Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.

Veri sorumlusu sıfatını haiz olan Metro Grosmarket Bakırköy Alışveriş Hiz. Tic. Ltd. Şti. tarafından Kurumumuza intikal ettirilen 14.06.2019 tarihli yazıda özetle;

• Şirketin bazı mağazalarından 31.05.2019-12.06.2019 tarihleri arasında alışveriş yapan MetroCard sahibi olmayan günlük kart müşterilerinin e-arşiv faturalarının sehven yanlış alıcı adreslerine(8 farklı e-posta hesabına) gönderildiği,
• 658 kişiye ait toplam 806 adet e-arşiv faturasında, müşterilerden şifahi beyan alınmak suretiyle elde edilmiş olan kimlik bilgilerinin (isim, soy isim ve T.C. Kimlik numarası) yer aldığı,
• İlgili kişilerden şifahi olarak alınan bu verilerin doğruluğu, kimlik kontrolü herhangi bir yöntemle teyit edilemediği,
• İlgili kişilerin iletişim bilgileri olmadığından doğrudan bildirim yapılamadığı

bilgilerine yer verilmiştir.

Konuya ilişkin incelemeler devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 18.06.2019 tarih ve 2019/181 sayılı Kararı ile bu aşamada söz konusu veri ihlalinin Kurumun internet sayfasında ilan edilmesine karar verilmiştir.

Kamuoyuna saygıyla duyurulur.