KVKK'dan Müşteri Bilgilerini Açığa Çıkaran Giyim Firmasına 200 Bin TL Para Cezası

Kişisel verilerin korunması konusunda denetimlerini sıkılaştıran Kişisel Verileri Koruma Kurumu (KVKK), e-ticaret sektöründe emsal teşkil edecek yeni bir karara imza attı. Üyesi olduğu online giyim mağazasında kendi bilgisi dışında sipariş oluşturulduğunu ve kişisel verilerinin ifşa edildiğini fark eden bir tüketicinin şikayeti üzerine başlatılan inceleme, ilgili firmaya ağır bir idari para cezasıyla sonuçlandı.

Şüpheli Sipariş Mesajı Skandalı Ortaya Çıkardı

Olay, bir müşterinin üyesi olduğu internet tabanlı giyim mağazasından, kendisine ait olmayan bir siparişe ilişkin bilgilendirme mesajı almasıyla başladı. Durumdan şüphelenerek üyelik hesabına giriş yapan kullanıcı, hesabının başka bir şahıs tarafından ele geçirildiğini, adres bilgilerinin değiştirildiğini ve bu yeni adres üzerinden sipariş verildiğini tespit etti. Kişisel verilerinin üçüncü kişilerin erişimine açık hale gelmesinden ötürü mağduriyet yaşayan müşteri, vakit kaybetmeden Kişisel Verileri Koruma Kurumu'na (KVKK) resmi şikayette bulundu.

KVKK İncelemesinde Sınırsız Erişim İhlali Tespit Edildi

Şikayet üzerine harekete geçen KVKK uzmanları, söz konusu internet sitesi üzerinde detaylı bir teknik ve hukuki inceleme gerçekleştirdi. Yapılan incelemeler sonucunda, şikayetçi müşterinin adı, soyadı, üyelik bilgileri ve telefon numarası gibi kritik kişisel verilerinin, veri sorumlusu konumundaki giyim mağazasının internet sitesinde sınırsız bir kitlenin erişimine açık şekilde paylaşıldığı raporlandı. KVKK, veri güvenliğini sağlamakla yükümlü olan firmanın, bu bilgilerin korunması noktasında gerekli özeni göstermediğini belirledi.

Teknik ve İdari Tedbirleri Almayan Firmaya 200 Bin TL Ceza

Kurul tarafından yapılan nihai değerlendirmede, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeyen, gerekli teknik ve idari tedbirleri almayan giyim mağazasına 200 bin lira idari para cezası uygulanmasına karar verildi. KVKK'nin gerekçeli kararında, müşteri bilgilerinin üçüncü kişilerin erişimine açılmasının, 6698 sayılı Kişisel Verileri Koruma Kanunu bünyesinde yer alan kişisel veri işleme şartlarından hiçbirine dayanmadığının altı önemle çizildi.