ancak bankanın müşteri sırrı niteliğindeki bilgiler bulunduğu gerekçesiyle talebi reddettiği belirtilerek Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kanun’un 11’inci maddesinde düzenlenen bilgi talep etme hakkının kişisel verilere erişim hakkını da kapsadığı,
• İlgili kişinin yasal yollara başvurabilmek amacıyla telefon görüşmesi kaydına erişmesinde hukuki menfaatinin bulunduğu,
• Görüşmede üçüncü kişiye ait müşteri sırrı niteliğinde bilgiler bulunmasının erişim hakkını tamamen ortadan kaldırmadığı ve bu bilgilerin maskelenerek kaydın ilgili kişiye sunulabileceği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Telefon görüşmesi kayıtlarının üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem verileri maskelenerek yazılı döküm veya dijital ortamda ilgili kişiye sağlanması hususunda veri sorumlusunun talimatlandırılmasına,
• Kanun kapsamındaki ilgili kişi başvurularının etkin, hukuka ve dürüstlük kuralına uygun ve gerekçeli şekilde sonuçlandırılması gerektiğinin veri sorumlusuna hatırlatılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir kayıtta üçüncü kişilere ait gizli bilgiler bulunması, ilgili kişinin kendi kişisel verilerine erişim hakkını ortadan kaldırmamaktadır; gerekli hâllerde üçüncü kişilere ait veriler maskelenerek erişim sağlanmalıdır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

8. İş Yerinin Kamera ile İzlenmesi Suretiyle Kişisel Veri İşlenmesi Hakkında Kurul Kararı

Kurul’un 28.03.2024 tarih ve 2024/540 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, çalıştığı iş yerinde soyunma/giyinme odası olarak nitelendirdiği alanın güvenlik kameralarıyla izlendiği, bu kapsamda açık rızasının alınmadığı ve yeterli aydınlatma yapılmadığı iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kameraların çalışanların kişisel eşyalarının korunması ve daha önce yaşanan hırsızlık olaylarının tekrarlanmasının önlenmesi amacıyla yerleştirildiği, bu nedenle görüntü kaydı alınmasının veri sorumlusunun meşru menfaati kapsamında dayanabileceği,
• Görüntü kayıtlarının 60 gün süreyle saklanarak daha sonra imha edilmesi nedeniyle veri işleme faaliyetinin Kanun’un 4’üncü maddesindeki genel ilkelere aykırı olmadığı,
• Aydınlatma metninde veri işleme şartlarının yalnızca Kanun maddelerine genel atıf yapılarak belirtilmesinin yeterli olmadığı ve somut hukuki sebebin açıkça gösterilmesi gerektiği,
• Aydınlatma ve açık rıza işlemlerinin birlikte gerçekleştirilmemesi, bu süreçlerin ayrı ayrı yürütülmesi gerektiği,
• İlgili kişi adına vekil tarafından yapılan başvurularda, mevzuatta açık bir düzenleme bulunmadığından vekâletnamede özel yetki şartı aranamayacağı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kamera ile görüntü kaydı alınması ve kayıtların 60 gün sonra imha edilmesi bakımından Kanun kapsamında yapılacak bir işlem bulunmadığına,
• aydınlatma metninin Kanun ve Aydınlatma Tebliği’ne uygun şekilde yeniden düzenlenmesi ve açık rıza ile aydınlatma süreçlerinin ayrıştırılması hususlarında veri sorumlusunun talimatlandırılmasına,
• Vekâleten yapılan ilgili kişi başvurularında özel yetki aranmaması gerektiği hususunda veri sorumlusunun uyarılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İş yerinde güvenlik amacıyla kamera kullanımı, gerekli ve ölçülü olması hâlinde meşru menfaat hukuki sebebine dayanabilir; ancak aydınlatma metninde veri işlemenin somut hukuki sebebi açıkça belirtilmeli ve açık rıza süreci aydınlatmadan ayrıştırılmalıdır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

9. Kapatılan Borca İlişkin Bilgilerin Risk Raporundan Silinmesi Talebi Hakkında Kurul Kararı

Kurul’un 14.03.2024 tarih ve 2024/444 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, daha önce ödenerek kapatılan bir borca ilişkin bilgilerin Findeks Risk Raporu’nda yer almaya devam ettiği ve bu verilerin silinmesi talebinin Kredi Kayıt Bürosu A.Ş. tarafından reddedildiği belirtilerek Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kredi Kayıt Bürosu AŞ’nin Findeks Risk Raporu kapsamında veri sorumlusu olduğu ve banka ve finansal kuruluşlardan aktarılan bilgilerin derlenmesinin kişisel veri işleme faaliyeti niteliğinde olduğu,
• Risk Merkezi’nin kişisel verileri Kanun’un 5’inci maddesi kapsamında “kanunlarda açıkça öngörülmesi” hukuki sebebine dayanarak işlediği,
• kapatılan borca ilişkin bilgilerin, borcun kapandığı tarihten itibaren 10 yıl süreyle işlenmeye ve paylaşılmaya devam edilebildiği,
• ilgili kişinin 2017 yılında kapanan borcuna ilişkin veri işleme süresinin henüz dolmadığı ve verilerin 2027 yılına kadar işlenmeye devam edeceği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İlgili kişinin kapatılan borcuna ilişkin verilerin işlenme süresinin henüz sona ermemiş olması nedeniyle Kanun kapsamında yapılacak herhangi bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir borcun ödenerek kapanmış olması, borca ilişkin finansal verilerin derhâl silinmesini gerektirmemekte; veriler, ilgili mevzuat ve belirlenen saklama süresi kapsamında işlenmeye devam edebilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

10. Kişisel Verilerin Kredi Kayıt Bürosu Tarafından İşlenmesi Hakkında Kurul Kararı

Kurul’un 22.02.2024 tarih ve 2024/292 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, kişisel verilerinin hukuka aykırı şekilde işlendiği, saklandığı, üçüncü kişilerle paylaşıldığı ve ticari amaçla kullanıldığı; verilerin silinmesi talebinin ise reddedildiği iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kredi Kayıt Bürosu A.Ş.’nin 5411 sayılı Bankacılık Kanunu ve 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu kapsamında bankalar ve finansal kuruluşlar arasındaki veri paylaşımına aracılık ettiği ve bu nedenle söz konusu veri işleme faaliyetlerinin açık rıza olmaksızın gerçekleştirilebildiği,
• ilgili kişinin Findeks üyeliğinin hâlen aktif olduğu, üyelik kapsamında verilen kişisel verilerin üyeliğin sona ermesinden itibaren 10 yıl süreyle saklanacağı ve sürenin sonunda imha edileceği,
• veri sorumlusu tarafından ilgili kişiye verilen cevabın açık ve yeterli olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusunun kişisel veri işleme ve saklama faaliyetlerinin ilgili mevzuata dayanması ve ilgili kişiye verilen cevabın yeterli bulunması nedeniyle Kanun kapsamında yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bankacılık ve finans mevzuatında açıkça öngörülen veri paylaşımı ve saklama faaliyetleri, Kanun’un 5’inci maddesindeki “kanunlarda açıkça öngörülme” hukuki sebebine dayanarak açık rıza olmaksızın gerçekleştirilebilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

11. Çalışan Kişisel Verilerinin İşlenmesi, Aktarılması ve Aydınlatma Yükümlülüğü Hakkında Kurul Kararı

Kurul’un 22.02.2024 tarih ve 2024/284 sayılı karar özeti yayımlanmıştır.

