Bir giyim mağazasının internet sitesinde yaşanan güvenlik açığı, müşterilerin kişisel verilerinin korunması konusundaki yasal sorumlulukları tekrar gündeme taşıdı. Söz konusu olay, bir müşterinin kendisiyle ilgisi olmayan bir sipariş mesajı almasıyla ortaya çıktı. Üyelik hesabına giriş yapan kullanıcı, yabancı bir kişinin hesabına erişim sağladığını, adres bilgilerinin değiştirildiğini ve bu bilgiler kullanılarak sipariş oluşturulduğunu fark etti. Kişisel verilerinin üçüncü kişilerin erişimine açık hale geldiğini anlayan müşteri, durumu resmi mercilere taşıyarak şikayetçi oldu.

Veri Güvenliğinde İhmal Tespit Edildi

Yapılan detaylı incelemeler sonucunda, müşterinin adı, soyadı, üyelik bilgileri ve telefon numarası gibi kritik verilerin internet sitesi üzerinde herkesin erişimine açık şekilde paylaşıldığı anlaşıldı. Söz konusu verilerin işlenmesinin kanunda öngörülen hukuki şartlardan herhangi birine dayanmadığı belirlendi. Kurul, mağazanın kişisel verileri korumak adına alması gereken teknik ve idari tedbirleri ihmal ettiğine hükmetti.

Veri sorumlusu sıfatıyla hareket eden mağazaya, hukuka aykırı veri işleme faaliyetleri nedeniyle 200 bin lira tutarında idari para cezası uygulanmasına karar verildi. Bu yaptırım, e-ticaret sitelerinin kullanıcı bilgilerini koruma konusunda daha hassas davranmaları gerektiğini bir kez daha ortaya koydu.

İtirazlar Kurul Tarafından Reddildi

Mağaza yönetimi, müşterinin yaptığı başvurunun yasal tebliğ usullerine uygun olmadığını öne sürerek bir itirazda bulundu. Ancak Kurul, veri sorumlusunun başvuruya gerekçe sunmadan yanıt verdiğini ve bu cevabın talebi karşılamaktan uzak olduğunu değerlendirdi. Başvuruyu cevaplandırmış olması sebebiyle usule ilişkin yapılan itiraz, Kurul tarafından haklı bulunmadı ve reddedildi.

Dijital platformlarda kullanıcı verilerinin güvenliği, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kesin hükümlere bağlanmıştır. Şirketlerin, siber saldırılara veya sistem hatalarına karşı uygun güvenlik düzeyini sağlamak için gerekli altyapıyı oluşturması zorunludur. Bu olay, güvenlik önlemlerindeki eksikliklerin veri sorumluları için ciddi mali ve hukuki sonuçlar doğurduğunu kanıtlar niteliktedir.