Müşteri Verilerinin Başka Müşterilere Görünmesi: KVKK Kurul Kararı

Müşteri Verilerinin Başka Müşterilere Görünmesi: KVKK Kurul Kararı

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri güvenliği, ihlal bildirimi, idari para cezası ve Kurul kararları için çalışma alanı.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 26.07.2018 tarihli ve 2018/91 sayılı kararıyla veri güvenliği yükümlülüğünün zamanını belirledi: tedbirler ihlalden önce alınmış olmalıdır. Olaydan sonra sorunu hızla gideren veri sorumlusu, olay öncesinde uygun güvenlik düzeyini sağlamamışsa 6698 sayılı Kanun m. 12/1 ihlali nedeniyle idari para cezasından kurtulamaz. Yükümlülüklerin bütünü KVKK'da veri sorumlusunun yükümlülükleri makalesinde incelenmiştir.

Uyuşmazlığın Konusu

Bir hazır giyim firmasının internet sitesinden üyelik bilgileriyle alışveriş yapan kişinin teslimat adresi, ad, soyad, adres ve telefon numarası gibi bilgileri, aynı site üzerinden alışveriş yapan üçüncü kişilerce erişilebilir hale gelmiştir. İlgili kişi şirkete başvurarak verilerinin sistemlerden silinmesini, yok edilmesini, ulaşılamaz hale getirilmesini ve yurt içinde veya yurt dışında başka bir kurumla paylaşıldıysa o kurumlar nezdinde de silinmesini talep etmiştir.

İlgili kişi şirketten aldığı cevabı yetersiz bulmuş ve Kuruma başvurmuştur. Kurul, başvuruyu iki ayrı yönden incelemiştir: verilerin üçüncü kişilerce görülebilir olması nedeniyle veri güvenliği yükümlülüğü ve silme talebine verilen cevabın yeterliliği.¹

Kurul'un Gerekçesi

Kurul önce hükümleri sıralamıştır. 6698 sayılı Kanun m. 7 işlenmesini gerektiren sebepler ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini; m. 11/1 ilgili kişinin bu yönde talepte bulunma hakkını; m. 12/1 ise veri sorumlusunun hukuka aykırı işlemeyi ve hukuka aykırı erişimi önlemek, muhafazayı sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri alma yükümlülüğünü düzenler.

Olgu bakımından Kurul şu hususları saptamıştır: İlgili kişinin bilgileri alışveriş işlemleri için girilmiş, ancak aynı anda başka müşterilerin alışveriş işlemleri sırasında görülebilir hale gelmiştir. Şirket, olayı meydana geldiği sırada öğrendiğini, olayın sistemsel bir hatadan kaynaklandığını tespit ettiğini, ilgili departmanlarla istişare ederek başka müşterilerin mağdur olmaması için önlemler aldığını ve derhal yeni bir uygulama sürümü çıkardığını savunmuştur.

Şirket tarafından bahsi geçen mağduriyet öncesinde Kanunun 12 nci maddesinin (1) numaralı fıkrası kapsamında kişisel verilerin muhafaza edilmesi ve kişisel verilere hukuka aykırı erişilmesini önleme amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirlerin alınamadığı sonucuna varıldığından; Şirket hakkında Kanunun 18 inci maddesi uyarınca idari para cezası uygulanmasına

KVKK Kurulu, 26.07.2018, 2018/91

Kurul, şirketin savunmasını reddetmemiş, fakat savunmadaki olguları m. 12/1 değerlendirmesinde belirleyici saymamıştır. Savunma olay sonrası eylemleri anlatır; Kurulun aradığı ise mağduriyetten önceki durumdur.²

Yaptırım ve Talimat

Kurul iki sonuca varmıştır. Birincisi, şirketin 6698 sayılı Kanun m. 12/1 kapsamındaki yükümlülüğü yerine getirmediği kabul edilerek m. 18 uyarınca idari para cezası uygulanmasıdır. Kararın yayımlanan özetinde ceza tutarı gösterilmemiştir.

