• CNIL 30 saniyede bir konum (Geolocation)&nbsp;verisi işlenmesini veri minimizasyonu ilkesine aykırı bularak 125.000 € para cezasına hükmetti&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Fransa Veri Koruma Otoritesi CNIL, 2020 mayıs ayında bir elektrikli scooter şirketi olan Cityscoot’a karşı başlattığı soruşturmayı sonuçlandırarak ilgili veri sorumlusunun hukuka aykırı olarak veri işlediği gerekçesiyle <a fr-original-style="" href="https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000047346903?page=1&pageSize=10&query=2016%252F679&searchField=ALL&searchType=ALL&sortValue=DATE_DECISION_DESC&tab_selection=cnil&typePagination=DEFAULT" style="color: rgb(9, 9, 9); text-decoration: none; background-color: transparent; outline: none; cursor: pointer; transition: color 0.3s ease 0s; touch-action: manipulation; user-select: auto; box-sizing: border-box;" target="_blank">toplamda 125.000 € para cezasına hükmetti</a>.<a fr-original-style="" href="https://gdprhub.eu/index.php?title=CNIL_(France)_-_SAN-2023-003" style="color: rgb(9, 9, 9); text-decoration: none; background-color: transparent; outline: none; cursor: pointer; transition: color 0.3s ease 0s; touch-action: manipulation; user-select: auto; box-sizing: border-box;" target="_blank">Karara konu olayda</a>, Cityscoot’un elektrikli scooterları içinde SIM kartı ve GPS sistemi olan elektrikli bir kutu mevcut. Bu kutu scooter aktif haldeyken her 30 saniyede bir, aktif halde değilken her 15 dakikada bir konum (geolocation) verisi toplanmasını mümkün kılıyor.</blockquote><blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Derinlemesine: Şirket tarafından yapılan savunmada bu verilerin, trafik uyuşmazlıklarını tespit etmek ve olası bir uyuşmazlıkta bu verileri kullanmak, müşteri şikayetlerini değerlendirirken kullanmak, olası bir sorunda kullanıcı desteği sunabilmek ve hırsızlık olaylarına karşın önlem alabilmek amacıyla işlendiğini belirtse de CNIL yaptığı değerlendirmede bu gerekçelerin meşru olduğunu kabul etmekle beraber her 30 saniyede bir veri toplamanın ölçüsüz olduğunu, gerekli olmadığını ve alternatif yöntemlerin mevcut olduğu değerlendirmesinde bulunarak veri sorumlusu Cityscoot’un Genel Veri Koruma Tüzüğü (“GDPR”) m.5/1-(c)’de düzenlenen ve <a fr-original-style="" href="https://aposto.com/s/6429d2f79fdd68000761b7d3" style="color: rgb(9, 9, 9); text-decoration: none; background-color: transparent; outline: none; cursor: pointer; transition: color 0.3s ease 0s; touch-action: manipulation; user-select: auto; box-sizing: border-box;" target="_blank">geçtiğimiz hafta ekip arkadaşımız Ceyda tarafın hazırlanan yazıda</a> etraflıca açıklanan veri minimizasyonu ilkesini ihlal ettiği değerlendirmesinde bulundu.CNIL tarafından verilen cezanın gerekçesi sadece bununla sınırlı değil. Otorite, yapmış olduğu soruşturmada veri sorumlusu şirket ile veri işleyenleri arasında mevcut sözleşme hükümlerini detaylıca işleyerek bu sözleşmelerin pek çoğunun fazlasıyla eksik olduğu ve GDPR 28/3 hükmünde yer alan zorunlu unsurları içermediğini ayrıca Şirket’in internet sitesinde yer <a fr-original-style="" href="https://verinikoru.org/ziyaretciler-ve-cerez-kullanan-veri-sorumlulari-icin-cerez-kullanim-rehberi/" style="color: rgb(9, 9, 9); text-decoration: none; background-color: transparent; outline: none; cursor: pointer; transition: color 0.3s ease 0s; touch-action: manipulation; user-select: auto; box-sizing: border-box;" target="_blank">çerezler</a>in yerel mevzuat gereği açık rıza gerektirdiği ama sitede yer alan çerezler arayüzü ile açık rıza alınmadığı tespitlerinde de bulunmuş.CNIL Bütün bu gerekçelerle veri sorumlusu Cityscoot hakkında toplamda 125.000 € para cezasına hükmetti.</blockquote>

Veri Koruma ve Mahremiyet Gündemi

