GSG Hukuk Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10

Transkript

1 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Aylık KVK Bülteni Ağustos 2018 Bu sayıda Bu sayıda 1 Güncel Haberler Türkiye den haberler VERBİS kaydı ile ilgili beklenen karar yayınlandı Kurul geçtiğimiz haftalarda verdiği kararları internet sitesinde yayınladı Yurtdışından haberler İngiltere de Veri Brokerlığı Şirketi cezaya çarptırıldı Pazarlama faaliyetlerinin veri kurallarını ihlal etmesi ile firma yetkilisi görevinden alındı Butlin s, phishing sebebiyle kişisel verilerin ihlal edilmesi ile ilgili ihlal bildirimi yaptı 2 Makaleler 108 Sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi ile ilgili Yenilikler 1

2 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Güncel Haberler: Türkiye den haberler VERBİS kaydı ile ilgili beklenen karar yayınlandı Kurul, VERBİS kayıt yükümlülüğüne tabi olacak Veri Sorumlularına ilişkin uzun zamandır beklenen kararını geçtiğimiz hafta yayınladı. Gümrük müşavirliği şirketleri, yeminli mali müşavirler, serbest mali müşavirler, dernekler, avukatlar, arabulucular, siyasi partiler, noterler, vakıflar, sendikalar gibi birtakım gerçek ve tüzel kişiler VERBİS kaydından istisna tutuldu. Bunun yanında, yıllık çalışan sayısı 50 den az ve yıllık mali bilanço toplamı 25 milyon TL den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar da VERBİS kayıt yükümlülüğünden istisna tutuldu. Kurul un VERBİS kaydının yerine getirilmesi için öngördüğü süreler aşağıdaki tabloda yer almaktadır. Veri Sorumluları Kayıt Yükümlülüğü Başlangıç Tarihi Kayıt İçin Verilen Süre Kayıt İçin Son Tarih Yıllık çalışan sayısı 50 den çok veya yıllık mali bilanço toplamı 25 milyon TL den çok olan gerçek ve tüzel kişi veri sorumluları Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları Yıllık çalışan sayısı 50 den az ve yıllık mali bilanço toplamı 25 milyon TL den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları Kamu kurum ve kuruluşları veri sorumluları ay ay ay ay Buna göre şirketlerin toplam çalışan sayısı ve yıllık bilanço miktarını yukarıdaki açıklamalar çerçevesinde değerlendirerek VERBİS kaydı yükümlülüğüne tabi olup olmadıklarını incelemesi gerekmektedir. Ancak Kurul'un yayınlamış olduğu kararda hangi bilanço hesaplama yönteminin göz önüne alınacağı, hangi yılın bilançosunun baz alınacağı vb. konularda netlik bulunmamaktadır. Bu kapsamda Kurul un ilerleyen günlerde açıklayıcı düzenleme yapması beklenmektedir. 2