Bir kamu kuruluşunun iştirakinde çalışan ilgili kişi tarafından; iş ilişkisinin sona ermesinin ardından kişisel verilerinin hukuka aykırı şekilde işlendiği, amacına aykırı kullanıldığı, üçüncü taraflara aktarıldığı ve çalışan aydınlatma metninin hukuka aykırı olduğu iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• İş uyuşmazlıklarında delil teşkil edebilecek çalışan verilerinin ve kurumsal e-posta içeriklerinin, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartına dayanılarak muhafaza edilebileceği,
• Çalışanların istirahat raporlarının işverenin hukuki yükümlülükleri kapsamında işlenebileceği; ancak sağlık verilerine erişim yetkisinin yalnızca görevi gereği erişmesi gereken kişilerle sınırlandırılması gerektiği,
• İşten ayrılan çalışanın Personel Yönetim Sistemindeki hesabının pasife alınmasının kişisel verilerin silindiği anlamına gelmediği ve muhafaza edilmeye devam edilen verilere ilişkin erişim talebinin karşılanması gerektiği,
• Çalışan aydınlatma metninde kurumsal e-posta içeriklerinin denetlenmesi ve muhafaza edilmesine ilişkin yeterli bilgi verilmemesi nedeniyle aydınlatmanın eksik olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İlgili kişinin kişisel verilerine erişim talebinin karşılanması ve aydınlatma metninin Kanun’a uygun şekilde güncellenmesi hususlarında veri sorumlusunun talimatlandırılmasına,
• Sağlık verilerine erişim yetkisinin yalnızca ilgili personelle sınırlandırılması ve ilgili kişi başvurularının açık, anlaşılır ve gerekçeli şekilde cevaplandırılması gerektiğinin veri sorumlusuna hatırlatılmasına,
• Çalışan verilerinin ve kurumsal e-posta içeriklerinin hukuki uyuşmazlıklarda savunma hakkı kapsamında muhafaza edilmesi ile istirahat raporlarının işlenmesi bakımından ayrıca işlem tesis edilmemesine

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İşten ayrılan çalışanın hesabının pasife alınması kişisel verilerin silinmesi anlamına gelmemekte; muhafaza edilmeye devam eden kişisel verilere yönelik erişim taleplerinin karşılanması gerekmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

12. Abonelik Sözleşmesinde Açık Rıza ve Kimlik Bilgilerinin İşlenmesi Hakkında Kurul Kararı

Kurul’un 22.02.2024 tarih ve 2024/282 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, internet aboneliğinin kimlik belgesi eksikliği gerekçesiyle feshedildiği, kişisel verilerinin imha edilmesi ve aktarıldığı üçüncü kişilerin bildirilmesi taleplerinin karşılanmadığı belirtilerek Kurum’a şikâyette bulunulmuştur. Ayrıca abonelik sözleşmesinde açık rıza ve grup şirketlerine veri aktarımına ilişkin hükümlerin bulunması üzerine Kurul tarafından resen inceleme başlatılmıştır.

Kurul tarafından yapılan değerlendirmelerde;

• Yeni abonelik sözleşmesinin kurulması için kimlik belgesinin talep edilmesinin, sözleşmenin kurulması ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi kapsamında hukuka uygun olduğu,
• İlgili kişinin kimlik bilgilerinin hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi ve mevzuattan doğan yükümlülüklerin yerine getirilmesi amacıyla saklanmaya devam edilebileceği,
• Açık rıza dışında geçerli bir veri işleme şartı mevcutken abonelik sözleşmesinde ayrıca açık rıza alınmasının, ilgili kişiyi yanıltıcı ve yanlış yönlendirici nitelikte olduğu ve hukuka ve dürüstlük kurallarına aykırılık teşkil ettiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kimlik bilgilerinin elde edilmesi ve saklanması bakımından Kanun kapsamında ayrıca işlem tesis edilmemesine,
• Abonelik sözleşmesinde açık rıza niteliğinde hükümlere yer verilmesi nedeniyle veri sorumlusu hakkında 350.000 TL idari para cezası uygulanmasına,
• İlgili kişiye abonelik sözleşmesinin bir örneğinin ve kişisel verilerinin aktarıldığı grup şirketlerinin listesinin verilmesine,
• Sözleşmedeki açık rıza niteliğindeki ifadelerin çıkarılması ve açık rıza süreçlerinin sözleşme ile aydınlatma metninden ayrıştırılması hususunda veri sorumlusunun talimatlandırılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Açık rıza dışında geçerli bir veri işleme şartı mevcutken ayrıca açık rıza alınması, ilgili kişiyi yanıltabileceğinden hukuka ve dürüstlük kurallarına aykırılık oluşturabilir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

13. Çalışan Verilerinin Hatalı Entegrasyon Nedeniyle Paylaşılması Hakkında Kurul Kararı

Kurul’un 22.05.2025 tarih ve 2025/881 sayılı karar özeti yayımlanmıştır.

Telekomünikasyon teknolojileri geliştirme alanında faaliyet gösteren veri sorumlusu tarafından, çalışanların iş seyahati ve harcamalarının takibinde kullanılan uygulamada bir çalışanın sehven farklı bir uygulamanın entegrasyonunu etkinleştirmesi sonucu bazı çalışanlara ait kişisel verilerin üçüncü bir şirketle paylaşıldığı Kurum’a bildirilmiştir. İhlalden 488 kişinin etkilendiği ve paylaşılan verilerin ad, soyad, iş e-posta adresi ve iş telefon numarası olduğu belirtilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin bir çalışanın sehven gerçekleştirdiği işlem sonucunda meydana geldiği,
• İhlalin çalışanların aldığı otomatik e-postalar üzerine yapılan inceleme sonucunda tespit edildiği ve tespitin ardından entegrasyonun derhâl iptal edilerek paylaşılan verilerin silinmesinin talep edildiği,
• İhlalle ilgili çalışanlara son bir yıl içerisinde kişisel verilerin korunmasına ilişkin eğitim verildiği ve ihlalin ilgili kişiler üzerinde olumsuz sonuç doğurma olasılığının düşük olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İhlalin niteliği, alınan tedbirler ve ilgili kişiler üzerindeki risk seviyesi dikkate alınarak veri ihlali hakkında Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Her veri ihlali idari yaptırımla sonuçlanmamakta; Kurul, ihlalin kapsamını, ilgili kişiler üzerindeki risk ve veri sorumlusunun ihlal öncesi ve sonrasında aldığı tedbirleri birlikte değerlendirmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

14. Haber Bülteni Platformuna Yetkisiz Erişim Yoluyla Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 02.05.2025 tarih ve 2025/833 sayılı karar özeti yayımlanmıştır.

Bilimin ilerlemesini destekleyen kâr amacı gütmeyen veri sorumlusuna ait haber bülteni dağıtım platformuna yetkisiz erişim sağlanması sonucunda kişisel veri ihlali meydana geldiği; ihlalden Türkiye’de yerleşik 15 kişinin etkilendiği ve etkilenen verilerin ad, soyad ve e-posta adreslerinden oluştuğu Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin tespit edilmesinin ardından ilgili platformun geçici olarak kapatıldığı ve ilgili kişilere bildirimde bulunulduğu,
• ihlal edilen verilerin dolandırıcılık veya kimlik hırsızlığında kullanıldığına dair bir bulgu bulunmadığı ve ilgili kişiler bakımından riskin son derece düşük olduğu,
• benzer ihlallerin önlenmesi amacıyla çok faktörlü kimlik doğrulama dâhil ek güvenlik tedbirlerinin değerlendirildiği

tespit edilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İhlalin kapsamı, risk seviyesi ve alınan tedbirler dikkate alınarak Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına,
• Kurula yapılacak ihlal bildirimlerinde 2019/10 sayılı Kurul Kararı uyarınca Kişisel Veri İhlal Bildirim Formu’nun kullanılması gerektiğinin hatırlatılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Veri ihlalinin yaptırımla sonuçlanıp sonuçlanmayacağının değerlendirilmesinde ihlalin kapsamı, ilgili kişiler üzerindeki risk ve veri sorumlusunun aldığı tedbirler birlikte dikkate alınmaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

15. Yurt Dışında Yerleşik Veri Sorumlusunun Veri İhlali Bildirim Yükümlülüğü Hakkında Kurul Kararı

Kurul’un 28.03.2025 tarih ve 2025/601 sayılı karar özeti yayımlanmıştır.