Kişisel verilerin korunması hukuku kapsamında verilerin işlenmesi sürecinde uyulması ve dikkat edilmesi gereken bazı temel ilkeler var. Bu ilkeler Kişisel Verilerin Korunması Kanunu (“Kanun”) ve Avrupa Genel Veri Koruma Tüzüğü (“Tüzük”) ile ilgili direktiften yararlanılarak verilerin işlenmesinde hukuki sınırların çizilmesi amacıyla belirlenmiştir. Bu kapsamda temel ilkeler başlıca şu şekilde sıralanabilir:<ul fr-original-style="" style="margin-top: 0px; margin-bottom: 1em; list-style-position: inside; box-sizing: border-box;"><li fr-original-style="" style="box-sizing: border-box;">Hukuka ve dürüstlük kurallarına uygun olma,</li><li fr-original-style="" style="box-sizing: border-box;">Doğru ve gerektiğinde güncel olma,</li><li fr-original-style="" style="box-sizing: border-box;">Belirli, açık ve meşru amaçlar için işlenme,</li><li fr-original-style="" style="box-sizing: border-box;">İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,</li><li fr-original-style="" style="box-sizing: border-box;">İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.</li></ul>Bu noktada veri işleyenin en temelde topladığı verileri hukuka ve dürüstlük kuralına uygun olarak saklaması ve işlemesi gerekiyor.&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Veri minimizasyonu ilkesi veri koruma yasalarında temel ilkelerden biri olarak sayılmasa da temel ilkelerin izdüşümü olarak her bir ilkenin ayrılmaz bir parçası niteliğinde karşımıza çıkmakta. Diğer bir deyişle temel ilkelerden herhangi birine aykırılık, esasında veri minimizasyonuna aykırılık yaratabilir. Bu yönde &nbsp;veri işleme sürecinin hukuka uygun ve sağlıklı bir şekilde yürütülebilmesi için gereken en önemli ilkelerden biri olduğu da kabul ebilebilmekte. Ayrıca bu ilke kişisel verileri işlenen gerçek kişiler olarak bizleri de günlük hayatta yakından ilgilendiriyor.</blockquote>Nitekim günlük hayatımızda farkında olmadan da olsa belirli hizmetleri alabilmek adına kişisel verilerimizin toplanmasına ve işlenmesine onay vermekteyiz. Ancak genellikle alınan hizmet ile eş zamanlı olarak verilerimizin işleneceğine dair verdiğimiz onayın hangi verilerimizi kapsadığının bilinci her zaman mevcut olmayabilmekte. Şöyle ki bu temel ilkeler kapsamında, bir verinin gelecekte kullanılabileceği “tahmin edilen” bir veri olması itibariyle elde edilmesi hukuka aykırı olabilecektir. Yani veriyi toplayan ve işleyenlerin o an ihtiyacı olmasa dahi gelecekte ihtiyacı olabileceği tahminine dayanarak fazladan veri toplaması hukuka aykırı bir uygulama olarak karşımıza çıkıyor. Bu noktada ancak veri toplarken belirlenen meşru amaç çerçevesinde veri toplama ve işleme faaliyeti yapılabilecektir.Ölçülülük ilkesi çerçevesinde ise veri minimizasyonu ilkesi temelde iki görünüm olarak ortaya çıkabilmekte. İlk olarak, kişisel veri işleme amacına kişisel veriler elde edilmeksizin, başka bir yöntemle ulaşılabiliyorsa bu yöntem tercih edilmeli. Böylece amaç ve menfaat dışı veri elde etme işlemi yapılmayacak. İkinci olarak veri elde etme gereği kaçınılmaz ise de bu noktada menfaatin dışına çıkılmadan, yalnızca işleme faaliyeti kapsamında gereken verilerin elde edilmesi gerekiyor. Bu kapsamda veri sorumlusunun gereğinden fazla kişisel veri işlemesi veya aktarması yasalara aykırı olmakta.Günlük hayatta veri minimizasyonuGünlük ticari ve sosyal ilişkilerimizde de veri minimizasyonu ilkesinin gerekliliğini çokça hissediyoruz. Örneğin; bazen yapılacak olan ticari faaliyet kapsamında bir kişinin T.C. kimlik numarasına gerek olmasa da bu verinin alındığına şahit oluyoruz. Bu gibi durumlarda söz konusu verinin neden bizden istendiğini sormamız en doğal haklarımızdan birisi. Böylece zaman zaman hassas verilerimizin dahi alınabildiği durumların önüne geçebiliriz.&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Nitekim Finlandiya Veri Koruma Otoritesi incelediği bir kararda çocuğun minyatürleşmiş fotoğrafının anaokulu faturasında yer almasının ödeme veya güvenlik amaçları bakımından gerekli olmadığından bahisle veri minimizasyonu ilkesinin ihlal edildiğine karar verdi.&nbsp;</blockquote>Tüzük’e aykırılık kapsamında bu yönde verilmiş benzer kararlar da bulunuyor.&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Örneğin Litvanya Veri Koruma Kurumu uluslararası olarak finansal operasyon hizmetleri sunan bir şirkete gereğinden fazla toplanan veriyi ihtiyaç duyulandan fazla süreyle sakladığı iddiasıyla yürüttüğü soruşturmada ekran görüntülerinde kişisel verilerin uygunsuz şekilde işlenmesine ilişkin olarak Tüzük’e aykırılıktan ceza verdi.