Öncelikle veri sorumlusu ve veri işleyen kavramlarını hatırlamakta fayda var:Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade ediyor.Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen, veri sorumlusunun organizasyonu dışında yer alan gerçek veya tüzel kişiler. Bu kişiler, kişisel verileri kendisine verilen talimatlar çerçevesinde işler ve veri sorumlusunun kişisel veri işleme sözleşmesi yapmak suretiyle yetkilendirdiği ayrı bir gerçek veya tüzel kişi olabilir.Günümüzde veri sorumluları, bilgi teknolojileri, insan kaynakları, arşivleme, reklam ve analiz gibi çeşitli ihtiyaçlarını karşılamak için veri işleyenlerden hizmet alabilmekte. Bu noktada veri sorumlularının da hizmet aldıkları veri işleyenlerin gerekli veri güvenliği tedbirlerini aldıklarından emin olmaları gerek. Uygulamada veri sorumlularının yükümlülükleri ön planda olsa da, bir kurumda veri güvenliğinin tamamıyla sağlanması adına veri işleyenlerin yükümlülükleri göz ardı edilmemeli. Kişisel Verilerin Korunması Kanunu’nun (“Kanun”)&nbsp;veri güvenliğine ilişkin yükümlülükleri düzenleyen 12. maddesi gereği veri işleyenler de kişisel verilerin güvenliğinin sağlanması konusunda veri sorumlusuyla müştereken sorumlu tutuluyor. Bir diğer ifadeyle veri işleyenler de kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alma noktasında kanunen yükümlü. Avrupa Birliği Genel Veri Koruma Tüzüğü’nde (‘’GDPR’’)&nbsp;de veri işleyenin verilerin güvenliğinden sorumluluğu özel olarak düzenleniyor.Aynı veri işleyen sebebiyle veri ihlali yaşayan 8 şirketin bildirimi ile gündeme gelen bu yükümlülükleri gelin birlikte inceleyelim:1- Veri sorumlusunun talimatlarına uygun hareket etme yükümlülüğü (GDPR m. 28/III-a)Veri sorumlusu, kişisel veri işleme sözleşmesiyle; (i) kişisel verilerin toplanması için sistemlerinin veya metotların kullanılacağı, (ii) kişisel verilerin hangi yöntemle saklanacağı, (iii) kişisel verilerin aktarımının hangi yöntemle yapılacağı, (iv) taraflar arasındaki mal veya hizmet alımına ilişkin sözleşmedeki amaca ve süreye bağlı kalacak şekilde işleneceği hususları kararlaştırılabilir.GDPR m. 28/III-a ile yazılı dokümanlara dayanması kaydıyla veri işleyenin, veri sorumlusunun talimatlarına uygun bir veri işleme yapmasının zorunlu olduğu hükme bağlanmış. Bu yükümlülüğünün tek istisnası, kanundan kaynaklanan haller olacaktır.2- Sır saklama yükümlülüğü (Kanun m. 12/IV, GDPR m. 28/III-b)Veri işleyen, kişisel veri işleme faaliyetlerini, veri sorumlusu ile yapmış olduğu kişisel veri işleme sözleşmesi kapsamında gerçekleştirebilir ve bu sözleşmenin ifası sırasında edindiği bilgileri de bir başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bunun için şirketler, ilgili veri işleme faaliyetinde görev alacak çalışanlarına bu konuda eğitimler vermeli ve mümkünse gizlilik taahhütnamesi imzalatmalı. Çalışanların bu yükümlülüğü sözleşmenin sona ermesinden sonra da devam edecektir.3-Veri işleyenin veri güvenliğini sağlama konusunda alacağı tedbirlerin tespiti (Kanun m. 12/II, GDPR m. 28/III-c)Veri sorumlusu ve veri işleyen, veri güvenliğinin sağlanmasından müştereken sorumlu kabul ediliyor. Bu nedenle veri işleyenin hangi teknik ve idari tedbirlerin alacağı veri sorumlusu tarafından özel olarak belirtilebilir.4- Şahsen ifa yükümlülüğü (GDPR m. 28/III-d)GDPR, alt veri işleyen kullanılmadan önce veri sorumlusunun yazılı