KVKK’dan çalışan verilerinin yanlışlıkla paylaşılmasına ilişkin karar: Yaptırım uygulanmayacak

ANKARA – BHA 

Kişisel Verileri Koruma Kurulu, bir şirketin insan kaynakları biriminde yürütülen bilgi güncelleme çalışması sırasında meydana gelen kişisel veri ihlaline ilişkin incelemesini tamamladı.

Kurul kararına göre, çalışma sırasında 1.522 çalışana ait ad, soyadı, T.C. kimlik numarası ve adres bilgilerinin yer aldığı dosya, sehven 1.589 çalışana gönderildi. Veri sorumlusu şirket, olayın ardından Kuruma veri ihlali bildiriminde bulundu.

İhlal aynı gün tespit edildi

Kurulun incelemesinde, şirketin çalışanlarına kişisel veri güvenliği konusunda düzenli eğitimler verdiği ve bu eğitimlere ilişkin belgeleri Kurula sunduğu belirlendi.

Şirketin ayrıca, söz konusu verileri gören çalışanlardan bilgileri üçüncü kişilerle paylaşmayacaklarına ilişkin taahhüt aldığı ve çalışanlarla gizlilik sözleşmeleri imzaladığı tespit edildi.

Veri sorumlusu, uyguladığı veri güvenliği tedbirlerine ilişkin ayrıntılı bilgi ve belgeleri de Kurula iletti.

Şirket Kurul ile iş birliği yaptı

Kararda, veri sorumlusunun inceleme sürecinde Kurumla iş birliği yaptığı ve ihlale neden olan hatayı ayrıntılı şekilde açıkladığı belirtildi.

Şirket tarafından yazılım üzerinde uygulanan teknik önlemlerin de belgelendiği kaydedildi.

Kurul ayrıca, veri ihlalinin çalışanların geri bildirimi üzerine aynı gün tespit edilmesini, şirketin kişisel veri güvenliğini etkin şekilde takip ettiğini gösteren bir unsur olarak değerlendirdi.

İdari yaptırım uygulanmasına gerek görülmedi

Kurul, şirketin çalışanlarına yönelik düzenli veri güvenliği eğitimleri vermesi, gizlilik sözleşmeleri ve taahhütler uygulaması, teknik tedbirleri belgelemesi, ihlali hızlı şekilde tespit etmesi ve Kurumla iş birliği içinde hareket etmesini birlikte değerlendirdi.

Yapılan değerlendirmeler sonucunda KVKK, somut olayda veri sorumlusu hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında herhangi bir işlem veya idari yaptırım uygulanmasına gerek bulunmadığına karar verdi.