Hong Kong’da otelcilik ve konaklama alanında faaliyet gösteren veri sorumlusunun sistemlerine yetkisiz erişim sağlanması sonucunda, Türkiye’de yerleşik 909 kişiye ait kimlik, iletişim ve ödeme bilgileri dâhil çeşitli kişisel verilerin ihlalden etkilenmiş olabileceği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Kanun’da yer bakımından uygulama alanına ilişkin açık bir düzenleme bulunmadığı,
• 2019/10 sayılı Kurul Kararı kapsamında yurt dışında gerçekleşen ihlallerde “etki ilkesi”nin esas alındığı,
• Yurt dışında yerleşik veri sorumlusunun ihlal bildirim yükümlülüğü bakımından, ilgili kişilerin sunulan ürün ve hizmetlerden Türkiye’de faydalanıp faydalanmadığının dikkate alınması gerektiği,
• Somut olayda ilgili kişilerin söz konusu hizmetlerden Türkiye’de faydalanmadıkları ve veri sorumlusunun Türkiye’de herhangi bir kuruluşu, çalışanı veya teknoloji altyapısının bulunmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusunun somut kişisel veri işleme faaliyeti bakımından Kanun’un yer bakımından uygulama alanına girmediği ve veri ihlali bildirim yükümlülüğünün bulunmadığı dikkate alınarak Kanun kapsamında yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Yurt dışında yerleşik veri sorumluları bakımından KVKK’nın uygulanmasında etki ilkesi esas alınmakta; ilgili kişilerin ürün veya hizmetlerden Türkiye’de faydalanması önem taşımaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

16. E-Posta Adreslerinin Gizlenmeden Gönderilmesi Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 12.03.2025 tarih ve 2025/536 sayılı karar özeti yayımlanmıştır.

Küçük ev aletleri üretimi ve satışı yapan veri sorumlusu tarafından müşterilere gönderilen toplam 14 bilgilendirme e-postasında alıcıların e-posta adreslerinin gizlenmemesi nedeniyle kişisel verilerin üçüncü kişiler tarafından görülebildiği Kurum’a bildirilmiştir. İhlalden tahmini olarak 500 müşterinin etkilendiği ve etkilenen kişisel verinin e-posta adresi olduğu belirtilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin e-postaların gönderilmesinin hemen ardından çalışan tarafından fark edildiği ve e-postaların geri çekilmesi için aksiyon alındığı,
• İhlalden yalnızca e-posta adreslerinin etkilendiği,
• İlgili kişiler üzerinde olumsuz sonuç doğma ihtimalinin düşük olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İhlalin niteliği, etkilenen veri kategorisi ve ilgili kişiler üzerindeki risk düzeyi dikkate alınarak Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: E-postalarda alıcı adreslerinin görünür şekilde paylaşılması kişisel veri ihlali oluşturabilmekle birlikte, ihlalin sınırlı niteliği ve düşük risk seviyesi yaptırım değerlendirmesinde dikkate alınmaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

17. Zararlı Yazılım Yoluyla Müşteri Verilerine Yetkisiz Erişim Sağlanması Hakkında Kurul Kararı

Kurul’un 09.01.2025 tarih ve 2025/88 sayılı karar özeti yayımlanmıştır.

Restoran zinciri ve hızlı servis gıda sektöründe faaliyet gösteren veri sorumlusunun bilgi işlem çalışanına ait bilgisayara zararlı yazılımla yetkisiz erişim sağlandığı, tarayıcıda kayıtlı kullanıcı adı ve şifrelerin ele geçirilmesi sonucunda şirket sistemlerine erişildiği ve 505.337 müşteriye ait ad-soyad, cinsiyet, e-posta, telefon ve şehir bilgilerinin ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Kullanıcı adı ve şifrelerin tarayıcıda kayıtlı tutulması, yetkisiz erişimi bildirecek alarm sistemlerinin bulunmaması ve iki faktörlü kimlik doğrulama gibi tedbirlerin ihlalden sonra alınmasının, veri güvenliği açısından teknik tedbirlerin yetersiz olduğunu gösterdiği,
• Veri sorumlusunun ihlal öncesinde çalışanlara yeterli veri güvenliği eğitimi verdiğine ilişkin bilgi ve belge sunamadığı,

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 800.000 TL,
• İlgili kişilere veri ihlalinin en kısa sürede bildirilmemesi nedeniyle 200.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Kullanıcı bilgilerinin tarayıcılarda saklanması, iki faktörlü kimlik doğrulama ve izleme/alarm sistemlerinin bulunmaması ile çalışan eğitimlerindeki eksiklikler, Kanun’un 12’nci maddesi kapsamında veri güvenliği tedbirlerinin yetersizliği olarak değerlendirilebilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

18. Fidye Yazılımı Saldırısı Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 26.12.2024 tarih ve 2024/2196 sayılı karar özeti yayımlanmıştır.

Plastik ev gereçleri ve temizlik ürünleri üretimi yapan veri sorumlusunun sistemlerine yönelik fidye yazılımı saldırısı sonucunda şirket verilerinin şifrelendiği ve fidye talep edildiği; ihlalden çalışanlar ile müşteri verilerinin etkilenmiş olabileceği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Veri sorumlusunun ihlalden etkilenen kişi ve veri kategorileri ile ihlalin tespit tarihine ilişkin çelişkili beyanlarda bulunduğu ve talep edilen bazı bilgi ve belgeleri Kuruma sunamadığı,
• Özel nitelikli kişisel veriler bakımından yeterli şifreleme tedbirlerinin ihlal öncesinde alınmadığı, log kayıtlarına ulaşılamadığı ve güvenlik açığı testlerinin yetersiz kaldığı,
• İki faktörlü kimlik doğrulamanın ancak ihlal sonrasında devreye alındığı ve grup şirketleri arasındaki ağ segmentasyonunun yeterli olmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 250.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İhlale ilişkin çelişkili beyanlar, yetersiz loglama, eksik şifreleme, zayıf ağ segmentasyonu ve iki faktörlü kimlik doğrulamanın bulunmaması, Kanun’un 12’nci maddesi kapsamında veri güvenliği tedbirlerinin yetersizliği olarak değerlendirilebilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

19. FTP Sunucusuna Yetkisiz Erişim Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 07.11.2024 tarih ve 2024/1899 sayılı karar özeti yayımlanmıştır.

Avrupa’daki grup şirketlerine kurumsal destek hizmetleri sağlayan veri sorumlusunun pazarlama amacıyla kullandığı kullanıcı hesabının ele geçirilmesi sonucunda FTP sunucusundaki klasörlere yetkisiz erişim sağlandığı ve yaklaşık 70.000 kişinin ad, soyad, e-posta, iletişim ve adres bilgilerinin ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin uzun süre sonra tespit edilmesinin sistemlerdeki yetkisiz erişimlerin yeterli şekilde takip edilmediğini gösterdiği,
• Kişisel veri içeren klasörlerin “herkese açık” şekilde bırakılmasının yetkisiz erişime imkân sağladığı,
• güçlü parola politikalarının ihlalden sonra uygulanmaya başlanmasının, ihlal öncesinde yeterli güvenlik tedbirlerinin alınmadığını gösterdiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 700.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Erişim yetkilerinin sınırlandırılmaması, kişisel veri içeren dosyaların herkese açık tutulması ve zayıf parola politikaları, veri güvenliği yükümlülüğünün ihlali olarak değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

20. Fidye Yazılımı Yoluyla Sunuculara Yetkisiz Erişim Sağlanması Hakkında Kurul Kararı

Kurul’un 07.11.2024 tarih ve 2024/1898 sayılı karar özeti yayımlanmıştır.

İlaç ve sağlık ürünleri alanında faaliyet gösteren veri sorumlusunun sunucusunun fidye yazılımı ile şifrelenmesi sonucunda 520 kişinin kimlik, iletişim, özlük ve müşteri işlem bilgilerinin ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Saldırganın sunucu üzerinde zararlı yazılım indirme, dosya çalıştırma ve kod yürütme gibi çok aşamalı işlemler gerçekleştirebilmesinin kişisel veri güvenliğinin takibinde eksiklik bulunduğunu gösterdiği,
• Saldırı sonrasında hazırlanan raporda ağ, sunucu ve kullanıcı güvenliği ile test ve denetim alanlarında çok sayıda iyileştirme önerisinin yer almasının ihlal öncesi tedbirlerin yetersizliğine işaret ettiği,
• Uzaktan erişim ve log kayıtları bakımından yeterli güvenlik ve izleme mekanizmalarının bulunmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 350.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Siber saldırılara karşı yalnızca temel güvenlik araçlarının bulunması yeterli olmayıp, sistemlerin aktif biçimde izlenmesi, loglanması, güncellenmesi ve güvenlik açıklarının düzenli olarak test edilmesi gerekmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

21. Trojan Saldırısı Sonucu Kişisel Verilere Yetkisiz Erişim Sağlanması Hakkında Kurul Kararı

Kurul’un 09.10.2024 tarih ve 2024/1718 sayılı karar özeti yayımlanmıştır.

