KVKK’dan Önemli Karar: Yanlışlıkla Veri Paylaşımında Yaptırım Yok

Kişisel Verileri Koruma Kurulu (KVKK), bir şirketin insan kaynakları biriminde yaşanan kişisel veri ihlaline ilişkin incelemesini tamamladı. İnceleme sonucunda, veri sorumlusu şirket hakkında herhangi bir idari yaptırım uygulanmasına gerek görülmedi.

Veri İhlali Nasıl Gerçekleşti?

Olay, bir şirketin insan kaynakları biriminde yürütülen bilgi güncelleme çalışması sırasında meydana geldi. Çalışma esnasında 1.522 çalışana ait ad, soyadı, T.C. kimlik numarası ve adres bilgilerini içeren bir dosya, sehven (yanlışlıkla) 1.589 çalışana gönderildi. Veri sorumlusu şirket, olayın ardından Kişisel Verileri Koruma Kurumu’na (Kurum) veri ihlali bildiriminde bulundu.

Şirketin Aldığı Önlemler ve İşbirliği

Kurulun incelemesinde, şirketin çalışanlarına kişisel veri güvenliği konusunda düzenli eğitimler verdiği ve bu eğitimlere dair belgeleri Kuruma sunduğu belirlendi. Ayrıca, söz konusu verileri gören çalışanlardan bilgileri üçüncü kişilerle paylaşmayacaklarına dair taahhüt alındığı ve çalışanlarla gizlilik sözleşmeleri imzalandığı tespit edildi. Veri sorumlusu, uyguladığı veri güvenliği tedbirlerine ilişkin ayrıntılı bilgi ve belgeleri de Kurula iletti. Şirket, inceleme sürecinde Kurumla iş birliği yaparak ihlale neden olan hatayı ayrıntılı bir şekilde açıkladı. Yazılım üzerinde uygulanan teknik önlemler de belgelendi.

Kurulun Değerlendirmesi ve Kararı

Kurul, veri ihlalinin çalışanların geri bildirimi üzerine aynı gün tespit edilmesini, şirketin kişisel veri güvenliğini etkin şekilde takip ettiğinin bir göstergesi olarak değerlendirdi. Şirketin çalışanlarına yönelik düzenli veri güvenliği eğitimleri vermesi, gizlilik sözleşmeleri ve taahhütler uygulaması, teknik tedbirleri belgelemesi, ihlali hızlı şekilde tespit etmesi ve Kurumla iş birliği içinde hareket etmesi gibi unsurlar bir arada değerlendirildi. Bu değerlendirmeler sonucunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu hakkında herhangi bir işlem veya idari yaptırım uygulanmasına gerek bulunmadığına karar verildi.