KVKK’dan çalışan verilerinin yanlışlıkla paylaşılmasına ilişkin karar: Yaptırım uygulanmayacak

Kişisel Verileri Koruma Kurulu (KVKK), bir şirkette çalışanlara ait kişisel verilerin yanlışlıkla diğer personele gönderilmesiyle sonuçlanan veri ihlalini inceledi. Kurul, veri güvenliğine yönelik gerekli teknik ve idari tedbirlerin yeterli düzeyde alındığı gerekçesiyle veri sorumlusu hakkında herhangi bir yaptırım uygulanmasına gerek olmadığına karar verdi.

ANKARA - BHA  Kişisel Verileri Koruma Kurulu, bir şirketin insan kaynakları biriminde yürütülen bilgi güncelleme çalışması sırasında meydana gelen kişisel veri ihlaline ilişkin incelemesini tamamladı. Kurul kararına göre, çalışma sırasında 1.522 çalışana ait ad, soyadı, T.C.

kimlik numarası ve adres bilgilerinin yer aldığı dosya, sehven 1.589 çalışana gönderildi. Veri sorumlusu şirket, olayın ardından Kuruma veri ihlali bildiriminde bulundu.

Kurulun incelemesinde, şirketin çalışanlarına kişisel veri güvenliği konusunda düzenli eğitimler verdiği ve bu eğitimlere ilişkin belgeleri Kurula sunduğu belirlendi.

Şirketin ayrıca, söz konusu verileri gören çalışanlardan bilgileri üçüncü kişilerle paylaşmayacaklarına ilişkin taahhüt aldığı ve çalışanlarla gizlilik sözleşmeleri imzaladığı tespit edildi. Veri sorumlusu, uyguladığı veri güvenliği tedbirlerine ilişkin ayrıntılı bilgi ve belgeleri de Kurula iletti.

Kararda, veri sorumlusunun inceleme sürecinde Kurumla iş birliği yaptığı ve ihlale neden olan hatayı ayrıntılı şekilde açıkladığı belirtildi. Şirket tarafından yazılım üzerinde uygulanan teknik önlemlerin de belgelendiği kaydedildi.

Kurul ayrıca, veri ihlalinin çalışanların geri bildirimi üzerine aynı gün tespit edilmesini, şirketin kişisel veri güvenliğini etkin şekilde takip ettiğini gösteren bir unsur olarak değerlendirdi.

Kurul, şirketin çalışanlarına yönelik düzenli veri güvenliği eğitimleri vermesi, gizlilik sözleşmeleri ve taahhütler uygulaması, teknik tedbirleri belgelemesi, ihlali hızlı şekilde tespit etmesi ve Kurumla iş birliği içinde hareket etmesini birlikte değerlendirdi.

Yapılan değerlendirmeler sonucunda KVKK, somut olayda veri sorumlusu hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında herhangi bir işlem veya idari yaptırım uygulanmasına gerek bulunmadığına karar verdi.