Kozmetik ve kişisel bakım alanında faaliyet gösteren veri sorumlusunun ağ sunucularından birine “Trojan” virüsü bulaştırılması sonucunda kişisel verilere yetkisiz erişim sağlandığı ve fidye talep edildiği; Türkiye’de yaklaşık 432 kişinin kimlik ve iletişim bilgilerinin ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Zararlı yazılımları tespit etmeye yönelik EDR çözümünün ancak ihlal sonrasında devreye alınmasının, ihlal öncesindeki güvenlik tedbirlerinin yetersiz olduğunu gösterdiği,
• Potansiyel risklerin belirlenmesi ve bu risklere karşı alınacak önlemlerin planlanması bakımından yeterli risk analizinin yapılmadığı,
• İhlal öncesinde yeterli sızma testi ve güvenlik taramalarının gerçekleştirilmediği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğini sağlamaya yönelik gerekli tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 500.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Etkin uç nokta güvenliği, düzenli risk analizi, zafiyet taraması ve sızma testleri, Kanun’un 12’nci maddesi kapsamındaki veri güvenliği yükümlülüğünün temel unsurları arasında değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

22. Phishing Saldırısı Sonucu Çalışan Verilerinin İhlali Hakkında Kurul Kararı

Kurul’un 10.09.2024 tarih ve 2024/1523 sayılı karar özeti yayımlanmıştır.

Turizm ve otelcilik alanında faaliyet gösteren veri sorumlusunun bir çalışanının phishing içerikli e-postadaki bağlantıya tıklaması sonucunda bilgisayarın üçüncü kişilerce kontrol edildiği ve 450 çalışana ait ad-soyad bilgilerinin yer aldığı vardiya dosyasının ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Kullanılan sistemlerde güncelleme ve konfigürasyon eksiklikleri ile güncel olmayan yazılım ve sistemlerin bulunduğu,
• Zayıf parola kullanımı ve spam e-postalarına karşı yetersiz korumanın güvenlik zafiyeti oluşturduğu,
• Sunucu odalarına girişte kimlik doğrulama mekanizmasının bulunmamasının da fiziksel güvenlik açısından eksiklik teşkil ettiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 500.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Phishing kaynaklı ihlallerde yalnızca çalışanın hatası değil; güncelleme, parola güvenliği, spam koruması, çalışan farkındalığı ve fiziksel erişim kontrolleri dâhil veri sorumlusunun bütüncül güvenlik tedbirleri değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

23. Dijital Oyun Platformunda Siber Saldırı Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 08.06.2023 tarih ve 2023/1017 sayılı karar özeti yayımlanmıştır.

Dijital oyun ve eğlence platformları sunan veri sorumlusunun sistemlerine yönelik siber saldırı sonucunda, Türkiye’de ikamet eden 90.182 kişinin kullanıcı adı, isim, e-posta adresi, doğum tarihi, cinsiyet, ülke, IP adresi ve site kullanım bilgilerinin ihlalden etkilendiği; saldırganın elde ettiği verileri satışa çıkardığı Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin veri sorumlusunun kendi güvenlik sistemleri tarafından değil, saldırganın bir forum sitesindeki paylaşımı üzerine tespit edildiği,
• Veri sorumlusunun ihlal öncesinde sızma testi yaptırmadığı, yeterli loglama ve güvenlik takibi gerçekleştirmediği,
• Aynı güvenlik açığının iki kez kullanılmasının ve yama yönetimi politikasının ihlal sonrasında uygulanmaya başlanmasının teknik ve idari tedbirlerin yetersiz olduğunu gösterdiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğini sağlamaya yönelik gerekli tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 1.500.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Düzenli loglama, sızma testi, zafiyet taraması ve yama yönetiminin bulunmaması, Kanun’un 12’nci maddesi kapsamında veri güvenliği yükümlülüğünün ihlali olarak değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

 

24. Mobil Uygulama Veri Tabanına Yetkisiz Erişim Hakkında Kurul Kararı

Kurul’un 16.05.2024 tarih ve 2024/790 sayılı karar özeti yayımlanmıştır.

Yazılım ve teknoloji alanında faaliyet gösteren veri sorumlusuna ait mobil uygulamanın veri tabanına yetkisiz erişim sağlandığı; uygulamada 7.823 üye kaydının bulunduğu ve veri tabanındaki ad-soyad, e-posta adresi ve telefon numarası bilgilerinin erişime konu olduğu Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Yetkisiz kişilerin veri tabanı şifresine erişebildiği ve ihlal sonrasında parola politikasının değiştirilmesinin, ihlal öncesinde parola güvenliği bakımından yeterli tedbir alınmadığını gösterdiği,
• Veri tabanında yeterli log yapısının bulunmaması nedeniyle ihlalin nasıl gerçekleştiğinin kesin olarak tespit edilemediği,
• Veri ihlalinin yalnızca verilerin bütünlüğünün bozulmasıyla değil, gizlilik ve erişilebilirliğin ihlaliyle de meydana gelebileceği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 250.000 TL,
• İlgili kişilere veri ihlali bildirimi yapılmaması nedeniyle 100.000 TL olmak üzere toplam 350.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Veri bütünlüğünün bozulmamış olması tek başına veri ihlalini ortadan kaldırmamakta; yetkisiz erişim yoluyla gizliliğin ihlal edilmesi de veri ihlali teşkil etmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

25. Seçim Anketi Sonuçlarının Yeterince Anonimleştirilmeden Yayımlanması Hakkında Kurul Kararı

Kurul’un 22.02.2024 tarih ve 2024/275 sayılı karar özeti yayımlanmıştır.

Yerel bir basın organı tarafından gerçekleştirilen seçim anketinde kişilerin kimlik ve oy tercihlerine ilişkin bilgilerin toplandığı ve sonuçların internet sitesinde kısmen maskelenerek yayımlandığı belirtilerek Kurum’a ihbarda bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• İsimlerin kısmen maskelenmesi, telefon numaralarının yalnızca son dört hanesinin gizlenmesi ve bazı kayıtlarda mahalle bilgisine yer verilmesi nedeniyle kişilerin belirlenebilir olmaya devam ettiği,
• Bu nedenle uygulanan maskelemenin anonimleştirme için yeterli olmadığı,
• Siyasi düşünce bilgisinin özel nitelikli kişisel veri olduğu ve ilgili kişilere gönderilen metnin geçerli açık rızanın unsurlarını taşımadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Hukuki dayanak bulunmaksızın özel nitelikli kişisel veri işlenmesi nedeniyle veri sorumlusu hakkında 40.179 TL idari para cezası uygulanmasına,

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Kısmi maskeleme, kişinin başka bilgilerle birlikte belirlenmesine imkân veriyorsa anonimleştirme olarak kabul edilmemektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

26. Yanlış Müşteriye Fatura ve Kargo Gönderilmesi Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 09.05.2024 tarih ve 2024/756 sayılı karar özeti yayımlanmıştır.

Hazır giyim ve tekstil ürünlerinin perakende satışını gerçekleştiren veri sorumlusunun paketleme personeli tarafından yapılan hata sonucunda bir müşteriye ait kargo ve faturanın başka bir müşteriye gönderildiği; ihlalden bir kişinin ad-soyad, adres, telefon, e-posta ve sipariş bilgilerinin etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin sistemsel bir güvenlik açığından değil, paketleme aşamasındaki insan hatasından kaynaklandığı,
• ihlalden yalnızca bir kişinin etkilendiği ve ilgili kişiye ihlal hakkında bildirim yapıldığı,
• ihlalin ilgili kişi bakımından olumsuz sonuç doğurma riskinin düşük olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İhlalin niteliği ve düşük risk seviyesi dikkate alınarak Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İnsan hatasından kaynaklanan her veri ihlali idari yaptırım doğurmamakta; ihlalin kapsamı ve ilgili kişiler üzerindeki risk seviyesi ayrıca dikkate alınmaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

27. Üniversitede Parmak İzi ile Devamsızlık Takibi Yapılması Hakkında Kurul Kararı

Kurul’un 08.02.2024 tarih ve 2024/197 sayılı karar özeti yayımlanmıştır.

Bir üniversitede öğrencilerin derslere devam durumlarının parmak izi sistemiyle takip edilmesi ve bu kapsamda biyometrik verilerin işlenmesi üzerine Kurum’a şikâyette bulunulmuş ve resen inceleme başlatılmıştır.

