Edinilen bilgiye göre KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında X'in internet sitesinde yayınladığı "güvenlik ve emniyet amacıyla kullanıcılarından temin edilen e-posta adresi veya telefon numaralarının, kendilerine ait reklamcılık sistemlerinde yanlışlıkla reklam amaçlı kullanıldığı" duyurusu ve konuya ilişkin haberler üzerine resen inceleme başlattı.
İşlenen kişisel verilerin üçüncü kişilerin eline geçmiş olabileceğini ve Türkiye'de X kullanıcı sayısının çok fazla olduğunu dikkate alan KVKK, güvenlik amacıyla temin edilen kişisel verilerin reklam faaliyetleri amacıyla işlenmesinin kanunda yer alan "hukuka ve dürüstlük kurallarına uygun olma" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı olduğunu tespit etti.
KVKK, kişisel verileri hukuka aykırı olarak işleyen ve 6698 sayılı kanunda yer alan uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almayan, veri güvenliğine yönelik yükümlülüklerini yerine getirmeyen X'e 1 milyon 470 bin lira idari para cezası uygulanmasına karar verdi.
