6698 sayılı Kişisel Verilerin Korunması Kanunu yürürlükte ve veri sorumlusu olan kurum ve kuruluşların yapmaları gereken bir sürü iş var.
Kişisel veri işleme envanterinin hazırlanması sürecin ilk adımı. Sonraki adımlar Kişisel Veri Saklama ve İmha Politikası'nın hazırlanması, Veri Sorumluları Sicili'ne (VERBİS) kayıt, aydınlatma yükümlülüğünün yerine getirilmesi, açık rızaların alınması, kişisel verilerin toplanması, kişisel verilerin güvenliğinin sağlanması, işlenme şartları ortadan kalkan kişisel verilerin silinmesi, üçüncü kişilerle kişisel verilerin paylaşılması, ilgili kişilerin şikayetlerinin değerlendirilmesi, mevzuat ve Kişisel Verileri Koruma Kurulu ve Kurumu'nun kararlarının takip edilmesi.
Elbette tüm bu işleri bir kişinin yapması mümkün değildir. Ama tüm bu işlerin eksiksiz ve doğru bir şekilde yapılmasından ve sürecin mevzuata uygun yönetilmesinden ve güncellemesinden bir kişinin sorumlu olması gerekecektir.
Kişisel Verilerin Korunması Kanunu veri sorumlusu bünyesindeki bu işlerin yürütülmesi konusunda bir usul belirlememiş ve veri sorumlusunun inisiyatifine bırakmıştır. Veri sorumlusuna özgür bırakan bu düzenleme veri sorumlusu açısından yine de belirli ilkelere bağlı şekilde çözülmesi gereken bir alandır. Veri sorumlusunun bir çalışanını bu işlerin yürütülmesine ayırması ya da dışarıdan destek alması uygun seçeneklerdir.
Kişisel Verileri Koruma Görevlisi (KVKG) - Data Protection Officer (DPO)
Mayıs 2018'de Avrupa Birliği'nde yürürlüğe girecek olan General Data Protection Regulation (GDPR) bu işlerle ilgilenecek kişi için Data Protection Officer (DPO) tanımı yapmıştır. Veri Koruma Memuru olarak birebir çevirisi yapılabilir.
Bizim mevzuatımız "Data" sözcüğünün karşılığı olan "veri" kelimesini tek başına kullanmamakta ve verinin niteliğine atfen "kişisel veri" olarak kullanmaktadır. Data protection kişisel verilerin korunması ve data protection authority Kişisel Verileri Koruma Kurulu olarak karşılık bulmaktadır. Bu sistematiğe göre data protection officer teriminin ilk bölümü kişisel verileri koruma olarak tercüme edilmelidir.
"Officer" kelimesi yetkili olmaktan ziyade kurum içinde çalışan kişiyi ifade etmektedir. Memur kelimesi devlette çalışan kişilerle özdeşliğinden bunun yerine "Görevli" kelimesini kullanmakta fayda vardır. Tüm bu açıklamalar ışığında AB düzenlemesindeki data protection officer teriminin karşılığı olarak Kişisel Verileri Koruma Görevlisi terimin kullanılması yerindedir.
Avrupa Birliği'nde Durum
GDPR veri sorumluları için bazı durumlarda veri sorumlularının kişisel verileri koruma görevlisi bulundurmasını şart koşmaktadır. Kamu otoritesini ve büyük miktarlarda ya da özel nitelikli kişisel veriler işleyenlerin bir görevli atamasını zorunlu kılıyor. Veri sorumlusu bünyesinde çalışan biri görevli olarak atanababileceği gibi hizmetin dışarıdan alınması da mümkün.
Kişisel Verileri Koruma Görevlisinin Görevleri
GDPR'ye göre kişisel verileri koruma görevlisi, kişisel verilerin işlenmesinin doğası, kapsamı, bağlamı ve amaçları gözetilerek alınan risklerin farkında olarak görevini yerine getirmelidir. Bu şartlarda görevlinin yerine getirmesi gereken görevler;
- Mevzuat uyarınca yükümlülüklerini yerine getiren veri sorumlusuna, veri işleyene ve çalışanlarına bilgi vermek ve tavsiyede bulunmak
- Veri sorumlusu veya veri işleyenin kişisel verilerin korunması ile ilgili politikalarının yanı sıra kişisel veri işlemede yer alan çalışanların bilinçlendirilmesi ve eğitilmesi ve ilgili denetimlerin mevzuata uygunluğunu takip etmek
- Talep edildiğinde kişisel verilerin korunmasına etki değerlendirmesi ve başarısı ile ilgili tavsiyelerde bulunmak
- Kişisel verilerin korunması ile görevli denetim makamı ile işbirliği yapmak
- Denetim makamına danışılması gereken kişisel veri işleme konularında danışmak ve makamla irtibatı sağlamak
şeklinde sıralanmıştır.
