Şikayetçi tarafından Kişisel Verileri Koruma Kurumu’na (“Kurum”) intikal ettirilen şikayette özete; hizmet alımı konusundaki uyuşmazlık nedeniyle veri sorumlusunun Kişisel Elektronik Posta (“KEP”) adresine başvuruda bulunarak kendisine ait çağrı merkezi kayıtlarının tarafı ile paylaşılmasını talep ettiğini, ancak veri sorumlusu tarafından başvurusuna 30 günlük yasal süre içerisinde cevap verilmediği, buna istinaden müşteri hizmetleri ile iletişime geçtiği ve kendisine söz konusu kayıtların Cumhuriyet Başsavcılığı tarafından talep edilebileceği ve bu nedenle ilgili talebinin yerine getirilemeyeceğinin belirtildiğini iddia ederek Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında gereğinin yapılmasını talep etmiştir. Veri sorumlusundan alınan savunma yazısında ise özetle; KEP adresinin KVKK kapsamındaki taleplerin iletilebileceği bir kanal olmadığı ve ilgili talebin internet sitesinde yer alan bölümden iletilmesi gerektiği, veri sorumlusu ile şikayetçi arasında çağrı merkezi aracılığı ile telefon üzerinden abonelik sözleşmesi kurulduğu, ilgili kişinin verilerinin bu kapsamda işlendiği, ilgili kayıtlarda müşteri hizmeti çalışanına dair kişisel verilerin de bulunduğu ve müşteriler ile paylaşılan çağrı merkezi kayıtlarının genellikle tahrifat yapılarak sosyal medya veyahut savcılık ile paylaşıldığını ve şikayetçinin çağrı merkezi ile yaptığı bir görüşmede bir kampanyaya taahhüt verdiğini zannetmesi üzerine söz konusu uyuşmazlığın meydana geldiği ancak ilgili kişiye kendisinden herhangi bir taahhüt alınmadığının bildirilmiş olduğunu ve ilgili kayıtların yalnızca adli ve idari makamlarca talep edilmesi üzerine paylaşıldığını belirtmiştir. Buna istinaden Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilen kararda özetle;

  • 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’un 1. maddesinde iletişim araçları aracılığı ile kurulan sözleşmelerin bu kanun kapsamına girdiğinin düzenlenmiş olduğu,
  • Anılan kanunun 2. maddesinde “ticari elektronik iletinin” telefon ve çağrı merkezi vasıtası ile gönderilen veri, ses ve görüntü içerikli iletileri de kapsadığının hükmolunmuş olduğu,
  • KVKK m. 11 uyarınca “İlgili Kişilerin Haklarının,” kendisiyle ilgili kişisel veriler işlenmişse buna ilişkin bilgi talep etme hakkını, söz konusu veriye erişim hakkını da kapsadığı,
  • Ancak bu hakkın, veri sorumlusunun veri güvenliğine ilişkin yükümlülüklerinin de dikkate alınması suretiyle, işlenen kişisel verilerin, teknik/fiziki imkânların el verdiği ölçüde ve verinin muhtevasına/içeriğine makul bir şekilde ulaşılabilmesine imkân tanınarak kullanılması gerektiği, 
  • Dolayısıyla, veri sorumlusunun hakkın yerine getirilmesini talep edilen ses kayıtlarına ilişkin kayıt ortamlarının doğrudan ilgili kişiye teslim edilmeden dökümlerine erişim hakkı sağlanarak gerçekleştirilebileceği ve
  • Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliği’nde başvurunun KEP adresi aracılığı ile de veri sorumlusuna iletilebileceğinin düzenlenmiş olduğu

Belirtilerek Kurul tarafından;

  • Söz konusu dökümün, ilgili kişi dışında başkalarının kişisel verileri varsa bunlar çıkarılmak veya maskelenmek gibi önlemler alınarak ilgili kişiye gönderilmesi yönünde veri sorumlusunun talimatlandırılmasına, 
  • İlgili kişilerin Kanun kapsamındaki başvurularına Kanunun ilgili hükümleri ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ hükümleri uyarınca süresi içinde bir cevap verilmesi yönünde veri sorumlusunun talimatlandırılmasına,
  • İlgili kişilerin Kanun kapsamındaki başvurularını KEP adresi üzerinden iletebilmeleri için kendi bünyesinde gerekli düzenlemeleri yapması yönünde veri sorumlusunun talimatlandırılmasına,

karar verilmiştir.