İkincisi, ilgili kişinin silme, yok etme ve ulaşılamaz hale getirme talebiyle ilgili olarak şirketin yaptığı işlemlerin açıklamasının, tevsik edici belgelerle birlikte, m. 15/5 uyarınca kararın tebliğinden itibaren otuz gün içinde ilgili kişiye iletilmesi yönünde talimat verilmesidir. Talimat, silme talebine verilecek cevabın içeriğinin belgeyle desteklenmesini aradığı için başvuru yönetimi bakımından da kayda değerdir.

Analiz: Kararın Kurduğu Denge

Kararın ilk katkısı, veri güvenliği yükümlülüğünün sonuç değil, önceden alınmış tedbir yükümlülüğü olduğunu göstermesidir. Şirketin olaya hızlı müdahalesi, kaydedilen olgular arasında yer almış, ancak yaptırımı engellememiştir. Bu yaklaşım Kanunun lafzıyla uyumludur: m. 12/1 hukuka aykırı erişimin önlenmesine yönelik tedbiri, erişim gerçekleştikten sonra verilecek tepkiyle değil, önceden temin edilecek güvenlik düzeyiyle ilişkilendirir.

İkinci katkı, yazılım hatasının mazeret sayılmamasıdır. Olay sistemsel bir hatadan kaynaklanmıştır; Kurul hatanın niteliğini tartışmadan tedbirlerin eksikliğine odaklanmıştır. Bu yaklaşım, yazılım geliştirme ve test süreçlerinin de m. 12 kapsamındaki idari tedbirler arasında düşünülmesi gerektiğini gösterir. Sürüm öncesi test, yetki ve oturum ayrımı kontrolleri ile ürün çıkışında eş zamanlı kullanıcı senaryolarının sınanması somut örneklerdir.

Üçüncü olarak karar, olay sonrası çabaların cezanın miktarına etkisi konusunda bir sonuç vermez. Özette ceza tutarı açıklanmamıştır; bu nedenle hızlı müdahalenin cezayı hafifletip hafifletmediği sorusu bu karar bakımından açık kalmaktadır.

Kararın söylemediği şeyler de önemlidir. Kurul hangi somut teknik önlemin eksik olduğunu özet metinde belirtmemiştir; özet kararı yalnızca sonucu aktarmaktadır. Dolayısıyla kararın, belirli bir yazılım test yöntemini zorunlu kıldığı sonucu çıkarılamaz.

Uygulamada

E-ticaret ve üyelik sistemi işleten veri sorumluları açısından karar üç pratik sonuç doğurur. Kullanıcı oturumları arasında veri ayrımını sağlayan kontroller yazılım sürümlerinde düzenli olarak sınanmalı, bu sınamalar yazılı ve tarihli kayıt altına alınmalıdır. Güvenlik tedbirleri yalnızca altyapı güvenliği olarak değil, uygulama düzeyinde yetkilendirme olarak da düşünülmelidir.

İhlal anında ise olay kaydı, tespit zamanı ve alınan önlemler eksiksiz belgelenmelidir. Böyle bir olay aynı zamanda m. 12/5 kapsamında bildirim yükümlülüğü doğurabilir; bildirimin süresi ve içeriği veri ihlali ve Kurula 72 saatte bildirim makalesinde ele alınmıştır. İlgili kişi tarafında silme talebinin kapsamı ve itiraz yolları şirketten kişisel verilerimin silinmesini nasıl isterim sorusunda bulunmaktadır.

Sonuç

2018/91 sayılı karar, veri güvenliği yükümlülüğünün olay öncesine bakan bir yükümlülük olduğunu açık biçimde ortaya koymuştur. Sistemsel hatadan kaynaklanan, hızla düzeltilen bir erişim sorunu bile, öncesinde uygun güvenlik düzeyi sağlanmamışsa m. 12/1 ihlali sayılmaktadır. Silme talebine verilen cevabın belgeyle desteklenmesi talimatı ise başvuru yönetiminin ayrı bir denetim alanı olduğunu göstermektedir. Aynı alandaki Kurul uygulaması için arkalı önlü kimlik görüntüsü kararı birlikte okunabilir.