İlgili bilgilendirmenin asgari olarak içermesi gereken hususlar aşağıdaki gibidir: Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği

Transkript

1 Aydınlatma Yükümlülüğü Hakkında Tebliğ, Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ ve Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemleri Düzenleyen Kurul Kararı Yayımlandı Özet Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul Ve Esaslar Hakkında Tebliğ ( Aydınlatma Yükümlülüğü Hakkında Tebliğ ) ve Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ ( Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ ) 10 Mart 2018 tarihli ve sayılı Resmi Gazete de yayımlanarak yürürlüğe girmiştir. Ayrıca, Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemleri Düzenleyen Kurul Kararı ( Karar ) 7 Mart 2018 tarihli ve sayılı Resmi Gazete de yayımlanmıştır. Aydınlatma Yükümlülüğü Hakkında Tebliğ de veri sorumluları veya yetkilendirdiği kişilerce yerine getirilmesi gereken aydınlatma yükümlülüğü kapsamında uyulacak usul ve esaslar, Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ de ise veri sorumlusuna başvuru ve işlemin ayrıca bir maliyet gerektirmesi hâlinde alınacak ücret ile ilgili usul ve esaslar belirlenmiştir. Karar da ise özel nitelikli kişisel veri işleyen veri sorumlularınca alınması gereken yeterli önlemler yer almıştır. Aydınlatma Yükümlülüğü Hakkında Tebliğ Aydınlatma Yükümlülüğü Hakkında Tebliğ ile veri sorumlusunun aydınlatma yükümlülüğünün kapsamı ve aydınlatma yükümlülüğü yerine getirilirken uyulacak usul ve esaslar belirlenmiştir. Kişisel Verilerin Korunması Kanunu ( KVKK ) nun 10. maddesine göre, kişisel verilerin elde edilmesi sırasında kişisel verileri işlenen kişilerin, veri sorumluları veya yetkilendirdiği kişilerce bilgilendirilmesi gerekmektedir. İlgili bilgilendirmenin asgari olarak içermesi gereken hususlar aşağıdaki gibidir: Veri sorumlusunun ve varsa temsilcisinin kimliği Kişisel verilerin hangi amaçla işleneceği Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği Kişisel veri toplamanın yöntemi ve hukuki sebebi Veri sahibinin KVKK nın 11. maddesinde sayılan diğer hakları 1

2 Aydınlatma Yükümlülüğü Hakkında Tebliğ uyarınca; Aydınlatma yükümlülüğü sözlü ve yazılı olarak ya da ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle yerine getirilebilir. Veri sahibinin açık rızası ile veya KVKK daki istisnalar kapsamında işlendiği fark etmeksizin, kişisel verilerin işlendiği her durumda aydınlatma yükümlülüğünün yerine getirilmesi gerekmekte ve bu yükümlülüğün yerine getirilmesi veri sahibinin talebine bağlı olmamaktadır. Veri sorumlusunun farklı birimlerinde kişisel veriler farklı amaçlarla işleniyorsa, aydınlatma yükümlülüğünün her bir birim nezdinde ayrıca yerine getirilmesi gerekmektedir. Aydınlatma yükümlülüğü kapsamında açıklanacak kişisel veri işleme amacının belirli, açık ve meşru olması gerekmektedir. Aydınlatma yükümlülüğü yerine getirilirken, genel nitelikte ve muğlak ifadelere yer verilmemelidir. Gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır. Aydınlatma yükümlülüğü kapsamında veri sahibine yapılacak bildirimin anlaşılır, açık ve sade bir dil kullanılarak gerçekleştirilmesi ve eksik, yanıltıcı ve yanlış bilgilere yer verilmemesi; sicile kayıt yükümlülüğü olan veri sahipleri için aydınlatma yükümlülüğündeki bilgilerin sicile açıklanan bilgilerle uyumlu olması gerekmektedir. Kişisel veri işleme amacının değişmesi halinde veri işleme faaliyetinden önce yeni amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir. Kişisel veri işleme faaliyeti açık rıza şartına dayalı olarak yapılıyorsa aydınlatma yükümlülüğü ve açık rıza alınması işlemlerin ayrı ayrı yerine getirilmesi gerekmektedir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna ait olacaktır. Aydınlatma yükümlülüğü yerine getirilirken KVKK nın 5. ve 6. maddelerindeki işleme şartlarından hangisine dayanılarak işleme yapıldığının (hukuki sebep) ve kişisel verilerin tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerden hangisiyle elde edildiğinin (yöntem) açıkça belirtilmesi gerekmektedir. Aydınlatma yükümlülüğü kapsamında kişisel verilerin aktarılma amacı ve aktarılacak alıcı gruplarının 1 belirtilmesi gerekir. Son olarak, kişisel verilerin doğrudan veri sahibinden elde edilmemesi durumunda aydınlatma yükümlülüğün ne zaman yerine getirilmesi gerektiğiyle ilgili düzenlemelere yer verilmiştir. Bu kapsamda bildirimin kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde yapılması gerekir. Bildirimin, kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda ilk iletişim kurulması esnasında; kişisel verilerin aktarılacak olması halinde ise en geç kişisel verilerin ilk kez aktarımının yapılacağı esnada yapılması gerekir. 1 Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi olarak tanımlanmıştır. 2

