Kişisel Verileri Koruma Kurulu, kamu tüzel kişiliğine sahip veri sorumlularının internet ortamında gerçekleştirdiği kişisel veri paylaşımlarına ilişkin yeni bir ilke kararı aldı. Karar, Resmi Gazete'de yayımlanarak yürürlüğe girdi.
Kararda, kamu kurumlarının internet ortamında yayımladığı belgelerde paylaşım amacı bakımından gerekli olmayan kişisel bilgilere yer verilmemesi gerektiği belirtildi.
Kamu Kurumlarının Veri Paylaşımları İncelendi
“Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı” kapsamında, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca gerçekleştirilen incelemelerde ulaşılan tespit ve değerlendirmelere yer verildi.
İncelemeler kapsamında belediyeler, il özel idareleri, üniversiteler ve diğer kamu tüzel kişiliğine sahip veri sorumlularının internet ortamında yayımladığı belgeler değerlendirildi.
Kurulun Değerlendirmesi
Kişisel veri içeren belgelerin internet ortamında yayımlanmasının, bilgilerin üçüncü kişiler tarafından erişilebilir hale gelmesi nedeniyle kişisel veri işleme faaliyeti niteliğinde olduğu belirtildi.
Tespit Edilen Veriler
Çok Sayıda Kişisel Verinin Paylaşıldığı Belirlendi
Kurulun tespitlerine göre kamu kurumlarının internet sitelerinde yayımlanan bazı belgelerde vatandaşlara ve personele ait çok sayıda kişisel bilgiye yer verildi.
Belgelerde Yer Aldığı Tespit Edilen Bilgiler
- Ad, soyadı, anne ve baba adı
- T.C. kimlik numarası
- Adres ve cep telefonu numarası
- Doğum yeri ve meslek bilgisi
- Görev yeri ve unvan
- Sicil numarası ve öğrenim durumu
- Taşınmaz bilgileri
- Sınav başvuru numarası ve KPSS puanı
Veri Güvenliği
Gereksiz Kişisel Veriler Paylaşılmayacak
İlke kararında, internet ortamında yapılacak paylaşımlarda işlemin amacı bakımından gerekli olmayan kişisel verilere yer verilmemesi gerektiği vurgulandı.
Veri sorumlularının, kişisel bilgilerin korunması amacıyla imha, maskeleme ve benzeri yöntemleri uygulaması gerektiği ifade edildi.
Alınması Gereken Önlemler
Paylaşım amacı açısından gerekli olmayan kişisel veriler için imha, maskeleme ve benzeri koruyucu tedbirlerin uygulanması gerekiyor.
Veri Sorumlularının Dikkat Etmesi Gerekenler
- Amacın gerektirmediği kişisel verilere belgelerde yer verilmemeli.
- Gerekli olmayan bilgiler maskelenmeli veya imha edilmeli.
- Kişisel veriler yalnızca gerekli olan süre boyunca erişime açık tutulmalı.
- Aydınlatma yükümlülüğü mevzuata uygun şekilde yerine getirilmeli.
- Teknik ve idari güvenlik tedbirleri eksiksiz uygulanmalı.
Yasal Yükümlülük
Aydınlatma Yükümlülüğüne Dikkat Çekildi
İnternet ortamında paylaşılacak kişisel verilere ilişkin aydınlatma yükümlülüğünün ilgili mevzuata uygun şekilde yerine getirilmesi gerektiği belirtildi.
Veri sorumlularının, 6698 sayılı Kanun'un 12'nci maddesi kapsamında gerekli teknik ve idari tedbirleri almasının zorunlu olduğu hatırlatıldı.
Uygulama Alanı
Yükümlülüklerin yalnızca internet ortamında değil, elektronik mecralar ile pano ve ilan tahtaları gibi alanlarda yapılan kişisel veri paylaşımlarında da gözetilmesi gerekiyor.
Yaptırım Süreci
Tedbir Almayan Kurumlara İdari İşlem Uygulanabilecek
İlke kararında yer alan önlemlerin alınmadığının tespit edilmesi durumunda, Kurulun inceleme yetkisi kapsamında her somut olay için ayrı değerlendirme yapılacağı bildirildi.
İdari İşlem
Yapılacak incelemenin ardından ilgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem tesis edilebilecek.
Haberin Öne Çıkanları
- KVKK, kamu kurumlarının kişisel veri paylaşımlarına ilişkin ilke kararı yayımladı.
- Paylaşım amacı bakımından gerekli olmayan kişisel verilere yer verilmemesi istendi.
- Veri sorumlularının maskeleme, imha ve benzeri tedbirleri uygulaması gerektiği belirtildi.
- Kişisel verilerin yalnızca gerekli süre boyunca erişime açık tutulması gerektiği vurgulandı.
- Yükümlülüklere aykırı hareket eden veri sorumluları hakkında idari işlem uygulanabilecek.
Yorum Yazın