rızasının alınması gerektiğini belirtirken, Türk hukukunda alt işleme konusunda bir düzenleme bulunmuyor. Ancak, herhangi bir düzenlemenin bulunmuyor olması, asıl veri işleyenin mevcut sorumluluğunu ortadan kaldırmamakta.5- Veri işleyenin ilgili kişilere haklarının kullandırılmasına ilişkin olarak uygun tedbirlerin alınması konusunda veri sorumlusuna yardım etme yükümlülüğü (GDPR M. 28/III-e)İlgili kişinin veri sorumlusuna başvurmak amacıyla, veri işleyene başvuruda bulunması halinde söz konusu başvurunun veri sorumlusuna iletilmesi gerekir. Bu yükümlülük veri işleyen tarafından yerine getirilmediğinde, ilgili kişilerin başvuruları yanıtsız kalmış olacak, dolayısıyla veri sorumlusu zarara uğrayacaktır.6- Veri işleyenin veri ihlallerinin bildirilmesi konusunda veri sorumlusuna yardım etme yükümlülüğü (GDPR M. 28/III-f)Veri işleyenin faaliyet alanında meydana gelecek bir ihlalin, öncelikle veri sorumlusuna iletilmesi, veri sorumlusunun bildirim yükümlülüğü konusunda önemli bir rol oynamaktadır.7- Veri işleyenin sözleşmenin sona ermesi ile kişisel verileri silme veya iade etme yükümlülüğü (GDPR m. 28/III-g)Veri sorumlusu ile veri işleyen arasındaki sözleşme ilişkisi sonlandığında, GDPR seçim hakkı veri sorumlusuna ait olmakla birlikte veri işleyene kişisel verilerin tamamını silmek ya da verileri veri sorumlusuna aktarma yükümlülüğü getirmiş durumda. Bu yükümlülük her ne kadar Türkiye’de yer almasa da, kişisel veri işleme sözleşmesi ile veri işleyenler için böyle bir yükümlülük düzenlenebilir.8- Bilgilendirme ve iş birliğinde bulunma yükümlülüğü (GDPR M. 28/III-h)Veri işleyen, sözleşme konusu işleme faaliyetinin yerine getirilip getirilmediği ya da işlemede hangi yöntemlerin izlendiğiyle ilgili olarak veri sorumlusuna bilgi ve hesap vermekle yükümlü tutuluyor.9- Gerekli denetimlerin yapılmasına izin verme yükümlülüğü (Kanun m.12/3, GDPR m. 28/III-h)Veri sorumlusu, kendi kurum veya kuruluşunda, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorunda. İşleme faaliyetlerinin denetlenmesi kapsamında, dolaylı olarak veri işleyenin de gerekli tüm bilgileri sağlama yükümlülüğü doğacaktır.10- Aydınlatma yükümlülüğünün veri işleyene devri hâlinde veri işleyenin yükümlülükleri (Kanun, m. 10/I)<a fr-original-style="" href="https://www.lexpera.com.tr/mevzuat/kanunlar/kisisel-verilerin-korunmasi-kanunu-6698/madde-10" style="color: rgb(9, 9, 9); text-decoration: none; background-color: transparent; outline: none; cursor: pointer; transition: color 0.3s ease 0s; touch-action: manipulation; user-select: auto; box-sizing: border-box;" target="_blank">Kanun’un 10. maddesi</a>, ilgili kişileri aydınlatma yükümlülüğünün veri sorumlusu tarafından başkasına devredilmesine imkan tanımakta. Veri sorumlusu eğer bu konuda veri işleyenini yetkilendirirse, ilgili kişileri aydınlatma yükümlülüğü de veri işleyenin yükümlülükleri arasında yerini alacaktır.Özetlemek gerekirse, veri sorumluları her ne kadar gerekli uyum aksiyonlarını almış olsalar da, tam anlamıyla bir veri güvenliği sağlamak adına veri işleyenlerin yükümlülükleri konusunda da bilinçli olmalı. Veri işleyenler de veri işleme faaliyetlerinde sorumluluklarını yerine getirmeli, tek sorumlunun veri sorumlusu olmadığını unutmamalı.Bu yazı Verini Koru gönüllüsü İrem Naz Yıldız tarafından hazırlanarak, 21.08.2023 tarihli bültenimizde yayınlanmıştır.

