İş sözleşmesi sona eren kişiye ait görsel ve işitsel verilerin, Tıp Merkezi’nin internet sitesinde pazarlama amaçlı olarak kullanılmaya devam edilmesi nedeniyle, ilgili kişi “iş sözleşmesinin sona ermesi ile ilgili verilerin işlenme amacının ortadan kalktığı bu nedenle kişisel veri işlemenin durdurulması gerektiği, işlenen başka kişisel verinin bulunup bulunmadığı, bu verilerin hangi amaçla işlendiği,” hususlarında veri sorumlusuna bildirimde bulunmuştur.
Şikayetçi yasal süre içerisinde bildirimine karşılık alamamış ve kişisel verileri işlenmeye devam etmiştir. Konuya ilişkin başlatılan incelemede Kurum veri sorumlusuna savunmasını almak için yazılı bildirimde bulunmuş ancak, veri sorumlusu tarafından kurula savunmaya dair herhangi bir bildirimde bulunulmamıştır.
Veri sorumlusunun “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlandığı, vuku bulan olayda Tıp Merkezi’nin veri sorumlusu olduğu,
Kişiye ait görüntülerin kişisel veri niteliğinde olduğu,
İlgili kişinin kişisel verilerinin muhafaza edilip edilmediği, hangi amaçla verilerinin işlenmeye devam ettiği hususlarında bilgi edinme hakkı olduğu,
Dolayısıyla ilgili kişiye 30 gün içerisinde yanıt vermeyen veri sorumlusunun yükümlülüğünü yerine getirmediği,
İşlenmesini gerektiren sebepler ortadan kalktığı takdirde, resen veya ilgili kişinin talebi üzerine, veri sorumlusu tarafından işlenen kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi gerektiğini vurgulamıştır.
KVKK Kurulu’nun Tespitleri:
İlgili kişiye ait kişisel verilerin “işlenmesini gerektiren sebep ortadan kalktığı halde“ işlenmeye devam ettiği,
İlgili kişiye ait kişisel verilerin silinmesi veya yok edilmesine dair talebin veri sorumlusu tarafından yerine getirilmediği,
Kişinin talebinin üzerinden makul süre geçmesine rağmen kanunun 5. maddesinde yer alan şartlardan herhangi birisine dayanmaksızın ilgili kişiye ait kişisel verilerin işlenmeye devam ettiği,
Veri sorumlusunun, kişisel verilerin hukuka aykırı işlenmesini önleme hususunda sorumlu olduğu tespit edilmiştir.
Kanunun 7. maddesi uyarınca, işlenmesi herhangi bir sebebe dayanmayan tüm kişisel verilerin, silinmesi ve yok edilmesi ve KVKK madde 13 “veri sorumlusuna başvuru” çerçevesinde başvuruda bulunan ilgili kişilere, cevap verilmesinde gerekli özenin gösterilmesi hususlarında, veri sorumlusunun talimatlandırılmasına,
Veri sorumlusunun, 6698 sayılı kanun uyarınca, “kişisel verilerin işlenme şartları (m.5) “veya “özel nitelikli kişisel verilerin işlenme şartları (m.6) “maddelerine dayanmaksızın ilgili kişinin kişisel verilerinin işlenmeye devam etmesi nedeniyle “veri güvenliğine ilişkin sorumlulukların yerine getirilmediği,” kanaatine varılarak 75.000 TL idari para cezası uygulanmasına karar verilmiştir.
Sonuç Olarak;
Şikayet konusu bu olayda da olduğu gibi sağlık kurumları görevden ayırılan sağlık çalışanın kişisel verisini tanıtım amaçlı kullanmaya devam etmemelidir. İş sözleşmesi sona eren kişinin, kişisel verilerinin işleme sebebini ortadan kalkacağından, kişisel verisinin işlenmesi durdurulma talep halinde yok edilmelidir. Veri sorumlusu kendisine yöneltilen talep ve şikayetlere cevap vermek durumundadır. Bu konuda gerekli özeni göstermeyen veri sorumlusu işveren KVKK’na aykırı hareket etmiş olacağından idari para cezası yaptırımı ile karşılaşabilecektir.
HANYALOĞUL- ACAR HUKUK BÜROSU
Av. Ayşe Gül HANYALOĞLU