3 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Güncel Haberler: Kurul, KVKK ve sair mevzuat çerçevesinde verdiği kararları internet sitesinde yayınladı. Kararların tam metinlerine 14/Kurul-Kararlari linkinden ulaşılabilir. Aşağıda kararların konu başlıkları ve özetleri yer almaktadır. KONU AÇIKLAMA YAPTIRIM TÜRÜ Kişisel verilerin kanuna aykırı şekilde paylaşılması Veri sorumlusu tarafından, bir şirketin çalışanlarına e-posta yoluyla gönderilen sözleşme örneklerinde işveren iletişim adresi kısmına şirketin adresinin yazılması gerekirken, şirket adına sürecin yönetiminden sorumlu kişinin ev adresinin yazılması nedeniyle idari yaptırım uygulanmasına karar verilmiştir. Kanunda yer alan genel ilkelere aykırı şekilde kişisel veri işlenmesi Uygun güvenlik düzeyini temin etmeye yönelik tedbirlerin alınmaması Veri sorumlusu tarafından ilgili kişinin talebi üzerine gerçekleştirilen işlemde işlemin gerektirmediği kişisel veri içeren bir belgenin müşteriden istenmesi sebebiyle idari yaptırım uygulanmasına karar verilmiştir. Veri sorumlusu tarafından müşterisinin kişisel verilerinin yer aldığı bir belgenin, aynı isme sahip başka bir kişiye gönderilmesi sebebiyle veri güvenliğinin sağlanması hususunda gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir. ve idari işlem Bunun yanında, veri sorumlusunun bir çalışanının, talebi olmamasına rağmen müşterisinin kişisel verilerini, kendisine yetki tanımlaması yapılan sistemler aracılığıyla kişisel amaçları için sorgulaması nedeniyle veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında idari işlem tesis edilmesine karar verilmiştir. Kişisel verilerinin silinmesi talebinin yerine getirilmemesi Veri sorumlusunun, halihazırda aktif olmayan müşterisinin kişisel verilerinin silinmesi talebini yerine getirmemesi üzerine; veri sorumlusunun tabi olduğu mevzuat uyarınca işlediği kişisel verileri 10 yıl boyunca muhafaza etmesi zorunluluğu bulunduğundan, Kurul tarafından aktif olmayan müşterilerin kişisel verilerinin, genel ilkelere uygun olarak saklama amacı dışında işlenmemesi gerektiği yönünde veri sorumlusunun talimatlandırılmasına karar verilmiştir. Talimatlandır ma İlgili kişiye süresi içinde cevap verilmemesi İşlenme amacının gerektirdiğinden fazla kişisel veri işlenmesi/aktarılması İlgili kişinin veri sorumlusuna başvuruda bulunmasına rağmen veri sorumlusunun süresinde ilgili kişiye cevap vermemesi üzerine veri sorumlusunun ilgili kişiye kararın tebliğinden itibaren 30 gün içerisinde cevap vermesi, aksi takdirde hakkında idari yaptırım uygulanacağı hususunda talimatlandırılmasına karar verilmiştir. Mahkemece veri sorumlusundan ilgili kişi hakkında bazı kişisel verilerin talep edilmesi ve veri sorumlusunun gereğinden fazla kişisel veri aktarımında bulunması sebebiyle kişisel verilerin güvenliğini sağlayamayan veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir. Talimatlandır ma 3

4 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Güncel Haberler: Özel nitelikli kişisel verilerin kanuna aykırı şekilde internet ve sosyal mecralarda paylaşılması Bir gerçek kişinin adının geçtiği köşe yazısının silinmesi talebi Açık rızanın hizmet şartına bağlanması Kişisel veri güvenliği ihlalinin geç bildirimi İş başvuru sürecinde hukuka aykırı kişisel veri paylaşılması İlgili kişiye ait özel nitelikli kişisel veri olan sağlık raporunun, bir hastane nezdinde hastaların tedavi sürecinde yer alan hekimler tarafından, veri sorumlusuna ait mobil olarak kullanılan bir uygulamadan alınan ekran görüntüsünün başka bir cihaz tarafından çekilmesi suretiyle internet ve sosyal medya mecralarında paylaşılması ve bu itibarla özel nitelikli bir kişisel verinin sosyal medya aracılığıyla geniş bir kitleye ifşa edilmiş olduğu dikkate alınarak idari para cezası uygulanmıştır. Bir gerçek kişinin adının geçtiği bir gazetedeki köşe yazısının, kişinin hala kamuyu ilgilendiren bir konumda olduğu hususu da dikkate alınarak, ifade özgürlüğünün bir yansıması olan basın özgürlüğünün kapsamında olduğu değerlendirildiğinden köşe yazısının silinmesine yönelik talebe ilişkin herhangi bir işlem bulunmadığına karar verilmiştir. Veri sorumlusu tarafından sözleşmenin taraflarına ait kişisel veri işlenmesi durumunda ayrıca açık rıza alması ve de açık rızayı üyeliğin ve hizmetin dolayısıyla sözleşmenin bir koşulu olarak dayatması ile hizmetin açık rıza şartına bağlanmış olmasının açık rızayı sakatlayacağı dikkate alındığında idari yaptırım uygulanmasına karar verilmiştir. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi ve veri sorumlusunun gerçekleşen veri ihlalini ilgili kişilere 17 ay, Kurula ise 10 aylık gecikmeyle bildirmesinin Kanunda belirtilen en kısa süre yi aşan bir süre olması sebebiyle idari yaptırım uygulanmasına karar verilmiştir. İlgili kişi tarafından, online olarak insan kaynakları hizmeti sunan veri sorumlusuna ait bir platform üzerinden yapılan iş başvurusunun akabinde; veri sorumlusunun, ilgili kişiye ait başvuru bilgisi, ad ve soyadı ile e-posta adresi bilgisini içeren kişisel verileri herhangi bir hukuki sebebe dayanmadan diğer işe başvuranlarla paylaştığı tespit edildiğinden idari para cezası uygulanmıştır. Ayrıca bir şirketler topluluğu bünyesinde yer alan birden çok veri sorumlusu şirketler arasında veri aktarımı gerçekleştirilmesinin, üçüncü kişiye veri aktarımı olarak değerlendirildiği, bu itibarla iş başvurusunda bulunan bir adayın açık rızası olmadan kişisel verilerinin bir şirketler topluluğu altında yer alan veri sorumluları arasında aynı veri tabanını kullanmak suretiyle paylaşılması sebebiyle idari para cezası uygulanmıştır. İdari para cezası Herhangi bir yaptırım uygulanmasına gerek olmadığına karar verilmiştir. İdari para cezası 4

