Veri Sorumlusunun Kişisel Verileri Koruma Yükümlülükleri

Veri Sorumlusunun Temel Yükümlülükleri ve Dayanağı

Kişisel verilerin korunması sürecinde veri sorumlusu, verilerin güvenliğini sağlamak adına geniş kapsamlı bir sorumluluk altındadır. Kanun m.12 uyarınca, verilerin hukuka aykırı şekilde işlenmesinin önüne geçilmesi ve yetkisiz kişilerce verilere erişilmemesi temel amaçtır. Bu süreçte veri sorumlusu, verilerin muhafaza edilmesi için gerekli olan tüm teknik ve idari önlemleri almakla görevlendirilmiştir.

Kanun bu yükümlülüğü üç amaca bağlamıştır: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak. Veri sorumlusu bu üç amaç için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Hüküm 'her türlü' ifadesini kullandığı için tedbirler tek bir alanla sınırlı tutulamaz.

Hukuki çerçeve incelendiğinde, veri sorumlusunun yükümlülükleri sadece teknik yazılımlarla sınırlı değildir. İdari tedbirler de bu sürecin ayrılmaz bir parçasıdır. Veri sorumlusu, verilerin korunması için gerekli olan uygun güvenlik düzeyini temin etmek adına, kanunun kendisine yüklediği bu görevleri yerine getirmekten doğrudan sorumludur. Yükümlülük kanunda 'zorundadır' ifadesiyle kurulmuştur; veri sorumlusunun takdirine bırakılmamıştır.

Veri Güvenliğini Sağlamak İçin Gereken Tedbirler

Veri güvenliğinin sağlanması aşamasında iki ana unsur öne çıkmaktadır: teknik ve idari tedbirler. Kanun bu tedbirleri tek tek saymaz. Uygulamada teknik tedbirlere yazılımsal ve donanımsal önlemler, idari tedbirlere ise çalışan eğitimi ve kurum içi politikalar örnek gösterilebilir. Kanun teknik ve idari tedbirleri birlikte aradığı için yalnızca birinin alınması yeterli olmaz.

Veri sorumlusu, verileri kendi adına başka bir gerçek veya tüzel kişi aracılığıyla işlediği durumlarda, tedbirlerin alınması konusunda müştereken sorumludur. Yani veriyi işleyen üçüncü kişi ile veri sorumlusu, güvenliğin sağlanması noktasında ortak bir sorumluluk taşırlar. Müşterek sorumluluğun konusu, birinci fıkrada belirtilen tedbirlerin alınmasıdır.

Kanun, alınacak tedbirlerin ölçüsünü 'uygun güvenlik düzeyi' kavramıyla ifade eder. Tedbirler bu düzeyi temin etmeye yönelik olmalıdır. Madde metni hangi verinin hangi düzeyde korunacağına dair ayrı bir ölçüt saymaz; yalnızca hukuka aykırı işlemenin ve erişimin önlenmesini, verilerin de muhafaza edilmesini hedef olarak gösterir. Hangi tedbirin yeterli olduğu somut duruma göre ayrıca değerlendirilir.

Denetim Süreçleri ve Bildirim Usulü

Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu denetimler, alınan teknik ve idari tedbirlerin gerçekten işlevsel olup olmadığını kontrol etmeyi amaçlar. Kanun denetimin hangi sıklıkla yapılacağını belirtmez; veri sorumlusu denetimi kendisi yapabileceği gibi başkasına da yaptırabilir.

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda özel bir bildirim süreci devreye girer. Veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlüdür. Bildirimin iki muhatabı vardır: verisi ele geçirilen ilgili kişi ve Kişisel Verileri Koruma Kurulu. Kanun metni bildirim için gün olarak bir süre yazmaz, 'en kısa sürede' ifadesini kullanır. Kişisel Verileri Koruma Kurulu ise bir kararıyla bu ifadeyi 72 saat olarak yorumlamış; Kurula bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde, ilgili kişilere bildirimin ise ilgili kişiler tespit edildikten sonra makul olan en kısa süre içinde yapılmasını öngörmüştür.