Sivil toplum kuruluşu Verini Koru'nun ekibi, Türkiye'de ve dünyada kişisel verilerin korunması alanında yaşanan gelişmeleri yakından takip ediyor ve her Pazartesi sizlerle buluşturmak için bültenler hâline getiriyor.

Türkiye’de ve dünyada kişisel verilerin korunması alanında yaşanan gelişmeleri yakından takip ediyoruz. 

Veri Koruma ve Mahremiyet Gündemi

Son zamanlarda Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından yayınlanan veri ihlali bildirimlerinde dikkat çeken bir husus var; ihlallerin veri işleyenin gerekli tedbirleri almaması sebebiyle gerçekleşmesi.

Tek sorumlu ''veri sorumlusu'' mu? Veri işleyenin yükümlülükleri 

Mahremiyet ihlal eden uygulamalar denilince akla ilk olarak çalışanın iletişimlerinin izlenmesi geliyor. Telefon, bilgisayar, internet, sosyal medya, e-posta kullanımının takip edilmesi gibi faaliyetler bu uygulama kapsamındaki en yaygın örneklerden.İş ile alakalı iletişimler açısından çalışanın görevini nasıl ifa ettiğinin kontrolünü sağlamak amacıyla işverenin bir denetim hakkı olduğu kabul edilse de işverenin bu konuya ilişkin çalışanı aydınlatması gerekir. Buna karşılık işveren, çalışanın gerçekleştirdiği özel iletişimleri denetlemek isterse, bu noktada özel hayatın gizliliği ve haberleşme özgürlüğü gündeme gelir.Bu konuyu farklı bir bakış açısı ile ele alan bir mahkeme kararı da bulunmakta: McLaren v. Microsoft Corporation.&nbsp;Bu davada şirket bilgisayarlarından gönderilen e-postaların şirketin mülkiyetinde olduğuna dayanılarak özel yaşam alanına müdahale edilmemesi konusunda bir beklentinin oluşamayacağı ve işverenin bu konudaki menfaatinin daha ağır basacağına hükmedilmiş.Uzaktan çalışma sistemlerinde çalışanların mahremiyetinin ihlal edilmesi, hem çalışanlar hem de işverenler açısından olumsuz sonuçlar doğurabildiğinden, bu tür ihlallerin önlenmesi için birkaç adım atılabilir:Gizlilik politikası oluşturun: İşverenler, çalışanların kişisel verilerinin ve mahremiyetlerinin korunması amacıyla çalışanların kişisel verilerinin nasıl kullanılacağı, işverenlerin hangi verilere erişebileceği ve bu verilerin nasıl korunacağı gibi konuların belirlendiği bir gizlilik politikası oluşturabilirler.Veri erişimlerini sınırlayın: İşverenler, sadece ihtiyaç duydukları zamanlarda çalışanların verilerine erişebilmeli. Bu, sadece işverenlerin işleri için gerekli olan verilere erişebilecekleri anlamına geliyor. Ayrıca, işverenlerin çalışanların kişisel verilerini izlemesi için önceden onay alınması da diğer şartlardan birisi.Şeffaf olun: İşverenler, çalışanların kişisel verilerini nasıl kullanacaklarını açıkça belirtmeli. Ayrıca, çalışanların verilerinin ne kadar süreyle saklanacağı ve verilerin kimlerle paylaşılacağı gibi konularda da şeffaf olunmalı.&nbsp;Veri güvenliğini sağlayın: İşverenler ve çalışanlar, kişisel verilerinin güvenliğini sağlamak için uygun önlemleri almalılar. Bu, özellikle hassas verilerin işlenmesi durumunda daha da önem kazanıyor. İşletme bazında teknik ve idari tedbirler, uygun şifreleme teknolojileri gibi araçlar kullanarak verilerin güvenliğini sağlanmalı. Çalışanlar da bu tedbirler konusunda hassas davranmalı.Farkındalık kazanın: İşverenler ve çalışanlar veri koruma konusunda belli periyotlarda eğitimler almalı. Bu konuda veri koruma alanında deneyimli kişilerden yüz yüze veya çevrimiçi eğitimler talep edilebilir. Önemli olan bu eğitimlerin işe yeni başlayan tüm çalışanlara aldırılması, öte yandan da tüm çalışanlara en azından 6 ayda bir bu eğitimler tekrarlanmalı.Bu önlemler, işverenlerin çalışanların kişisel verilerinin güvenliğini korumalarına yardımcı olacağı gibi, çalışanların güvenini kazanmalarına ve işletmelerinin itibarını korumalarına da fayda sağlar. Ayrıca tüm bunların da veri koruma yasalarında, tüm dünyada, birer zorunluluk olduğunu da unutmamak gerekiyor.Bir diğer endişe uyandıran konu ise: dijital/siber mobbing ve siber saldırılar.