KİŞİSEL VERİLERİ KORUMA KURULU’NUN 18.05.2021 TARİHİNDE YAYINLAMIŞ OLDUĞU KARAR ÖZETLERİ-1

“Bir sigorta şirketi tarafından hizmetin açık rıza şartına bağlanması hakkındaki ihbar” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 20/04/2020 tarihli ve 2021/389 sayılı Karar Özeti:

• Aydınlatma metninin okunduğuna dair beyan ile açık rıza verildiğine dair beyan işlemleri ayrı şekilde yerine getirilmelidir. Tek bir kutucukla hem aydınlatma metninin okunduğuna hem de açık rıza verildiğine dair beyan kaydı alınamaz.

YANLIŞ ÖRNEK: “Gizlilik ve Kişisel Verilerin Korunması Esasları’nı okudum, kabul ediyorum. Burada paylaşmış olduğum kişisel/özel nitelikli kişisel verilerimin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve sair mevzuat çerçevesinde işlenmesine açık rıza veriyorum.”

• Kişisel verilerin aktarım amacı bir mevzuat ise bu mevzuatın hangi mevzuat olduğu açıkça belirtilmelidir.

YANLIŞ ÖRNEK: C-Kişisel Verilerinizi Kimlere ve Hangi Amaçla Aktarıyoruz?” başlığı altında geçen “sigortacılık ve sair mevzuat” ibaresi muğlaktır.

• Bireysel Emeklilik Sözleşmesi ve bu sözleşmenin kurulması için işletilen teklif formlarında yer alan veriler bakımından veri işleme şartı 6698 Sayılı Kanun’un 5 inci maddesinin ikinci fıkrasında yer alan “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” dır, katılımcı, sponsor veya işverenden açık rıza alınması gerekmez. Eğer veri sorumlusu şirket bu durum için açık rıza alıyorsa işleme şartını ilgili kişiye bildirmek konusunda aydınlatma yükümlülüğünü ihlal etmiş kabul edilmelidir.

• Veri işleme şartı bulunmasına rağmen açık rıza alınması 6698 Sayılı Kanun’un 4 üncü maddesinin ikinci fıkrasının (a) bendinde düzenlenen “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırıdır.

“Bir hastanenin veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 20/04/2021 tarih ve 2021/407 sayılı Karar Özeti

• İdari tedbir olarak fiziksel ortam güvenliğini teminen kağıt dosyaların tutulduğu arşiv odasına giriş çıkışlarda kamera kayıtları alınabilir. Bu kayıtların alınması yeterli olmayıp kontrolü de gerekir. Arşiv odasına yalnızca yetkili kişiler girebilmelidir ve Yönetim onayı olmadan arşivden dosya çıkartılmamalıdır.

• Veri ihlalinin tespitinden 25 gün sonra bildirim yapılması ve ihlalden etkilenen ilgili kişilerin bilgilendirilmemesi hukuka aykırıdır.

KVKK hakkındaki güncel haberler ve makaleler için KVKK e-mail listemize üye olabilirsiniz. Üye olmak için lütfen kvkk@sgold.ey08.co.uk adresine katılma talebinizi iletiniz.

Bilgiyi Tecrübeyle Güce Dönüştürüyoruz…