Kurul tarafından yapılan değerlendirmelerde;

• Parmak izi verisinin özel nitelikli kişisel veri niteliğinde olduğu,
• Parmak izi işlenmesinin ölçülülük ilkesine aykırı olduğu,
• Açık rızanın gereğinden fazla veri işlenmesini tek başına hukuka uygun hâle getirmeyeceği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Biyometrik veri işlenmesine ivedilikle son verilmesi ve devam takibinin alternatif yöntemlerle gerçekleştirilmesi,
• Bugüne kadar işlenen parmak izi verilerinin imha edilmesi,
• Gerekli teknik ve idari tedbirleri almaktan sorumlu kişiler hakkında disiplin hükümleri kapsamında işlem yapılarak Kurula bilgi verilmesi

hususlarında veri sorumlusunun talimatlandırılmasına karar verilmiştir.

Öne çıkan hukuki değerlendirme: Açık rıza, ölçülülük ilkesine aykırı bir biyometrik veri işleme faaliyetini hukuka uygun hâle getirmemektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

28. Gazete Arşivindeki Haberin Silinmesi ve Unutulma Hakkı Hakkında Kurul Kararı

Kurul’un 28.12.2023 tarih ve 2023/2185 sayılı karar özeti yayımlanmıştır.

İlgili kişiler tarafından, 2001 yılında yayımlanan ve gazetenin internet arşivinde bulunmaya devam eden haberin, ad-soyadlarıyla arama yapıldığında halen görüntülendiği belirtilerek haberin internet sitesi ve arşiv kayıtlarından kaldırılması talep edilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Basın özgürlüğü ile kişisel verilerin korunmasını isteme hakkının çatışması hâlinde kamu yararı, güncellik, gerçeklik ve öz-biçim dengesi dikkate alınarak menfaat dengesi kurulması gerektiği,
• Somut olayda haber kapsamındaki veri işlemenin basın hürriyeti kapsamında Kanun’un 28’inci maddesindeki istisnaya girdiği,
• Kişinin adıyla yapılan aramalarda haberin görüntülenmesine son verilmesine yönelik unutulma hakkı talebinin öncelikle arama motorlarına yöneltilmesi gerektiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Haberin gazete arşivinden silinmesi talebi bakımından Kanun kapsamında yapılacak bir işlem bulunmadığına,
• İlgili kişilerin unutulma hakkına ilişkin taleplerini öncelikle arama motorlarına iletmeleri gerektiğinin bildirilmesine,
• Veri sorumlusuna yapılan başvuruların süresi içinde ve gerekçeli olarak cevaplandırılması gerektiğinin hatırlatılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Gazete arşivindeki içeriğin silinmesi ile arama motorlarında kişinin adıyla ilişkilendirmenin kaldırılması farklı hukuki değerlendirmelere tabidir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

29. Oltalama Saldırısı Sonucu Üye Bilgilerinin Paylaşılması Hakkında Kurul Kararı

Kurul’un 09.05.2024 tarih ve 2024/728 sayılı karar özeti yayımlanmıştır.

Finans ve muhasebe alanında faaliyet gösteren uluslararası bir meslek kuruluşunun çalışanına, kurumun Başkanı ve CEO’sundan gelmiş izlenimi verilen sahte e-posta gönderildiği; çalışanın talep edilen üyelik listesini saldırgana iletmesi sonucunda 217 Türk üyeye ait ad-soyad, üyelik numarası ve bazı üyelerin e-posta adreslerinin ihlalden etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Sahte e-postanın doğruluğu teyit edilmeden üye listesinin paylaşılmasının çalışan farkındalığı bakımından eksikliğe işaret ettiği,
• E-posta güvenliği ve risklerin önlenmesine yönelik bazı teknik tedbirlerin ancak ihlal sonrasında güçlendirildiği,
• Veri sorumlusunun çalışan eğitimlerinin veri güvenliği farkındalığının sağlanması bakımından yeterince etkili olmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 750.000 TL,
• Kurula 72 saat içerisinde veri ihlali bildiriminde bulunulmaması nedeniyle 250.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Çalışanlara eğitim verilmiş olması tek başına yeterli görülmemekte; eğitimin phishing ve sosyal mühendislik risklerine karşı fiilî farkındalık oluşturacak ölçüde etkili olması beklenmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

30. Fidye Yazılımı Saldırısının Yurt Dışındaki Sunuculardan Türkiye’deki Sistemlere Yayılması Hakkında Kurul Kararı

Kurul’un 06.03.2024 tarih ve 2024/415 sayılı karar özeti yayımlanmıştır.

Otomotiv yan sanayi sektöründe faaliyet gösteren veri sorumlusunun Fransa’da bulunan sunucularına yönelik LockBit fidye yazılımı saldırısının Türkiye’deki sunuculara da yayılması sonucunda veri ihlali meydana geldiği; ihlalden 43 kişinin ve 100.000’den fazla kaydın etkilenmiş olabileceği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Zararlı yazılımın Türkiye’deki sunuculara yayılmasının ağ bileşenleri arasındaki erişim sınırlandırması ve ağ segmentasyonunun yetersiz olduğunu gösterdiği,
• İhlal öncesinde sızma testi yapılmadığı ve sistemlerin düzenli güvenlik taramalarıyla takip edildiğine ilişkin yeterli bilgi ve belge sunulmadığı,
• Sistemlerin düzenli kontrolü, zafiyet taramaları, sızma testleri ve EDR çözümleri gibi tedbirlerin uygulanması gerektiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 430.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Grup şirketleri veya farklı lokasyonlar arasında bağlantılı sistemler kullanılması hâlinde, zararlı yazılımın bütün ağa yayılmasını önleyecek ağ segmentasyonu ve etkin güvenlik takibi sağlanmalıdır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

31. Fidye Yazılımı Saldırısı Sonucu Çalışan Verilerinin Sızdırılması Hakkında Kurul Kararı

Kurul’un 06.03.2024 tarih ve 2024/413 sayılı karar özeti yayımlanmıştır.

Tarım makineleri ve ekipmanları alanında faaliyet gösteren veri sorumlusunun bağlı bulunduğu yurt dışındaki şirket sistemlerine yönelik fidye yazılımı saldırısı sonucunda Türkiye’deki 56 çalışanın kimlik, iletişim, özlük ve bazı sağlık verilerinin etkilendiği ve verilerin bir kısmının dışarı sızdırıldığı Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin çok faktörlü kimlik doğrulama sistemiyle önlenebilecek nitelikte olmasına rağmen bu mekanizmanın ancak ihlal sonrasında etkinleştirildiği,
• Bilinen güvenlik açıklarına ilişkin yamaların ihlal sonrasında uygulandığı,
• Ortak sunucu kullanımının ve yeterli ağ ayrıştırmasının bulunmamasının ihlalin birden fazla sisteme yayılmasına neden olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğini sağlamaya yönelik gerekli tedbirlerin alınmaması nedeniyle 150.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Çok faktörlü kimlik doğrulama, güncel yama yönetimi ve ağların ayrıştırılması, özellikle fidye yazılımı saldırılarına karşı temel güvenlik tedbirleri olarak değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

32. Yönetim Paneli Güvenlik Eksiklikleri Nedeniyle Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 25.01.2024 tarih ve 2024/133 sayılı karar özeti yayımlanmıştır.

Online yemek siparişi ve teslimat hizmetleri sunan veri sorumlusunun veri tabanına gerçekleştirilen siber saldırı sonucunda verilerin silindiği ve saldırganlarca ele geçirildiği; ihlalden 1.362 kullanıcının ad-soyad, telefon, adres ve e-posta bilgilerinin etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Yönetim paneli şifresinin tarayıcıya kaydedilmesinin parola güvenliği bakımından gerekli dikkat ve özenin gösterilmediğini ortaya koyduğu,
• Veri tabanı yönetim yazılımında IP adresi erişim sınırlamasının bulunmamasının yetkisiz erişime sebebiyet verdiği, söz konusu eksikliklerin düşük maliyetle dahi alınabilecek temel güvenlik tedbirlerinin uygulanmadığını gösterdiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 250.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Yönetim paneli şifrelerinin tarayıcıda saklanmaması ve veri tabanı erişiminin IP bazlı olarak sınırlandırılması, temel veri güvenliği tedbirleri arasında değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

33. Çalışan Hatasıyla Kişisel Verilerin Toplu Olarak Paylaşılması Hakkında Kurul Kararı

Kurul’un 28.09.2023 tarih ve 2023/1675 sayılı karar özeti yayımlanmıştır.

