Kişisel Verileri Koruma Kurulu (KVKK), kamu tüzel kişiliğini haiz veri sorumluları tarafından kişisel verilerin internet ortamında paylaşılmasına ilişkin ilke kararını Resmi Gazete‘de yayımladı.
Karar; belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumlarının internet sitelerinde yayımladığı kişisel verilere yönelik tespit ve değerlendirmeleri içeriyor.
Kurul kararında, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kamu kurumlarının internet ortamında gerçekleştirdiği kişisel veri işleme faaliyetlerinin de Kanun kapsamında olduğu vurgulandı. İnternet üzerinden yapılan veri paylaşımlarında kişisel verilerin korunmasına ilişkin yükümlülüklerin eksiksiz yerine getirilmesi gerektiği belirtildi.
Kurulun incelemelerinde kamu kurumlarının internet sitelerinde yayımlanan çok sayıda belgede kişisel verilere yer verildiği belirtildi. Bunlar arasında ad, soyad, anne ve baba adı, doğum tarihi, T.C. kimlik numarası, adres, telefon numarası, doğum yeri, meslek, unvan, kurum bilgisi, imza, öğrenim durumu, askerlik durumu, sınav bilgileri, sağlık bilgileri, disiplin ve ceza bilgileri, özlük bilgileri, sicil numaraları, vergi numaraları, araç plakaları ile çeşitli sınav ve başvuru süreçlerine ilişkin kişisel verilerin bulunduğu ifade edildi.
VERİ PAYLAŞIMINDA HUKUKİ DAYANAK BELİRLENMELİ
Karara göre kamu kurumlarının internet ortamında kişisel veri paylaşmadan önce veri işlemenin 6698 sayılı Kanun’a uygun hukuki dayanağını belirlemesi gerekiyor. Hukuki şart bulunmayan durumlarda kişisel verilerin internet ortamında yayımlanmaması gerektiği vurgulandı.
Kurul ayrıca, paylaşılacak kişisel verilerin yalnızca amacın gerçekleştirilmesi için gerekli olanlarla sınırlı tutulmasını, gerekli olmayan kişisel verilerin internet ortamında yer almamasını ve gerektiğinde maskeleme ya da benzeri yöntemlerle korunmasını istedi.
BELİRSİZ SÜREYLE YAYIMLANAMAYACAK
İlke kararında kişisel verilerin internet ortamında süresiz olarak erişime açık bırakılmasının da veri minimizasyonu ilkesine aykırı olabileceğine dikkat çekildi. Verilerin yalnızca gerekli olduğu süre boyunca yayımlanması, bu sürenin sonunda ise internet ortamından kaldırılması veya erişimin sınırlandırılması gerektiği belirtildi.
TEKNİK VE İDARİ TEDBİR YÜKÜMLÜLÜĞÜ
Kararda kamu kurumlarının internet sitelerinde kişisel verilerin güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğu vurgulandı. İnternet sitelerinin düzenli olarak gözden geçirilmesi, kişisel verilerin gereksiz şekilde yayımlanmasının önlenmesi ve veri güvenliğini sağlayacak mekanizmaların oluşturulması istendi. Ayrıca, veri paylaşım süreçlerinde görev alan personelin bilgilendirilmesi ve farkındalığının artırılmasına yönelik çalışmalar yapılması gerektiği ifade edildi.
YÜKÜMLÜLÜKLERE UYULMAMASI HALİNDE İNCELEME BAŞLATILACAK
KVKK, ilke kararında belirtilen yükümlülüklere uyulmamasının tespit edilmesi halinde 6698 sayılı Kanun’un 18. maddesi kapsamında inceleme ve yaptırım sürecinin işletileceğini bildirdi. Kararın Resmi Gazete’de ve Kurumun internet sitesinde yayımlanmasına oybirliğiyle karar verildi.
Kamu kurumlarının internet sitelerinde hangi bilgileri paylaştığı artık çok daha dikkatli ele alınmalı. Özellikle kişisel verilerin herkesin erişimine açık şekilde yayımlanması ciddi mağduriyetlere yol açabilir; bu kararın uygulamada farkındalık oluşturmasını umuyorum.