Kişisel Verileri Koruma Kurumu (KVKK) tarafından, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyum süreçlerini güçlendirmek, uygulamadaki tereddütleri gidermek ve ortak bir uygulama standardı tesis etmek amacıyla hazırlanan "Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları İçin Kişisel Verilerin Korunması Kanununa Uyum Rehberi" yayımlanmıştır.
Veri Sorumlusu Statüsü ve Kurumsal Sorumluluk
Rehberde, veri sorumlusu kavramının kapsamı netleştirilmiş ve kamu kurumlarındaki hatalı algıların önüne geçilmiştir. Buna göre;
- Veri sorumlusu sıfatı, kurum bünyesindeki daire başkanlıkları, şube müdürlükleri veya bireysel çalışan personelde değil, bizzat kamu kurum veya kuruluşunun kendisinde bulunmaktadır.
- Bakanlıklara bağlı, ilgili ve ilişkili kuruluşlar ile taşra teşkilatlarının kişisel veri işleme amaç ve vasıtalarını kendilerinin belirlemediği durumlarda, sorumluluk doğrudan bağlı olunan ana kurum (örneğin ilgili Bakanlık) tarafından üstlenilmektedir.
Kişisel Veri İşleme Şartları ve Temel İlkeler
Kanun’un 4. maddesinde yer alan genel ilkelere (hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, öngörülen süre kadar muhafaza edilme) tam uyum sağlanması zorunludur.
- Kişisel veri işleme faaliyetlerinin öncelikli olarak kanuni dayanaklar veya Kanun’da öngörülen diğer hukuki şartlara dayandırılması gerekmektedir.
- Açık rıza, diğer şartların uygulanamadığı durumlarda başvurulabilecek istisnai bir hukuki dayanak olup, asla bir hizmetin ön şartı veya hakkın kötüye kullanımı şeklinde ileri sürülemez.
Kurumlar Arası Hukuka Uygun Veri Aktarımı ve Paylaşımı
Kurumlar arası veri paylaşımları ve aktarımları hususunda Kanun’un 8. ve 9. maddeleri ile özel kanunlardaki hükümlerin bütüncül bir yaklaşımla ele alınması gerektiği vurgulanmıştır:
- Kurum İçi Paylaşım: Aynı tüzel kişilik çatısı altındaki birimler veya çalışanlar arasındaki paylaşımlar "aktarım" sayılmamakla birlikte, bu süreçlerde de görev sınırlarına ve veri minimizasyonu ilkelerine riayet edilmelidir.
- Yurt İçi ve Yurt Dışı Aktarım: Farklı tüzel kişiliğe sahip kamu kurumları arasındaki aktarımlar için özel mevzuat hükümleri ve Kanun şartları aranırken; yurt dışına veri aktarımında yeterlilik kararı, uygun güvenceler (uluslararası sözleşme niteliğinde olmayan anlaşmalar ve Kurul izni) veya arızi istisnai haller üç basamaklı yasal yapı çerçevesinde uygulanacaktır.
- Kategorik Ret Yasağı: Bilgi ve veri taleplerinin doğrudan "KVKK gerekçesiyle" sistematik veya kategorik olarak reddedilmemesi; öncelikle mevzuatta aktarımı yasaklayan bir hüküm bulunup bulunmadığının araştırılması, yasak yoksa hukuki şartlar çerçevesinde talebe olumlu yanıt verilmesi esastır.
Veri Güvenliği, Teknik ve İdari Tedbirler
Kanun’un 12. maddesi gereğince veri sorumlusu kamu kurumları, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri almakla yükümlüdür:
- Güçlü siber güvenlik altyapılarının (antivirüs, güvenlik duvarı, SIEM vb.) kurulması, erişim yetki matrislerinin oluşturulması ve personelin veri güvenliği konusunda düzenli olarak eğitilmesi gerekmektedir.
- Veri işleyen üçüncü kişilerle yapılan sözleşmelerde güvenlik tedbirlerinin detaylandırılması ve denetimlerin yapılması zorunludur.
- Kişisel veri ihlali yaşanması durumunda, durumun en geç 72 saat içinde Kurula ve gecikmeksizin ilgili kişilere bildirilmesi şarttır.
İlgili Kişi Hakları ve Denetim Süreçleri
- İlgili kişilerin hak arama süreçlerinde öncelikle veri sorumlusuna başvuru yolunu tüketmesi ve taleplerin en geç 30 gün içinde ücretsiz olarak sonuçlandırılması gerekmektedir.
- Kurul incelemeleri neticesinde tespit edilen hukuka aykırılıkların giderilmesi ve Kurul kararlarının tebliğ tarihinden itibaren en geç 30 gün içinde yerine getirilmesi zorunludur.
- Kanun’un 18. maddesinin 4. fıkrası uyarınca, kamu kurumlarında hukuka aykırılık tespiti halinde, ihlalin önlenmesine yönelik teknik ve idari tedbirleri almaktan sorumlu kişi veya görevliler hakkında disiplin hükümlerine göre işlem yapılarak sonucun Kurula bildirilmesi öngörülmüştür.
Rehber, kamu otoritelerinin kamusal görevlerini ifa ederken bireylerin temel hak ve özgürlüklerini koruma dengesini hassasiyetle gözetmesi gerektiğini net bir hukuki çerçeveyle ortaya koymaktadır.
Link : https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTZhNjc1YWFhNmVjOGY.pdf