Kamu kurumları, internet sitelerinde yalnızca gerekli kişisel verileri paylaşabilecek. Hukuki dayanağı bulunmayan bilgiler kaldırılacak, gerekli veriler ise maskelenecek.
Kişisel Verileri Koruma Kurulu (KVKK), kamu kurumlarının kişisel verileri internet ortamında paylaşmasına ilişkin ilke kararını Resmi Gazete’de yayımladı. Kararla birlikte belediyeler, il özel idareleri, üniversiteler ve diğer kamu kuruluşlarının internet sitelerindeki kişisel veri paylaşımlarına yeni sınırlamalar getirildi.
BUNLAR ARTIK AÇIK ŞEKİLDE YAYIMLANMAYACAK
Karara göre sınav sonuçları, personel duyuruları ve başvuru listeleri gibi belgelerde kişisel veriler açık şekilde yayımlanamayacak. Kurumlar, yalnızca paylaşımın amacı için zorunlu olan bilgilere yer verebilecek. Gereksiz bilgiler kaldırılacak, zorunlu durumlarda ise maskeleme ve benzeri koruma yöntemleri kullanılacak.
Kurul, kişisel verilerin ilk kez elde edilmesinden silinmesine veya imha edilmesine kadar geçen süreçte yapılan her türlü işlemin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında olduğunu hatırlattı. Kamu kurumlarının internet sitelerindeki veri işleme faaliyetlerinin de aynı yükümlülüklere tabi olduğu vurgulandı.
BUNLAR AÇIK YAYINLANDI
KVKK’nın incelemelerinde, kamu kurumlarının internet sitelerinde yayımladığı çok sayıda belgede kapsamlı kişisel verilere yer verildiği belirlendi.
Bu bilgiler arasında ad, soyad, anne ve baba adı, yaş, doğum tarihi ve yeri, T.C. kimlik numarası, adres, cep telefonu numarası, imza, meslek, uzmanlık alanı, görev yeri, unvan, statü, hizmet yılı, sicil numarası, çalışılan birim ve kurum bilgisi bulunuyor.
İnternet sitelerinde ayrıca öğrenim ve askerlik durumu, sağlık bilgileri, disiplin ve ceza kayıtları, özlük bilgileri, vergi numarası, araç plakası ve eski hükümlü olma durumu gibi kişisel verilerin de paylaşıldığı tespit edildi.
Sınav ve işe alım süreçlerinde ise başvuru numarası, KPSS puanı, aday ve öğrenci numarası, mezun olunan okul, başvurulan pozisyon, sınavdaki doğru, yanlış ve net sayıları ile başarı puanlarının yayımlandığı belirtildi.
Kabul veya ret bilgileri, başarı ya da başarısızlık durumu, sınava katılıp katılmama, asil ve yedek aday bilgileri, eksik evraklar ile sınava girememe veya başvurunun kabul edilmeme gerekçelerinin de internet ortamında açıklandığı kaydedildi.
ASGARİ DÜZEYDE BİLGİ
İlke kararına göre kamu kurumları, kişisel verileri internet ortamında paylaşmadan önce bu işlemin 6698 sayılı Kanun’a ve ikincil mevzuata uygun bir hukuki dayanağı bulunup bulunmadığını belirleyecek.
Geçerli bir veri işleme şartının bulunmadığı durumlarda kişisel bilgiler internet ortamında yayımlanamayacak. Hukuki dayanak bulunsa bile yalnızca paylaşım amacını gerçekleştirecek asgari düzeyde kişisel veriye yer verilecek.
Amacın gerçekleştirilmesi için gerekli olmayan bilgiler yayımlanmayacak. Paylaşılması zorunlu verilerde ise imha, maskeleme, erişimi sınırlandırma veya benzeri koruma tedbirleri uygulanacak.
SÜRESİZ KALAMAYACAK
KVKK, kişisel verilerin internet ortamında belirsiz süreyle erişime açık bırakılmasının veri minimizasyonu ve gerekli süre kadar muhafaza ilkelerine aykırı olabileceğine dikkat çekti.
Kamu kurumları, kişisel veri içeren belgelerin ne kadar süre yayımlanacağını önceden belirleyecek. Belirlenen sürenin sonunda paylaşımlar kaldırılacak, maskelenecek veya erişime kapatılacak.
Kurumların internet sitelerinde daha önce yayımlanan belgeler de yeniden gözden geçirilecek. Hukuki dayanağı bulunmayan veya Kanun’daki genel ilkelere uymayan paylaşımlar kaldırılacak. Gerekli görülen belgelerde kişisel bilgiler maskelenecek.
TEKNİK VE İDARİ TEDBİRLER
Kamu kurumları, internet sitelerindeki kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlü olacak.
İnternet siteleri düzenli olarak kontrol edilecek, kişisel verilerin gereksiz biçimde yayımlanması önlenecek ve veri güvenliğini sağlayacak mekanizmalar oluşturulacak.
Veri paylaşım süreçlerinde görev alan personel başta olmak üzere çalışanlara kişisel verilerin korunması mevzuatı hakkında eğitim verilecek. Uygulamada dikkat edilmesi gereken konulara ilişkin farkındalık çalışmaları yürütülecek.
YAPTIRIM SÜRECİ BAŞLATABİLECEK
KVKK, ilke kararında sıralanan önlemlerin alınmadığının tespit edilmesi halinde inceleme başlatabilecek. Yükümlülüklere aykırı hareket eden veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kapsamında işlem ve yaptırım uygulanabilecek.
İlke kararının Resmi Gazete’de ve Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanmasına oybirliğiyle karar verildi.
