YURT DIŞINA KİŞİSEL VERİLERİN AKTARIMI | Veri Koruma Hukuku
Olay İncelemeVeri Koruma Hukuku
Yazar Melih R. Çalıkoğlu Ağustos 24, 2019
tarafından yazılmıştır Melih R. Çalıkoğlu Ağustos 24, 2019
Veri güvenliği ticari yaşamın en kritik ve en çok can yakan konularından birisi haline geldi. Bilginin toplumsal olan her şeyi belirlediği bilgi toplumunda yaşayan bizler için bu artık kaçınılmaz bir gerçeklik. Verinin bilgi ve iletişim teknolojilerindeki inanılmaz gelişmelerle işlenmesi neredeyse zamandan ve mekandan bağımsız hale geldi diyebiliriz. Bu bir yandan ticari sektörlerin verimliliklerine ve karlılıklarına benzersiz katkılar yaparken, bir yandan da aynı ölçüde büyük riskler doğuran bir durum.
Gün geçmiyor ki dünyanın farklı yerlerinden küçük veya büyük veri güvenliği ihlallerine ilişkin bir haber duymayalım. Bunların en sonuncusu verikorumahukuku.org blogunda da haberi (link) yayımlanan, aralarında bir Türk kuruluşun da bulunduğu onlarca farklı ülkeden birçok kuruluşun 28 milyon kişisel verisinin erişilebilir kılınması ve güvenliklerinin ihlal edilmesi oldu. Gelin birlikte ne tür dersler çıkarabileceğimize bakmak için bu olayı yasal boyutuyla incelemeye çalışalım.
Olay; tüm dünyadan kuruluşlar için bina güvenlik hizmetleri sunun BioStar 2 yazılımının hizmet verdiği kuruluşların verilerinin tutulduğu veri bankasına internet üzerinden hiçbir güvenlik önlemi olmadan açıkça erişilebildiğinin anlaşılması ile ortaya çıktı. Olayın detaylarını verikorumahukuku.org adresinden öğrenebilirsiniz. Olayın detaylarını oradan öğrendiğinizi varsayarak ortaya çıkan riskin büyüklüğünü anlamamıza yardımcı olması amacıyla üç konuya odaklanalım;
Milyonlarca kişinin kişisel verilerinden oluşan 28 milyon verinin korumasız bırakılması,
Bu veriler arasında özellikle parmak izi ve yüz tanıma gibi özel nitelikli olan kişisel verilerin bulunması,
Veri işleyen kuruluş olan Suprema firmasının topladığı veriler için yeterli güvenlik önlemlerini almamış olması.
İnternet güvenliği üzerine çalışan araştırmacıların fark ettiği ve verilerin hiç bir güvenlik önlemi olmadan açıkta erişilebilir durumda bırakılmasının, kötü niyetli insanlar tarafından daha önce fark edilip edilmediğini, milyonlarca insanın özel nitelikli verilerinin kara borsaya düşüp düşmediğini bilmiyoruz. Ama ülkemizde yürürlükte olan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVK Kanunu, KVK) ve Avrupa Birliği’ne ait Genel Veri Güvenliği Regülasyonu (GDPR) açısından, sadece veri güvenliğinin ihlal edilmesi riskinin bulunmasının dahi kuruluşları sorumluluk altında bıraktığını belirtelim. (AB normlar hiyerarşisinde ikincil düzenlemelerin en üstünde yer alan Regülasyonların ülkemizde kanunun da altında yer alan tüzükle veya onunda altında yer alan yönetmelik ile özdeşleştirilmesinin yanlış olduğuna ilişkin düşüncemizi buraya not edelim.)
Kim Hangi Rolde?
Blogdan da okuyacağınız üzere; bina ve site güvenliği için kullanılan BioStar 2 yazılımını kullanarak verilerini Güney Kore’de bulunan sunucuya yükleyen kuruluşlar arasında bir Türk kuruluşu da var. Ortaya çıkan risk ve -eğer yaşandıysa- veri güvenliği ihlali durumunda kimin sorumlu olduğunu anlayabilmek için kişisel veri güvenliği bakımından rol tanımlarına bakmamız gerekiyor. Veri söz konusu olduğunda üç farklı rolle karşılaşıyoruz. KVK Kanunu’nda tanımlandığı şekliyle (m.3);
Veri İlgilisi: Kişisel verinin sahibi olan gerçek kişi
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri
işleyen gerçek veya tüzel kişiyi ifade eder.
