Karar Resmi Gazete'de yayımlandı. Kamu kurumları için KVKK kararı

Kararda, kamu kurum kuruluşları ve kamu tüzel kişiliğini haiz belediyeler, il özel idareleri, üniversiteler ve diğer kurumlar tarafından internet ortamında paylaşılan kişisel verilere ilişkin olarak Kurul tarafından tespit ve değerlendirmeler yer alıyor. 

Kişisel verilerin işlenmesi, geniş kapsamlı bir kavram olup kişisel verilerin ilk elde edilmesinden başlayarak imha edilmesine kadar olan süreçte kişisel veriler üzerinde gerçekleştirilen her türlü faaliyet, 6698 sayılı Kanun kapsamında kişisel verilerin işlenmesi olarak değerlendirildiği belirtildi. 

Yapılan incelemede, kamu kurumlarının kendi görev ve yetki alanlarında yürütülen faaliyetler kapsamında internet sitelerinde yayımlanan muhtelif belgelerde ad, soyadı, anne adı, baba adı, yaş, T.C. kimlik numarası, adres, cep telefonu numarası, doğum yeri, meslek, uzmanlık alanı, görev yeri, unvan/statü, hizmet yılı, sicil numarası, çalışılan birim, askerlik durum bilgisi, öğrenim durumu, çeşitli sınavlar kapsamında işlenen başvuru numarası, KPSS puanı, kabul/ret ya da başarı/başarısızlık durumuna ilişkin bilgi, mezun olunan okullara ilişkin bilgi, girilen sınava ilişkin doğru/yanlış/net sayısı/başarı puanı gibi bilgiler, başvuru yapılan pozisyon, aday numarası, öğrenci numarası, sınava girememe/kabul edilmeme nedeni, sınava katılım durum bilgisi, asil-yedek bilgisi, eksik evrak bilgisi, eski hükümlü olma durumu ve benzeri kişisel verilere yer verildiği ifade edildi. 

Kamu kurumları tarafından internet ortamında kişisel verilerin paylaşılmasının, 6698 sayılı Kanun hükümleri ve ikincil mevzuata uyumun sağlanması gerektiği belirtildi. Geçerli bir işleme şartının mevcut olmaması halinde, veri sorumluları tarafından internet ortamında kişisel verilerin paylaşılmamasının gerektiği vurgulandı. 

İnternet ortamında kişisel verilerin paylaşılmasının geçerli bir işleme şartına dayanması durumunda da kanuna uygun hareket edilmesi gerektiği, amacın gerçekleşmesini sağlayacak minimum düzeyde kişisel veri paylaşılması, amacın gerçekleşmesi bakımından gerekli olmayan kişisel verilere internet ortamında yer verilmemesi ve gerekli imha, maskeleme gibi önlemlerin veri sorumluları tarafından alınmasının önem arz ettiği belirtildi.

“GEREKLİ SÜRE” UYARISI 

İlke kararına göre işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkesine uyumun sağlanmasını teminen kişisel veri içeren paylaşımların ne kadar süre ile paylaşılacağının belirlenmesi ve ilgili süreler sonunda paylaşımlara son verilmesinin veri sorumlularının görevi olduğu vurgulandı. 

Veri güvenliğine ilişkin gerekli idari ve teknik tedbirlerin alınması konusunda kamu kurumlarının sorumlu olduğu vurgulandı. 

İnternet ortamında mevcut paylaşılan kişisel verilerin veri sorumluları tarafından gözden geçirilerek geçerli bir işleme şartına dayanmayan, genel ilkelere uymayan paylaşımların internet ortamından kaldırılması veya bunlar üzerinde maskeleme ve benzeri düzenlemelerin yapılması istendi. 

Ayrıca, sorumlu çalışanlar başta olmak üzere tüm çalışanların kişisel verilerin korunması mevzuatı ve uygulamada dikkat edilmesi gereken hususlar hakkında bilgi ve farkındalıklarının artırılmasını sağlayacak eğitim ve çalışmaların yürütülmesi gerektiği ifade edildi. 

KURUL İNCELEME BAŞLATABİLECEK
 

Önlemlerin alınmadığı tespit edildiğinde Kurulun inceleme yetkisi olduğu, veri sorumluları hakkında işlem yapılabileceği belirtildi.