Kamu Kurumları için KVKK Uyum Rehberi: Öne Çıkan Hususlar

Kişisel Verileri Koruma Kurumu ("Kurum") tarafından yayımlanan "Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları için Kişisel Verilerin Korunması Kanununa Uyum Rehberi" ("Rehber"), kamu kurumlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu'na ("Kanun") uyumunda dikkat etmesi gereken temel ilke ve uygulamaları, Kurul kararları ve somut örnekler üzerinden ele almaktadır. Aşağıda Rehber'de yer alan ve uygulamada en fazla tereddüt yaratan, kurumsal risk teşkil eden hususlar özetlenmiştir.

1. Veri Sorumlusu Sıfatının Doğru Tespiti

• Veri sorumlusu sıfatı, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen tüzel kişiye aittir; kurum bünyesindeki bir daire başkanlığı, şube müdürlüğü veya bilgi işlem birimi veri sorumlusu olarak nitelendirilemez.
• Aynı tüzel kişilik bünyesindeki veri paylaşımları Kanun'un 8. maddesi anlamında "aktarım" sayılmaz; ancak bu durumda dahi Kanun'un 4. maddesindeki genel ilkelere uyulması zorunludur.
• Farklı tüzel kişilikler arasındaki paylaşımlar (örn. bir Bakanlığın bağlı kuruluşları olan TİKA, İŞKUR, SGK arasındaki paylaşımlar) veri aktarımı niteliğindedir ve m.8, gerektiğinde m.9 kapsamında değerlendirilmelidir.

2. Genel İlkelere Uyum

• Doğru ve güncel olma ilkesi bakımından veri sorumlularının aktif özen yükümlülüğü vardır; Kurul'un 2020/966 sayılı İlke Kararı, vatandaşlardan alınan telefon/e-posta bilgilerinin doğrulama kodu/linki ile teyit edilmesini gerekli bir tedbir olarak öngörmektedir.
• Amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi kapsamında: disiplin soruşturmalarında yalnızca somut olayla bağlantılı veri işlenmeli, yüksek güvenlik gerektirmeyen alanlarda giriş-çıkışta biyometrik veri yerine alternatif yöntemler tercih edilmeli, işe alımda pozisyonla bağdaşmayan/ayrımcılığa yol açabilecek verilerden kaçınılmalıdır.
• Saklama ve imha politikası hazırlama zorunluluğu yalnızca VERBİS'e kayıtlı veri sorumlularına aittir; ancak bu yükümlülüğe tabi olmayanlar bakımından da verilerin silinmesi/yok edilmesi/anonimleştirilmesi yükümlülüğü devam eder.

3. İşleme ve Aktarım Şartlarının Doğru Belirlenmesi

• Her işleme/aktarım faaliyeti Kanun'da öngörülen bir hukuki dayanağa oturtulmalıdır; açık rıza yalnızca diğer işleme şartlarının uygulanamadığı durumlarda başvurulacak istisnai bir dayanaktır.
• Kamu kurumları "veri sorumlusunun meşru menfaati" şartına dayanırken ihtiyatlı olmalıdır; faaliyetleri esasen kanunla verilen görev ve yetkiye dayandığından bu şart çoğu durumda uygun bir temel oluşturmaz.
• Aktarımlarda öncelik kurumun kendi görev alanını düzenleyen özel mevzuata verilmeli; açık düzenleme yoksa yurt içi aktarımlar m.8, yurt dışı aktarımlar m.9 çerçevesinde değerlendirilmelidir.

4. Aydınlatma Yükümlülüğü

• Aydınlatma yükümlülüğü (m.10) her durumda veri sorumlusu tarafından yerine getirilmeli, yerine getirildiğinin ispatı da veri sorumlusuna ait olmalıdır; personele sunulan aydınlatma metinlerinin imzalatılıp özlük dosyasında saklanması iyi bir uygulamadır.
• Veriler ilgili kişiden doğrudan elde edilmemişse, aydınlatma makul bir süre içinde, en geç ilk iletişim anında veya ilk aktarımdan önce yapılmalıdır.
• Açık rıza metni ile aydınlatma metni birbirinden ayrı düzenlenmelidir.

