Kişisel Verileri Koruma Kurulu'nun (KVKK), kamu kurum ve kuruluşlarının internet ortamında kişisel veri paylaşımına ilişkin ilke kararı Resmi Gazete'de yayımlanarak yürürlüğe girdi. Karar kapsamında kamu tüzel kişiliğine sahip belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumlarının internet sitelerinde yayımladığı kişisel verilere ilişkin uygulamalar yeniden düzenlendi. Kurul, kamu kurumlarının internet ortamındaki veri paylaşımlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ikincil mevzuata uygun şekilde yürütülmesi gerektiğini vurguladı.
İnternet sitelerinde yer alan kişisel veriler mercek altına alındı
Kurulun değerlendirmesinde, kamu kurumlarının internet sitelerinde yayımlanan çeşitli belge ve duyurularda çok sayıda kişisel veriye yer verildiği belirtildi. İncelemelerde; ad ve soyad, anne ve baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan, hizmet yılı, sicil numarası, çalışılan birim, askerlik durumu, öğrenim bilgisi, başvuru numarası, KPSS puanı, kabul veya ret bilgisi, başarı durumu, mezun olunan okul, sınav sonuçları, doğru-yanlış ve net sayıları, aday ve öğrenci numarası, sınava katılım durumu, asil-yedek bilgisi, eksik evrak durumu ile benzeri kişisel verilerin internet ortamında yayımlandığı tespit edildi.
Geçerli hukuki dayanak bulunmayan veriler yayımlanamayacak
Kararda, kişisel verilerin işlenmesinin yalnızca verilerin elde edilmesini değil, saklanması, paylaşılması ve imha edilmesine kadar tüm süreçleri kapsadığı hatırlatıldı. Bu kapsamda kamu kurumlarının internet ortamında kişisel veri paylaşabilmesi için Kanun'da yer alan geçerli bir veri işleme şartına dayanması gerektiği belirtildi. Geçerli bir hukuki sebep bulunmayan durumlarda ise kişisel verilerin internet üzerinden paylaşılmaması gerektiği ifade edildi.
Zorunlu olmayan kişisel bilgiler paylaşılmayacak
KVKK, kişisel veri paylaşımının hukuki bir dayanağa sahip olduğu durumlarda dahi yalnızca amacın gerçekleştirilmesi için gerekli olan asgari düzeyde veri paylaşılması gerektiğini bildirdi. Kararda, amacın yerine getirilmesi açısından gerekli olmayan kişisel bilgilerin internet ortamında yayımlanmaması gerektiği vurgulanırken, veri sorumlularının maskeleme, anonimleştirme ve gerekli diğer teknik tedbirleri almasının önem taşıdığı kaydedildi.
Kişisel veriler süresiz yayımlanamayacak
İlke kararında, kişisel veri içeren duyuru ve belgelerin işlendikleri amaç için gerekli olan süre boyunca erişime açık tutulması gerektiği belirtildi. Veri sorumlularının, kişisel verilerin internet ortamında ne kadar süreyle yayımlanacağını önceden belirlemesi ve bu sürenin sona ermesinin ardından ilgili içerikleri kaldırması gerektiği ifade edildi.
Kamu kurumlarına veri güvenliği ve eğitim yükümlülüğü
Kararla birlikte kamu kurumlarının idari ve teknik veri güvenliği tedbirlerini eksiksiz şekilde uygulamakla yükümlü olduğu bir kez daha hatırlatıldı. Ayrıca kurumların mevcut internet içeriklerini gözden geçirerek hukuki dayanağı bulunmayan veya Kanun'un genel ilkelerine aykırı kişisel veri paylaşımlarını kaldırmaları ya da maskeleme gibi yöntemlerle gerekli düzenlemeleri yapmaları istendi. Kurul, kişisel verilerin korunmasına ilişkin farkındalığın artırılması amacıyla başta sorumlu personel olmak üzere tüm çalışanlara yönelik eğitim ve bilgilendirme faaliyetlerinin düzenli olarak yürütülmesi gerektiğini de bildirdi.
KVKK gerekli görülmesi halinde inceleme başlatabilecek
İlke kararında, belirlenen yükümlülüklerin yerine getirilmediğinin tespit edilmesi halinde Kişisel Verileri Koruma Kurulu'nun resen inceleme başlatabileceği ve veri sorumluları hakkında Kanun kapsamında gerekli işlemleri uygulayabileceği belirtildi.
