Veri sorumlusunun Kuruma intikal eden veri ihlal bildiriminde özetle:

4792 veri sorumlusu müşterisine ait kişisel verilerin internet üzerinden bir forum sitesinde satılmaya çalışıldığı, Kişisel veri ihlalinin daha önce hizmet alınan ve halihazırda ilişiğinin bulunmadığı veri işleyen bünyesinde gerçekleştiğinin düşünüldüğü, zira: Etkilenen 4792 kişiye ait verilerin tamamının ilgili veri işleyenden hizmet alınan döneme ait olduğu, o Satışı yapılan listedeki kişilerin tamamı için her birine ayrı kod verildiği, söz konusu kodların veri işleyene özgü olduğu bilinen formatta olduğu, Veri ihlalinin gerçekleştiği forum sayfasında hukuka aykırı şekilde kişisel veri satışı gerçekleştirmeye çalışan kullanıcının, muhtelif veri sorumlularının müşterilerine ait kişisel verileri de satışa çıkardığının görüldüğü, bahsi geçen veri sorumlularının da tıpkı kendileri gibi ilgili veri işleyenden e-ticaret entegrasyon hizmeti aldıkları/almakta olduklarının haricen öğrenildiği, İhlalden toplam 4792 kişiye ait e-posta adresi, siteye son giriş tarihi ve şifrelenmiş parola bilgisi, 4616 kişiye ait ad ve soyad, 4536 kişiye ait telefon numarası, 33 kişiye ait TC kimlik numarası, 1669 kişiye ait sipariş tutarı, 67 kişiye ait adres, 1749 kişiye ait sipariş sayısı, 1714 kişiye ait siteye kayıt tarihi, 2176 kişiye ait şifrelenmiş cinsiyet, 3337 kişiye ait doğum tarihi bilgisinin etkilendiği, Veri ihlaline ilişkin detaylara hakim olunabilmesi amacıyla veri işleyene keşide edilen ihtarname aracılığıyla, halihazırda silinmiş olması gereken ihlale konu kişisel verilerin 1 iş günü içerisinde imha edilmesi ve söz konusu imha tutanağı ile birlikte ihlalin kaynağını ve etkilerini içeren analizin 3 iş günü içerisinde taraflarına gönderilmesi gerektiğinin bildirildiği, Etkilenen 4792 kişinin tamamına ihlal ile ilgili bilgilendirme yapıldığı

beyanlarına yer verilmiştir.

Veri ihlal bildiriminin incelenmesi neticesinde, 07/10/2021 tarih ve 2021/1021 sayılı Kişisel Verileri Koruma Kurulu Kararı ile,

Kuruma sunulan ekran görüntülerinde veri sorumlusunun müşterilerine ait kişisel verileri satışa çıkaran kullanıcının, aynı forum sitesinde ve aynı tarihte başka veri sorumlularının müşterilerine ait verileri de satışa çıkardığının görüldüğü, anılan veri sorumlularının da aynı veri işleyenden hizmet aldıkları/almakta oldukları, bu anlamda aynı veri işleyenden hizmet alan farklı veri sorumlularının müşterilerine ait kişisel verilerin, aynı kullanıcı tarafından aynı internet sayfasında ve aynı tarihte satışa çıkarılmasının tesadüf olarak değerlendirilemeyeceği ve verilerin veri işleyen sistemlerinden elde edilmiş olduğu yönündeki veri sorumlusu iddiasına sağlam dayanak teşkil ettiği, ancak 6698 sayılı Kişisel Verilerin Korunması Kanununun 12 nci maddesinin (2) numaralı fıkrasının “Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek vey