5 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Güncel Haberler: Yurtdışından haberler gönderdi. ICO nun Experian dışında veri brokerlığı yapan diğer pek çok şirket için yürüttüğü soruşturmalar sürüyor. Shaun Harkin herhangi bir şirketin promosyonu, kuruluşu ya da yönetiminde 6 yıl boyunca doğrudan ya da dolaylı olarak yer almaktan men edileceğine ilişkin taahhütname imzalamayı kabul etti. Karar, şirketlerin veri koruma ihlallerinin olumsuz sonuçlarının yalnızca şirket üzerinde değil, aynı zamanda beyaz yaka yöneticiler üzerinde de etkili olabileceğini göstermesi açısından oldukça önemli. Butlin s, phishing sebebiyle kişisel verilerin ihlal edilmesi ile ilgili ihlal bildirimi yaptı İngiltere de Veri Brokerlığı Şirketi cezaya çarptırıldı ICO, bir milyondan fazla insana ait kişisel verileri yasadışı olarak toplama ve satma nedeniyle, hamilelik ve çocuk bakımı danışmanlığı yapan Emma s Diary isimli şirkete Sterlin ceza uyguladı. Şirket, toplamış olduğu verileri özellikle İngiltere deki İşçi Partisi tarafından kullanılan kredi referans ajansının bir kolu olan Experian Marketing Services e satıyordu. Experian Marketing Services, daha sonra bu verileri 2017 genel seçimlerine kadar olan dönemde İşçi Partisi nin seçilmesi için kullandı ve bir veri tabanı yarattı. Bu sayede İşçi Partisi, marjinal siyasi görüşlü kişilerin çoğunluğu oluşturduğu bölgelerde yaşayan anneleri hedef alan e-postalar Pazarlama faaliyetlerinin veri kurallarını ihlal etmesi ile firma yetkilisi görevinden alındı İngiltere de telefon görüşmesi yoluyla ısrarlı pazarlama faaliyetlerini milyonlarca müşteriye karşı yürüten bir şirketin direktörü, 6 yıl boyunca bu görevi yapmaktan men edildi. Easyleads Limited, 2017 yılının Eylül ayında ICO tarafından Sterlin cezaya çarptırılmıştı. ICO, alıcıların önceden onayı olmaksızın, 16.7 milyon kez otomatik telepazarlama faaliyetinden ötürü şirketi sorumlu bulmuştu. EasyLeads bu cezayı ödeyemedi. Bunun üzerinde ICO, şirketin iflasını talep etti. İflas Müdürlüğü nün yaptığı soruşturma neticesinde, EasyLeads in tek müdürü olan ve şirketin tanıtımını, yönetimini ve organizasyonunu yöneten 48 yaşındaki Shaun Harkin in sorumlu bulunduğu açıklandı. İngiltere de tatil kamp zinciri Butlin s, i aşkın müşterisini, kişisel bilgilerinin bir siber saldırı sonucu ihlale maruz kaldığı hususunda uyardı. Şirket, herhangi bir yüksek teknoloji hackleme tekniğinden ziyade, bir çalışanının kimlik avı saldırısı (phishing) ile kandırılarak veri sistemine ait kullanıcı kimlik bilgilerini sızdırdığından şüphelendiklerini belirtti. Butlin s risk altındaki verilerde, müşterilerinin isimlerinin, adreslerinin, iletişim bilgilerinin ve tatil varış tarihlerinin bulunduğunu ancak finansal bir verinin bulunmadığını ifade etti. Şirket, GDPR gereği müşterilerini 72 saat içinde bilgilendirme yükümlülüğüne ilişkin çalışmalara başladı. 5

