Giyim mağazasına kişisel verileri açtığı için 200 bin lira ceza

Kişisel Verileri Koruma Kurumu (KVKK), bir giyim mağazasının internet sitesinde yaşanan veri ihlali üzerine 200 bin lira idari para cezası uyguladı. Olay, bir müşterinin, kendisine ait olmayan bir siparişe ilişkin mesaj almasıyla başladı. Bu durum üzerine hesabını kontrol eden müşteri, başka bir kişinin kendi hesabı üzerinden işlem yaptığını ve adres bilgilerinin değiştirilerek sipariş oluşturulduğunu fark etti.

Müşteri, kişisel verilerinin üçüncü kişilerin erişimine açık hale geldiği gerekçesiyle KVKK'ye şikayette bulundu. KVKK'nın yaptığı incelemelerde, şikayetçi müşterinin adı, soyadı, üyelik bilgileri ve telefon numarasına dair kişisel verilerin, veri sorumlusunun internet sitesinde sınırsız bir kitlenin erişimine açık olduğu tespit edildi.

Yapılan incelemede, müşterinin bilgileri üçüncü kişilerin erişimine açılırken, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek için uygun güvenlik düzeyini sağlamadığı ve gerekli teknik ile idari tedbirleri almadığı belirlendi.

Sonuç olarak, KVKK, kişisel verilerin korunması için gerekli olan tedbirleri almayan giyim mağazasına 200 bin lira idari para cezası verilmesine karar verdi.

Kurul, müşteri bilgilerinin üçüncü kişilerin erişimine açılmasının 6698 sayılı Kişisel Verileri Koruma Kanunu'ndaki kişisel veri işleme şartlarından herhangi birine dayanmadığını vurguladı.

Bu karar, kişisel verilerin internet ortamında üçüncü kişilerin erişimine açılmasının, veri sorumlularının alması gereken teknik ve idari tedbirlerin önemini bir kez daha gözler önüne serdi.