|
ÖZET: Bir perakende giyim firmasına ait kişisel veri ihlali, 18/06/2019 tarihinde Kişisel Verileri Koruma Kurulu tarafından değerlendirildi. İhlal, bazı müşterilerin yeni hesap açarken kişisel verilerinin yanlışlıkla bir URL aracılığıyla firmanın iç sistemlerine ve iş ortaklarına aktarılmasıyla meydana geldi. Bu durum, firmanın düzenli denetimi sırasında tespit edildi. Veri sorumlusunun, ihlalin ardından iki uygulama analizi sağlayıcısından verilerin otomatik olarak silindiğine dair onay aldığı belirtildi. Ancak, yapılan detaylı incelemede başka yedi URL üzerinden de veri toplandığı ve Türkiye’deki bazı kullanıcıların etkilendiği ortaya çıktı.
İhlalden etkilenen kişi sayısının 44 olduğu, bu kişilerin aboneler, müşteriler ve potansiyel müşterilerden oluştuğu kaydedildi. Etkilenen kişisel veriler arasında zorunlu alan olan e-posta adresi, doğum tarihi ve şifreler yer almakta; ayrıca zorunlu olmayan ad soyad bilgilerinin de etkilenmiş olabileceği ifade edildi. İlgili kişilere 23.07.2019 tarihinde e-posta ile bilgi verildi. Kurul, veri ihlalinin tespitinin bir yıl sonra yapılmasının ve gerekli log kayıtlarının bulunmamasının, firmanın veri güvenliği konusunda yeterli önlemleri almadığını gösterdiğine karar verdi. Bu nedenle, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi uyarınca gerekli tedbirleri almayan veri sorumlusuna 50.000 TL idari para cezası uygulanmasına hükmedildi. Ayrıca, ihlalin tespit tarihinden sonra yapılan araştırmaların makul olduğu değerlendirilerek, bu konuda başka bir işlem yapılmamasına karar verildi. |
“Bir perakende giyim firmasının veri ihlal bildirimi hakkında” Kişisel Verileri Koruma Kurulunun 18/06/2019 tarih ve 2019/170 sayılı Karar Özeti
| Karar Tarihi | : | 18/06/2019 |
| Karar No | : | 2019/170 |
| Konu Özeti | : | Bir perakende giyim firmasının kişisel veri ihlali bildirimi |
Veri sorumlusunun Kurumumuza intikal eden veri ihlal bildiriminde;
- İhlalin bazı müşterilerin yeni bir hesap açarken kişisel verilerinin yanlışlıkla bir URL üzerinden veri sorumlusunun iç sistemlerine ve çalıştığı bazı üçüncü taraf satıcı/sağlayıcılara aktarılması şeklinde gerçekleştiği ve bu durumun veri sorumlusunun olağan bir denetimi esnasında tespit edildiği,
- Kurumumuza veri ihlaline ilişkin bildirim yapıldığında, veri sorumlusunun iki uygulama analizi sağlayıcısından (analytics provider) verilerin hâlihazırda otomatik olarak silinmiş olduğuna dair teyit aldığı,
- İlk bulgulardan sonra konunun daha detaylı araştırılması için gerçekleştirilen soruşturma kapsamında başka yedi adet URL tarafından da sehven veri toplandığı ve bunların veri sorumlusunun etiket yönetim sistemine (tag management system) yönlendirildiğinin öğrenildiği (Türkiye’deki ilgili kişilerin bu yedi adet URL’den iki tanesinde gerçekleşen hatadan etkilendiği),
- İhlalden etkilenen ilgili kişi sayısının 44 olduğu,
- İhlalden etkilenen kişi kategorilerinin aboneler/üyeler, müşteriler/potansiyel müşteriler olduğu,
- Şirketin Kurumumuzu muhatap 10.06.2019 tarihli ilk yazısında, ihlalden etkilenen kişisel verilerin, zorunlu alan olan e-posta adresi, doğum tarihi, açık metin şeklinde şifre verilerinin olduğu, ancak zorunlu alan olmayan ad soyad verilerinin de etkilenmiş olabileceği,
- İlgili kişilere 23.07.2019 tarihinde e-posta yoluyla bildirim yapıldığı
ifadelerine yer verilmiştir.
Söz konusu bildirimin incelenmesi neticesinde Kişisel Verileri Koruma Kurulunun 18/06/2019 tarih ve 2019/170 sayılı Kararı ile;
- 01.08.2018 ve 21.10.2018 tarihlerinde gerçekleşen veri ihlallerinin tespitinin yaklaşık bir yıl sonra 02.07.2019 tarihinde yapılmış olmasının, gerçekleştirilen işlemlere dair Şirketin log kaydı/takip alarm sistemlerinin bulunmadığının ya da etkin bir şekilde kullanılmadığının ve Şirket tarafından gerekli kontrollerin yapılmadığının göstergesi olduğu,
- URL üzerinden kişisel verilerin üçüncü taraf satıcı/sağlayıcılar tarafından görülmesinin web sayfası tasarım aşamasında iken yapılan testlerin yetersiz olduğunun veya gerekli testlerin yapılmadığının göstergesi olduğu
kanaatine varıldığından Web sayfası tasarım aşamasında iken yapılan testlerin yetersiz olması, gerçekleşen işlemlere dair takip/alarm sistemlerinin bulunmamasından kaynaklı ihlal tespitinin geç yapılmış olması sebebiyle, 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12 nci maddesinin (1) numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında Kanunun 18 nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 50.000 TL idari para cezası uygulanmasına,
- İhlalin veri sorumlusu tarafından 29.05.2019 tarihinde tespit edildiği, 06.06.2019 tarihinde Kurula bildirimin yapıldığı görülmekle birlikte yurtdışında mukim veri sorumlusu tarafından tespit tarihinden sonra söz konusu ihlalden Türkiye’deki ilgili kişilerin de etkilenip etkilenmediğine yönelik araştırma yapıldığı
dikkate alındığında bu sürenin makul olduğu değerlendirildiğinden bu hususta Kanun kapsamında yapılacak bir işlem bulunmadığına
karar verilmiştir.