Kişisel Verileri Koruma Kurumu (KVKK), kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımına ilişkin ilke kararını Resmi Gazete’de yayımladı.
Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yapılan incelemelerde belediyeler, il özel idareleri, üniversiteler ve diğer kamu kurumlarının internet sitelerinde yer alan kişisel verilere ilişkin tespitlere yer verildi.
İnternet ortamında kişisel veri içeren belgelerin yayımlanmasının, söz konusu verilerin üçüncü kişiler tarafından erişilebilir hale gelmesi nedeniyle kişisel veri işleme faaliyeti niteliğinde olduğu vurgulandı.
Gereksiz kişisel veriler paylaşılmayacak
Kurulun tespitlerine göre bazı kamu kurumlarının yayımladığı belgelerde ad ve soyad, anne ve baba adı, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, görev yeri, unvan, sicil numarası, öğrenim durumu, taşınmaz bilgileri, sınav başvuru numarası ve KPSS puanı gibi kişisel verilere yer verildiği belirtildi.
İlke kararında, internet ortamında yapılacak veri paylaşımlarında amacın gerçekleşmesi için gerekli olmayan kişisel verilere yer verilmemesi, gerekli durumlarda ise imha, maskeleme ve benzeri koruma tedbirlerinin uygulanmasının önem taşıdığı ifade edildi.
Erişim süresi sınırlandırılacak
Kararda, kişisel veri içeren paylaşımların yalnızca işlenme amacı için gerekli süre boyunca erişime açık tutulması, sürenin sonunda ise gerekli işlemlerin gerçekleştirilmesi gerektiği kaydedildi.
Ayrıca internet ortamında paylaşılacak kişisel verilere ilişkin aydınlatma yükümlülüğünün ilgili mevzuata uygun şekilde yerine getirilmesi gerektiği vurgulandı.
İdari ve teknik tedbirler zorunlu
KVKK, veri sorumlularının 6698 sayılı Kanunun 12’nci maddesi kapsamında gerekli idari ve teknik tedbirleri almakla yükümlü olduğunu hatırlattı. Bu yükümlülüğün yalnızca internet siteleri için değil, elektronik ortamlar ile pano ve ilan tahtaları gibi kişisel verilerin paylaşıldığı tüm mecralar için de geçerli olduğu belirtildi.
Kararda, söz konusu yükümlülüklerin yerine getirilmediğinin tespit edilmesi halinde Kurulun somut olay bazında inceleme yaparak ilgili veri sorumluları hakkında 6698 sayılı Kanunun 18’inci maddesi uyarınca idari işlem tesis edebileceği bildirildi.
