- Kişisel Verileri Koruma Kurulu (KVKK), kamu kurumlarının internet ortamında kişisel veri paylaşımına ilişkin yeni ilke kararını Resmi Gazete'de yayımladı.
- Karara göre kamu kurumları, hukuki dayanağı olmayan veya gerekli olmayan kişisel verileri yayımlayamayacak; yalnızca amaç için gerekli verileri paylaşarak maskeleme ve veri güvenliği tedbirlerini uygulayacak.
- Ayrıca kişisel verilerin süresiz erişime açık bırakılmaması gerektiği vurgulanırken, kurallara uymayan kurumlar hakkında inceleme ve yaptırım süreci başlatılabileceği bildirildi.
Kişisel Verileri Koruma Kurulu (KVKK), kamu tüzel kişiliğini haiz veri sorumluları tarafından kişisel verilerin internet ortamında paylaşılmasına ilişkin ilke kararını Resmi Gazete'de yayımladı.
Karar; belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumlarının internet sitelerinde yayımladığı kişisel verilere yönelik tespit ve değerlendirmeleri içeriyor.
Kurul kararında, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kamu kurumlarının internet ortamında gerçekleştirdiği kişisel veri işleme faaliyetlerinin de Kanun kapsamında olduğu vurgulandı. İnternet üzerinden yapılan veri paylaşımlarında kişisel verilerin korunmasına ilişkin yükümlülüklerin eksiksiz yerine getirilmesi gerektiği belirtildi.
Kurulun incelemelerinde kamu kurumlarının internet sitelerinde yayımlanan çok sayıda belgede kişisel verilere yer verildiği belirtildi. Bunlar arasında ad, soyad, anne ve baba adı, doğum tarihi, T.C. kimlik numarası, adres, telefon numarası, doğum yeri, meslek, unvan, kurum bilgisi, imza, öğrenim durumu, askerlik durumu, sınav bilgileri, sağlık bilgileri, disiplin ve ceza bilgileri, özlük bilgileri, sicil numaraları, vergi numaraları, araç plakaları ile çeşitli sınav ve başvuru süreçlerine ilişkin kişisel verilerin bulunduğu ifade edildi.
Hukuki dayanak belirlenmeli
Karara göre kamu kurumlarının internet ortamında kişisel veri paylaşmadan önce veri işlemenin 6698 sayılı Kanun'a uygun hukuki dayanağını belirlemesi gerekiyor. Hukuki şart bulunmayan durumlarda kişisel verilerin internet ortamında yayımlanmaması gerektiği vurgulandı.
Kurul ayrıca, paylaşılacak kişisel verilerin yalnızca amacın gerçekleştirilmesi için gerekli olanlarla sınırlı tutulmasını, gerekli olmayan kişisel verilerin internet ortamında yer almamasını ve gerektiğinde maskeleme ya da benzeri yöntemlerle korunmasını istedi.
Belirsiz süreyle yayımlanmayacak
İlke kararında kişisel verilerin internet ortamında süresiz olarak erişime açık bırakılmasının da veri minimizasyonu ilkesine aykırı olabileceğine dikkat çekildi. Verilerin yalnızca gerekli olduğu süre boyunca yayımlanması, bu sürenin sonunda ise internet ortamından kaldırılması veya erişimin sınırlandırılması gerektiği belirtildi.
Teknik ve idari yükümlülük
Kararda kamu kurumlarının internet sitelerinde kişisel verilerin güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğu vurgulandı. İnternet sitelerinin düzenli olarak gözden geçirilmesi, kişisel verilerin gereksiz şekilde yayımlanmasının önlenmesi ve veri güvenliğini sağlayacak mekanizmaların oluşturulması istendi. Ayrıca, veri paylaşım süreçlerinde görev alan personelin bilgilendirilmesi ve farkındalığının artırılmasına yönelik çalışmalar yapılması gerektiği ifade edildi.
İnceleme başlatılacak
KVKK, ilke kararında belirtilen yükümlülüklere uyulmamasının tespit edilmesi halinde 6698 sayılı Kanun'un 18. maddesi kapsamında inceleme ve yaptırım sürecinin işletileceğini bildirdi. Kararın Resmi Gazete'de ve Kurumun internet sitesinde yayımlanmasına oybirliğiyle karar verildi.