GİZLİDİR «PRIVACY» KAVRAMI VE MEVZUATLAR

Transkript

1 GİZLİDİR «PRIVACY» KAVRAMI VE MEVZUATLAR (!) Tüm Hakları Saklıdır. BTS&Partners

2 Bilişim Hukuku Özel Alan Gizliliği (PRIVACY) Siber Güvenlik (CYBERSECURITY) Fikri Mülkiyet(INTELLECTUAL PROPERTY) İfade Özgürlüğü (FREEDOM OF SPEECH)

3 Privacy? Yalnız Bırakılma Hakkı Samuel Warren & Louis Brandeis (1890), Right to Privacy, Harvard Law Review «right to be let alone» Alan F. Westin (1967), Privacy and Freedom «desire of people freely choose the circumstances and degree to which individuals will expose their attitudes and behaviours to others» Elif Küzeci (2010), Kişisel Verilerin Korunması «biz e ilişkin olanın üzerindeki denetimimizi kaybettiğimiz noktada kendimiz olmamız ve bireysel özerkliğimizi korumamız da olanak dışına çıkacaktır

4 Privacy? Yalnız Bırakılma Hakkı «Verilerin değil bu verilerin ilişkili olduğu bireylerin korunması hedeftir.» Yalnızca, paylaşmak istemeyeceği mahrem alanını değil, açıklamaktan çekinmeyeceği kamuya açık alanını da korumak Özel Alan Gizliliği Mahremiyet

5 Süreç 1948 : İnsan Hakları Evrensel Beyannamesi (Madde 12) 1950: Avrupa İnsan Hakları Beyannamesi (Madde 8) 1951: Paris Anlaşması / Avrupa Kömür ve Çelik Topluluğu Kuruldu 1957: Roma Anlaşması / Avrupa Ekonomik Topluluğu Kuruldu 1965: Merger Anlaşması / Single Market 1971: Almanya Hessen eyaletinde ilk yasal düzenleme 1973 : İsveç te ilk ulusal düzenleme 1979: Avusturya,Danimarka, Fransa,Almanya,Lüksemburg,Norveç,İsveç te veri koruması kanunları çıkartıldı. İspanya, Portekiz, Avusturya da Anayasa ya temel hak olarak eklendi 1980: OECD «Özel Yaşamın Gizliliğinin ve Sınır Ötesi Kişisel Veri Dolaşımının Korunmasına İlişkin Rehber İlkeleri 1981: Avrupa Konseyi 108 Sayılı Sözleşme (Bağlayıcı İlk Uluslararası Metin)

6 Süreç 1992: Maastricht Anlaşması / Avrupa Birliği Kuruldu 1995 : AB Veri Koruması Direktifi 2000: E-Ticaret Direktifi 2000: Avrupa Temel Haklar Beyannamesi (AB bünyesinde insan hakları) 2001: 108 sayılı Sözleşme EkProtokol (yeterli seviyede koruma) 2002: EHAB Sektöründe Veri Koruma Direktifi (E-Privacy) 2006 : Veri Saklama Direktifi (2014 te iptal edildi) 2007: Lisbon Anlaşması / Temel Haklar Beyannamesini bağlayıcı hale getirdi. Avrupa Veri Koruması Denetçisini kurdu. 2009: EHAB Sektöründe Veri Koruması Dirketifinde Önemli Değişiklikler 2012: Regülasyon Taslağı

7 Veri Koruması Prensipler Veri Toplamanın Sınırlı Olması İlkesi (Collection Limitation) Veri Kalitesi İlkesi (Data Quality) Amacın Belirliliği İlkesi (Purpose Specification) Kullanımın Sınırlı Olması İlkesi (Use Limitation) Veri Güvenliği İlkesi (Data Security) Açıklık İlkesi (Openness) Bireyin Katılımı İlkesi (Individual Participation) Hesap Verilebilirlik İlkesi (Accountability)

8 Bilgi Yaşam Döngüsü Toplama Yoketme/İmha Kullanma Saklama/Yedekleme Paylaşım/İfşa

9 Privacy vs. Security Accountability Purpose Limit. Collection Limit. Use Limit. Openness Data Quality Güvenlik alt başlıklardan biridir ancak her tip veri için geçerlidir Individual Part. SECURITY SAFEGUARDS Personal Non-Personal

10 Privacy vs. Freedom of Speech Kişilik Hakkı Özel Yaşamın Gizliliği Kişinin Manevi Bütünlüğü Şeref ve Onuru Kişinin Adından ve Resminden Doğan Maddi Çıkarları Kişinin Şöhreti ve Adı Haberleşmenin Gizliliği Düşünceyi Yayma ve Açıklama Özgürlüğü Düşünceyi savunma ve aktarma özgürlüğü Bilgi Edinme Hakkı Haber Alma Özgürlüğü Bilim Özgürlüğü ve Akademik Özgürlük Right to be forgotton!