Şikayetçi tarafından Kurum’a intikal ettirilen şikayette özetle; eskiden çalışmakta olduğu işyerinin veri sorumlusu tarafından devralındığı, bu devir ile kişisel verilerini elde eden veri sorumlusu şirket tarafından kendisinin açık rızasının alınmadığı, veri sorumlusunun internet sitesinde yer alan açık rıza ve aydınlatma metinlerinin muğlak ifadeler içerdiği, içeriğinde sağlık verisi gibi özel nitelikli verilerinin olduğu ve açık rızası alınmaksızın bu verilerin işlenmesinin hukuka aykırı olduğunu ve veri sorumlusuna bu hususta başvuru yaptığını ancak;  İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği uyarınca 15 yıl saklanması gerektiğinin bildirildiğini belirterek KVKK kapsamında gereğinin yapılmasını talep etmiştir. Kurul tarafından yapılan incelemeler neticesinde verilen kararda;

  • İlgili kişinin kişisel verilerinin 2014-2015 yıllarında işlendiği, KVKK’nın 07.04.2016 itibariyle yürürlüğe girdiği ve bu çerçevede söz konusu tarihler itibariyle KVKK’nın yürürlüğe girmemiş olması sebebiyle kişisel verilerin elde edilmesi sırasında aydınlatma yükümlülüğünün yerine getirilmesinin de mümkün olmadığı,
  • İş Kanunu’nun 75. maddesinde; “İşveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır.” Hükmünün yer aldığı,
  • 5510 sayılı Sosyal Sigortalar Kanunu’nun ‘Prim belgeleri ve işyeri kayıtları’ başlıklı 86. maddesinde “İşveren, işyeri sahipleri; işyeri defter, kayıt ve belgelerini ilgili olduğu yılı takip eden yıl başından başlamak üzere on yıl süreyle… saklanadağı….” şeklinde hükmün yer aldığı,
  • İşverenin çalışanlarının özlük dosyalarını düzenlemesi bakımından veri sorumlusu sıfatını haiz olduğu, bu kapsamda İş Kanunu ve Sosyal Sigortalar Kanunu kapsamındaki yükümlülükleri dolayısıyla veri işleme faaliyetinin gerçekleştirildiği, söz konusu veri işleme faaliyetinin Kanunun 5. maddesinin ikinci fıkrasının (a) bendinde yer alan ‘kanunlarda açıkça öngörülme’ ve aynı fıkranın (ç) bendinde yer alan ‘veri sorumlusunun hukuki yükümlülüğünün yerine getirilebilmesi için zorunlu olması’ şartlarına dayanılarak gerçekleştirildiği ve
  • Çalışanlara ait sağlık verisi içeren kayıtların kişisel sağlık dosyalarında saklanmakta olduğu, kişisel sağlık dosyalarının yalnızca sır saklama yükümlülüğü altında bulunan iş yeri hekiminin erişimi ile sınırlı olarak saklanmakta olduğu ve Şirketin sistemlerinde kayıtlı olmadığı dolayısıyla KVKK m. 6 uyarınca hukuka uygun bir işleme faaliyeti bulunduğu

belirtilmiş ve KVKK kapsamında yapılacak bir işlem olmadığına karar verilmiştir.

Şikayetçi tarafından Kurum’a intikal ettirilen şikayette özetle; kiracı olarak oturmakta olduğu apartman dairesine ait  aidat borcunun ödenmemiş olmasından dolayı söz konusu borca dair bilgilerin apartman yönetimi tarafından ev sahibi ile paylaşılmasının hukuka aykırı olduğu, kendisinin söz konusu faaliyet bakımından açık rızasının bulunmadığını ve veri sorumlusu apartman yönetimine yapmış olduğu başvuru neticesinde borç bilgisinin ev sahibi tarafından talep edildiğinin bildirildiğini belirtilerek KVKK kapsamında gereğinin yapılmasını talep etmiştir.

Kurul tarafından verilen kararda özetle;

  • 634 sayılı Kat Mülkiyeti Kanununun “Ortak Giderlerin Teminatı” başlığını hâiz 22 nci maddesinin, “Kat malikinin, 20’nci madde uyarınca payına düşecek gider ve avans borcundan ve gecikme tazminatından, bağımsız bölümlerin birinde kira akdine, oturma (sükna) hakkına veya başka bir sebebe dayanarak devamlı bir şekilde faydalananlar da müştereken ve müteselsilen sorumludur. Ancak, kiracının sorumluluğu ödemekle yükümlü olduğu kira miktarı ile sınırlı olup, yaptığı ödeme kira borcundan düşülür…” hükmünü amir olduğu,
  • Dolayısıyla ev sahibi ve kiracının aidat borcundan müteselsilen ve müştereken sorumlu oldukları ve ev sahibinin, kiracısının oturduğu dairenin aidat gibi apartmanın ortak giderlerinden payına düşen kısımlarını ödeyip ödemediğinden haberdar olmasında gerek ev sahibi gerek site yönetiminin menfaati bulunduğu, dolayısıyla söz konusu veri işleme faaliyetinin; 6698 sayılı Kanunun 5 inci maddesinin (2) numaralı fıkrasının (e) bendi kapsamında bir hakkın tesisi, kullanılması veya korunması çerçevesinde gerçekleştirildiği,
  • Bu itibarla veri sorumlusunun ilgili kişiye verdiği cevapta da ev sahibinin isteği üzerine ilgili kişinin borç bilgilerinin ev sahibi ile paylaşıldığının ifade edildiği dikkate alındığında ilgili kişiye veri sorumlusu tarafından verilen yanıtın, ilgili kişinin iddialarına konu hususları yeterli derecede açıklayıcı olduğu

belirtilerek KVKK kapsamında yapılacak herhangi bir işlem bulunmadığına karar verilmiştir.