Endüstriyel mutfak ekipmanları üretimi yapan veri sorumlusunun insan kaynakları uygulamasında, bireysel gönderim yerine sehven toplu gönderim yapılması sonucunda 1.522 çalışana ait ad-soyad, T.C. kimlik numarası ve adres bilgilerinin 1.589 çalışana gönderilmesiyle veri ihlali meydana gelmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalin insan kaynakları çalışanının benzer tasarıma sahip menüler arasında hata yapmasından kaynaklandığı ve söz konusu hatanın hayatın olağan akışı içerisinde anlaşılabilir olduğu,
• Çalışanlara KVKK ve bilgi güvenliği eğitimlerinin verildiği, gizlilik ve disiplin düzenlemelerinin mevcut olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İnsan hatası sonucu gerçekleşen veri ihlallerinde, veri sorumlusunun önceden aldığı eğitim, erişim güvenliği ve organizasyonel tedbirler ile ihlale müdahale süreci birlikte değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

34. Hosting Firmasında Üçüncü Taraf Yazılım Açığı Nedeniyle Veri Sızıntısı Hakkında Kurul Kararı

Kurul’un 21.03.2023 tarih ve 2023/412 sayılı karar özeti yayımlanmıştır.

Bir hosting firmasının kullandığı müşteri yönetim panelindeki güvenlik açığı nedeniyle verilere yetkisiz erişildiği ve verilerin yurt dışındaki bir IP adresine aktarıldığı; ihlalden 31.179 kişinin kimlik, iletişim, müşteri işlem ve finans bilgileri ile kredi kartı bilgileri dâhil çeşitli verilerin etkilendiği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Veri sızıntısının yaklaşık altı ay sonra tespit edilmesinin kişisel veri güvenliğinin takibinde eksiklik bulunduğunu gösterdiği,
• Toplu veri indirmeyi engelleyen mekanizmaların, saldırı tespit sistemlerinin, veri maskeleme ve veri minimizasyonu tedbirlerinin yeterli olmadığı,
• İki faktörlü kimlik doğrulama ve güçlü parola politikasının ancak ihlal sonrasında devreye alınmasının, ihlal öncesindeki tedbirlerin yetersizliğine işaret ettiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğine ilişkin gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 350.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Üçüncü taraf yazılım kullanılması, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmamakta; güvenlik açıklarının izlenmesi, toplu veri çıkışlarının sınırlandırılması ve güçlü kimlik doğrulama tedbirlerinin uygulanması gerekmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

35. Dolandırıcılık Amaçlı Aramalar Kapsamındaki Kişisel Veri İhlali Hakkında Kurul Kararı

Kurul’un 28.12.2022 tarih ve 2022/1407 sayılı karar özeti yayımlanmıştır.

Moda tekstil sektöründe faaliyet gösteren veri sorumlusunun müşterilerinin kimliği belirsiz kişilerce aranarak teslim alınmayan kargolar gerekçe gösterilmek suretiyle para talep edildiği; olayda müşterilere ait telefon numarası ve alışveriş bilgisinin hukuka aykırı biçimde ele geçirilmiş olabileceği Kurum’a bildirilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Yapılan incelemede veri sorumlusunun sistemlerinden kaynaklanan bir veri sızıntısının tespit edilemediği,
• Veri sorumlusunun ihlali öğrendiği gün internet sitesi ve sosyal medya hesapları üzerinden müşterilerini bilgilendirdiği,
• Sızma testleri, çok katmanlı kimlik doğrulama, ihlal müdahale planı, gizlilik taahhütleri ve veri güvenliği sözleşmeleri gibi makul teknik ve idari tedbirlerin alınmış olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kanun’un 12’nci maddesinin (1) numaralı fıkrası kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Dolandırıcılıkta kişisel verilerin kullanılmış olması tek başına veri sorumlusunun sistemlerinden bir sızıntı gerçekleştiğini göstermemekte; alınmış olan makul güvenlik tedbirleri ve olayın kaynağı ayrıca değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

36. Küresel Fidye Yazılımı Saldırısı Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 23.12.2022 tarih ve 2022/1375 sayılı karar özeti yayımlanmıştır.

Bir sanayi şirketinin ABD’deki kuruluşunda çalışan tarafından indirilen bir program nedeniyle fidye yazılımının sunuculara bulaştığı ve saldırının küresel ölçekte 797 sunucuya yayıldığı; Türkiye’de çalışan, müşteri ve tedarikçilerden oluşan 4.885 kişinin kişisel verilerinin ihlalden etkilendiği tespit edilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlal öncesindeki penetrasyon testlerinde acil ve kritik seviyede güvenlik açıkları tespit edilmesine rağmen bunların giderildiğinin belgelendirilemediği,
• Basit parola kullanımı, sistem şifrelerinin dosyalarda saklanması, yetersiz erişim sınırlandırması ve güncel olmayan işletim sistemlerinin güvenlik zafiyeti oluşturduğu,
• Saldırının bir çalışanın internetten indirdiği uygulamayı sisteme kurmasıyla başlamasının, çalışanlara verilen bilgi güvenliği eğitimlerinin yeterli etkinliği sağlamadığını gösterdiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri güvenliğine ilişkin gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 800.000 TL,
• Veri ihlalinin Kuruma geç bildirilmesi nedeniyle 200.000 TL olmak üzere toplam 1.000.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Sızma testinin yapılması tek başına yeterli değildir; testlerde tespit edilen güvenlik açıklarının zamanında giderilmesi ve bunun belgelendirilebilmesi gerekmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

37. Veri Sızıntısı İddiası Üzerine Gerçekleştirilen İnceleme Hakkında Kurul Kararı

Kurul’un 07.10.2022 tarih ve 2022/1087 sayılı karar özeti yayımlanmıştır.

Teknoloji sektöründe faaliyet gösteren veri sorumlusunun, kimliği belirsiz kişiler tarafından kişisel verilere erişildiği iddiasıyla tehdit içerikli bir e-posta alması üzerine olay Kurum’a bildirilmiş; veri sorumlusu tarafından bağımsız güvenlik şirketlerine analiz ve sızma testleri yaptırılmıştır.

Kurul tarafından yapılan değerlendirmelerde;

• Yapılan sızma testlerinde bazı yüksek seviyeli güvenlik bulgularına rastlanmakla birlikte, kişisel veri sızıntısı gerçekleştiğini gösteren herhangi bir bulgunun tespit edilmediği,
• Tehdit e-postasında örnek olarak paylaşılan verilerin veri sorumlusunun sistemlerindeki kişisel verilerle eşleşmediği,
• Bağımsız adli bilişim ve sızma testi raporlarında veri ihlalini doğrulayan herhangi bir bulguya rastlanmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kanun’un 12’nci maddesinin (1) numaralı fıkrası kapsamında bu aşamada yapılacak herhangi bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Veri ihlali iddiası veya tehdit mesajı tek başına ihlalin gerçekleştiğini göstermemekte; teknik inceleme ve adli bilişim bulgularıyla olayın doğrulanması önem taşımaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

38. E-Posta Hesabının Ele Geçirilmesi Sonucu Gerçekleşen Veri İhlali Hakkında Kurul Kararı

Kurul’un 21.07.2022 tarih ve 2022/714 sayılı karar özeti yayımlanmıştır.

Tarımsal emtia ticareti alanında faaliyet gösteren veri sorumlusunun üst düzey yöneticisine ait e-posta hesabının ele geçirilmesi sonucunda yaklaşık 1.000 kişiye zararlı bağlantılar içeren e-postalar gönderilmiş ve müşteri, tedarikçi ve çalışanlara ait kişisel veriler yetkisiz erişime maruz kalmıştır.

Kurul tarafından yapılan değerlendirmelerde;

• İhlalden etkilenen kişi sayısının belirlenememesinin, veri sorumlusunun kişisel veriler üzerindeki kontrolünün yetersizliğini gösterdiği,
• Gelişmiş kimlik doğrulama, veri kaybı önleme ve saldırı/anomali tespit sistemlerinin ihlal sonrasında devreye alındığı,
• İhlalin ancak bir müşterinin bildirimi üzerine fark edilmesi ve saldırganın 2-3 gün boyunca hesaba erişebilmesi nedeniyle güvenlik ve log takibinin yetersiz olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle veri sorumlusu hakkında 200.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Çok faktörlü kimlik doğrulama, etkin parola politikası ve düzenli erişim/log takibi, e-posta hesaplarının güvenliği bakımından temel tedbirler arasında değerlendirilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

39. Hizmet Sağlayıcı Hesabının Ele Geçirilmesi Sonucu Fidye Yazılımı Saldırısı Hakkında Kurul Kararı

Kurul’un 21.07.2022 tarih ve 2022/711 sayılı karar özeti yayımlanmıştır.