11 AB Direktifleri ve Veri Koruması Prensipleri AB nin tek başına İnsan Hakları mevzuatı yapma hakkı yoktur. Tüm hukuki haklarını Roma Anlaşması kapsamındaki tek pazar ilkeleri doğrultusunda yapar. Malların, insanların ve hizmetlerin serbest dolaşımını sağlayabilmek için verinin de serbest dolaşımı sağlanmalıdır ve AB kapsamında veri koruması mevzuatları bu çerçevede yapılır. AB BÜNYESİNDE YAPILAN TÜM MEVZUATLAR TEK PAZAR İLKELERİNİ KORUMAKTADIR

12 95 Direktifi - Genel Prensipleri Hukuka uygun ve adil işlenmeli Meşru amaçlarla işlenmeli Yeterli, ilişkili ve aşırı olmamalı Doğru ve güncel olmalı Gerektiğinden fazla tutulmamalı Temel hak ve özgürlüklerle uyumlu işlenmeli Teknik ve Organizasyonel güvenlik tedbirleri alınmalı AB dışına veri transferlerinde «yeterli seviyede koruma» şartı aranmalı

13 2002 ve 2006 Direktifleri - Genel Prensipleri Güvenlik İletişimin Gizliliği Veri İşlemenin Sınırlandırılması İstenmeyen İletiler(SPAM) Çerezlerin Kullanımı Yer Bilgileri Verilerin Saklanması Servis Sağlayacılarının İletişim Bilglerini suçların araştırılması, soruşturulması ve kovuşturulması için tutulması Sabit ya da mobil telefon görüşmeleri, kısa mesaj gönderimi, Internet trafiği verileri, posta, e-posta, ad,soyad, IP adresi,iletişimin gerçekleştiği saat ve tarih, iletişimin süresi

14 Veri Koruması Yaklaşımlarındaki Farklılıklar : ABD vs. AB ABD İfade Özgürlüğünün Mahremiyet hakkına karşı üstünlüğü, «Business-friendly» yaklaşımlar, Çerçeve düzenlemeler yerine sektörel düzenlemelere ağırlık verilmesi. (HIPAA, FCRA vs.) AB Dünyadaki en sistemli ve kapsamlı kişisel veri koruması kuralları, Çerçeve Kanunlarla yürütülen düzenleyici yaklaşım (95/46/AT Direktifi, 2002/58/AT Direktifi vs.) Gittikçe genişleyen kapsam, Gittikçe ağırlaşan yaptırımlar, AB ve ABD arasındaki veri transferlerinde Safe Harbor anlaşması prensipleri uygulanmaktadır ve bu prensiplere uymayı kabul eden Amerikan şirketlerinin AB nin veri koruması düzenlemelerini ihlal etme ihtimali olmaksızın AB ülkeleri ile veri transferlerini yönetmeleri sağlanmaktadır

15 Veri Koruması Yaklaşımlarındaki Farklılıklar : ABD vs. AB ABD AB CASE C-362/14 MAXIMILLIAN SCHREMS V DATA PROTECTION COMMISSIONER INVALID

16 Avrupa da Veri Koruması Hukukunun Gelişimi AB de bu zamana kadar tüm kişisel verilerin korunması düzenlemleri 95/46 Sayılı Direktif kapsamında hazırlanan ve üye ülkeler tarafından bu direktife uygun olarak Kişisel Verilerin Korunması kanunları ile yönetilmekte idi. Tüm Avrupa Birliği ülkelerin ayrı veri koruma kanunlarının ve otoritelerinin uygulamalarının harmonizasyonu için Article 29 isimli bir kurulmuştur. Avrupa Birliği kendi hukukuna göre ülkeleri kategorize etmiş; dünyayı veri koruması bakımından AB mevzuatına yakın eşdeğer veri koruması sağlayıp sağlamamasına göre sınıflandırarak ayrı hukuki rejimlerin uygulanmasını öngörmüştür. AB içinde ayrı mevzuatlar ve uygulama farklılıkları AB düzeyinde Tek Avrupa Veri Koruması Düzenlemesine gidilmesine zemin hazırlamıştır.

