Kurula başvuran bir kişi, futbol maçı yaptıkları halı sahadaki işletmenin, izinsiz kaydettiği maç görüntüsünü internet sitesinde yayınladığını, kişilerin mahrem hayatını ihlal ettiğini savundu.
Başvuruyu inceleyen Kurul, başvurucunun kişisel verisi olan görüntüsünün Kişisel Verilerin Korunması Kanununda yer alan herhangi bir veri işleme şartına dayanmadan alındığı sonucuna vararak halı saha işletmesine idari para cezası verdi.
Kurulun gerekçesinde, kanunda kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğinin belirtildiği hatırlatıldı.
Açık rıza aranmadan kişisel verilerin işlenmesinin mümkün olduğu durumların da kanunda açıkça yer aldığına işaret edilen gerekçede, kanunun "Veri güvenliğine ilişkin yükümlülükler" başlıklı 12'nci maddesinde "Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini, bu verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır" hükmünün yer aldığı kaydedildi.
Gerekçede, kanun çerçevesinde açık rızanın, "kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine onay vermesi" anlamını taşıdığına işaret edildi.
"GÖRÜNTÜLER, BİREYLERİN TEŞHİS EDİLMESİNİ SAĞLAYABİLECEK NİTELİKTE"
Kurulun gerekçesinde, "Somut olayda veri sorumlusu tarafından kayıtların alınabilmesi ve ilgili spor etkinliği saatinde tesiste olacak herkesten açık rıza alınabilmesi için açık rıza formlarının hazırlanarak pilot tesislerde uygulanmaya başlandığının ifade edildiği, söz konusu ifadeden, anılan uygulamanın yakın zamanda hayata geçirilmeye başlandığı ve henüz tüm üye tesislerde uygulanmadığı, somut başvuru tarihinde de aynı şekilde bu tip bir uygulamanın henüz hayata geçirilmemiş olduğunun anlaşıldığı" tespitine yer verildi.
Somut olay tarihinde ilgili kişilerden açık rıza alındığına ilişkin veri sorumlusu tarafından herhangi bilgi veya belge sunulmadığı belirtilen gerekçede, veri sorumlusu tarafından görüntü kayıtlarının düşük kalitede olması nedeniyle kişilerin kimliklerinin tespit edilmesinin mümkün olmadığının ifade edildiği ancak veri sorumlusuna ait internet sitesinde yayınlanan kayıtlarda ise görüntüleri yer alan kişilerin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin verilerin, bu bireylerin teşhis edilmesini sağlayabilecek nitelikte olduğuna dikkat çekildi.
Gerekçede, şunlar kaydedildi: "İlgili kişinin kişisel verisi olan görüntüsünün kanunda yer alan herhangi bir kişisel veri işleme şartına dayanmaksızın veri sorumlusu tarafından işlendiği dikkate alındığından veri sorumlusunun kanunun 12'nci maddesinin 1 numaralı fıkrasının 'a' bendi kapsamında kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almadığı sonucuna varılması nedeniyle, veri sorumlusu hakkında kanunun 18'inci maddesinin 1 numaralı fıkrasının 'b' bendi uyarınca idari para cezası uygulanmasına, söz konusu veri işleme faaliyetinin ancak ilgili kişilerin açık rızası kapsamında gerçekleştirilebileceği dikkate alındığında, bu yönde gerekli düzenlemelerin yapılarak sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına karar verilmiştir."