6 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 KVK Makaleleri: 108 Sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi ile ilgili Yenilikler Son 2 yıldır KVKK ve GDPR ile ilgili pek çok haber duyarken bu mevzuatların temelini oluşturan 108 sayılı Sözleşme yi aynı oranda duymuyoruz. Bu makalede 108 sayılı Sözleşme, bu sözleşmede son dönemde yapılan değişiklikler ve sözleşmenin veri koruması açısından önemi inceleniyor. 108 Sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi ( 108 sayılı Sözleşme ) kişisel verilerin elde edilmesini, işlenmesini, ilgili veri sahiplerinin hakları ve sınır dışı veri aktarımı gibi önemli konuları düzenleyen uluslararası bağlayıcılığı olan ilk anlaşmadır. Yalnızca Avrupa Konseyi üyesi olan ülkeler değil; Senegal, Uruguay, Tunus gibi ülkeler de bu sözleşmeyi imzalayarak sözleşmeye taraf olmuştur. Dolayısıyla sözleşme veri güvenliği açısından dünyanın farklı bölgeleri arasında köprü kurmakta önemli rol oynamaktadır. Bunun yanında 108 sayılı Sözleşmenin, önceki uluslararası sözleşmelerden (Örn. OECD) ya da kararlardan (Örn. 1973,1974 Resolutions) farkı yukarıda da belirtildiği gibi bağlayıcılığından kaynaklanmaktadır. Bu sözleşmenin tarafı olan her ülkenin en kısa zamanda bu sözleşmenin gerçekleştirmek istediği amaçları yerine getirecek yerel mevzuatlar çıkarması gerekmektedir. Türkiye de 2016 yılı itibariyle 108 sayılı Sözleşme nin tarafıdır. Nitekim bunun ardından KVKK çıkarılmıştır. 108 sayılı Sözleşme 1981 yılında imzaya açılmıştır. Her ne kadar uzun bir süredir geçerliliğini koruyan bir sözleşme olsa da, GDPR ın yürürlüğe girmesi ile birlikte güncelliğini yitirmiştir. Buna bağlı olarak, Avrupa Konseyi 37 yılın ardından GDPR hükümlerine paralel bir biçimde 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi ni yenileyen Protokol (CETS No.223) ( bundan sonra Sözleşme 108+ ) hazırlayıp kabul etmiştir. Sözleşme 108+ ile kişisel verilerin korunması anlamında bilişim teknolojileri göz önüne alınarak günün ihtiyaçlarına cevap veren uluslararası düzeyde bir standart kurulması hedeflenmiştir. Özel nitelikli kişisel verilerin kapsamı genişletilerek bu veriler vasıtasıyla yapılan ayrımcılığın engellenmesi hedeflenmiştir. Sözleşme 108+ ile GDPR hükümleri incelendiğinde teknolojinin günümüz yaşantısının ayrılmaz bir parçası olduğu yaklaşımının benimsendiği görülmektedir. Nitekim zaten her iki düzenleme de teknolojik gelişmeler sebebiyle uygulamaya cevap vermeyen önceki düzenlemelerin yerini alma amacıyla yürürlüğe girmiştir. Bu doğrultuda söz konusu düzenlemeler veri sahiplerinin haklarının güçlendirilmesi, geniş özel nitelikli kişisel veri kapsamı, şeffaflığa verilen önem, teknolojik gelişmelerin vurgulanması, kişisel veri koruma otoritelerinin güçlendirilmesi gibi konularda paralellik taşımaktadır. 108 sayılı Sözleşme nin yenilenmesinde iki temel amaç bulunmaktadır. Bunlardan ilki yukarıda belirtildiği gibi hızla gelişen bilgi ve iletişim teknolojilerinin kullanılmasından kaynaklanan zorluklarla başa çıkmaktır. Özellikle, şeffaflık, orantılılık, hesap verilebilirlik, veri minimizasyonu, privacy by design ve privacy by default gibi ilke ve kavramların kabulü bu alanda gelişmelere ayak uydurmak anlamında yerindedir. Bunun yanında 108 sayılı Sözleşme 2016 yılında Türkiye de yürürlüğe girmiştir. Dolayısıyla Anayasa nın 90.maddesi 5. fıkrası uyarınca 108 sayılı Sözleşme, kanun hükmündedir ve bu sözleşme ile KVKK aynı konuda farklı hükümler içermesi durumunda ortaya çıkacak uyuşmazlık durumunda 108 sayılı Sözleşme hükümleri esas alınacaktır. Türkiye nin 108 sayılı Sözleşme nin yenilenmiş versiyonu olan Sözleşme 108+ i onaylaması durumunda ise, KVKK nın da bazı değişiklikler geçirebileceğini söyleyebilmek mümkündür. Teknolojik gelişmelerin hızına yetişmenin güç olduğu bir çağda hukukun teknolojiyi takip etmesi kaçınılmazdır. Günümüzde işlevini kaybeden hukuk kurallarının geliştirilerek dijital çağa uygun tasarlanan düzenlemelerin kabul edilmesini hukukun dinamik tutulması bakımından önemli buluyoruz. 6

