NEWS AND INSIGHT

TARİH

KONU

AÇIKLAMALAR

26.08.2024

Kişisel Verileri Koruma Kurumu Kamuoyu Duyurusu

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından “Araştırma Şirketlerinin İstatistiksel Araştırma Yapmak Amacıyla ‘Rastgele Numara Çevirme ile Telefon Mülakatı Yöntemi’ Kullanarak Gerçekleştirdikleri Kişisel Veri İşleme Faaliyetleri Hakkında Kamuoyu Duyurusu” yayımlandı[2].

Kamuoyu Duyurusu, “resmi istatistik ile anonim hale getirilmek suretiyle araştırma” “anonim veri”, “kişisel verilerin anonimleştirilmesi”, “anonim hale getirilmiş veri” tanımlamaları ile kişisel verilerin hukuka uygun işlenme şartlarından olan “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” şartına ilişkin yer verilen detaylarla dikkat çekmektedir.

Duyuruya Konu Şikayetin Kapsamı: İlgili kişilerin telefon numaralarını hiçbir şekilde paylaşmadıkları halde araştırma şirketlerince istatistiksel araştırma için aranması, telefon numaralarının nasıl elde edildiğine ilişkin taraflarına aydınlatma yapılmaması, veri sorumlusuna yaptıkları başvuruda ise telefon numaralarının rastgele ve otomatik olarak sistem/yazılım vasıtası ile üretildiğinin ve aramalar için kullanılan yöntemin “rastgele numara çevirme ile yapılan telefon mülakatı” yöntemi olarak bilinen ve dünya çapında uygulanan bir “istatistik metodolojisi” olduğunun belirtilmesi

Değerlendirmeye Konu Yasal Dayanak: Telefon numarasının işlenmesi için açık rıza alınmaması ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 5’inci maddesindeki diğer işleme şartlarından herhangi birine de dayanılmaması

Değerlendirme ve Karar:

KVKK madde 28/1/b uyarınca “Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.” halinde KVKK hükümleri uygulanmaması istisnası mevcuttur. Bu istisnanın uygulanabilmesi için aşağıda sayılan hallerden birinin mevcut olması gerekmektedir:

1. 1. Resmi istatistik amacıyla kişisel veri işlenmesi durumu veya
   2. Anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla kişisel veri işlenmesi durumu

429 sayılı Kanun madde 6 (2) uyarınca “Kurum ve kuruluşların Programda yer almayan istatistikî konulardaki çalışmaları ile gerçek kişiler veya özel hukuk tüzel kişiliğine sahip kuruluşlarca yapılan sayım veya araştırmalara ait sonuçlar resmî istatistik olarak kabul edilmez.” Şikâyete konu veri sorumluları tarafından Resmi İstatistik Programı kapsamında bir istatistiki araştırma yapıldığı yönünde tevsik edici somut bir bilgi veya belge sunulmadığından işlemenin “resmi istatistik amacıyla kişisel veri işlenmesi” kapsamında KVKK hükümlerinden istisna sayılamayacağına karar verilmiştir.

Önemli Hususlar:

Kararda “Anonim veri” başından beri belirli bir kişiyle ilişkilendirilmesi söz konusu olmayan veri, “anonim hale getirilmiş veri” ise daha öncesinde belirli bir kişiyle ilişkilendirilmiş ancak hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmiş veri olarak tanımlanmaktadır.

Kişisel verilerin anonim hale getirilmesi kapsamında Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 10. maddesi hatırlatılmıştır. Araştırma süreçlerinde anonimleştirilmeden yapılan kişisel veri işleme faaliyetlerinde KVKK hükümlerine uyulması gerekmektedir.

Yalnızca kişinin kimliğini belirli kılan verilerin değil, kişinin kimliğini belirlenebilir kılan verilerin de kişisel veri niteliğinde olduğu vurgusu yapılmıştır. Öyle ki eldeki başka veriler ile bir araya getirildiğinde kişiyi belirlenebilir kılan veriler de KVKK’da yer alan tanım gereği kişisel veri niteliğine haiz olacaktır.

