📣 30 Kasım 2022’de Fransa Veri Koruma Otoritesi CNIL, bireylerin haklarına ve kullanıcı verilerinin güvenliğine saygı göstermediği için Fransız telefon operatörü FREE aleyhine 300.000 avro para cezası verdi.
⚠️ Karara konu olayda CNIL, ilgili kişilerin kişisel verilerine erişim ve kişisel verilerin silinmesine yönelik taleplerinin dikkate alınmasında karşılaştıkları zorluklarla ilgili FREE aleyhine birkaç şikayet almıştır.
🔐 Yürütülen soruşturmalarda, ilgili kişilerin kişisel veriye erişim hakkı ve silme hakkının ihlal edildiği ile (zayıf şifrelemeler, şifrelerin açık metin olarak saklanması ve iletilmesi, aboneye tahsis edilen Freebox ‘ın abonelik işlemi sonlanınca herhangi bir işlem uygulanmaksızın yeni bir aboneye verilmesi) veri güvenliğinin sağlanmasında zafiyetler olduğu ortaya çıkmıştır.
💸 Otorite 300.000-avro para cezasına ek olarak, FREE ‘nin ilgili kişilerin erişim taleplerini karşılamasına, bu yükümlülüğü teminen talep yönetimine dair uyum işlemlerini kararın tebliğinden itibaren 3 ay içerisinde tamamlanmasına, bu yükümlülüğü yerine getirmekten kaçınılan her gün üçün 500 avro para cezası ödenmesine karar vermiştir.
Karara konu olayda ihlal edilen GDPR hükümleri şunlardır:
📌 İlgili kişi başvurularının zamanında yanıtlanmaması ve/veya kişisel verilerin kaynağına ilişkin eksik yanıt verdiği için kişilerin kendileriyle ilgili verilere erişim hakkına saygı gösterilmemesi (GDPR’ın 12. ve 15. maddeleri),
📌 İlgili kişi taleplerinin zamanında işleme alınmaması nedeniyle bireylerin silme hakkına saygı gösterilmemesi (GDPR’ın 12. ve 21. maddeleri)
📌 Kişisel verilerin güvenliğinin sağlanamaması (GDPR’ın 32. maddesi),
📍Web sitesinde kullanıcı hesabı oluştururken, hesap kurtarma prosedürü veya şifre yenileme prosedürü uygulanırken belirlenen şifre yeterince güçlü değildir.
📍Web sitesinde bir kullanıcı hesabı oluşturulduğunda belirlenen tüm şifreler, abone veri tabanında düz metin olarak saklanmaktadır.
📍Kullanıcı şifreleri, kullanıcılara web sitesinde hesap oluşturdukları anda e-posta veya posta yoluyla açık metin olarak Veri Sorumlusu tarafından iletilmektedir. Tahsis edilen bu şifreler geçici değildir.
💾 Teknik ve idari tedbirler, eski abonelerde bulunan yaklaşık 4.100 Freebox ‘ın, depolanan (fotoğraflar, kişisel videolar, televizyon programlarının kayıtları vb.) veriler uygun şekilde silinmeden bunların yeni müşterilere yeniden tahsis edilmesini engellememektedir.
📝 Oluşturulan ve sunulan belgeler, Freebox ‘ın yenilenmesi süreciyle ilgili alınan tedbirleri ortaya koymadığından kişisel veri ihlalini belgeleme yükümlülüğüne uyulmaması (GDPR‘ın 33. maddesi).
Karar hakkında detaylı bilgi için: https://lnkd.in/d5bW6Epf.
