Müşteri bilgileri internette erişime açıldı: Giyim mağazasına 200 bin TL ceza
Kişisel Verileri Koruma Kurumu (KVKK), internet üzerinden satış yapan bir giyim mağazasının müşteriye ait kişisel verileri üçüncü kişilerin erişimine açması nedeniyle 200 bin TL idari para cezası verdi. Olay, bir müşterinin kendi hesabından bilgisi dışında sipariş verildiğini fark ederek KVKK’ye şikâyette bulunmasıyla ortaya çıktı.
İnternetten alışveriş yapan bir müşterinin hesabında karşılaştığı şüpheli sipariş, kişisel verilerin korunmasına ilişkin ihlali ortaya çıkardı.
Üyesi olduğu giyim mağazasından kendisinin vermediği bir siparişe ilişkin mesaj alan müşteri, hesabına giriş yaptığında başka bir kişinin hesabı üzerinden işlem yaptığını gördü. Üstelik adres bilgileri değiştirilerek sipariş de verilmişti.
Başkasının kendi hesabından sipariş verdiğini gördü
Müşteri, kendisine gelen mesajın ardından giyim mağazasındaki üyelik hesabını kontrol etti.
Yapılan kontrolde başka bir kişinin müşteri hesabını kullanarak işlem yaptığı ve adres bilgilerini değiştirip sipariş oluşturduğu ortaya çıktı. Bunun üzerine müşteri, kişisel verilerinin üçüncü kişilerin erişimine açık hale geldiği gerekçesiyle Kişisel Verileri Koruma Kurumuna şikâyette bulundu.
Ad, soyad, telefon ve üyelik bilgileri erişime açıldı
Şikâyetin ardından inceleme başlatan KVKK, müşteriye ait kişisel verilerin nasıl işlendiğini araştırdı.
Kurumun incelemesinde müşterinin adı, soyadı, üyelik bilgileri ve telefon numarasına ilişkin kişisel verilerinin, giyim mağazasının internet sitesinde sınırsız bir kitlenin erişimine açık şekilde paylaşıldığı tespit edildi.
KVKK’dan 200 bin TL idari para cezası
KVKK, inceleme sonucunda veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek için uygun güvenlik düzeyini sağlamadığı sonucuna vardı.
Gerekli teknik ve idari tedbirlerin alınmadığını belirleyen Kurum, internet üzerinden satış yapan giyim mağazasına 200 bin TL idari para cezası uygulanmasına karar verdi.
KVKK kararında 6698 sayılı Kanun vurgusu
Kararda, müşteri bilgilerinin üçüncü kişilerin erişimine açılmasının hukuki dayanağı da değerlendirildi.
KVKK, söz konusu işlemin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda yer alan kişisel veri işleme şartlarından herhangi birine dayanmadığına işaret etti.
Böylece müşterinin bilgisi dışında hesabından sipariş verilmesiyle başlayan süreç, kişisel verilerin korunması için gerekli teknik ve idari önlemleri almadığı belirlenen giyim mağazasına 200 bin TL ceza verilmesiyle sonuçlandı.
