Resmî Gazete'de yayımlandı: KVKK'dan kamu kurumlarına kişisel veri uyarısı

Resmî Gazete'de yayımlanan kararda, kamu kurumları, belediyeler, il özel idareleri, üniversiteler ve diğer kamu tüzel kişiliklerinin internet ortamında yayımladığı belgelerde yer alan kişisel verilere ilişkin tespit ve değerlendirmelere yer verildi. Kurul, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel verilerin elde edilmesinden silinmesine kadar geçen tüm süreçlerin "kişisel veri işleme" kapsamında değerlendirildiğini hatırlattı. KVKK'nın incelemelerinde kamu kurumlarının internet sitelerinde; ad-soyad, anne ve baba adı, T.C. kimlik numarası, adres, telefon numarası, doğum yeri, görev yeri, unvan, sicil numarası, KPSS puanı, sınav sonuçları, öğrenci numarası, aday numarası, eğitim bilgileri, eksik evrak durumu ve benzeri çok sayıda kişisel verinin yayımlandığı tespit edildi. Kurul, kişisel verilerin internet ortamında paylaşılabilmesi için Kanun'da öngörülen geçerli bir hukuki işleme şartının bulunması gerektiğini vurguladı. Bu şartın bulunmadığı durumlarda kişisel verilerin yayımlanmaması gerektiği belirtildi. Ayrıca, paylaşımın hukuka uygun olduğu durumlarda bile yalnızca amacın gerçekleşmesi için gerekli olan asgari düzeyde kişisel verinin yayımlanması, ihtiyaç duyulmayan bilgilerin paylaşılmaması ve maskeleme gibi veri güvenliği yöntemlerinin uygulanması istendi. İlke kararında, kişisel verilerin yalnızca işlenme amacı için gerekli süre boyunca erişime açık tutulması gerektiği ifade edildi. Bu kapsamda kamu kurumlarının, internet ortamında yayımlanan kişisel verilerin ne kadar süreyle erişimde kalacağını önceden belirlemesi ve süre sonunda bu verileri kaldırması ya da erişime kapatması gerektiği kaydedildi. KVKK, kamu kurumlarından internet sitelerinde halen yayımlanan kişisel verileri yeniden incelemelerini istedi. Kanun'a uygun olmayan, geçerli bir hukuki sebebe dayanmayan veya veri minimizasyonu ilkesini ihlal eden paylaşımların kaldırılması ya da maskeleme yöntemiyle düzenlenmesi gerektiği bildirildi. Kurul ayrıca, veri güvenliğine ilişkin idari ve teknik tedbirlerin alınmasından veri sorumlularının yükümlü olduğunu, personelin kişisel verilerin korunması konusunda düzenli eğitimlerle bilinçlendirilmesi gerektiğini belirtti. Kararda, belirlenen ilkelere uyulmaması ve gerekli tedbirlerin alınmadığının tespit edilmesi halinde KVKK'nın resen inceleme başlatabileceği ve veri sorumluları hakkında idari işlem uygulanabileceği vurgulandı.