Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz olan T. Garanti Bankası AŞ tarafından Kuruma gönderilen 2 adet veri ihlali bildiriminde özetle;
- Banka sistemi üzerinden Kredi Kayıt Bürosu (KKB) ekranlarına yönelik yapılan görüntülemelere ilişkin Teftiş Kurulu Başkanlığı tarafından 01.04.2020 – 15.03.2021 dönemi için uzaktan gerçekleştirilen incelemelerde, 2 farklı banka şubesinde görev alan 2 çalışanın gerçekleştirdiği görüntülemelerin dikkat çekici bulunması üzerine incelemelerin genişletildiği,
- Veri sorumlusu tarafından yapılan değerlendirme sonucu çalışanların sorgulamalara istinaden elde etmiş oldukları muhtelif müşterilere ait bilgileri 3. şahıslar ile paylaşmış olabilecekleri konusunda güçlü kanaate varıldığı,
- Bir şube çalışanının, %85’i şube müşterisi olmayan ve % 90’ı farklı müşteri segmentlerinden 3277 farklı kişiye ait KKB (Kredi Kayıt Bürosu) kaydını görüntülediği, Akyazı şubesinde bir çalışanın ise %90’ının şube müşterisi olmayan ve %70’i farklı bir şehirde ikamet eden müşterilerden 5079 farklı kişiye ait KKB (Kredi Kayıt Bürosu) kaydı görüntülemesi yaptığı,
- İhlalden etkilenen kişisel veri kategorisinin finans bilgileri olduğu,
- İlgili kişilerin veri ihlali ile ilgili www.garantibbva.com.tr, banka şubeleri ile bankanın çağrı merkezinden bilgi alabileceği
ifade edilmiştir. Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 06.07.2021 tarih ve 2021/677 sayılı Kararı ile söz konusu veri ihlali bildiriminin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.
