Selamlar,
Bu sayı bizim için oldukça anlamlı; çünkü Veri Koruma & Mahremiyet Gündemi başlıklı bültenimizin 52'nci sayısıyla karşınızdayız.
''Öğrenin, farkında olun, koruyun! Mahremiyet her şeydir!'' mottosuyla bundan tam 1 yıl önce ilk bültenimizle farkındalık yaratmak istediğimiz kitlelerin karşısına çıkmıştık.
Keyifli okumalar!
• Avrupa İnsan Hakları Mahkemesi, yeni teknolojilerle ilgili güncellenmiş karar özetlerini yayımladı. Bu belgede özellikle; çevrimiçi taciz, CCTV kameralar yoluyla kamu gözetimi, konum verilerinin kullanımı gibi kişiler veri mahremiyeti konularında önemli karar özetleri bulunuyor.
• New York Times'da geçtiğimiz hafta yayınlanan bir makalede, e-posta adresi paylaşmadan önce iki defa düşünmek gerektiği ele alınıyor. Makalede özellikle; e-posta adreslerinin sadece iletişim kurmak için kullanılmadığı, kişilere alakalı reklamlar sunmak amacıyla kullandığı ve siteler ile uygulamalar arasında faaliyetleri birbirine bağlamak için dijital bir ekmek kırıntısı görevi gördüğü üzerinde duruluyor.
• Hollanda kamu makamları, video paylaşım uygulaması Tiktok’tan uzak durulması gerektiği hakkında uyarıda bulundu.
Derinlemesine: Tiktok’un Hollanda’da popülaritesi gittikçe artmış durumda. Peki neden bu uyarı yapılıyor?. Tiktok, Kasım ayı başında Çin’deki çalışanların Avrupa'daki kullanıcıların verilerine erişebildiğini itiraf etmişti, bunun yanında farklı veri ihlalleri de meydana gelmişti. Bunun üzerine pek çok veri koruma otoritesi soruşturma başlatmış, Tiktok’un kullanılmaması ve yasaklanması yönünde adımlar atmıştı. Tüm bunlar üzerine Tiktok, bu endişeleri gidermek için yetkililerle görüşmeler yaptığını ve yapacağını açıklamıştı.
• Fransa veri koruma otoritesi CNIL, yapay zeka sistemlerinin anlaşılabilmesi, yapay zeka sistemlerinin uygulanmasıyla ilgili gizlilik risklerinin tespiti ve önlenmesi, yapay zeka ekosistemiyle ilişkilerin geliştirilmesi ve AB yapay zeka regülasyonu çalışmaları için 5 kişiden oluşacak bir birim kuracağını duyurdu.
• Kanada veri koruma otoritesi OPC, Home Depot adlı şirketin e-faturalarda yer alan bilgileri müşterilerin açık rızası olmaksızın Meta ile paylaştığını tespit etti.
Derinlemesine: Şirket, müşterilerin e-posta adreslerini ve her müşterinin satın alma işlemlerine ilişkin verileri Meta’ya gönderdi. Bu bilgiler Meta tarafından kullanıcıların Facebook hesabı olup olmadığının tespiti, kullanıcı profili oluşturma ve hedefli reklamcılık gibi amaçlarla kullandı. Şirket savunmasında müşteri verilerinin işlenmesi ve paylaşılmasının zımni rızaya dayandığını, müşterilerin gizlilik sözleşmelerine talep üzerine web sitesi ve satış noktalarında yayınlanan metinler aracılığıyla erişebileceği savunmasında bulundu. Ayrıca Şirket, e-fatura aracılığıyla müşterilerin verilerinin Meta’yla paylaşılacağı bilgisini vermemesinin sebebini kullanıcılarda “rıza yorgunluğu” olabilir diyerek açıkladı. OPC ise tüm bu savunmaları kabul etmeyerek gizlilik sözleşmelerinin kullanıcıların anlamlı onay vermesini sağlayacak net bilgilerden oluşması gerektiğini vurguladı. Rıza yorgunluğu kavramı için bloğumuzdaki şu yazıya göz atabilirsiniz.
• Gizmodo’nun haberine göre Chick-Fil-A adlı fastfood restoran zinciri yayınladığı videoların izlenme verilerini Meta’ya gönderiyor. Şirkete bu eylemin ABD Video Gizliliği’ni Koruma Yasası’nı ihlal ettiği gerekçesiyle toplu dava açıldı.
Derinlemesine: Burada paylaşılan veriler kişinin adı, adresi gibi veriler değil; sosyal medya şirketlerinin müşterileri tanımak ve onlara hedefli reklamlar göstermesini sağlamak için kullandığı veriler. Buradaki tartışma konusu bu verilerin kişisel olarak tanımlanabilir bilgiler olup olmadığı yönünde yapılıyor. Davayı açanlara göre bunlar kişisel tanımlanabilir bilgiler niteliğinde. Eğer mahkemede verileri bu nitelikte kabul ederse; bu veri paylaşımı hukuka aykırı olacak ve şirket büyük miktarda tazminat ödeyecek.