5. Veri Güvenliği

• Veri güvenliği yalnızca teknik tedbirlerden ibaret değildir; risk analizi yapılmalı, idari ve teknik tedbirler birlikte uygulanmalı, veri işleyenler denetlenmelidir.
• Kurul'un ihlal incelemelerinde en sık rastladığı eksiklikler: farkındalık eğitimi eksikliği, düzenli risk analizi/oltalama testi yapılmaması, parola güvenliği politikası olmaması, iç denetim mekanizması kurulmaması, veri işleyen sözleşmelerinde yetersiz güvenlik hükümleri; teknik düzeyde ise yetersiz erişim kontrolü, hatalı yetki matrisi, zayıf yedekleme, güncel olmayan yazılım, sorgulama sistemlerinde alarm/limit mekanizması eksikliğidir.
• İhlal bildirimi: öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a; etkilenen ilgili kişilere makul en kısa sürede (iletişim bilgisine ulaşılamıyorsa kurumun web sitesi üzerinden duyuru gibi uygun yöntemlerle) yapılmalıdır.

6. İlgili Kişi Haklarının Yerine Getirilmesi

• İlgili kişiler, Kurul'a şikâyetten önce veri sorumlusuna başvurmak zorundadır; veri sorumlusu, kişisel veri işlenmediği durumlar dahil başvuruları Kanun ve ilgili Tebliğ çerçevesinde cevaplandırmakla yükümlüdür.
• Silme/yok etme talepleri otomatik kabul edilmez — önce ilgili veri işleme şartının fiilen sona erip ermediği değerlendirilmelidir; örneğin sağlık verilerinin işlenme şartı (kamu sağlığının korunması gibi) devam ettiği sürece silme talebi reddedilebilir.

7. Saklama ve İmha Yükümlülükleri

• İşleme amacının sona ermesi tek başına imha yükümlülüğü doğurmaz; veri sorumlusunun tabi olduğu özel mevzuattaki saklama süreleri de gözetilmelidir.
• Saklama ve imha politikaları kurumun Bilgi Güvenliği Yönetim Sistemi politikalarıyla uyumlu olmalı, imha yöntemleri ve periyodik süreçler önceden belirlenmeli, gerçekleştirilen imha işlemleri tutanakla kayıt altına alınmalıdır.

8. VERBİS'e Kayıt ve İrtibat Kişisi

• VERBİS kayıt süresi (31.12.2021) geçmiş olsa da henüz kaydını yaptırmamış veri sorumluları için yükümlülük devam etmektedir; uyulmaması halinde ilgili memurlar hakkında disiplin hükümlerine göre işlem yapılabilir.
• VERBİS bildirimleri kurumun veri işleme envanteriyle uyumlu olmalıdır; bu envanter aynı zamanda aydınlatma, ilgili kişi başvuruları, açık rıza ve saklama/imha süreçlerinin de temelini oluşturur.
• Kurum, Kurum ile iletişimi sağlamak üzere VERBİS'e kayıtlı bir irtibat kişisi (daire başkanı veya üst düzey yönetici) belirlemelidir.

9. İnceleme Süreçlerinde Kamu Kurumlarının Yükümlülükleri

• İlgili kişi, veri sorumlusuna başvurmadan doğrudan Kurul'a şikâyet edemez. Veri sorumlusu başvuruyu en geç 30 gün içinde cevaplandırmalıdır; kişisel veri işlenmiyor olsa dahi bu hususta cevap verilmesi gerekir.
• Başvurunun reddi, yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir.
• Kurul'un bilgi/belge talepleri (devlet sırrı niteliğindekiler hariç) 15 gün içinde karşılanmalıdır.
• Disiplin sorumluluğu yalnızca ihlale doğrudan konu olan personeli değil, kurumun sorumluluk ve erişim yetki matrisine göre tespit edilecek, teknik/idari tedbirlerden sorumlu kişileri de kapsar.
• Bilgi Edinme Hakkı Kanunu kapsamındaki talepler ile Kanun'un m.11 kapsamındaki kişisel veriye ilişkin bilgi talepleri birbirinden ayrılmalıdır.

