28 Ocak Veri Koruma Günü şimdiden kutlu olsun!
Bu tarihin kişisel veri mahremiyeti bakımından anlamı oldukça büyük. 28 Ocak 1981'de imzaya açılan 108 Sayılı "Kişisel Verilerin Otomatik İşleme Tâbi Tutulması Karşısında Bireylerin Korunmasına Dair Sözleşme"nin yıl dönümü. 2006 yılında Avrupa Konseyi tarafından ilan edildiği günden bu yana bu tarih Veri Koruma Günü olarak kutlanıyor.
Bizim için bir anlamı da 2022 yılının 28 Ocak günü faaliyete başlamış olmamız. Bu anlamlı günde herkes için farkındalık oluşturmak amacıyla hazırladığımız ''İlgili Kişi Hakları Rehberi''mizi buradan sizlerle paylaşıyoruz.
Keyifli okumalar!
• New York Eyalet yetkilileri ve mahremiyet savunucuları, Madison Square Garden'ın (MSG) müşteriler üzerinde yüz tanıma teknolojilerini kullanmasını mekanın önünde toplanarak protesto etti. Protestocular, MGS’nin bu teknolojinin kullanımının kamu güvenliği gerekçesiyle olduğu iddialarını kabul etmeyerek bu uygulamaların ayrımcılığa yol açtığı ve mahremiyeti ihlal ettiğini açıkladılar. Ayrıca yüz tanıma teknolojileri hakkında daha fazla bilgi edinmek isterseniz bir önceki bültenlerimizde yayımlanan bu içeriğe göz atabilirsiniz.
• Hindistan hükümeti, bankaların belirli bir para limitinin üzerinde işlem yapanlar için müşterilerin yüz tanıma ve iris tarama sistemlerini kullanmalarına izin vereceğini açıkladı.
Tartışma: Hükümet özellikle dolandırıcılık ve vergi kaçakçılığını önlemek için bu uygulamaya gidiyor. Hukukçu Pavan Duggal; Hindistan’ın gizlilik, yüz tanıma ve siber güvenlik konularında özel bir yasası olmadığını belirterek bu uygulamaların endişe verici olduğunu belirtti. Hükümet ise ancak müşterilerin parmak izi doğrulaması başarısız olduğunda ve açık rıza verildiğinde bu sistemin uygulanacağını söylüyor. Ancak bunun yine de mahremiyet açısından riskli olduğunu söylemeliyiz çünkü ortada bir yasal düzenleme olmadığı için bu sistemi kullanan bankalar genel düzenlemelere ve hükümetin direktiflerine uygun hareket edebilir ve özel nitelikli kişisel veri statüsündeki bu veriler yeterli düzeyde korun(a)mayabilir.
• Avrupa Dijital Haklar Merkezi (NOYB) tarafından çerez bannerlarına yönelik çeşitli şikayetlerin sunulmasının ardından ilgili veri koruma otoriteleri tarafından şikayetlere verilen yanıtların koordine edilmesi için Eylül 2021’de Avrupa Veri Koruma Kurulu bünyesinde kurulan ''Çerez Bannerlarına İlişkin Görev Komitesi'' tarafından hazırlanan taslak raporu yayınladı.
Taslak raporda, çerez reddetme butonları, önceden işaretlenmiş onay kutuları, çerez banner tasarımı ve verilen rızayı geri almaya yönelik simgeler gibi konularda e-Gizlilik Direktifi ve GDPR hükümleri doğrultusunda tutarlı bir yaklaşım sağlamaya yönelik değerlendirmeler yer alıyor.
• İspanya veri koruma otoritesi AEPD, reklamcılık faaliyetlerinde veri işlemeye ilişkin bireylerin veri koruma ve reklamcılıkla ilgili şikayetlerini daha hızlı çözmeyi hedefleyen bir alternatif çözüm yöntemi de içeren “Otomatik Kontrol Davranış Kuralları” değişikliğini onayladı.
