Kişisel Verileri Koruma Kurulu İş Belgelerindeki Gizlilik Konularını Karara Bağladı

Kişisel Verileri Koruma Kurulu ("Kurul") kişisel verilerin teyidine ilişkin yeni bir Karar ("Karar") yayımladı.

Karar'da Kurul, e-ticaret, telekomünikasyon, ulaştırma, turizm gibi çeşitli sektörlerde faaliyet gösteren veri sorumluları tarafından fatura, ekstre, rezervasyon belgesi gibi veri sahiplerinin kişisel verilerini içeren belgelerin veri sahiplerine SMS ve/veya e-posta yoluyla iletilmesi uygulamasını incelemiştir. Bu uygulamada veri sorumluları, ilgili kişilerden telefon numaralarını ve/veya e-posta adreslerini beyan etmelerini talep etmektedir. Ancak veri sahiplerinin beyanlarındaki yanlışlık veya üçüncü kişilere ait bilgilerin beyan edilmesi gibi çeşitli hatalar nedeniyle veri sahibine ait bu belgelerin üçüncü kişilere iletildiği gözlemlenmiştir.

Kurul yaptığı incelemede, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 4. maddesi kapsamında kişisel verilerin işlenmesinde genel ilkelere uyulması gerektiğini vurgulamıştır. Bu ilkelerden biri olan "işlenen verilerin doğru ve gerektiğinde güncel tutulması" ilkesi uyarınca veri sorumlusu, kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlamak konusunda aktif bir özen yükümlülüğüne sahiptir. Kurul, veri sorumlularının aktif özen yükümlülüğüne uymak için gerekli teknik ve idari tedbirleri almakla yükümlü olduğuna karar verdi. Bu kapsamda veri sorumlusu tarafından alınması gereken makul tedbirler, ilgili kişinin telefon numarasına ve/veya e-posta adresine onay kodu/bağlantısı gönderilmesi olarak örneklendirilmiştir. Ayrıca, veri sorumlusunun veri sahiplerinin verilerini düzeltmesi ve güncellemesi için kanalları her zaman açık tutması gerektiği belirtilmiştir.

Sonuç olarak Kurul, bu Karar ile veri sorumlularının veri güvenliğini sağlamaya yönelik yükümlülüklerini düzenleyen Kanun'un 12. maddesinin 1. fıkrası uyarınca veri sorumlularının kişisel verilerin doğruluğunu teyit edecek mekanizmaları kurmaları için gerekli idari ve teknik tedbirleri almaları zorunluluğunu getirmiştir. Karar'ın bağlayıcılığı nedeniyle, bu Karar'a uyulmaması halinde veri sorumlusu sıfatını haiz kişi ve kuruluşlar aleyhine hukuki sonuçlar doğabilecektir.

Nihan Ünal