KVKK’nın m. 5/2 (f) bendine göre “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” kapsamında kişisel veri işlenebilmesi için aşağıdaki şartların somut olay bakımından sağlaması gerekmektedir.

1. Kişisel veri işlenmesi sonucunda elde edilecek menfaat ile ilgili kişinin temel hak ve hürriyetlerinin yarışabilir düzeyde olması,
2. İlgili menfaate ulaşılabilmesi için işlenmenin zorunlu olması,
3. Meşru menfaatin halihazırda mevcut, belirli ve açık olması,
4. Meşru menfaatin elde edilmesi halinde bir yarar sağlanması ve bu yararın kişisel veri işlenmeksizin sağlanamayacak olması,
5. Meşru menfaat belirlenirken söz konusu yararın çok sayıda kişiyi etkilemesi, yalnızca kâr elde edilmesi ya da ekonomik yararın sağlanması amacına yönelik olmaması, iş süreçlerini ya da bir işleyişi kolaylaştırması (örneğin bir birim ya da az sayıda personel nezdinde değil, kurumsal olarak geneli etkileyecek şekilde) gibi şeffaf ve hesap verilebilir nitelikleri haiz kriterlerin esas alınması,
6. İlgili kişinin başta kişisel verilerinin korunması olmak üzere temel hak ve hürriyetlerinin zarar görmesini engellemek amacıyla öngörülebilir, açık ve yakın her türlü tehlikeden uzak tutulması,
7. Kişisel verilerin bir veri kayıt sisteminde amaçla sınırlı, hukuka uygun işleyişinin temini ile zararı ve ihlalleri engellemek için her türlü teknik ve idari tedbirin alınması,
8. Kişisel verilerin işlenmesinde genel ilkelere uyulması,
9. Kişinin temel hak ve hürriyetleri ile veri sorumlusunun meşru menfaatinin karşılaştırılarak denge testinin yapılması.

Olay özelinde ise, işleme faaliyetinin hukuka uygun olabilmesi için ilgili kişilere katmanlı bir aydınlatma yapılması gerektiği ve ancak ilgili kişilerin açık rıza vermesi halinde telefon görüşmesine devam edilebileceği belirtilmektedir.

TARİH

KONU

AÇIKLAMALAR

04.09.2024

Amerika Birleşik Devletleri Gelişmeleri

Veri brokerlerine (data broker) ilişkin bir regülasyon geliştirilmesi için ABD Başkanı Joe Biden ve Başkan Yardımcısı Kamala Harris'e hitaben ABD Temsilciler Meclisi üyeleri, tarafından yazılan bir mektup yayımlandı.[3]

Amerika Birleşik Devletleri’nde meydana gelen siber saldırılar akabinde birtakım veri ihlalleri gerçekleştiği ve Amerikan vatandaşlarının sosyal güvenlik numaralarının ele geçirildiği haberleri Ağustos ayının başlarında gündemde yer buldu. Bunun üzerine ABD Temsilciler Meclisi üyeleri, ABD Başkanı Joe Biden ve Başkan Yardımcısı Kamala Harris'e hitaben bir mektup yazdı. Mektupta veri brokeri ilişkin bir regülasyon geliştirilmesi ve kişisel verilere yönelik hassasiyetin sağlanması talebinde bulunuldu.

Zira veri brokerleri tarafından satılan veriler arasında lokasyon verileri, siyasi ve dini ilgi alanları gibi hassas nitelikli kişisel verilerin yer aldığı belirtildi.

Mektup, para karşılığı vatandaş ve tüketici verilerinin satılması faaliyetlerinin yasal düzenlemelerle sınırlandırılması talebini içermektedir. Böylece veri brokerlerinin faaliyetlerinin sınırlanması ve kişisel verilerin korunması hedeflenmektedir.

05.09.2024

İkinci KVKK Reformu Beklentisi Oluşturan

Orta Vadeli Program

2025-2027 yıllarını kapsayan Orta Vadeli Program, 32653 sayılı Mükerrer Resmi Gazete’de yayımlandı.^[4]

Türkiye Cumhuriyeti Hazine ve Maliye Bakanlığı ile Strateji ve Bütçe Başkanlığınca hazırlanan “Orta Vadeli Program (2025-2027)” 8906 sayılı Cumhurbaşkanı kararı ile onaylanmış ve Resmî Gazete’de yayımlanmıştır.