• Texas Üniversitesi, video paylaşım uygulaması TikTok'un oluşturduğu siber güvenlik risklerini ortadan kaldırmak için Vali Greg Abbott'ın son yönergesi doğrultusunda kampüs wifi ile kablolu ağlarından ve okula ait cihazlardan öğrencilerin uygulamaya erişimini engelleme yolunda adım attı.
Hatırlarsanız Vali Greg Abbott, 7 Aralık tarihli direktifi ile TikTok'un Çin’den kaynaklanan güvenlik endişelerini gerekçe göstererek tüm devlet kurumlarında ve devlet tarafından verilen cihazlarda uygulamanın yasaklanmasına karar vermişti.
• Avrupa Komisyonu, Dijital Hizmetler Yasası’nın (DSA) özellikle siber şiddetle mücadele, yasadışı ve zararlı içeriklerin engellenmesi konularında uygulanmasını denetlemek amacıyla büyük teknoloji şirketlerinin eski çalışanlarına iş teklif etmeyi planlıyor.
• 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında uyarlanan 2023 yılı için güncel idari para cezası tutarları yayınlandı. Uygulanacak para cezalarının en üst sınırı 5.971.989 TL olarak belirlendi.
Avrupa'ya bir bakış: Genel Veri Koruma Tüzüğü (GDPR) uyarınca Avrupa Birliği'ne bağlı veri koruma otoriteleri, ceza üst sınırı olarak 20 milyon Euro'ya ya da ihlali gerçekleştiren işletmenin bir sene önceki mali yıl küresel cirosunun %4'üne kadar para cezası uygulayabiliyor. Örneğin, Amazon'a Lüksemburg'dan 746 Milyon Euro, Instagram'a (Meta) İrlanda'dan 405 Milyon Euro ve yine İrlanda'dan WhatsApp'a 225 Milyon Euro ceza uygulanmıştı.
• Twitter, Tweetbot ve Twitterific gibi önde gelen geliştiricileri devre dışı bıraktıktan sonra üçüncü taraf istemcileri resmi olarak yasakladı.
• İrlanda veri koruma otoritesi DPC, WhatsApp’a 5,5 milyon Euro tutarında para cezası verdi.
Yorum: DPC, daha önce de şirkete aynı ihlal sebebiyle 225 Milyon Euro tutarında para cezası vermişti. Bu yaptırımın sebebi 25 Mayıs 2018’den önce yani GDPR yürürlüğe girmeden önce WhatsApp’ın Hizmet Şartlarını güncelleyerek kullanıcılara bu şartları kabul etmezlerse uygulamayı kullanmaya devam edemeyecekleriydi. Hatırlarsanız 2021 yılında da WhatsApp, Türkiye’de bu hizmet şartlarını yürürlüğe sokacağını duyurmuş ve kullanıcıların pek çoğu farklı mesajlaşma uygulamalarına yönelmişti, daha sonra Kişisel Verileri Koruma Kurul'u konuyu re'sen inceleyerek WhatsApp'a 1 Milyon 950 Bin TL para cezası uygulamış ve WhatsApp bu kararından geri dönmüştü. Bu para cezasının şimdiye kadar Türkiye'de Kurul tarafından verilen en yüksek ceza olduğunu da belirtelim.
• Fransız veri koruma otoritesi CNIL, video oyun şirketi VooDoo’ya kullanıcı verilerini izin almadan reklam yapmak amacıyla kullandığı gerekçesiyle 3 milyon Euro para cezası verdi.
Detay: Burada ihlale konu olay Iphone cihazlara indirilen video oyun uygulaması açılırken Apple’ın uygulamadaki etkinliklerin izlenmesi için onay ekranının çıkması ancak bu onay verilmemesine rağmen kullanıcılara kişiselleştirilmiş reklam sunulacağına ilişkin çelişkiden kaynaklanıyor.
• Online ödeme sistemi PayPal, hacklendiğini açıkladı.