10. Kamu Kurumları Arasında Hukuka Uygun Veri Aktarımı

• Öncelikle kurumun görev alanına ilişkin özel mevzuat (örn. Vergi Usul Kanunu, Yabancılar ve Uluslararası Koruma Kanunu, Bankacılık Kanunu) incelenmeli; düzenleme yoksa yurt içi aktarımlar m.8, yurt dışı aktarımlar m.9 kapsamında değerlendirilmelidir.
• Özel nitelikli kişisel veri aktarımında m.6 şartlarının yanı sıra, Kurul'un 2018/10 sayılı Kararında öngörülen teknik ve idari önlemler de alınmalıdır.
• Kurumlar arası protokoller tek başına aktarımın hukuki dayanağını oluşturmaz; yalnızca mevcut dayanağa göre aktarımın kapsam, amaç ve tarafların sorumluluklarını düzenleyen uygulama belgeleridir.
• Yurt dışına aktarımlarda henüz bir yeterlilik kararı bulunmadığından, kamu kurumları için başlıca mekanizma Yönetmelik m.11'de düzenlenen "uluslararası sözleşme niteliğinde olmayan anlaşma"dır; müzakere sürecinde Kurul görüşü alınmalı ve aktarıma ancak Kurul izninden sonra başlanmalıdır.
• Ölçülülük ilkesi her aktarımda ayrıca gözetilmelidir; Kurul'un 2022/790 sayılı Kararında, bir üniversite hastanesinin idari davada gerekenden fazla sağlık verisi paylaşması Kanun'a aykırı bulunmuştur.
• Sık karşılaşılan hatalar: özel mevzuat ile m.8/9'un birlikte değerlendirilmemesi, yeterlilik kararının tek mekanizma sanılması, taleplerin sistematik biçimde reddedilmesi.

11. Kamu Kurumları Bakımından Tam ve Kısmi İstisna Halleri

• Kamu kurumlarının her veri işleme faaliyeti Kanun kapsamında değildir; m.28'de düzenlenen tam ve kısmi istisna hallerine göre farklı hukuki rejimler uygulanır.
• Tam istisna (Kanun hiç uygulanmaz):

(i)                 aile hayatı kapsamındaişleme;

(ii)               resmi istatistik veyaanonimleştirilmiş verilerle araştırma/planlama/istatistik faaliyetleri;

(iii)             sanat, tarih, edebiyat,bilimsel faaliyet veya ifade özgürlüğü kapsamındaki belirli işlemeler;

(iv)             milli güvenlik/kamu düzeniamaçlı önleyici-koruyucu-istihbarı faaliyetler ile

(v)               yargı ve infaz mercilerininsoruşturma/kovuşturma/yargılama/infaz süreçleri (istisna yalnızca veriyiişleyen yargı/infaz mercii için geçerlidir).

• Kısmi istisna (yalnızca aydınlatma m.10, ilgili kişi hakları m.11 [tazminat hariç] ve VERBİS kaydı m.16 uygulanmaz; genel ilkeler ve veri güvenliği yükümlülükleri devam eder):

(i)                 suçunönlenmesi/soruşturması;

(ii)               ilgili kişinin kendisitarafından alenileştirilen veriler;

(iii)             kanundan doğandenetim/düzenleme/disiplin faaliyetleri;

(iv)             Devletin ekonomik ve maliçıkarlarının korunması.

• İstisna hükümleri dar yorumlanmalıdır; istisna kapsamına girmek, veri sorumlusunu genel ilkelere uyma, ölçülülüğe riayet etme ve gerekli tedbirleri alma yükümlülüğünden kurtarmaz.

Sonuç

Rehber, kamu kurumlarının Kanun'u mutlak bir veri paylaşımı yasağı olarak değil, her somut olayda uygulanacak hukuki dayanağın ve işleme şartının birlikte değerlendirilmesi gereken bir çerçeve olarak ele almasını önermektedir. Bu kapsamda kurumların; veri sorumlusu sıfatının doğru merciye atfedildiğinden, VERBİS kaydının tamamlandığından, uygun işleme şartının doğru belirlenip gereksiz açık rızaya başvurulmadığından, aydınlatma metinlerinin açık rıza metninden ayrıştırılmış ve güncel olduğundan, veri güvenliği politikalarının güncel tutulduğundan ve kurumlar arası veri paylaşımı taleplerinin kategorik değil somut olay bazında değerlendirildiğinden emin olması önem taşımaktadır.

Rehber'in tam metnine buradan ulaşabilirsiniz.

Saygılarımızla,

DL Avukatlık Bürosu