KVKK, veri ihlali yapan şirkete idari yaptırım uygulamadı

Kişisel Verileri Koruma Kurulu, bir şirketin insan kaynakları biriminde yürütülen bilgi güncelleme çalışması sırasında 1.522 çalışana ait kişisel verinin sehven 1.589 çalışana gönderilmesine ilişkin incelemesini tamamladı. Kurul, veri sorumlusu şirkete idari yaptırım uygulanmasına gerek görmedi.

Kişisel Verileri Koruma Kurulu (KVKK), bir şirketin insan kaynakları biriminde meydana gelen veri ihlaliyle ilgili kararını açıkladı. İhlalde, 1.522 çalışana ait ad, soyadı, T.C. kimlik numarası ve adres bilgilerinin yer aldığı dosya, sehven 1.589 çalışana gönderildi. Veri sorumlusu şirket, olayın ardından Kuruma veri ihlali bildiriminde bulundu.

İhlal aynı gün tespit edildi

Kurulun incelemesinde, şirketin çalışanlarına kişisel veri güvenliği konusunda düzenli eğitimler verdiği ve bu eğitimlere ilişkin belgeleri Kurula sunduğu belirlendi. Şirketin ayrıca, söz konusu verileri gören çalışanlardan bilgileri üçüncü kişilerle paylaşmayacaklarına ilişkin taahhüt aldığı ve çalışanlarla gizlilik sözleşmeleri imzaladığı tespit edildi.

Veri sorumlusu, uyguladığı veri güvenliği tedbirlerine ilişkin ayrıntılı bilgi ve belgeleri de Kurula iletti. Kararda, veri sorumlusunun inceleme sürecinde Kurumla iş birliği yaptığı ve ihlale neden olan hatayı ayrıntılı şekilde açıkladığı belirtildi.

Şirket Kurul ile iş birliği yaptı

Şirket tarafından yazılım üzerinde uygulanan teknik önlemlerin de belgelendiği kaydedildi. Kurul ayrıca, veri ihlalinin çalışanların geri bildirimi üzerine aynı gün tespit edilmesini, şirketin kişisel veri güvenliğini etkin şekilde takip ettiğini gösteren bir unsur olarak değerlendirdi.

İdari yaptırım uygulanmasına gerek görülmedi

Kurul, şirketin çalışanlarına yönelik düzenli veri güvenliği eğitimleri vermesi, gizlilik sözleşmeleri ve taahhütler uygulaması, teknik tedbirleri belgelemesi, ihlali hızlı şekilde tespit etmesi ve Kurumla iş birliği içinde hareket etmesini birlikte değerlendirdi. Yapılan değerlendirmeler sonucunda KVKK, somut olayda veri sorumlusu hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında herhangi bir işlem veya idari yaptırım uygulanmasına gerek bulunmadığına karar verdi.