Kamu kurumlarının kişisel veri paylaşımına KVKK düzenlemesi

KVKK, "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı" Resmi Gazete'de yayımlandı.

Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca yapılan incelemelerde, belediyeler, il özel idareleri, üniversiteler ve diğer kamu tüzel kişiliğini haiz veri sorumlularınca internet ortamında paylaşılan kişisel verilere ilişkin tespit ve değerlendirmelere yer verildi.

Kişisel veri ihtiva eden belgelerin internet ortamında yayımlanmasının, kişisel verilerin üçüncü kişilerce erişilebilir hale gelmesi nedeniyle bir kişisel veri işleme faaliyeti niteliğinde olduğu belirtilen kararda, kurulun tespitleri de yer aldı.

Kurulun tespitlerine göre, kamu tüzel kişiliğini haiz veri sorumlularınca internet sitelerinde yayımlanan çeşitli belgelerde ad ve soyadı, anne ve baba adı, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, görev yeri, unvan, sicil numarası, öğrenim durumu, taşınmaz bilgileri, sınav başvuru numarası ve KPSS puanı gibi çeşitli kişisel verilere yer verildiği ifade edildi.

İlke kararında, internet ortamında yapılacak veri paylaşımlarında amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere yer verilmemesi, bu kapsamda gerekli imha, maskeleme ve benzeri tedbirlerin veri sorumlularınca alınmasının önem taşıdığı vurgulandı.

Kişisel veri içeren paylaşımların, işlendikleri amaç için gerekli olan süre kadar erişime açık tutulması, sürenin sonunda ise gerekli işlemlerin tesis edilmesi gerektiği kaydedilen kararda, internet ortamında paylaşılacak kişisel verilere ilişkin aydınlatma yükümlülüğünün de ilgili mevzuata uygun şekilde yerine getirilmesinin beklendiği belirtildi.

Kararda ayrıca, veri sorumlularınca 6698 sayılı Kanun'un 12'nci maddesi kapsamında gerekli idari ve teknik tedbirlerin alınmasının zorunlu olduğu, bu yükümlülüklerin yalnızca internet ortamındaki paylaşımlarda değil elektronik ortamlar ile pano ve ilan tahtaları gibi mecralarda yapılan kişisel veri paylaşımlarında da gözetilmesi gerektiği vurgulandı.

Söz konusu önlemlerin alınmadığının tespit edilmesi halinde Kurulun inceleme yetkisi kapsamında somut olay değerlendirmesi yapılarak ilgili veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi uyarınca idari işlem tesis edileceği bildirildi.