PayPal’ın raporuna göre ihlalden 34.942 kullanıcı etkilendi; kullanıcıların isimleri, doğum tarihleri, posta adresleri ve sosyal güvenlik numaralarına erişildi. PayPal, hackerlerin ihlalden etkilenen kullanıcıların hesaplarında bir işlem gerçekleştirmediğini iddia ediyor. Ayrıca şirket, ihlalden etkilenen kullanıcılara dolandırıcılık uyarıları, kimlik yenilemeye ilişkin bir hizmete ve kimlik hırsızlığından kaynaklanan harcamaları kapsayan kimlik hırsızlığı sigortasına iki yıllık ücretsiz erişim hizmeti vereceğini açıkladı.
• T-Mobile, Kasım ayı sonlarında ağlarının ihlal edilerek, adresleri, telefon numaraları ve doğum tarihleri de dahil olmak üzere 37 milyon müşterisinin verilerinin çalındığını açıkladı.
Derinlemesine: Yürütülen soruşturmada saldırıya maruz kalan verilerin şifre ve PIN'leri, banka hesapları, kredi kartı bilgileri, Sosyal Güvenlik numaraları veya diğer devlet kimlik bilgilerini içermediği belirtiliyor. Ne var ki bu veri ihlali T-Mobile’ın uğradığı ilk siber güvenlik saldırısı değil, şirket son yıllarda birçok kez saldırıya uğradı. Şirket en son Ağustos 2021’de gerçekleşen saldırıda Sosyal Güvenlik numaraları ve ehliyet bilgileri de dahil olmak üzere kişisel verilerin çalındığının açıklanmasının ardından toplu dava açan müşterilere toplamda 350 milyon Dolar ödemeyi kabul etmişti.
• Arizona Eyaleti başsavcılarının para transferi şirketlerine müşterilerin finansal verilerini vermelerini için birçok mahkeme celbi gönderdiği, bu verilerin devasa bir veritabanında toplandığı ve yüzlerce kolluk kuvveti ve memurun bu verilere erişim sağladığı ortaya çıktı.
Arka Plan: Bu verilerin toplandığı geçen yıl, Senatör Ron Wyden’ın ilgili kurumlarla işbirliği içinde yaptığı soruşturmalar sonucu ortaya çıkmış ancak programın kapsamı ve yasallığı hakkında sorulara cevap verilmemişti. Bunun üzerine Amerikan Sivil Özgürlükler Birliği (ACLU) kamu kayıtları talebinde bulundu, bu talep sonucu 200’den fazla belge elde eden Birlik, bu belgeleri kamuoyuyla paylaştı ve yasadışı olarak yapılan büyük kitlesel gözetim ortaya çıktı. Bu belgelerde düzenlenen mahkeme celplerinin yasadışı olduğu, Western Union’ın bu kayıtları başsavcılığa vermemek üzere dava açtığı ancak mahkeme sürecinden sonra farklı gerekçeyle başsavcılığın bu bilgilere ulaşmak istemesi üzerine verilerin verildiği gibi son derece çarpıcı bilgiler yer alıyor. Ayrıca Western Union, MoneyGram ve diğer finansal hizmetler şirketleri, genellikle banka hesaplarına erişimi olmayan kişilere hizmet verdikleri için bu gözetimin daha fazla risk barındırdığına vurgu yapıldı.
👨👩👧👦 Çocukların kişisel verilerini korumak
ABD başkanı Biden’ın çocuklara yönelik hedefli reklamcılığın tamamen yasaklanmasını da içeren çağrısını haberlerimizde vermiştik. Peki dijitalleşen yaşamda biz yetişkinler dahi kişisel verilerilerimizin mahremiyetini sağlamakta zaman zaman güçlük çekerken çocuklarımızın veri mahremiyetini nasıl sağlayacağız?
Çocuklar, her durum ve koşulda özellikle gelişen teknoloji çağında korunmaya en muhtaç gruplardan birisi. Pek çok ülkenin de çocukların kişisel veri mahremiyetini sağlamak için çeşitli yasal düzenlemelere gittiğini görüyoruz. En son ABD’de “Big Tech” algoritmalarında artan şeffaflık ve hedefli reklamcılık için çocukların kişisel verilerinin toplanmasının yasaklanması hususunda yasa düzenlemesi gündeme geldi.
Peki nedir bu Big Tech?