Program’ın “Öncelikli Reform Alanlarına Yönelik Düzenlemeler” başlıklı EK 3 belgesi, öngördüğü planlamalar ile dikkat çekmektedir. Öyle ki, Türkiye sınırları içerisinde iş ve yatırım ortamını geliştirmek adına düzenleyici çerçevenin iyileştirilmesi planlanmaktadır.  Bu kapsamda 2025’in dördüncü çeyreğinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) başta olmak üzere Birlik müktesebatına uyum sürecinin tamamlanması hedeflenmektedir.

Bu noktada esas odağın mal ve hizmet ihracatını etkileyen yönleriyle Avrupa Birliği dijital ekonomisine ilişkin düzenlemelerinde olacağını belirtmek gerekir.

İlaveten, siber güvenlik alanıyla ilgili müstakil bir yasal düzenleme ve ihtiyaç duyulan ikincil düzenlemelerin de yine Avrupa Birliği (“AB”) müktesebatı ile uyumu gözetilerek gerçekleştirilmesi hedeflenmektedir.

TARİH

KONU

AÇIKLAMALAR

06.09.2024

AB Veri Yasası Hakkında Gelişmeler

AB Veri Yasası Hakkında Avrupa Komisyonu tarafından “Sıkça Sorulan Sorular” belgesi yayımlandı.[5]

AB Veri Yasası (EU Data Act) AB'nin veri ekonomisini geliştirmek ve verileri (özellikle endüstriyel verileri – nesnelerin interneti (IoT) gibi) daha erişilebilir ve kullanılabilir hale getirerek, veri odaklı inovasyonu teşvik ederek ve veri kullanılabilirliğini artırarak rekabetçi bir veri pazarı oluşturmak için tasarlanmış bir yasa olarak tanımlanmaktadır. Veri ekonomisindeki aktörler arasında veri değerinin dağıtımını dengeleyerek kimin hangi verileri hangi koşullar altında kullanabileceğini düzenlemektedir. Bu kapsamın daha iyi anlaşılabilmesi için AB Veri Yasası hakkında Sıkça Sorulan Sorular yayınlanmıştır.

AB Veri Yasası, 22 Aralık 2023'te AB Resmî Gazetesi'nde yayımlanmıştır ve 12 Eylül 2025'te yürürlüğe girmesi beklenmektedir. Bu sebeple, AB dışındaki üçüncü ülkelerdeki hükümet kuruluşlarının AB veya ulusal yasalara aykırı olacağı durumlarda kişisel olmayan verilere erişmesini önlemek için güvenlik önlemleri de getirildiğinden yürürlüğe girmeden önce incelenmesi önem teşkil etmektedir.

09.09.2024

Kişisel Verileri Koruma Kurumu’ndan Okul Dönemi Öncesi Paylaşımlar

Kişisel Verileri Koruma Kurumu’na ait sosyal medya platformlarında “Dijital Çağda Mahremiyet: Çocukların Kişisel Verilerinin Korunması” başlıklı 5 numaralı Bülten’e atıflar yayımlandı^[6].

Kişisel Verileri Koruma Kurumu, yeni eğitim ve öğretim yılının başlaması vesilesiyle kendisine ait sosyal medya platformlarında “Dijital Çağda Mahremiyet: Çocukların Kişisel Verilerinin Korunması” başlıklı bültene atıflar yayımladı.

Söz konusu paylaşımlarda uygunsuz içerikler, oyun bağımlılığı, çevrimiçi güvenlik ve dijital mahremiyet konuları ele alınmakta ve bunlardan doğabilecek zararlara yönelik önlemler belirtilmektedir.

Paylaşımlar ile çocuklar, ebeveynler, öğretmenler başta olmak üzere toplumu bilinçlendirmek ve öncelikli olarak çocukların bireysel güvenliği olmak üzere, onlara ait kişisel verilere yönelik ihlallerin önlenmesini sağlamak hedeflenmektedir.