• Manhattan’daki bir tiyatrodan çıkan seyircilerin, bir polis memuru tarafından videosunun çekilmesi mahremiyet savunucularını endişelendirdi.
Derinlemesine: New York Polis Departmanı (NYDP), bu videonun sosyal medya gönderisi için çekildiğini ve başka bir amaçla kullanılmayacağını açıkladı. New York City merkezli ve mahremiyet ve medeni haklara odaklanan bir grup olan Surveillance Technology Oversight Project ise, katılımcıların rızası alınmaksızın bu tarz videolar çekilmesinin endişe verici olduğunu, bu videonun imha edilmesini ve yüz tanıma için kullanılıp kullanılmayacağının ayrıca açıklanmasını talep etti. Gerek bu tarz videolar, gerekse kamu gözetiminde kullanılan CCTV kameraların günümüzde pek çok mahremiyet savunucusunun odağında olduğunu söylemeliyiz. Çünkü ayrımcılık ve mahremiyeti ihlali gibi pek çok riski içinde barındırıyor.
•Hollandalı bir bilgisayar korsanı, Avusturya’daki neredeyse herkesin isim-soyisim, cinsiyet, doğum tarihi ve adres bilgilerini ele geçirdiğini ve Mayıs 2020’de bir forum sitesinde satışa sunduğunu açıkladı. Hollanda polisi, Kasım ayında tutuklanan 25 yaşındaki zanlının, verileri gerçekten ele geçirip geçirmediği hakkında ayrıntı vermedi.
• Avrupa Birliği Adalet Divanı, biyometrik veriler hakkında önemli bir karar verdi. İlgili kararda, herhangi bir suçla suçlanan kişinin biyometrik ve genetik verilerinin polis tarafından sistematik olarak toplanmasının, bu tür verilerin işlenmesine ilişkin gelişmiş koruma standardına aykırı olduğu açıklandı.
• Veri mahremiyeti alanında çalışan bir sivil toplum örgütü olan NOYB, İspanya veri koruma otoritesi AEPD’e karşı yapılan itirazı kazandı.
Arka Plan: İtiraza konu olayda İspanya’da bir müşteri Virgin Telco adlı telekomünikasyon şirketinden konum verilerine erişmek için talepte bulunmuş, şirket ise bu talebi reddetmişti. Müşteri bunun üzerine AEPD’ ye şikayette bulunmuş, AEPD bu tür verilere erişim verilmeyeceği sonucuna varmıştı. Bu karara karşı yapılan itirazda temyiz makamı, ülkedeki telekomünikasyon şirketlerinin konum verilerini saklama zorunluluğunun yanında kullanıcılara bu verilere erişim hakkı sağlamakla yükümlülüğü olduğuna karar verdi. Geçtiğimiz bültenlerde yer verdiğimiz güncel bir Anayasa Mahkemesi kararında, kişisel verilerin korunması hakkının kişilerin verilerine erişme hakkını da kapsadığı yönünde benzer bir değerlendirme yapılmıştı.
💳 Finansal verilerin mahremiyeti üzerine
Geçtiğimiz haftaki bültenimizde online ödeme sistemi Paypal’ın hacklendiği ve Arizona eyaletinde finansal verilerin hukuka aykırı olarak toplandığı haberlerine yer vermiştik. Finansal verilerimiz bu kadar önemli ve tehdit altındayken, bu hafta finansal verilerimizin nasıl korunduğu ve hangi önlemleri alabileceğimiz üzerinde durduk.
Finansal verilerimiz neler?
Kişisel veri, kısaca bir kişiyi tanımlayabilecek her türlü veri olarak kabul ediliyor. Kişisel verilerin bir kümesi olan finansal verileri ise özellikle bankalar, e-para kuruluşları ve ödeme hizmeti sağlayıcılar ile müşterileri arasındaki veriler olarak tanımlayabiliriz. Bu verilere; hesap bakiye bilgileri, borç bilgileri, müşteri işlem bilgileri, kredi notu, risk bilgileri, kredi ve banka kartı bilgileri, harcama alışkanlıkları gibi örnekler verilebilir. Peki bu verilerimizin koruması nasıl sağlanıyor?
Yasalar ne diyor?
Öncelikle tüm kişisel verilerimizde olduğu gibi bu verilerin korunması bakımından Kişisel Verilerin Korunması Kanunu (KVKK) uygulama alanına sahip. KVKK verilerin işleme süreçlerindeki uyulması zorunlu temel ilkeleri ortaya koyuyor, veri işleme şartlarını belirtiyor ve verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma zorunluluğunu barındırıyor. Bu kurallara uyulmadığında da karşılaşılacak para cezaları gibi yaptırımları içeriyor.