7 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Aydınlatma Tebliği ICO KISALTMALAR 10 Mart 2018 tarihli ve sayılı Resmi Gazete de yayınlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ Information Commissioner's Office GDPR General Data Protection Regulation Kurum Kişisel Verileri Koruma Kurumu Kurul Kişisel Verileri Koruma Kurulu KVKK Kişisel Verileri Koruma Kanunu m. Madde Örn. Örnek 7

8 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Sayı -10 Aylık Kişisel Verilerin Korunması Hukuku Bülteni Ağustos 2018 KVKK kapsamında yerine getirmeniz gereken hukuki yükümlülükler hakkında daha detaylı bilgi almak için bizimle iletişime geçin Süleyman Seba Cad. No :48 BJK Plaza B Blok K:4 Akaretler Beşiktaş - İstanbul info@gsghukuk.com Nilgün Serdar Şimşek, LL.M. Ortak, Avukat T: +90 (212) nilgun.simsek@gsghukuk.com Rıza Eroğlu Kıdemli Müdür T: +90 (212) riza.eroglu@gsghukuk.com İpek Okucu Taftalı Müdür, Avukat T: +90 (212) /3881 ipek.okucu@gsghukuk.com 2018 Gündüz Şimşek Gago Avukatlık Ortaklığı. Tüm hakları saklıdır. Bu dokümanda GSG Avukatlık Ortaklığı veya ibaresi, Gündüz Şimşek Gago Avukatlık Ortaklığı nı ifade etmektedir.