Teknoloji ve internet sektöründe devleşen ABD menşeli Google, Apple, Amazon, Facebook ve Microsoft'a Big Tech şirketleri diyebiliriz. Bu şirketler tarafından sürekli gerçekleştirilen ve gündemden hiç düşmeyen veri ihlalleri karşısında, ABD’de yapılması planlanan yasanın, bu teknoloji devlerine kişisel verilerin daha güçlü düzenlemelere tabi tutularak ket vurmayı amaçladığı çok açık.
Peki çocuklar tehdit altındalar mı?
Bu sorunun yanıtı tartışmadan uzak: Evet. Gerek bilinç düzeyi gerekse muhakeme yeteneği açısından çocukların kişisel verileri biz yetişkinlere oranla çok daha kolay bir şekilde istismar edilebilir. Günümüzde çocuklarımız teknolojik cihazlarla ve internetle bizden çok daha erken yaşta tanışıyor, bizim belki 15-16 yaşında sadece 1-2 platformla paylaştığımız kişisel verilerimizi çocuklarımız henüz okuma-yazma öğrenmeden onlarca platformla paylaşıyor. Bu platformların birçoğu belki masum ve gerçekten ölçülülük ilkesine uygun olarak kişisel veri işlese de aralarında masum olmayan ve özellikle çocukların gelişmekte olan muhakeme yeteneğini hedef alan, reklam ve tüketim artırma amaçlı olanları da yadsınamaz sayıda.
Yasalar ne diyor?
Çocukların kişisel verilerinin korunmasına ilişkin yasal zemini KVKK ve GDPR açısından ayrı ayrı ele alalım. GDPR, çocuklara ilişkin bir kişisel verinin işlenmesi için 16 yaş baremi bulunyor. Bir çocuk 16 yaşından büyükse kontrol çocukta olurken 16 yaşından küçük çocukların ise vasisi olan kişi tarafından rıza gösterilmesine de müsaade edilmiş. Üye devletlerin bu yaşı 13’e kadar aşağı çekebileceğini de göz ardı etmemek gerekiyor. Bununla birlikte çocukların kişisel verilerinin korunması açısından özel düzenleme bulunmasa da üye devletler GDPR’da belirtilen genel düzenlemeye bağlı. Çocuklara ilişkin kişisel verilerin hatalı olarak işlenmesi durumunda çocukların da düzeltme ve unutulma hakkını kullanabilecekleri anlamına gelir, tıpkı yetişkinler gibi.
KVKK’da ise çocukların kişisel verilerinin korunmasına ilişkin doğrudan bir düzenleme maalesef yok. Yani kanun çocuğun kişisel verilerinin işlenmesi durumunda çocuğun verdiği rızanın geçerli olup olmadığı ya da rızanın kimden alınacağı sorusuna açık bir şekilde cevap vermiyor. Kanunda esas ve usullere ilişkin genel düzenlemeye yer verilmekte ve kural olarak veriler, veri sahibinin açık rızası ile işlenebilmekte. Çocuklar açısından baktığımızda ise Türk Medeni Kanunu başta olmak üzere çeşitli yasal düzenlemelere göre her birey 18 yaşını doldurana kadar çocuk sayılmakta. Durum GDPR’a tabi ülkelerde de hemen hemen böyle olmasına rağmen GDPR, 16 yaş baremini koyarken aslında çocuğun ayırt etme gücüne, yani hak ve yükümlülüklerinin neler olduğunu kavrayıp kavrayamadığı yaşa bir barem çekmek istemiştir. Ülkemizde ise böyle net bir barem olmadığı için uygulamada 17 yıl 10 aydır hayatta olan bir çocuk için dahi veri işleme süreçleriyle ilgili çoğu kez velisine bilgilendirme yapılıyor. Bizce bu eksikliğin bir an önce giderilmesi, çocuklar için doğrudan düzenleme yapılması gerektiği su götürmez bir gerçektir.
Sözün özü!