17 Avrupa da Veri Koruması Hukukunun Gelişimi 2012 yılında Avrupa Kişisel Verilerin Regülasyonu hazırlanmıştır. Bu Regülasyon yasalaşma sürecindedir. Taslak yasalaşınca; Üye ülkelerin tüm kişisel verileri korunması hakkındaki kanunları yürürlükten kalkacak ve yerine bu mevzuat uygulanacaktır. Avrupa Birliği Veri Koruma Otoritesi kurulacaktır. Üye ülkelerin veri koruması otoriteleri görevlerine devam edecektir. Belli bir büyüklükteki her bir şirketi veri koruma görevlisi data protection officer istihdam etme zorunluluğu getirilmektedir. Avrupa Birliğindeki tüm ülkelerde veri koruma rejimi yeknesak olarak uygulanacaktır. Regülasyon Taslağında belirtilen ilkelere aykırı olarak kişisel verilerin işlenmesi durumunda bu veriyi işleyen şirketin ait olduğu şirketler topluluğunun (AB sınırları içerisinde bulunup bulunmadığına bakılmaksızın) konsolide cirosunun %5 ine (Ceza başına 100 Milyon Euro ile sınırlandırılmıştır) kadar ceza kesme yetkisi ilgili ülkelerin Veri Koruması otoritelerine tanınmaktadır. Regülasyon Taslağında Avrupa Birliği sınırları içerisinde satılacak ürün ve hizmetlerin mahremiyete saygı prensipleri içerisinde tasarlanması ve üretilmesi ilkesi olan «Privacy by Design» getirilmektedir. Regülasyon Taslağı ile şirketler arası ve şirketlerin AB dşındaki iştiraklerine imkan sağlayacak Bağlayıcı Şirket Kuralları Binding Corporate Rules alma prosedürü kolaylaştırılacaktır. Regülasyon Taslağının 2015 yılında kabul edilmesi ve 2017 yılında yürürlüğe girmesi planlanmaktadır.

18 Ülkemizde Kişisel Verilerin Korunması TCK BK Anayasa E-Ticaret Kanunu Veri Korumasına Özel Düzenlemeler Kişisel Verilerin Korunması Hakkında Kanun Tasarısı Telekom(5809 a torba yasa ile giren maddeler) Enerji Sağlık Genel Düzenlemeler Sektörel Düzenlemeler

19 Ülkemizde Kişisel Verilerin Korunması Avrupa Birliği nin Kişisel Verilerin Korunması Konusundaki 95/46 Sayılı AB Direktifi örnek alınarak hazırlanan Kişisel Verilerin Korunması Kanun Tasarısı TBMM Başkanlığı na sunuldu Tasarı, TBMM nin şu komisyonlarına iletildi: Adalet Komisyonu (Esas), Anayasa Komisyonu (Tali), İnsan Haklarını İnceleme Komisyonu (Tali), Plan ve Bütçe Komisyonu (Tali), Avrupa Birliği Uyum Komisyonu (Tali) Tasarı Avrupa Birliği Uyum Komisyonundan geçti yılının ilk aylarında böyle hızlı bir gelişim göstermesine rağmen Tasarı, bu yasama döneminde de yasalaşmamıştır. Ancak seçimler sonrasında ilk olarak gündeme alınması ve 2015 içinde yasalaşması beklenmektedir.

20 Tasarı daki Kişisel Veri Tanımı Kişisel Veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Özel Nitelikli Kişisel Veri; (Hassas Veri) *Irk *Etnik köken *Siyasi düşüncesi *Felsefi inancı *Dini, mezhebi veya diğer inançları *Dernek, vakıf ya da sendika üyeliği, *Sağlığı veya cinsel hayatıyla ilgili veriler Gerçek Kişi Her Türlü Veri Kimlik Bilgisi Tüzel kişiler kapsam dışıdır. Belirli veya Belirlenebilir Sınırlama yok.

21 Hangi Veri? Ad, Soyadı, Taşıt Plakası, SGK Numarası, T.C. Kimlik No., Özgeçmiş, Diploma, Transkript, Öğrenci Belgesi Kredi Kartı, İndirim Kartı, Kişisel Toplu Taşıma Kartı vs. Bordro, Şahsi Vergi Beyanı, IBAN No., Fatura, Konşimento vb. Katılımcı listesi de içeren toplantı tutanakları (ya da katılımcıların görüşlerini de içeren toplantı tutanakları) Kimlik bilgisi içeren her türlü anket formu IP Adresleri, Çerez Bilgileri (Cookie), Konum Bilgisi Kişiye bağlı her türlü eşsiz/tekil kod veya numara (telefon numarası vs.) Kapalı devre kamera görüntüleri, Ses Kayıtları (Çağrı Merkezi görüşmesi vs.), Ses Tonu Tanıma Bilgisi Kişisel Veri Olarak Kabul Edilebilir mi? Parmak İzleri, Genetik Bilgileri, Kan Grubu, Retina Taraması Dernek veya Parti Üyeliği, Dini veya Felsefi İnanç Bir Şirketin Adresi, Şirket Vergi Numarası, Şirket Ticari Unvanı, Sicil No.,

