KVKK Kurul Kararı 2020/379 Tıp Merkezinin Video Tanıtımında Kişisel Veri İşlemesi ve Başvuruya Cevap Vermeme
14/05/2020 tarihli ve 2020/379 sayılı KVKK Kurul Kararı, bir tıp merkezinin internet sitesinde yer alan “video tanıtım” bölümünde ilgili kişinin görsel ve işitsel kişisel verilerinin pazarlama amacıyla işlenmesi ve ilgili kişinin başvurusuna mevzuatta öngörülen 30 günlük süre içinde yanıt verilmemesi üzerine yapılan incelemeyi konu almaktadır.
Kurul, veri sorumlusunun başvuruyu cevapsız bırakmasının yanı sıra, ilgili kişinin iş sözleşmesinin sona ermesiyle birlikte kişisel verilerin işlenmesini gerektiren hukuki sebebin ortadan kalktığını tespit etmiş ve verilerin silinmemesi ile şeffaflık yükümlülüğünün ihlal edildiği sonucuna ulaşmıştır. Bu kapsamda veri sorumlusu hakkında 75.000 TL idari para cezası uygulanmıştır.
Karar Tarihi: 14/05/2020
Karar No: 2020/379
Konu: Video tanıtım içeriğinde kişisel veri işlenmesi ve başvuruya cevap verilmemesi
1. Olayın Özeti ve Başvuru Süreci
İlgili kişi, çalıştığı tıp merkezinin internet sitesinde yer alan “Video Tanıtım” bölümünde kendisine ait görsel ve işitsel kişisel verilerin pazarlama amacıyla kullanıldığını tespit etmiş ve iş sözleşmesi sona erdiği için işleme amacının ortadan kalktığını belirterek verilerin silinmesini talep etmiştir.
15.01.2019 tarihinde veri sorumlusuna iletilen başvuruda, ilgili kişi ayrıca:
- Hangi kişisel verilerinin işlendiğini,
- Bu verilerin hangi amaçlarla kullanıldığını,
- Başka kişilere aktarım yapılıp yapılmadığını
öğrenmek istemiştir. Ancak veri sorumlusu ilgili kişinin başvurusuna 30 günlük yasal süre içinde cevap vermemiştir.
Kurul tarafından 01.08.2019 tarihinde savunma talep edilmiş olmasına rağmen, veri sorumlusu Kurula da herhangi bir cevap sunmamıştır.
2. Kurulun Hukuki Değerlendirmesi
Kurul, olayın çözümünde KVKK’nın temel hükümlerini esas almıştır:
2.1. Kişisel Verinin Tanımı ve Veri Sorumlusunun Rolü
KVKK m.3’e göre ilgili kişinin görüntü ve ses kayıtları kişisel veri niteliğindedir. Tıp merkezi ise verilerin işlenme amaç ve vasıtalarını belirlediği için veri sorumlusudur.
2.2. Kişisel Verilerin İşlenme Şartları
KVKK m.5 uyarınca ilgili kişinin açık rızası veya başka bir işleme şartı olmaksızın kişisel veri işlenemez. Görsel/işitsel verilerin pazarlama amacıyla kullanılması herhangi bir istisna kapsamına girmediğinden açık rıza gerektirmektedir.
2.3. Başvuru Sürecinin Cevaplanmaması
KVKK m.13’e göre veri sorumlusu, başvuruyu en geç 30 gün içinde cevaplamak zorundadır. Bu yükümlülüğün yerine getirilmemesi Kanuna açık aykırılık teşkil etmektedir.
2.4. Silme-Yok Etme Yükümlülüğü
KVKK m.7 gereğince işleme amacının sona ermesi hâlinde kişisel veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. İş sözleşmesi sona ermiş olmasına rağmen görüntülerin internet sitesinde tutulmaya devam edilmesi, yükümlülüğün ihlal edildiğini göstermektedir.
3. Tespit Edilen KVKK İhlalleri
| İhlal Alanı | Açıklama |
|---|---|
| Başvuruya Yanıt Vermeme | KVKK m.13 kapsamında 30 günlük süre içinde ilgili kişiye yanıt verilmemiştir. |
| Verilerin Silinmemesi | İşleme amacı sona ermesine rağmen video tanıtım içeriği yayında tutulmuştur. |
| Açık Rıza Eksikliği | Görsel/işitsel kayıtların pazarlama amacıyla işlenmesi için açık rıza alınmamıştır. |
| Veri Güvenliği Tedbir Eksikliği | KVKK m.12 kapsamında gerekli idari ve teknik tedbirler alınmamıştır. |
4. Kurulun Sonuç ve Yaptırım Kararı
Kurul, yapılan inceleme sonucunda veri sorumlusu tıp merkezinin:
- İlgili kişinin başvurusuna süresinde cevap vermeyerek KVKK m.13’ü ihlal ettiğine,
- İşleme amacı ortadan kalkmasına rağmen kişisel verileri silmeyerek KVKK m.7’yi ihlal ettiğine,
- Açık rıza olmadan verileri pazarlama amacıyla işleyerek KVKK m.5’e aykırı davrandığına,
- Gerekli teknik ve idari tedbirleri almayarak KVKK m.12’yi ihlal ettiğine
karar vermiştir.
Uygulanan Yaptırım
KVKK m.18/1-b kapsamında veri sorumlusuna 75.000 TL idari para cezası uygulanmıştır.
Veri Sorumlusuna Talimat
- Tüm görsel/işitsel kişisel verilerin silinmesi veya yok edilmesi,
- Bu işlemin hem ilgili kişiye hem Kurula tevsik edilmesi,
- Başvuru süreçlerine ilişkin iç prosedürlerin güçlendirilmesi
5. Sık Sorulan Sorular
Video tanıtımındaki görüntüler kişisel veri midir?
Evet. Görsel ve işitsel tüm kayıtlar KVKK m.3 kapsamında kişisel veridir.
Pazarlama amacıyla video kullanımı için açık rıza gerekir mi?
Evet. Pazarlama amaçlı işleme açık rıza gerektirir ve istisnalar kapsamında değerlendirilemez.
Başvuruya cevap vermemenin yaptırımı nedir?
KVKK m.13 yükümlülüğünün ihlali idari para cezasına konu olabilir.
İş sözleşmesi sona erince veriler otomatik silinir mi?
Hayır. Veri sorumlusu resen değerlendirme yapmalı; işleme amacı sona ermişse verileri silmelidir.
