KVKK’dan kamu kurumlarına kişisel veri paylaşımı için yeni kurallar…
Kişisel Verileri Koruma Kurulu (KVKK), belediyeler, üniversiteler ve diğer kamu kurumlarının internet sitelerinde kişisel veri paylaşımına ilişkin yeni ilke kararını Resmi Gazete’de yayımladı. Kararla birlikte, kamu kurumlarının internet ortamında kişisel veri paylaşırken uyması gereken esaslar yeniden belirlendi.
Kurul, bazı kamu kurumlarının internet sitelerinde ad ve soyadın yanı sıra T.C. kimlik numarası, adres, telefon numarası, doğum yeri, görev bilgileri, öğrenci numarası, sınav puanları, KPSS sonuçları ve aday listeleri gibi çok sayıda kişisel veriyi yayımladığını tespit etti. KVKK, bu tür paylaşımların kişisel veri işleme faaliyeti kapsamında değerlendirildiğini hatırlattı.
İlke kararına göre, kamu kurumlarının internet ortamında kişisel veri paylaşabilmesi için bunun 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda yer alan hukuki işleme şartlarından birine dayanması gerekiyor. Hukuki dayanağı bulunmayan kişisel verilerin internet ortamında yayımlanmaması istendi.
Kurul ayrıca, yalnızca amacın gerektirdiği kişisel verilerin paylaşılması gerektiğini vurguladı. Gereksiz bilgilerin yayımlanmaması, zorunlu hallerde ise kişisel verilerin maskeleme, anonimleştirme veya benzeri yöntemlerle korunması gerektiği belirtildi.
Yeni düzenlemeyle birlikte kişisel veri içeren belgelerin internet sitelerinde süresiz olarak erişime açık tutulmasının da önüne geçildi. Kurumların paylaşım sürelerini önceden belirlemesi, ihtiyaç ortadan kalktığında ise içerikleri kaldırması veya kişisel verileri silmesi, yok etmesi ya da anonim hale getirmesi gerekecek.
KVKK, sınav, kura ve benzeri sonuçların herkese açık şekilde yayımlanması yerine, vatandaşların yalnızca kendi sonuçlarına erişebileceği güvenli sistemlerin kullanılmasını önerdi. Bu kapsamda e-Devlet altyapısı veya çift aşamalı kimlik doğrulama gibi yöntemlerin tercih edilmesi tavsiye edildi.
Kurul ayrıca internet siteleri ve sosyal medya hesaplarını yöneten personel başta olmak üzere kamu çalışanlarına kişisel verilerin korunması konusunda düzenli eğitim verilmesinin önemine dikkat çekti. Belirlenen yükümlülüklere uyulmaması halinde ise ilgili kurumlar hakkında 6698 sayılı Kanun kapsamında inceleme başlatılabileceği ve gerekli idari işlemlerin uygulanabileceği bildirildi.