</blockquote>Türkiye'de veri minimizasyonuVeri minimizasyonu ilkesi ülkemizde de Kurul’un özellikle göz önünde bulundurduğu ilkelerden birisi.&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Kurul tarafından incelenen bir olayda işlenme amacından daha fazla kişisel verinin işlenmesinin Kanun m. 5/2-ç altında düzenlenen “Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.”&nbsp;kapsamında değerlendirilemeyeceği ve Kanun m. 4/1-ç uyarınca amaçla bağlılık ve sınırlı/ölçülü olma ilkelerine aykırılık oluşturduğuna karar verildi.</blockquote>Veri sorumluları ne yapmalı?Tüm bu sebeplerle, verileri toplayan ve işleyen veri sorumlusunun amaca hizmet eden, meşru menfaat çerçevesinde ve asgari düzeyde veri toplaması gerekmekte. Bu noktada en az seviyede veri toplamak ve işlemek gerekiyor. Buna ek olarak toplanan verilerin de veri işleme faaliyetiyle sınırlı olacak süreyle, veri sorumlusunun belirlenmiş olduğu politikalar doğrultusunda saklanması ve akabinde de imha edilmesi gerekiyor. Aksi halde verilerin ihtiyaç duyulandan daha fazla süre ile saklanması, veri işlemenin de yasalara aykırı olması sonucunu doğurabilir. Bu bağlamda veri sorumlusunun, verilerin işlendikleri amaçlar göz önünde tutularak, doğru olmayan kişisel verileri gecikmeye mahal vermeksizin silmesi veya düzeltilmesini sağlamasıyla ilgili makul tüm adımları atması bir zorunluluk olarak karşımıza çıkıyor.Bizler ne yapmalıyız?Bizler elbette kişisel verilerimizi işleyen bir şirketin veri minimizasyonu ilkesine uygun hareket edip etmediğini ilk bakışta göremeyebiliriz. Ama bunun bazı ipuçlarını görebiliriz.&nbsp;<blockquote fr-original-style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px;" style="color: rgb(9, 9, 9); border-color: rgb(232, 94, 94); border-width: 4px; font-style: italic; padding-left: 10px; margin: 0px 0px 1em; border-left-style: solid; box-sizing: border-box;">Örneğin bir e-ticaret sayfasına üye olmak istediniz; sizden adınız, soyadınız, e-posta adresiniz ve telefon numaranız dışında ev adresiniz, TC kimlik numaranız gibi bazı ek bilgiler de istendi. Burada biraz sorgulamalı, sadece internet sitesine üyelik yaparken TC kimlik numarası, ev adresi gibi bilgilerin neden alındığını merak etmeliyiz.&nbsp;</blockquote>Sorularımızın cevabı, üyelik formunun genellikle en altında yer alan aydınlatma metinlerinde saklıdır! Eğer aydınlatma metni yoksa o siteden koşarak uzaklaşmanızı öneririz :)&nbsp;Aydınlatma metnini okudunuz, ama pek bir şey anlamadınız; çok normal, üzülmeyin. Genellikle şirketler, bazı kişisel verileri neden toplamak istediklerini bilmediklerinden ya da gerçek amaçlarını sizinle paylaşmak istemediklerinden böyle muğlak, genel ifadelerle dolu ve anlaşılması güç metinler hazırlayabilirler. Bu durumda da ya koşarak uzaklaşmanızı ya da o metni hazırlayan şirketten KVKK'dan kaynaklanan veri sorumlusuna başvuru hakkınızı kullanıp daha fazla detay talep edebilirsiniz.Bu yüzden fiziki ya da online bir form doldururken, telefonda kişisel verilerinizi verirken mutlaka kişisel verilerinizin hangilerini, neden vermekte olduğunuzu önce kendinize sorun. Eğer bazı kişisel verilerinizin toplanmak istemesi size şüpheli ya da nihai amaç için "fazlaca" gelirse; mutlaka aydınlatma metinlerini detaylı olarak inceleyin. İçinize sinmediyse veri sorumlusuna başvurun.&nbsp;Ceyda Macit

Veri minimizasyonu ilkesi veri koruma yasalarında temel ilkelerden biri olarak sayılmasa da temel ilkelerin izdüşümü olarak her bir ilkenin ayrılmaz bir parçası niteliğinde karşımıza çıkmakta. Diğer bir deyişle temel ilkelerden herhangi birine aykırılık, esasında veri minimizasyonuna aykırılık yaratabilir. Bu yönde  veri işleme sürecinin hukuka uygun ve sağlıklı bir şekilde yürütülebilmesi için gereken en önemli ilkelerden biri olduğu da kabul ebilebilmekte. Ayrıca bu ilke kişisel verileri işlenen gerçek kişiler olarak bizleri de günlük hayatta yakından ilgilendiriyor.

veri minimizasyonu ile ilgili hikayeler