Kişisel Verileri Koruma Kurumu (KVKK), kamu tüzel kişiliğine sahip kurum ve kuruluşların dijital mecralarda gerçekleştirdiği kişisel veri paylaşımlarına ilişkin kapsamlı bir ilke kararına imza attı. Resmi Gazete’de yayımlanarak resmen yürürlüğe giren karar; belediyeler, il özel idareleri, üniversiteler ve diğer tüm kamu kurumlarının internet üzerindeki veri işleme faaliyetlerini sıkı kurallara bağlıyor.
Kamuda dijital veri paylaşımına yeni hukuki çerçeve
6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde yürütülen geniş kapsamlı incelemeler, kamu kurumlarının duyuru, ilan ve bilgilendirme adı altında vatandaşlara ait son derece kritik verileri alenileştirdiğini ortaya koydu. Kurul, internet ortamında yayımlanan her türlü belgenin üçüncü şahısların erişimine açık hale gelmesi sebebiyle doğrudan bir "kişisel veri işleme faaliyeti" sayıldığının altını çizdi.
Gerekli olmayan bilgiler internete sızdırılamayacak
KVKK tarafından yapılan saha tespitlerinde; kamuya ait web sitelerinde ad-soyad, T.C. kimlik numarası, anne ve baba adı, ikametgah adresi, cep telefonu numarası, doğum yeri, mesleki unvan, sicil numarası, eğitim durumu, taşınmaz bilgileri, KPSS puanları ve sınav başvuru numaraları gibi hassas verilerin kontrolsüzce erişime açıldığı belirlendi.
Yayımlanan ilke kararında, veri paylaşımının amacını aşan hiçbir bilginin internet ortamında yer alamayacağı vurgulandı. Kamu kurumlarının; yayımlayacakları içeriklerde veri minimizasyonu ilkesine bağlı kalması, maskeleme tekniklerini uygulaması ve amacı tamamlanan verileri vakit kaybetmeksizin imha etmesi yasal bir zorunluluk haline getirildi.
Süre sınırı, aydınlatma ve ilan panoları uyarısı
Yeni düzenleme uyarınca kamu kurumları, internet ortamında paylaştıkları verileri yalnızca işleme amacının gerektirdiği süre boyunca erişilebilir tutabilecek. Belirlenen sürenin dolmasıyla birlikte söz konusu verilerin sistemlerden tamamen kaldırılması veya anonim hale getirilmesi gerekiyor. Ayrıca kurumların, verisi paylaşılan ilgili kişilere yönelik aydınlatma yükümlülüğünü mevzuata uygun şekilde yerine getirmesi şart koşuluyor.
Söz konusu kurallar yalnızca kurumsal web siteleriyle sınırlı kalmayacak. Elektronik bilgi sistemleri, fiziki ilan panoları, askı listeleri ve duyuru tahtalarında yapılan tüm veri paylaşımlarında da aynı idari ve teknik tedbirlerin alınması zorunlu kılındı.
Uymayan kurumlara 18’inci maddeden yaptırım yolda
KVKK, 6698 sayılı Kanun’un 12’nci maddesinde düzenlenen veri güvenliğine ilişkin idari ve teknik tedbirleri almayan kamu veri sorumlularına karşı taviz verilmeyeceğini açıkladı. Standartlara uymadığı veya gerekli koruma tedbirlerini almadığı tespit edilen kamu kurumları hakkında, KVKK tarafından somut olay bazında inceleme başlatılacak ve Kanun’un 18’inci maddesi uyarınca idari işlem ve yaptırımlar uygulanacak.