Olayımızda bu veriyi kendi amaçları için kullanan, aralarında bir Türk kuruluşunun da olduğu, BioStar 2 kullanıcısı tüm kuruluşlar veri sorumlusu oluyor. BioStar 2’nin veri bankasında genel ve özel nitelikli kişisel verileri işlenen tüm gerçek kişiler ise veri ilgililerini oluşturuyor. Veri İşleyen ise dünya genelinde farklı kuruluşlara çevrimiçi hizmet sunan Suprema isimli Güney Kore şirketi oluyor.
Kim Ne Kadar Sorumlu?
Gerek Avrupa Birliği’ne ait GDPR ve gerekse Avrupa Birliği adaylık süreci çerçevesinde bu düzenlemeye uyum sağlayabilmek için ülkemizde yayımlanan KVK’nın tek amacı veri ilgilisinin yani verinin sahibi olan gerçek kişinin çıkarlarını en etkili şekilde korumaktır. Yasa kişisel verilerle ilgili topladığı kişisel verileri kendi amaçları için kullanan veri sorumlularını asli sorumlu olarak belirlemiştir. Veri işleyenin bir başka kuruluş veya kişi olması – bu durumda Güney Koreli firma- veri sorumlusunun bu yükümlülüğünü ortadan kaldırmaz. Nitekim veri sorumlusu kullandığı verileri hizmet alımı yoluyla paylaştığı veri işleyen kuruluşların yeterli güvenlik önlemlerini aldığını kesin olarak garanti altına almak zorundadır. KVK Kanunu madde 12’de veri sorumlusunun veri güvenliğine ilişkin yükümlülüklerini şöyle sıralar:
Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Yine aynı madde veri sorumlusunun uhdesinde bulundurduğu kişisel verileri gerçek veya tüzel kişilerle paylaşması durumunda yukarıda sayılan tedbirlerin aynı şekilde uygulandığından emin olmasını şart koşar. Bu tedbirlerin alınmamış olması veri sorumlusunu özellikle tehlike sorumluluğu bakımından veri işleyenle birlikte müştereken sorumlu olma durumunda bırakacaktır.
Olayımızda kişisel verilerin korunması için gerekli önlemleri almadığı görülen -öne sürülen- Güney Koreli firmanın bu kusuru, kaçınılmaz olarak gerekli teknik ve idari önlemleri aldığını garanti altına almak zorunda olan Türk kuruluşunu da müşterek sorumluluk altında bırakmaktadır.
GDPR bu konuda KVK’dan daha katı yükümlülükler getirir ve Veri Sorumlusunun verilerini emanet etttiği Veri İşleyen ile mutlak surette bir “veri koruma sözleşmesi” imzalamasını şart koşar. Bu anlaşmanın yapılmamış olması bile söz konusu Güney Koreli Veri İşleyen ile çalışan Veri Sorumlularını yasal olarak yükümlülük altına sokmaktadır. Tam bu noktada Türk veri sorumlularının da tuttukları kişisel veriler arasında Avrupa Birliği’nde oturan gerçek kişilerin verileri varsa GDPR bağlamında Avrupa Birliği tarafından da sorumlu tutulacaklarını da bir not olarak ifade edelim.
Türk kuruluşları açısından bir başka önemli konu ise örnek olayda olduğu gibi kişisel verilerin Güney Kore’ye yani yurt dışına aktarılıyor olmasıdır. GDPR’ın veri sorumluları ile veri işleyenler arasındaki her türlü iş ilişkisinde şart koştuğu “veri koruma sözleşmesi”nin KVK’da bulunmamasına rağmen eğer kişisel veriler yurt dışına aktarılıyor ise yasanın daha somut önlemler alınmasını beklediğini belirtelim.
Nitekim KVK’nın 9. maddesine göre yurt dışına veri aktaracak olan Türkiye menşeli kuruluşların bunu yapabilmeleri için mutlaka veri ilgilisini kişisel verilerinin yurt dışına aktarılacağı konusunda bilgilendirmeleri ve bu hususta “açık rıza”larını almaları beklenmektedir. KVK veri ilgilisinin “açık rızası” bulunmadan yabancı bir ülkeye veri aktarılabilmesi için verinin aktarılacağı ülkede, yeterli koruma bulunmasını şart koşmaktadır.
Hangi ülkenin veya bölgenin yeterli korumaya sahip olduğuna ülkelerin yetkili kurulları karar vermektedir. Avrupa Birliği’nde Avrupa Veri Koruma Kurulu (EDPB) düzenli olarak hangi ülkelerin yeterli korumaya sahip ülke olarak sayıldığını belirlemekte ve ilan etmektedir. Şubat 2019 itibariyle bu tam yeterliliğe sahip olduğu ilan edilen ülkeler Andorra, Arjantin, Guernsey, Man Adası, İsrail, Jersey, Yeni Zelanda, İsviçre, Uruguay iken Japonya, ABD ve Kanada kısmen yeterli olarak ilan edilmiştir.
