KVKK'den müşterilerinin kişisel bilgilerini koruyamayan şirkete 1 milyon lira ceza

Kişisel Verileri Koruma Kurulu (KVKK), restoran ve hızlı servis gıda sektöründe faaliyet gösteren bir şirkete, müşterilerine ait kişisel verileri korumada yetersiz kaldığı gerekçesiyle toplam 1 milyon lira idari para cezası verdi.

Karara göre, siber saldırganlar internet tarayıcısı üzerinden çalışan zararlı bir yazılımla şirketin bilgi işlem birimindeki bir çalışanın bilgisayarına yetkisiz erişim sağladı. Çalışanın tarayıcısında kayıtlı kullanıcı adı ve şifreleri ele geçirilince, bu bilgiler kullanılarak şirket sistemine girildi ve 505 bin 337 müşterinin kişisel verilerine ulaşıldı. Saldırganların daha sonra şirket yöneticisine, ellerinde bazı şirket verileri bulunduğuna ilişkin mesaj gönderdiği belirtildi.

Şirketin durumu KVKK’ye bildirmesi üzerine başlatılan incelemede, veri güvenliği için gerekli teknik ve idari önlemlerin alınmadığı kanaatine varıldı. Bu nedenle 800 bin lira, veri ihlalinden etkilenen kişilere bildirim yapılmaması nedeniyle de 200 bin lira ceza uygulandı.

Kurul kararında ayrıca, sisteme yetkisiz giriş yapıldığında bunu bildirecek bir alarm mekanizmasının bulunmadığı, bu yüzden takip ve kontrol bakımından eksiklik olduğu ifade edildi. Kararda, çalışanlara kişisel verilerin korunmasına ilişkin eğitim ve farkındalık çalışmaları konusunda da yeterli özen gösterilmediği kaydedildi.