Kişisel Verileri Koruma Görevlisi'nin Konumu
Kişisel verileri koruma görevlisinin veri sorumlusu tarafından atanması ya da seçilmesi tek başına yükümlülüğün yerine getirilmesi için yeterli değildir. Veri sorumlusunun görevliye gerekli yetkileri vermesi, kaynakları ayırması ve süreçlere dahil etmesi gerekir. GDPR de bu konuyu da düzenlemiştir. Buna göre
- Veri sorumlusu ve veri işleyen, görevliyi kişisel verilerin korunması ile ilgili her sürece zamanında ve uygun bir şekilde dahil etmek zorundadır.
- Veri sorumlusu ve veri işleyen, görevlinin kendisine yüklenen görevlerini yaparken, görevlerin yerine getirilebilmesi için gerekli kaynakları;kişisel verilere ve işlemlere erişebilmesini; uzmanlığını sürdürebilmesini; sağlamakla yükümlüdür.
- Veri sorumlusu ve veri işleyen, görevlinin görevleriyle ilgili herhangi bir talimat almamasını sağlamalıdr. Görevlerini yerine getirmesinden dolayı veri sorumlusu veya veri işleyen tarafından görevinden alınamaz ve cezalandırılamaz. Görevli, veri sorumlusu ve veri işleyenin en üst yönetim seviyesine doğrudan bağlı çalışmalıdır.
- İlgili kişiler, kişisel verilerinin işlenmesi ile ilgili konularda ve haklarının kullanılmasında kişisel verileri koruma görevlisi ile irtibata geçebilmeliler.
- Görevliye başka görevler ve sorumluluklar verilebilir. Veri sorumlusu ve veri işleyen verilen diğer görevlerle görevlinin asli görevlerinin çatışmamasını sağlamalıdır.
Türk Mevzuatında Durum
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesi sürecinde sorumlu tuttuğu veri sorumlusunun iç bünyesi için bir düzenleme yapmamıştır. Kanun veri sorumlusunu getirilen yükümlülüklerin yerine getirilmesinde serbest bırakmıştır. Yönetmelikle düzenlenen alanlar hariç veri sorumlusu yükümlülüklerini dilediği şekilde yerine getirebilir.
Yönetmelikteki İrtibat Kişisi Düzenlemesi
"Veri Sorumluları Sicili Hakkında Yönetmelik" taslağında irtibat kişisi
Türkiye’de yerleşik olan tüzel kişilerin ve tüzel kişi veri sorumlusu temsilcisinin sicil kapsamındaki yükümlülükleriyle ilgili olarak, Kurul ve Kurum tarafından yapılacak iletişimlerde irtibata geçilmek üzere atanan gerçek kişi
olarak tanımlanarak veri sorumluları ya da temsilcinin bir kişiyi ataması istenmektedir. Taslağa göre irtibat kişisi veri sorumlusunun sicile kaydı sırasında bildirilecektir. İrtibat kişisi hukuki açıdan veri sorumlusunu temsile yetkili değildir ve fonksiyonu iletişim noktası olarak ilgili kişilerin veri sorumlusuna yönelteceği taleplerin hızlı ve etkin olarak cevaplandırılmasını sağlamak olarak sınırlanmıştır.
Taslağın yayınlanmasından sonra yazdığımız Yönetmelikteki İrtibat Kişisi Sorunu yazımızda da Kurul'un bu konuda düzenleme yapmaya yetkili olmadığını hukuki sebepleri ile açıklamaya çalıştık. En önemli itirazımız Kurul'a karşı bir sorumluluğu olmayan irtibat kişisinin görevini yerine getirmemesi sonucunda ceza verecek olan Kurul'un bunu hangi gerekçeyle yapacağıydı. Kanun, yönetmelikte irtibat kişisinin görevi olarak belirtilen ilgili kişilerin veri sorumlusuna yönelteceği taleplerin hızlı ve etkin olarak cevaplandırmaması durumunda ne olacağına ilişkin herhangi bir hüküm içermemektedir. Yönetmelikte de bu konuda her hangi bir yaptırımdan söz edilmemektedir. Buna göre irtibat kişisinin görevini ihmal etmesi durumunda kişi hem Kurul'un muhatabı değil hem de Kurul'un cezalandırma yetkisi yok.
Yönetmelikteki İrtibat Kişisi Sorunu
Veri Sorumluları Sicili Hakkındaki Yönetmelik taslağında yer alan veri sorumlusu bünyesindeki irtibat kişisi düzenlemesinin yasal dayanağı yoktur.
