Kişisel Verileri Koruma Kurulu (KVKK), kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımına ilişkin ilke kararını Resmi Gazete'de yayımladı. Karar, belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumlarının internet sitelerinde yürüttüğü kişisel veri işleme faaliyetlerini kapsıyor.
KAMU KURUMLARINA YENİ KVKK DÜZENLEMESİ
Kurul kararında, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kamu kurumlarının internet ortamında gerçekleştirdiği kişisel veri işleme faaliyetlerinin de Kanun kapsamında olduğu vurgulandı. İnternet üzerinden yapılan veri paylaşımlarında kişisel verilerin korunmasına ilişkin yükümlülüklerin eksiksiz yerine getirilmesi gerektiği belirtildi.
İNTERNET SİTELERİNDE HANGİ VERİLER YER ALIYOR?
Kurulun incelemelerinde kamu kurumlarının internet sitelerinde yayımlanan belgelerde; ad, soyad, anne ve baba adı, doğum tarihi, T.C. kimlik numarası, adres, telefon numarası, doğum yeri, meslek, unvan, kurum bilgisi, imza, öğrenim durumu, askerlik durumu, sınav bilgileri, sağlık bilgileri, disiplin ve ceza bilgileri, özlük bilgileri, sicil numaraları, vergi numaraları, araç plakaları ile çeşitli sınav ve başvuru süreçlerine ilişkin kişisel verilerin yer aldığı ifade edildi.
VERİ PAYLAŞIMINDA HUKUKİ DAYANAK ŞARTI
Karara göre kamu kurumlarının, internet ortamında kişisel veri paylaşmadan önce veri işlemenin 6698 sayılı Kanun'a uygun hukuki dayanağını belirlemesi gerekiyor. Hukuki şart bulunmayan durumlarda kişisel verilerin yayımlanmaması gerektiği belirtildi. Kurul ayrıca, paylaşılacak kişisel verilerin yalnızca amacın gerçekleştirilmesi için gerekli olanlarla sınırlı tutulmasını, gerekli olmayan verilerin yayımlanmamasını ve gerektiğinde maskeleme veya benzeri yöntemlerle korunmasını istedi.
KİŞİSEL VERİLER SÜRESİZ YAYIMLANAMAYACAK
İlke kararında, kişisel verilerin internet ortamında süresiz olarak erişime açık bırakılmasının veri minimizasyonu ilkesine aykırı olabileceği belirtildi. Verilerin yalnızca gerekli olduğu süre boyunca yayımlanması, bu sürenin sonunda ise internet ortamından kaldırılması veya erişimin sınırlandırılması gerektiği kaydedildi.
TEKNİK VE İDARİ TEDBİRLER
Kararda, kamu kurumlarının internet sitelerinde kişisel verilerin güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğu vurgulandı. İnternet sitelerinin düzenli olarak gözden geçirilmesi, kişisel verilerin gereksiz şekilde yayımlanmasının önlenmesi ve veri güvenliğini sağlayacak mekanizmaların oluşturulması istendi. Ayrıca veri paylaşım süreçlerinde görev alan personelin bilgilendirilmesi ve farkındalığının artırılmasına yönelik çalışmalar yapılması gerektiği ifade edildi.
YÜKÜMLÜLÜKLERE UYMAYANLAR İÇİN İNCELEME
KVKK, ilke kararında belirtilen yükümlülüklere uyulmamasının tespit edilmesi halinde 6698 sayılı Kanun'un 18. maddesi kapsamında inceleme ve yaptırım sürecinin işletileceğini bildirdi. Kararın Resmi Gazete'de ve Kurumun internet sitesinde yayımlanmasına oybirliğiyle karar verildi.