Otomotiv güvenlik ve elektronik sistemleri alanında faaliyet gösteren veri sorumlusunun sistemlerine hizmet sağlayıcıya ait bir kullanıcı hesabı üzerinden yetkisiz erişim sağlanmış; fidye yazılımı saldırısı sonucunda 660 kişinin kimlik, iletişim, özlük ve sağlık bilgileri dâhil çeşitli kişisel verileri etkilenmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Veri sorumlusunun hizmet aldığı veri işleyenlerin de yeterli güvenlik seviyesini sağlamasından emin olması gerektiği ve Kanun’un 12’nci maddesi kapsamında veri işleyenle müştereken sorumlu olduğu,
• Uzun süredir kullanılan hizmet sağlayıcı hesabının ele geçirilmesi ve saldırganların sistemlerde yanal hareket gerçekleştirebilmesinin gerekli güvenlik tedbirlerinin alınmadığını gösterdiği,
• Saldırı sürecindeki olağandışı hareketlerin veriler şifrelenene kadar tespit edilememesinin güvenlik takibindeki eksikliğe işaret ettiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Gerekli teknik ve idari tedbirlerin alınmaması nedeniyle 500.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Veri işleyenden hizmet alınması, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmamakta; veri sorumlusu hizmet sağlayıcının güvenlik seviyesinden de sorumlu tutulabilmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

40. Mobil Uygulamadaki Teknik Hata Sonucu Kişisel Verilerin Görüntülenmesi Hakkında Kurul Kararı

Kurul’un 21.07.2022 tarih ve 2022/707 sayılı karar özeti yayımlanmıştır.

Mağazacılık hizmeti veren veri sorumlusunun mobil uygulamasındaki teknik hata nedeniyle bazı kullanıcıların kendi üyelik sayfalarında başka müşterilere ait kişisel verileri görüntüleyebilmesi suretiyle veri ihlali meydana gelmiştir. İhlalden kesin olarak 17 kişinin, en fazla ise 136 kişinin etkilenmiş olabileceği tespit edilmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• İhlale konu verilerin kamuoyuna ifşa edilmediği ve kötüye kullanılma ihtimalinin düşük olduğu,
• İhlalin kısa sürede tespit edilerek sistemin kapatıldığı ve hatalı konfigürasyonun giderildiği, veri sorumlusunun sistem üzerinde gerekli kontrolleri gerçekleştirdiği ve ilgili kişilere bildirimde bulunduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kanun’un 12’nci maddesi kapsamında bu aşamada yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Kurul, teknik hatadan kaynaklanan ihlallerde ihlalin kapsamını, risk seviyesini, tespit süresini ve veri sorumlusunun müdahale etkinliğini birlikte değerlendirmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

41. İş Yerinde Güvenlik Kamerasıyla Ses Kaydı Alınması Hakkında Kurul Kararı

Kurul’un 30.11.2023 tarih ve 2023/2007 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, çalıştığı iş yerindeki güvenlik kulübesinde kamera vasıtasıyla görüntü ve ses kaydı alındığı, bu konuda kendisine aydınlatma yapılmadığı ve kayıtların daha sonra dava dosyasında kullanıldığı belirtilerek Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Fiziksel mekân güvenliğinin görüntü kaydıyla sağlanması mümkünken ayrıca ses kaydı alınmasının zorunlu ve ölçülü olmadığı,
• Güvenlik amacıyla ses verisi işlenmesi bakımından Kanun’un 5’inci maddesinde yer alan herhangi bir hukuki sebebin bulunmadığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusu hakkında 125.000 TL idari para cezası uygulanmasına,
• Hukuka aykırı işlenen ses kayıtlarının imha edilerek sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Güvenlik amacıyla görüntü kaydının yeterli olduğu hâllerde ayrıca ses kaydı alınması, gereklilik ve ölçülülük şartlarını karşılamayabilir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

42. Belediye Kütüphanesi Üyeliği Kapsamında Kişisel Veri İşlenmesi Hakkında Kurul Kararı

Kurul’un 02.11.2023 tarih ve 2023/1863 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından, belediyeye ait kütüphaneden yararlanabilmek için üyelik oluşturulmasının zorunlu tutulduğu ve üyelik kapsamında çeşitli kişisel verilerin aydınlatma yapılmaksızın talep edildiği iddiasıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kütüphane üyeliği kapsamında kişisel verilerin açık rızaya değil, sözleşmenin kurulması veya ifası ile bir hakkın tesisi, kullanılması veya korunması hukuki sebeplerine dayanılarak işlendiği,
• Kütüphane hizmetinin açık rıza verilmesi şartına bağlanmadığı,
• Aydınlatma yükümlülüğünün sözlü olarak ve mevcut durumda internet sitesi ile e-Devlet üzerinden sunulan aydınlatma metinleri vasıtasıyla yerine getirildiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem bulunmadığına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Hizmet için gerekli kişisel verilerin açık rıza dışındaki geçerli işleme şartlarına dayanması hâlinde, hizmetin açık rıza şartına bağlandığından söz edilemez.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

43. Telefon Görüşmelerinin Kaydedilmesi ve Aydınlatma Yükümlülüğü Hakkında Kurul Kararı

Kurul’un 26.10.2023 tarih ve 2023/1818 sayılı karar özeti yayımlanmıştır.

Alarm ve görüntüleme sistemi hizmeti sunan veri sorumlusu tarafından ilgili kişiyle gerçekleştirilen telefon görüşmelerinin kaydedilmesi ve görüşmelerin kayıt altında olduğuna ilişkin yapılan bilgilendirmenin yeterliliği Kurul tarafından incelenmiştir.

Kurul tarafından yapılan değerlendirmelerde;

• Görüşme kayıtlarının sözleşme ilişkisinin ve olası uyuşmazlıkların ispatı bakımından bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat hukuki sebeplerine dayanabileceği,
• Yalnızca “görüşmeleriniz kayıt altına alınmaktadır” şeklindeki bilgilendirmenin Kanun’un 10’uncu maddesinde aranan unsurları içermediği,
• Katmanlı aydınlatma kullanılması hâlinde ilgili kişinin tam aydınlatma metnine yönlendirilmesi gerektiği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Görüşmelerin kaydedilmesi bakımından işlem tesis edilmemesine,
• Aydınlatma yükümlülüğünün gereği gibi yerine getirilmemesi nedeniyle 15.000 TL idari para cezası uygulanmasına ve gerekli aydınlatma düzenlemelerinin yapılması hususunda veri sorumlusunun talimatlandırılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Telefon görüşmesinin kaydedildiğinin söylenmesi tek başına KVKK anlamında aydınlatma değildir; Kanun’un 10’uncu maddesindeki asgari unsurların da ilgili kişiye sunulması gerekir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

44. İnternet Sitesinde Müşteri Verilerinin Üçüncü Kişilerin Erişimine Açılması Hakkında Kurul Kararı

Kurul’un 19.10.2023 tarih ve 2023/1796 sayılı karar özeti yayımlanmıştır.

Giyim mağazasına ait internet sitesinde meydana gelen teknik sorun nedeniyle ilgili kişiye ait ad-soyad, üyelik ve iletişim bilgilerinin üçüncü kişilerin erişimine açık hâle geldiği belirtilerek Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Teknik sorunun veri işleyenden alınan hizmet kapsamında meydana gelmesinin, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmadığı,
• Veri sorumlusu ile veri işleyenin müştereken sorumlu olduğu ve yükümlülüklerin sözleşmeyle tamamen veri işleyene devredilemeyeceği,
• Değişikliklerin canlı ortama alınmasından önce gerekli detaylı testlerin gerçekleştirilmediği

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Kişisel verilerin sınırsız bir kitlenin erişimine açık hâle gelmesi nedeniyle veri sorumlusu hakkında 200.000 TL idari para cezası uygulanmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Veri işleyenden kaynaklanan teknik hata, veri sorumlusunun sorumluluğunu ortadan kaldırmamakta; yazılım ve konfigürasyon değişikliklerinin canlıya alınmadan önce detaylı biçimde test edilmesi gerekmektedir.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

45. Covid-19 Test Sonucunun Eski Telefon Numarasına Gönderilmesi Hakkında Kurul Kararı

Kurul’un 19.10.2023 tarih ve 2023/1787 sayılı karar özeti yayımlanmıştır.