Kişisel Verileri Koruma Görevlisinin Özellikleri
Kişisel Verilerin Korunması Kanunu kişisel verileri koruma görevlisi ile ilgili hiç bir düzenleme içermemektedir. GDPR ise kişisel verileri koruma görevlisinin sahip olması gereken özellikler hakkında bir düzenleme yapmamaktadır. Ancak yapılacak görevler düşünüldüğünde kişisel verileri koruma görevlisinin sahip olması gereken özellikler
- Hukuki düzenlemelerin yorumlanması ve kişisel verilerin korunması mevzuatı konusunda yeterli düzeyde deneyim ve bilgi sahibi olması,
- Veri sorumlusunun teknik altyapısını, kullandığı teknolojileri ve organizasyon yapısını bilmesi,
- Analitik düşünce yapısına sahip, proje ve süreçleri yönetebilecek yetkinlikte olması
sayılabilir.
Ülkemizde bu özellikleri taşıyan kişi ya yoktur ya da çok azdır. Bu durumda her veri sorumlusunun kişisel verilerin korunması konusunda ihtiyacını giderebilmesi için iki seçenek ortaya çıkmaktadır.
1.Çalışanlar Arasından Seçmek ve Eğitim Aldırmak
Veri sorumlusunun büyük çoğunluğunun tercih edeceği bu yöntemde seçilen kişinin eksikliklerinin tespiti gerekir. Örneğin IT departmanından birinin seçilmesi durumunda bu kişinin veri sorumlusunun işleyişini ve kullandığı teknik altyapıyı bilmesi bir avantajdır. Bu kişinin kişisel verilerin korunması konusunda hukuki terimleri barındıran bir eğitim alması gerekecektir. Görevlinin bir hukukçu olması durumunda da bu sefer teknik altyapıyı öğrenmesi gerekecektir.
Her iki eğitimi de alan biri olarak benim şahsi görüşüm teknik kişilere hukuk ve mevzuatın öğretilmesinin, hukukçulara teknik bilgilerin öğretilmesinden daha kolay olduğudur.
Kişinin şirket büyüklüğüne bağlı olarak üst yönetimde olanlar arasından seçilmesi daha sürecin daha hızlı ve sorunsuz ilerlemesini sağlayacaktır.
Kişisel verileri koruma görevlisi tam zamanlı olabileceği gibi başka bir kadroda çalışan bir kişinin görevlendirilmesi şeklinde de olabilir Bunun kararı veri sorumlusunun imkanlarına ve ihtiyaçlarına göre belirlenmelidir. Veri sorumlusu sadece çalışanlarıyla ilgili kişisel veriler işliyorsa İnsan Kaynakları'nda çalışan bir çalışan da bu görevi üstlenebilir.
IT departmanından bir kişi görevlendirilirken sürecin sadece veritabanlarının araştırılarak işlenen kişisel verilerin tespit edilmesi olarak algılanmaması gerekir. Aslında işin daha büyük kısmı işlenen kişisel verilerle ilgili mevzuatın ve azami sürenin tespit edilmesidir. Yani görevli seçilirken sadece teknik bilgisine bakılmamalıdır.
Kişisel verileri koruma görevlisinin edindiği bilgi ve tecrübe ile başka bir kuruma geçmesi yada başka sebeplerle işten ayrılması göz önünde bulundurarak gerekli tedbirlerin alınması gerekir. Bu görev için birden fazla kişinin eğitilmesinde fayda vardır.
2.Dışarıdan Hizmet Almak
Öncelikle akıldan çıkarmamak lazım ki dışarıdan hizmet alarak sorumluluklardan kurtulmak mümkün değildir. Kişisel verilerin korunması konusunda veri sorumlusu sorumluluklarını devredemeyeceği gibi dışarıdan hizmet alınması ile kişisel verileri başkaların görmesine izin vererek risklerini de arttırmaktadır. Hizmet sunucusu mevzuat açısından veri işleyen olarak değerlendirilecektir.
Bu yolun seçilmesi ile hem maliyet hem de zaman tasarrufu sağlamak mümkündür. Seçilen hizmet sunucusu edinmiş olduğu deneyimler ile yapılması gerekenleri daha hızlı tespit edebilir ve riskler konusunda veri sorumlusunu bilgilendirebilir.
Veri sorumlusu, hizmet sunucusu ile yapacağı hizmet sözleşmesinde kişisel verilerin gizliliği konusundaki şartlara ve taahhütlere yer vermelidir.
Sonuç
Kişisel verilerin korunmasına uyum sağlamak için yapılması gereken ilk şey bu konuda çalışmaya başlamaktır. Çalışmayı yürütecek kişinin seçilmesi de ikinci adımdır. Kişisel veri işleme envanterinin çıkartılması, kişisel veri saklama ve imha politikasının hazırlanması bu konuda bilgili bir kişinin yönetiminde daha kolay yapılacaktır. Seçilen kişinin hak ve özgürlükler ile veri sorumlusunun menfaatleri arasındaki dengeyi tutturması çok önemlidir. Veri sorumlusunun menfaatlerinin ağır basması durumunda çok ağır idari para cezaları veya daha ağır hukuki sorunlarla karşılaşmak mümkünken tersi bir durumda da veri sorumlusu hiç gerek yokken zaman ve maddi kayba uğrayabilir.
