KVKK, müşteri verilerini erişime açan giyim mağazasına ceza verdi

Kişisel Verileri Koruma Kurumu (KVKK), bir giyim mağazasının internet sitesinde müşterilere ait kişisel verilerin üçüncü şahısların erişimine açılması nedeniyle ilgili veri sorumlusuna 200 bin lira idari para cezası verdi. Karar, bir müşterinin kendi adına bilgisi dışında sipariş verildiğini fark ederek yaptığı şikayet üzerine alınan inceleme sonucunda verildi.

Olay, bir müşterinin üyesi olduğu internet mağazasından kendisi tarafından verilmemiş bir siparişe ilişkin mesaj almasıyla başladı. Müşteri, üyelik hesabına giriş yaptığında adres bilgilerinin değiştirildiğini ve başka birinin kendi hesabı üzerinden işlem yaptığını tespit etti. Bunun üzerine kişisel verilerinin erişime açık hale geldiği gerekçesiyle KVKK'ya şikayette bulundu.

Kurum tarafından yapılan incelemeler sonucunda; şikayetçi müşterinin adı, soyadı, üyelik bilgileri ve telefon numarasının, mağazanın internet sitesinde sınırsız bir kitlenin erişimine açık şekilde paylaşıldığı belirlendi. KVKK, söz konusu durumun 6698 sayılı Kişisel Verileri Koruma Kanunu'nda yer alan veri işleme şartlarından herhangi birine dayanmadığını tespit etti.

KVKK, kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almayan, uygun güvenlik düzeyini temin etmeyen giyim mağazasına idari para cezası uygulanmasına karar verdi. Kurul ayrıca, mağazanın başvurunun usulüne ilişkin itirazını da değerlendirdi. Mağazanın, başvuruyu gerekçesini açıklayarak reddetmediği ve cevaplandırdığı dikkate alınarak usule ilişkin itirazın reddine karar verildi.

Verilen karar, internet üzerinden satış yapan platformlarda müşteri bilgilerinin korunması ve veri güvenliği sorumluluklarının yerine getirilmesinin yasal bir zorunluluk olduğunu bir kez daha ortaya koydu.