İlgili kişi tarafından Covid-19 test sonucunun kendisinin test sırasında verdiği güncel telefon numarası yerine, veri sorumlusunun sisteminde yıllar öncesinden kayıtlı bulunan ve dayısına ait olan telefon numarasına gönderilmesi üzerine Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Sağlık verilerinin özel nitelikli kişisel veri olduğu,
• Veri sorumlularının kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlamak amacıyla makul tedbirleri almaları gerektiği,
• İlgili kişinin güncel telefon numarasını bildirmesine rağmen test sonucunun eski numaraya gönderilmesinin “doğru ve gerektiğinde güncel olma” ilkesine aykırı olduğu

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusu hakkında 30.000 TL idari para cezası uygulanmasına,
• İlgili kişinin telefon numarasının güncellenmesi ve eski telefon numarasının kayıtlardan çıkarılarak imha edilmesi hususunda veri sorumlusunun talimatlandırılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Özellikle sağlık verileri gibi hassas veriler söz konusu olduğunda, iletişim bilgilerinin doğruluğu ve güncelliğinin sağlanması veri güvenliğinin önemli bir unsurudur.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

 

 

46. Canlı Maç Yayını Hizmetinin Pazarlama Amaçlı Açık Rıza Şartına Bağlanması Hakkında Kurul Kararı

Kurul’un 21.09.2023 tarih ve 2023/1610 sayılı karar özeti yayımlanmıştır.

Çevrimiçi yasal spor ve şans oyunları platformunda canlı maç yayını hizmetinden yararlanabilmek için ticari elektronik ileti onayı verilmesinin zorunlu tutulduğu ve bu suretle hizmetin pazarlama amacıyla kişisel veri işlenmesine yönelik açık rıza şartına bağlandığı iddiasıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Canlı yayın hizmetinin, ticari nitelikli ileti gönderilmesine yönelik kişisel veri işleme faaliyeti için açık rıza verilmesi şartına bağlandığı, bu uygulamanın açık rızanın özgür iradeyle verilme unsurunu zedelediğ

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• Veri sorumlusu hakkında 250.000 TL idari para cezası uygulanmasına,
• Canlı yayın hizmetinin pazarlama amaçlı veri işlenmesine yönelik açık rıza şartına bağlanması uygulamasına son verilmesi hususunda veri sorumlusunun talimatlandırılmasına

karar verilmiştir.

Öne çıkan hukuki değerlendirme: Bir hizmetten yararlanmanın pazarlama amacıyla kişisel veri işlenmesine rıza verilmesi şartına bağlanması, açık rızanın özgür iradeye dayanması unsurunu sakatlamaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

47. Ceza İnfaz Kurumunda Kişisel Verilere Erişim Talebinin Reddedilmesi Hakkında Kurul Kararı

Kurul’un 20.10.2022 tarih ve 2022/1152 sayılı karar özeti yayımlanmıştır.

Ceza infaz kurumunda bulunan ilgili kişi tarafından, kendisi hakkındaki elektronik dosyayı görme, inceleme ve örnek alma taleplerinin karşılanmadığı, kişisel verilerinin üçüncü kişilerle paylaşıldığı ve Kurum tarafından gönderilen kapalı zarfın ceza infaz kurumu personelince açıldığı iddialarıyla Kurum’a şikâyette bulunulmuştur.

Kurul tarafından yapılan değerlendirmelerde;

• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemleri kapsamında infaz mercileri tarafından işlenmesi hâlinde Kanun’un uygulanmayacağı,
• Üçüncü kişilerle hukuka aykırı veri paylaşımı yapıldığı iddiasını destekleyen belgelerin Kuruma sunulmadığı,
• Dosyaya erişim ve kapalı zarfın açılması gibi işlemlerin infaz işlemleri kapsamında kaldığı

değerlendirilmiştir.

Kurul tarafından yapılan inceleme neticesinde;

• İddiaların bir kısmının tevsik edilememesi, diğer kısmının ise Kanun’un 28’inci maddesinin (1) numaralı fıkrasının (d) bendindeki istisna kapsamında bulunması nedeniyle Kanun kapsamında değerlendirilemeyeceğine

karar verilmiştir.

Öne çıkan hukuki değerlendirme: İnfaz mercilerinin infaz işlemlerine ilişkin kişisel veri işleme faaliyetleri Kanun’un 28/1-(d) maddesi kapsamında KVKK hükümlerinden istisna tutulmaktadır.

Bahsi geçen karar özetinin tam metnine buradan ulaşabilirsiniz.

2. Genel Değerlendirme

Kurum tarafından yayımlanan kararların bütünü değerlendirildiğinde; kişisel veri işleme faaliyetlerinin yalnızca uygun bir hukuki sebebe dayandırılmasının yeterli olmadığı, veri sorumlularının aynı zamanda işleme faaliyetlerini Kanun’un genel ilkelerine uygun şekilde yürütmeleri, ilgili kişileri etkin ve yeterli biçimde aydınlatmaları, açık rızanın gerekli olduğu hâllerde bu rızayı özgür iradeye dayalı ve belirli bir konuya ilişkin olarak almaları ve kişisel veri güvenliğine yönelik teknik ve idari tedbirleri somut risklerle uyumlu şekilde uygulamaları gerektiği görülmektedir.

Özellikle çalışan ve müşteri verileri, kamera ve ses kayıtları, biyometrik veriler, ticari ileti faaliyetleri, çerezler, ilgili kişi başvuruları ve veri ihlalleri bakımından Kurul’un somut olaylara ilişkin değerlendirmeleri, veri sorumlularının mevcut uygulamalarını düzenli olarak gözden geçirmeleri bakımından yol gösterici niteliktedir. Bu doğrultuda, şirketlerin kişisel veri işleme süreçlerinin hukuki sebep, amaç, ölçülülük, aydınlatma, açık rıza, saklama, aktarım, erişim yetkileri ve veri güvenliği boyutlarıyla periyodik olarak değerlendirilmesi ve gerekli uyum aksiyonlarının güncel Kurul uygulaması dikkate alınarak alınması önem arz etmektedir.

 

Saygılarımızla,

Zümbül Hukuk ve Danışmanlık

info@zumbul.av.tr

İnternet sitemizde bulunan her türlü bilgi ve belge Avukatlık Kanunu ve ilgili diğer mevzuat ile Türkiye Barolar Birliği’nin Avukatlık Meslek Kuralları dikkate alınarak Zümbül Hukuk ve Danışmanlık tarafından yalnızca genel bilgilendirme amacıyla hazırlanmış olup, bu yayınlarda kesinlikle reklam ve/veya ticari amaç güdülmemiştir. İnternet sitemizdeki her türlü bilgi ve belge genel geçer nitelikte olup hiçbir suretle bu yayınların eksiksiz, doğru, güncel ve güvenilir olduğu garanti ve taahhüt edilmemektedir. İnternet sitemizde yer verilen yayınlardaki bilgilerle ilgili olarak bir avukata/uzmana danışmadan söz konusu bilgi ve belgelere dayanılarak hareket edilmemelidir. İnternet sitemizdeki yayınlarda yer verilen linkler kamuya açık kaynaklardan elde edilerek yalnızca ziyaretçilerin diğer bilgi ve belgelere ulaşmasını kolaylaştırmak amacıyla bulunmaktadır. Bu linkler hiçbir şekilde link verilen kişi, kurum ve kuruluşları tavsiye ve/veya onay anlamına gelmemektedir. İnternet sitemizdeki yayınlar hiçbir şekilde hukuki danışmanlık sunulması veya internet sitemize herhangi bir suretle ulaşan ziyaretçiler ile avukat-müvekkil ilişkisi oluşturulduğu anlamına gelmemektedir. İnternet sitemizdeki tüm içerikler Zümbül Hukuk ve Danışmanlık mülkiyetindedir ve hiçbir içerik yazılı izin alınmaksızın kopyalanamaz, çoğaltılamaz ve atıf yapılmadan kullanılamaz.