Bununla birlikte, sadece finansal veriler bakımından değil tüm kişisel verilerin korunması konusunda olduğu gibi Türk Ceza Kanuna da kişisel verileri hukuka aykırı olarak veren, yayan veya ele geçiren kişiler hakkında hapis cezası öngörüyor.
Bankacılık faaliyetlerine özel koruma koruma
Bankacılık Kanuna göre, banka ile müşteri arasındaki ilişki kurulduktan sonra artık müşteri sırrı niteliğinde oluyor. Örneğin bir bankanın, kredi kullandırdığı kişilerin iktisadi, mali ve ticari durumu hakkında edindiği bilgiler müşteri sırrı olduğu gibi; kredi başvurusunu kabul etmediği kişiler hakkında edindiği bilgiler de müşteri sırrı olarak kabul ediliyor.
Dolayısıyla müşteri sırrı niteliğindeki kişisel veriler Bankacılık Kanununa paralel bir koruma rejimine de tabi oluyor. Bununla birlike yine bankacılık mevzuatında özellikle kimlik doğrulama için kullanılan müşteriye ait parola, pin, avuç içi, vb. gibi işlem güvenliğini sağlamak ve özellikle elektronik bankacılık hizmetlerinde müşterinin ayırt edilmesini sağlamak amacıyla kullanılan verilerin ''hassas veri'' olduğu kabul ediliyor.
Kişisel Verileri Koruma Kurumu yakın zaman önce yayınladığı ”Kişisel Verilerin Korunmasına İlişkin Bankacılık Sektörü İyi Uygulamalar Rehberi” adlı dökümanda bankaların kişisel verileri hukuka uygun işlemesi, paylaşması ve saklanmasına dair uygulamalarına yol göstermeyi amaçlıyor.
İki örnek karar
Hem finansal verilerimizin neler olduğunu hem de bu verilerin korunmasına ilişkin düzenlemeleri daha iyi anlayabilmek adına Kişisel Verileri Koruma Kurulu’nun (Kurul) bu konuda verdiği kararlara bakmak faydalı olabilir.
Kurul’un 02.11.2021 tarihli 2021/1107 sayılı kararında özetle; müşterinin bankaya olan borcunu ödediği halde hakkında yasal takip başlatıldığı, kişinin bu işlemler sonucu kredi notunun olumsuz etkilendiği, itiraz etmesi üzerine bu durumun düzeltildiği ancak daha sonra aynı hatanın tekrarlandığı, üçüncü kişilerle bu bilgilerin paylaşıldığı ve kişinin bu sebeple farklı finans kuruluşla işlem yapamadığından bahisle Kurul’a şikayet başvurusu yapılmış. Şikayetin incelenmesi sonucunda, kişisel verilerin işlenme şartlarından doğru ve gerektiğinde güncel olma ilkesine aykırılık nedeniyle banka hakkında idari para cezasına verilmiş. Bu kararda finansal verilerinin ne kadar önemli olduğunu görebiliyoruz çünkü bu verilerin yanlış işlenmesi sebebiyle kişiler hem ilgili finans kuruluşuyla işlem yapamıyor hem de bu verinin paylaşılması nedeniyle diğer finans kuruluşlarıyla işlem yapamaz hale geliyor.
Kurul’un 03.02.2021 tarihli 2021/79 sayılı bir diğer kararında ise özetle; müşterinin kredi kartı borcuna ilişkin olarak ablası ve babası aranmış, Kurul'a yaptığı şikayet üzerine, bankaya kişisel verileri hukuka uygun olarak işleme yükümlülüğüne aykırılık gerekçesiyle idari para cezası uygulanmıştı.
Finansal verilerimiz nasıl koruyabiliriz?
Sırf soyadınız benzer diye hiç tanımadığınız kişilerin borcundan dolayı arandınız mı? Ya da annenizin, babanızın veya başka bir akrabanızın borcundan dolayı arandınız mı? Bazen sadece o kişiye ulaşmak için aranan kişilere not bırakılıyor, bazense kişinin borçlu olduğuna dair bilgiler üçüncü kişilerle paylaşılabiliyor. Her iki durumun da veri mahremiyeti için riskli olduğunu sizler de okurken fark etmişsinizdir. Eğer benzer olaylarla karşılaşırsanız gerekli hukuki yollara başvurmaktan kaçınmamanızı tavsiye ediyoruz.
Finansal verilerimiz ve varlıklarımızı korumak için alınması gereken birkaç basit önlemle yazımızı burada bitiriyoruz.