&nbsp;Mobil cihazlar, anlık mesajlaşma uygulamaları, webcamler, sosyal ağ siteleri gibi internet erişimi olan uygulamalarının yaygın kullanımının dijital/siber mobbingin ortaya çıkışında önemli etkisi bulunuyor. Teknolojik cihazlarla kasıtlı yapılan taciz olarak tanımlanan dijital mobbing, işverenlerin çalışanları şahsi hesaplarından işletmeye yönelik reklam/tanıtım içerikli paylaşımlar yapmaya zorlaması, çalışanların mesai saatleri dışında işletme içi ortak iletişim ağlarından yoğun mesaj ve talimatlara maruz kalması, iletilere hızlı dönüşler beklenmesi gibi farklı şekillerde gözükebilir.Bu duruma ek olarak, bu denli yoğun internet kullanımı ve sosyal ağlarda veri paylaşımının sonucu olarak çalışanların siber saldırılara maruz kalmaları da söz konusu.Peki, uzaktan çalışanlar kendi kişisel verilerinin güvenliğini sağlamak için ne gibi önlemler alabilirler? İşte bu önlemlerden bazıları:Güçlü şifreler kullanın: Güçlü şifreler, hesaplarınızın hacklenmesini önleyebilir. Şifrelerinizi sık sık değiştirin ve her hesap için farklı bir şifre kullanın.Güvenilir antivirüs yazılımı kullanın: Bilgisayarınıza güvenilir bir antivirüs yazılımı yükleyin ve düzenli olarak güncellemelerini yapın.İki aşamalı doğrulama kullanın: İki aşamalı doğrulama, hesaplarınızın güvenliğini artırır. Bu yöntem, hesabınıza giriş yapmak için şifreniz ve doğrulama kodu gibi ikinci bir doğrulama yöntemi gerektirir.Özel ağlarda çalışın: Kamuya açık Wi-Fi ağlarını kullanmaktan kaçının ve sadece özel ağlarda çalışın. Özel ağlar, verilerinizi korumak için daha güvenlidir.Verilerinizi yedekleyin: Verilerinizi düzenli olarak yedekleyin. Böylece, verileriniz kaybolursa veya hacklenirse, yedek verilerinizden geri yükleme yapabilirsiniz.E-postalara dikkat edin: E-postaları dikkatli bir şekilde kontrol edin ve bilinmeyen e-postalardaki bağlantılara tıklamaktan kaçının. Bilinmeyen kişilerden gelen e-postalara karşı dikkatli olun ve onları açmadan önce doğrulama yapın.Kişisel cihazları kullanmayın: Çalıştığınız işletmenin sağladığı cihazları kullanmaya özen gösterin. Kendi kişisel cihazlarınızı kullanmak yerine, işletmenin sağladığı cihazları kullanarak veri güvenliğinizi koruyabilirsiniz.Güncelleştirmeleri yapın: Cihazlarınızın ve uygulamalarınızın güncelleştirmelerini düzenli olarak yapın. Bu güncelleştirmeler, güvenlik açıklarını düzeltir ve veri güvenliğinizi artırır.Bu önlemleri alarak, çalışanlar kendi kişisel verilerinin güvenliğini koruyabilirler. Ayrıca, işletmelerin de çalışanlarına bu konuda eğitim vermesi ve güvenli çalışma koşulları sağlaması önemlidir.Bu yazı Verini Koru gönüllüsü İrem Naz Yıldız&nbsp;tarafından hazırlanarak, 17.05.2023 tarihli bültenimizde yayınlanmıştır.

Uzaktan çalışma (“remote working”) sistemi, son yıllarda özellikle COVID-19 pandemisi ile birlikte daha da yaygın hale geldi. Başta fark edilmese de, bu sistemin yaygınlaşması ile birlikte, çalışanların kişisel verilerinin korunması konusunda yeni riskler ortaya çıktı. Özellikle işverenler tarafından ölçülülük ilkesinin sınırlarını aşan bazı uygulamalar, çalışanları tedirgin etmekte. Her ne kadar işletmelerin veri güvenliği de önem taşıyor olsa da, bu güvenliği sağlamak için çalışanların mahremiyetini ihlal edecek uygulamalar tercih edilmemeli.