Türkiye’de ise KVK kapsamında hangi ülkelerin yeterli korumanın bulunduğu ülke olacağı ile ilgili karar verecek olan merci Kişisel Verileri Koruma Kurumu’dur (KVKK). Kurum yayınladığı rehberlerde yeterli korumaya sahip ülkeleri nasıl belirleyeceğine ilişkin süreçleri tanımlamış olmakla beraber bu konuda bugüne kadar bağlayıcı bir karar almadı.
Yeterlilik kararları mevcut olmadığından şu anda tüm dünya ülkelerini “yeterli korumaya sahip olmayan” ülke olarak kabul etmek gerekecektir. Olayımızda Türk kuruluşunun verileri aktardığı Güney Kore firmasına kişisel verileri aktarabilmesi için ya her bir gerçek kişinin “açık rızası”nı almış olması ya da ilgili kuruluşla bir veri koruma sözleşmesi imzalaması ve Kurum’dan veri aktarımı için izin almış olması yeterli olacaktı. Bunların varlığı şüphesiz ki yaşanan olayda Türk kuruluşunun karşılaşabileceği yasal riskleri minimuma indirmesine yardım edecektir.
İş hayatında yüzlerce farklı sektörde onbinlerce kuruluşun gündelik faaliyetleri dikkate alındığında BioStar 2 olayında yaşanana benzer bir durumun hemen hemen her gün yaşandığını veya yaşanabileceğini söylemek çok da zor olmasa gerek. Kuruluşlarımızın benzer durumlarla karşılaşmaması kısaca için şunları önerebiliriz:
Kişisel Veri Güvenliği Yönetimi konusunu ciddiye alın. KVK Kanunu ve/veya GDPR’dan kaynaklanan yükümlülükleriniz internet sitenize koyacağınız kopyala, yapıştır yöntemiyle edindiğiniz bir “aydınlatma metni” ve “açık rıza” onay kutucuğundan daha karmaşık, çalışma ve iş modelinizi ve süreçlerinizi yeniden düzenlemenizi gerektirecek ciddi bir konu olduğunu biliniz.
Veri Sorumlusu olarak kaçınılmaz olarak işiniz gereği verilerinizi üçüncü taraflarla yani veri işleyenlerle paylaşmanız gerekmektedir veya gerekecektir. Kendi kişisel veri yönetiminizin KVK Kanunu ve/veya GDPR’a uyumlu hale getirmeniz kadar verilerinizi transfer ettiğiniz bu gerçek veya tüzel kişilerin de aynı sıkı standart ve şartları sağladığından, gerekli idari ve teknik önlemleri aldığınızdan emin olun. Bu konuda GDPR’da öngörülen ayrı bir “veri koruma sözleşmesi” hazırlamanızı, sözleşmeye hangi idari ve teknik önlemlerin alınacağı konusunda veri işleyenin sorumluluklarını net bir şekilde tanımlamanız “veri koruma sözlemesi”ni henüz Türkiye’de yasal olarak şart olmamakla birlikte kurumsal riskleriniz azaltabilecek önemli bir çözüm olarak görebilirsiniz.
Verilerinizi BioStar 2 gibi yurt dışındaki kuruluşlara transfer etmeniz durumunda, kişisel verilerini kullandığınız gerçek kişilere bu durumu net bir şekilde ifade ederek, verilerinin yurt dışına transfer edilmesi konusunda “açık rıza”larını almayı ihmal etmeyiniz. Eğer GDPR kapsamında iseniz -örneğin Avrupalı misafirleri ağırlayan bir otel veya rezervasyon yapan bir turizm şirketi gibi – Avrupa Birliği’nin yeterli ülkeler listesini ve yeterli sayılmayan ülkelerle ilgili uyulması gereken kuralları dikkate alınız. KVK kapsamında ise veri sorumlusu olarak veri işleyen gerçek veya tüzel kişi ile sorumlulukları, idari ve teknik önlemleri kapsayan bir “veri koruma sözlemesi” yapmanız, ayrıca yurt dışına veri aktarımı yapmadan önce KVKK iznini almanız yararınıza olacaktır. Bunun bir alternatifi ise aktaracağınız kişisel verilerin sahibi olan veri ilgililerinin tamamından “açık rıza”larını almak olacaktır.