Mobil bankacılıkta:
· Uygulama yüklerken bu uygulamanın kullanmak istediğimiz bankanın uygulaması olduğundan emin olmalı, benzer isimdeki uygulamalara dikkat etmeli ve güvendiğimiz uygulama mağazalarından yüklemeliyiz.
· Uygulamayı yükledikten sonra ise güçlü bir şifre belirlemeliyiz ancak bu şifrenin doğum tarihimiz, tuttuğumuz takımın kuruluş yılı, anne-babamızın ya da çocuğumuzun, eşimizin doğum yılı gibi kolay tahmin edilen bir şifre olmamasına ve bu şifrenin diğer şifrelerimizden de farklı olmasına özen göstermeliyiz. Şifremizi belirledikten sonra şifreyi yazılı olarak saklamamalı ve kimseyle paylaşmamalıyız. Ayrıca şifremizi düzenli aralıklarla değiştirmeliyiz, biz bazen bunu unutsak bile çoğunlukla bankacılık uygulamaları uygulamaya giriş yaparken bunu hatırlatıyor.
· Uygulamaya güçlü bir şifreyi koymamızın yanında uygulamayı kullandığımız telefonumuza da güçlü bir şifre koymalı, telefonumuzun fiziki güvenliğini sağlamalı ve telefonumuzda mobil uygulamada işlem yaptıktan sonra çıkış yaparak uygulamayı kapatmalıyız.
İnternet bankacılığında:
· Mobil uygulamalardaki gibi internet bankacılığı şifremizi de güçlü bir şekilde belirlemeliyiz. Mümkün olduğunca güvendiğimiz bir cihazdan internet bankacılığına giriş yapmalıyız. Bu cihazda antivirüs programları kullanmalı ve özellikle bu cihazlarda ortak wifi ağlarını kullanmamaya özen göstermeliyiz çünkü bu ağlar cihazınızı saldırılara açık hale getirebiliyor.
· Günümüzde çok fazla kullanılan dolandırıcılık yöntemlerinden birisi benzer isimlerde sahte siteler oluşturarak şifrelerin çalınması oluyor. Bunun için internet bankacılığı için bankanın sitesine giriş yaparken tıkladığımız URL’ye dikkat etmeli ve bankanın sitesi olduğundan emin olmalıyız, emin olmak için URL adresini tarayıcıya kendimiz yazabiliriz.
· Bankamızdan gelen e-posta ve mesajlara dikkat etmeli, güvenmediğimiz linklere tıklamamalı ve dosyaları açmamalıyız. Özellikle “phishing” denilen e-posta ile oltalamalarına dikkat etmeliyiz.
· Ayrıca bazı bankalar tarafından kullanıma sunulan kişiselleştirilebilir güvenlik yöntemlerini kullanarak mobil uygulamayı ve siteyi kullanabileceğiniz saatleri ve işlemleri kısıtlayabilirsiniz.
Çevrimiçi alışverişlerde:
· Öncelikle ödemeleri yaparken de güvendiğimiz sitelerde kartlarımızı kullanmalı; her ne kadar bu sitelerde kartlarımızı kaydederek kullanmak bizler için kolaylık sağlasa da mümkün olduğunca kaydetmemeli ve mutlaka sanal kart açarak işlem yapmalıyız.
Güvenle kalın!
• 28 Ocak Veri Koruma Günü vesilesiyle bugüne kadar dünyada uygulanan en yüksek para cezalarına göz atmakta fayda var. Birinci sırada 5 Milyar Dolar ile Meta (Facebook) geliyor. ABD'li seçmenlerin verilerini Cambridge Analytica adlı şirketle paylaşarak 2016 seçimlerini manipüle etmekle suçlanan Facebook'a, ABD Federal Ticaret Komisyonu tarafından, şimdiye kadar tek seferde uygulanan en yüksek para cezası verilmişti. 2019'da yılında verilen bu kararda, Facebook'un kullanıcılarını kişisel verilerinin gizliliğini kontrol etme yetenekleri konusunda yanılttığı belirtilmişti.
• Kişisel Verileri Koruma Kurumu’nun podcast kanalı olan “Bir Küçük Farkındalık Yeter”in Konuşan Rehber bölümünde "6698 Sayılı Kanun'da Yer Alan Terimler'' adlı rehber seslendirildi. Bölümü Spotify üzerinden dinleyebilirsiniz.
___
Bu sayımızı ekip arkadaşlarımızdan Arda ve Rohat hazırladı. Bir sonraki hafta görüşmek üzere!
Katkılarınızdan ve geri bildirimlerinizden mutluluk duyuyoruz. Bizimle [email protected] adresinden iletişime geçebilirsiniz.
Ayrıca Linkedin, Twitter ve Instagram hesaplarımızı takip edebilir, websitemizi inceleyebilirsiniz.