Bildirim süreciyle ilgili olarak Kurul'un yetkileri de kanunda belirtilmiştir. Kurul, gerekli gördüğü takdirde, verilerin hukuka aykırı elde edildiğine dair durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Bu ilan süreci, veri güvenliği ihlallerinin şeffaf bir şekilde kamuoyuna duyurulması ve veri sahiplerinin korunması mekanizması olarak işlemektedir.

Açıklama ve Amaç Dışı Kullanma Yasağı

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamazlar. Bu kural, verinin sadece işleme amacı doğrultusunda kullanılmasını sağlar. Yasak hem veri sorumlularını hem de veri işleyen kişileri kapsar.

Aynı fıkradaki ikinci yasak, verilerin işleme amacı dışında kullanılmasıdır. Veri sorumluları ve veri işleyen kişiler, öğrendikleri kişisel verileri işleme amacı dışında kullanamazlar. Buna göre veriyi öğrenen kişi onu kendi amaçları için kullanamaz. Kanun böylece iki ayrı davranışı yasaklamıştır: kanuna aykırı olarak başkasına açıklamak ve işleme amacı dışında kullanmak.

Bu yükümlülük görevden ayrılma ile sona ermez. Kanun, açıklamama ve amaç dışı kullanmama yükümlülüğünün görevden ayrıldıktan sonra da devam edeceğini açıkça belirtmiştir. Hüküm, yükümlülüğün ne zaman sona ereceğine dair bir süre öngörmez. Bu nedenle görevinden ayrılan kişi de öğrendiği kişisel verileri kanuna aykırı biçimde açıklayamaz ve amacı dışında kullanamaz.

Uygulamada Dikkat Edilmesi Gereken Kritik Noktalar

Uygulamada en sık karşılaşılan hatalardan biri, teknik tedbirlerin idari tedbirlerle desteklenmemesidir. Sadece güçlü şifreleme yöntemleri kullanmak, çalışanların veri güvenliği eğitimi almadığı sürece yeterli değildir. Veri sorumlusu, idari ve teknik tedbirleri bir bütün olarak ele almalı; denetimlerin de bu bütünlüğü kapsayacak şekilde, kurum içinde düzenli olarak gerçekleştirilmesini sağlamalıdır.

Veri işleyenlerle yapılan sözleşmelerde, sorumlulukların net bir şekilde belirlenmesi büyük önem taşır. Kanun, veri sorumlusunun veri işleyenlerle birlikte müştereken sorumlu olduğunu belirttiği için, veri sorumlusu işlediği verilerin güvenliğinden üçüncü kişileri seçerek sorumluluktan tamamen kaçamaz. Bu nedenle, veri işleyenlerin de kanuni standartlara uyumu, denetim mekanizmalarıyla sürekli takip edilmelidir.

Veri ihlali durumunda bildirimlerin geciktirilmesi, veri sorumluları için ciddi bir risk oluşturur. Kanun, ihlalin en kısa sürede bildirilmesini şart koştuğu için, veri sorumlularının bir ihlal durumunda izlenecek yol haritasını önceden belirlemiş olması gerekir. Bildirim hem ilgili kişiye hem de Kurula yapılır; yalnızca birine bildirim yapılması kanundaki yükümlülüğü karşılamaz.

Sıkça Sorulan Sorular

Veri sorumlusu verileri korumak için neler yapmalıdır?

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almak zorundadır. Ayrıca verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmelidir.

Açıklamama yükümlülüğü görevden ayrılınca biter mi?

Hayır. Veri sorumluları ile veri işleyen kişilerin, öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklamama ve işleme amacı dışında kullanmama yükümlülüğü, görevden ayrılmalarından sonra da devam eder.

Veri ihlali durumunda ne yapılmalıdır?

Kişisel verilerin kanuni olmayan yollarla elde edilmesi durumunda, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmelidir.

Veri işleyen ile veri sorumlusu arasındaki sorumluluk nedir?

Veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi durumunda, güvenlik tedbirlerinin alınması hususunda veri işleyen ile birlikte müştereken sorumludur.