22 Ülkemizde Kişisel Verilerin Korunması KİŞİSEL VERİLER ANCAK; Sahibinin rızasına veya kanundaki bir yetkiye dayanarak Veri sahibini aydınlat arak Rıza veya kanundaki yetki kapsamında belirtilen amaç ve süre ile sınırlı olarak Hukuka uygun amaçlarla İŞLENEBİLİR KİŞİSEL VERİLERİN İŞLENMESİNİ GEREKTİREN SEBEPLERİN ORTADAN KALKMASI DURUMUNDA VERİ SORUMLUSU TARAFINDAN RE SEN VEYA KİŞİSEL VERİ SAHİBİNİN TALEBİNE İSTİNADEN KİŞİSEL VERİLER ; Silinir Yok Edillir Anonimleştirilir

23 Ülkemizde Kişisel Verilerin Korunması Veri Sorumlusu/Veri İşleyen Kavramları Veri sorumlusu; veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi Veri Sorumlusu dur Veri İşleyen; Veri Sorumlusu adına ve onun verdiği yetkiye dayanarak, onun adına Kişisel Veriler i işleyen gerçek veya tüzel kişidir. Gerek Veri İşleyen gerekse Veri Sorumlusu gerçek ya da tüzel kişiliğe sahip olmalıdır. Bu sebeple departmanlar veri sorumlusu veya veri işleyen olarak tanımlanamaz. Holding yapısında ise bağımsız tüzel kişiliğe sahip şirketlerin her biri bağımsız olarak Veri Sorumlusu veya Veri İşleyen olabilir.

24 Ülkemizde Kişisel Verilerin Korunması Veri Güvenliğine İlişkin Yükümlülükler Veri sorumlusu; -Kişisel verilerin muhafazasını sağlamak, -Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, -Kişisel verilere hukuka aykırı olarak erişilmesini önlemek amacıyla uygun güvenlik düzeyini sağlamaya Veri sorumlusu; kendi birim, kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

25 Ülkemizde Kişisel Verilerin Korunması Suçlar Kanun hükümlerine aykırı olarak Kişisel Veriler i kaydetmek Kanun hükümlerine aykırı olarak Kişisel Veriler i, bir başkasına verme, yayma veya ele geçirme Kanun hükümlerine aykırı olarak kişisel verileri depolayan, muhafaza eden, değiştiren, yeniden düzenleyen, açıklayan, elde edilebilir hale getiren, sınıflandıran ya da kullanılmasını engelleyen veya üçüncü kişilere aktaran Veri Sorumlusu tarafından Kanunun 7inci maddesine aykırı olarak Kişisel Veriler in silinmemesi veya anonim hale getirilmemesi Kabahatler Aydınlatma Yükümlülüğüne aykırılık Veri güvenliğine ilişkin yükümlülüklere aykırılık Kurul tarafından verilen kararları yerine getirmeyenler Sicile kayıt ve bildirim yükümlülüğüne aykırı hareket edenler Cezalar TCK nin 135/1. maddesi uyarınca 1 ila 3 yıl arasında hapis cezası. TCK nin 136 maddesi uyarınca 2 ila 4 yıl arasında hapis cezası. TCK nin 135/1. maddesi uyarınca 1 ila 3 yıl arasında hapis cezası. TCK nin 138 maddesi uyarınca 1 ila 2 yıl arasında hapis cezası. İdari Para Cezaları ila TL ila TL ila TL ila TL

26 Yürürlük ve Uyum Dönemi Cezasız Dönem Kurul'un Faal Olmadığı Dönem 6 Ay 6 Ay Uyum Dönemi 2 Yıl Resmî Gazete'de yayımlanma Ceza uygulamasının Başlangıcı Yönetmeliklerin yürürlüğe konması için son tarih Geçmiş dönemde işlenen verilerin uyumlu hale getirilmesi için son tarih 0 +6 Ay + 1 Yıl + 2 Yıl Kurul'un tesis edilmesi için son tarih Kamu kurumlarında kişisel verilerden sorumlu yöneticiler atanması için son tarih Diğer kanunların Tasarı yla uyumlu hale getirilmesi için son tarih (!) Bu sunum BTS & PARTNERS tarafından tarihinde hazırlanmıstır. Tüm hakları saklıdır.

27 (!) Bu sunum BTS Avukatlık Ortaklığı tarafından hazırlanmıştır. Tüm hakları saklıdır.