Bu yüzden çocukların kişisel verilerinin korunmasına önem vermek ve onlar açısından oluşabilecek tüm riskler karşısında önlem almak zaruri oluyor. Bu risklerin taciz, siber zorbalık, uygunsuz materyallere erişim, doğrudan pazarlama gibi sınırlı sayıda olmayan olumsuz durum teşkil ettiği kabul edilirse biz ebeveynlere daha fazla sorumluluk yüklüyor. Bu bilincin gelişmediğinden kabulle, pek çok ülkede çocukların verilerini farkında olmayarak paylaşıldığı kabul ediliyor. Çocukların %50’si karşılarına çıkan gizlilik politikalarını okumuyor, okusalar bile ne olduğunu anlayamıyorlar. Diğer yandan bu gizlilik politikalarının ve veri işlemeye dair bilgilendirme ve rıza metinlerinin çocuğa mı yoksa velisine mi okutulduğu, bunun doğrulamasının nasıl yapıldığı da kesinlikle tartışılmalı ve regüle edilmeli.
Bu durumda kişisel verileri en kolay potansiyel grup çocuklar oluyor. Dijital ortamda ebeveynlerin çocuklara rehberlik etmesi gerekiyor. Konu çocuklar olduğu için somut adımlar atılarak yasal düzenlemelere gidilmeli; bütün insanlığın ortak noktada buluştuğu çocukların veri mahremiyeti ve bu mahremiyetin yasal düzenlemeler ile sağlanmalıdır. Şimdi ise gözler ABD’de bu düzenlemenin yürürlüğe girip girmeyeceğinde.
Kurum'un kitapçığını okuyun, okutun!
Son sözlerimizi söylerken Kişisel Verileri Koruma Kurumu’nun hazırladığı Çocukların Kişisel Verilerinin Korunması Bakımından Dikkat Edilmesi Gerekenler konulu rehber serisine de değinmemek olmaz. Bu rehber, oldukça yalın ve ilgi çekici bir anlatıma sahip olmasıyla bizim epey ilgimizi çekti. Rehber çocukların kişisel verilerinin korunması noktasında çocukların neler yapmaları gerektiğini 3 ayrı kitapçıkta ele alırken ebeveynlerin neler yapmaları gerektiğini 4 ayrı kitapçıkta ele almış. Son olarak çocuklara özel ürün ve hizmet geliştirenler de unutulmamış ve bu kişiler için de çocukların kişisel verilerinin korunması için özel olarak dikkat edilmesi gerekenler bir kitapçıkta toplanmış. Özellikle çocuklar için hazırlanan 3 kitapçık görsellerle de desteklendiği için çocukların ilgiyle okuyacağını düşünüyoruz. Çocuklara özel hazırlanan bu 3 kitapçığı incelemenizi, sonrasında ise bunu çocuklarınızla bir oyun haline getirerek çocuğunuzun benimsemesi için vakit ayırmanızı dileriz.
• Veri Koruma Günü dolayısıyla birçok etkinlik düzenlenirken, farkındalık odaklı sıra dışı bir girişim bu hafta dikkatimizi çekti. Mert Can Boyar'ın mahremiyet meraklılarına özel hazırladığı, katılımcıların eğlenirken öğreneceği farkındalık projesinin detaylarına buradan ulaşabilirsiniz.
• 28 Ocak Veri Koruma Günü kapsamında gerçekleşecek etkinlik önerilerimiz var:
- Kişisel Verileri Koruma Kurumu, 108 Sayılı Sözleşme’nin 42. Yılında Türkiye’de Kişisel Verilerin Korunması konferansı düzenliyor.
- Özyeğin Üniversitesi, "İnsan Hakları, GDPR, Yapay Zeka ile Geleceği Tasarlamak" başlıklı bir seminer düzenliyor.
Bu sayımızı ekip arkadaşlarımızdan Özge, Rumeysa ve Şerife hazırladı. Bir sonraki hafta görüşmek üzere!
Katkılarınızdan ve geri bildirimlerinizden mutluluk duyuyoruz. Bizimle [email protected] adresinden iletişime geçebilirsiniz.
Ayrıca Linkedin, Twitter ve Instagram hesaplarımızı takip edebilir, websitemizi inceleyebilirsiniz.