3 Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ ile veri sorumlusuna başvuru hakkı, başvuru usulü, başvuruya cevap ve ücretle ilgili hükümler düzenlenmiştir. KVKK kapsamında kişisel verisi işlenen gerçek kişilerin, ilgili taleplerini veri sorumlusuna başvurarak iletme hakkı vardır. Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ ile yapılacak başvuruların Türkçe olması gerektiği belirtilmiştir. Başvuru yapılırken kullanılabilecek yöntemler ise aşağıdaki gibidir: a) yazılı olarak, b) kayıtlı elektronik posta (KEP) adresi, c) güvenli elektronik imza ve d) mobil imza kullanılarak e) ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanarak veya f) başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla. Ayrıca söz konusu Tebliğ de, konuya ilişkin bilgi ve belgelerle birlikte başvuruda bulunması zorunlu olan hususlar belirtilmiştir. Bunlar: Ad, soyad ve başvuru yazılı ise imza Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası Yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası Varsa bildirime esas elektronik posta adresi,telefon ve faks numarası Tebligata esas yerleşim yeri veya iş yeri adresi Talep konusu Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ ile veri sorumlusunun cevabını yazılı olarak veya elektronik ortamda bildirebileceği belirtilmiş ve cevap yazısında bulunması gereken hususlar belirlenmiştir. Bunlar; a) Veri sorumlusu veya temsilcisine ait bilgiler, b) Başvuru sahibinin; adı ve soyadı, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası, c) Talep konusu ve d) Veri sorumlusunun başvuruya ilişkin açıklamalarıdır. 3

4 Veri sorumlusu ilgili tebliğ kapsamında, ilgili kişiler tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli olan idari ve teknik tedbirleri almakla yükümlüdür. Zorunlu unsurları içeren başvurunun veri sahibi tarafından yapılması Başvurunun veri sorumlusu tarafından değerlendirmeye alınması Başvuruya veri sorumlusu tarafından elektronik ortamda ya da yazılı olarak cevap verilmesi Veri Sorumlusuna Yapılacak Başvuru Hakkında Tebliğ uyarınca, Başvuru tarihi, yazılı başvurular için veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih diğer yöntemlerle yapılan başvurular için başvurunun veri sorumlusuna ulaştığı tarihtir. Veri sorumlusu başvuruyu kabul eder veya gerekçesini açıklayarak reddeder. Taleplerin niteliğine göre başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılması gerekir. Veri sahibinin talepleri veri sorumlusu tarafından kabul edilmişse, talebin gereğinin en kısa sürede yerine getirilmesi ve veri sahibine bildirilmesi gerekir. Bahse konu Tebliğ de başvurulara ilişkin ücretlendirme esasları da düzenlenmiştir. Bu kapsamda, işlem ek bir maliyeti gerektiriyorsa; yazılı talepler için 10 sayfayı geçen cevaplarda aşan her sayfa için 1 TL, kayıt ortamında sunulan cevaplarda ise kayıt ortamının maliyetini aşmayacak miktarda ücret talep edilebileceği hükmüne yer verilmiştir. Ancak, yapılan başvuru veri sorumlusunun hatasından kaynaklanıyorsa, alınan ücretin ilgiliye iade edilmesi gerekecektir. Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemleri Düzenleyen Kurul Kararı KVKK nın 6. maddesinin 1. fıkrasında özel nitelikli kişisel veriler Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olarak tanımlanmıştır. Ayrıca KVKK nın 6. maddesinin 4. fıkrasında; Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. hükmü yer almaktadır. Bu çerçevede, KVKK nın 22. maddesinin 1. fıkrasının (ç) ve (e) bentleri uyarınca özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemler Kişisel Verilerin Korunması Kurulu tarafından aşağıdaki şekilde belirlenmiştir: 1) Özel nitelikli kişisel verilerin güvenliğine yönelik sistemli, kuralları net şekilde belli yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedürün belirlenmesi, 2) Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik, a) KVKK ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi, b) Gizlilik sözleşmelerinin yapılması, 4

5 c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması, d) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi, e) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması, 3) Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise; a) Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi, b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması, c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması, d) Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması, e) Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması/yaptırılması, test sonuçlarının kayıt altına alınması, f) Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması. 4) Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar fiziksel ortam ise; a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması, b) Bu ortamların fiziksel güvenliğin sağlanarak yetkisiz giriş çıkışların engellenmesi, 5) Özel nitelikli kişisel veriler aktarılacaksa; a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması, b) Taşınabilir bellek, CD, DVD, gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması, c) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sftp yöntemiyle veri aktarımının gerçekleştirilmesi, d) Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın gizlilik dereceli belgeler formatında gönderilmesi gerekir. 6) Belirtilen önlemlerin yanı sıra Kişisel Verilerin Koruma Kurulu nun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirlerin de dikkate alınması gerekmektedir. 5

6 Umurcan Gago, LL.M. Ortak, Avukat T: +90 (212) Nilgün Serdar Şimşek, LL.M. Ortak, Avukat T: +90 (212) Alper Onar, LL.M. Kıdemli Müdür, Avukat T: +90 (212) Pınar Tatar, LL.M. Müdür, Avukat T: +90 (212) İpek Okucu Taftalı, LL.M. Kıdemli Avukat T: +90 (212) Gündüz Şimşek Gago Avukatlık Ortaklığı. Tüm hakları saklıdır. Bu dokümanda GSG Avukatlık Ortaklığı veya GSG Hukuk ibaresi, Gündüz Şimşek Gago Avukatlık Ortaklığı nı ifade etmektedir. 6