ANKARA – BHA
Kişisel Verileri Koruma Kurulu, bir işletmenin insan kaynakları departmanında gerçekleştirilen bilgi güncelleme sürecinde meydana gelen kişisel veri ihlaline dair incelemesini tamamladı.
Kurulun kararına göre, bu çalışma esnasında 1.522 çalışana ait ad, soyadı, T.C. kimlik numarası ve adres bilgilerinin bulunduğu dosya, yanlışlıkla 1.589 çalışana gönderildi. Veri sorumlusu işletme, olayın ardından Kuruma veri ihlali bildiriminde bulundu.
İhlal gün içinde tespit edildi
Kurulun incelemeleri, şirketin çalışanlarına kişisel veri güvenliği ile ilgili düzenli eğitimler verdiğini ve bu eğitimlere dair belgeleri Kurul’a sunduğunu ortaya koydu.
Ayrıca, şirketin, söz konusu verileri inceleyen çalışanlardan bilgileri üçüncü kişilerle paylaşmayacaklarına dair taahhüt aldığı ve çalışanlarla gizlilik sözleşmeleri imzaladığı belirlendi.
Veri sorumlusunun, uyguladığı veri güvenliği önlemlerine dair ayrıntılı bilgi ve belgeyi de Kurul’a ilettiği kaydedildi.
Şirket Kurul ile iş birliği içinde hareket etti
Kararda, veri sorumlusunun inceleme sürecinde Kurum ile iş birliği yaptığı ve ihlale sebep olan hatayı detaylı bir şekilde açıkladığı vurgulandı.
İşletme tarafından yazılım üzerinde alınan teknik önlemlerin de belgelendiği ifade edildi.
Kurul ayrıca, veri ihlalinin çalışanların geri bildirimi sayesinde aynı gün içinde tespit edilmesini, şirketin kişisel veri güvenliğini etkin bir biçimde izlediğini gösteren bir unsur olarak değerlendirdi.
İdari yaptırım uygulanmasına gerek görülmedi
Kurul, şirketin çalışanlarına yönelik düzenli veri güvenliği eğitimleri vermesini, gizlilik sözleşmeleri ve taahhütler uygulamasını, teknik tedbirleri belgelemesini, ihlali hızlı bir şekilde tespit etmesini ve Kurum ile iş birliği içinde hareket etmesini birlikte ele alarak, durumun ciddiyetini değerlendirdi.
Yapılan değerlendirmeler sonucunda KVKK, bu somut olayda veri sorumlusuna 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde herhangi bir işlem veya idari yaptırım uygulanmasına gerek olmadığına karar verdi.
