Kişisel Verileri Koruma Kurulu, banko ve gişe gibi bitişik düzende hizmet veren kamu ve özel sektör kuruluşlarının, vatandaşların birbirlerinin kişisel verilerini öğrenmesini engelleyecek tedbirler almasını, rızaları olmaksızın kişilerin isim ve iletişim bilgilerini paylaşan internet siteleri ve mobil uygulamaların ise bu faaliyetlerine son vermesini kararlaştırdı. Kurulun "Banko, gişe, masa gibi hizmet alanlarında kişisel verilerin korunması" ile "Rehberlik hizmeti veren internet sitelerinde/uygulamalarda kişisel verilerin korunması" konulu iki kararı, Resmi Gazete'nin 25.01.2018 tarihli sayısında yayımlandı.
"Banko, gişe, masa gibi hizmet alanlarında kişisel verilerin korunması" kararında, banko, gişe ve masa gibi vatandaşa hizmet sunulan alanlarda yaşanan kişisel veri güvenliği ihlallerine ilişkin ihbarlar kapsamında değerlendirme yapıldığı belirtildi.
Uygulamada yaşanan problemlerin önüne geçilmesini teminen, bankacılık ve sağlık sektörleri başta olmak üzere, birden fazla çalışan ile birlikte bitişik düzende hizmet veren posta ve kargo hizmetleri, turizm acenteleri, zincir mağazaların müşteri hizmetleri bölümleri, çeşitli abonelik işlemlerinin yapıldığı kuruluşlar; belediye, vergi ve nüfus ile ilgili işlemler gibi hizmetlerin verildiği kamu ve özel sektör kurum ve kuruluşlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi uyarınca, kişisel verilerin korunması ile ilgili olarak banko, gişe, masa gibi bölümlerde yetkisiz kişilerin bulunmasını önleyecek ve aynı anda birbirlerine yakın konumda hizmet alanların birbirlerinin kişisel verilerini duymasını, görmesini, öğrenmesini veya ele geçirmesini engelleyecek teknik ve idari tedbirleri almasına karar verildiği belirtildi.
İSİM VE NUMARA ÖĞRENEBİLEN SİTELER
Kurulun "Rehberlik hizmeti veren internet sitelerinde/uygulamalarda kişisel verilerin korunması" konulu kararında ise kanun hükümlerine aykırı olarak kişilerin açık rızalarını almaksızın isimden telefon numarası veya numaradan isim sorgulaması şeklinde rehberlik hizmeti veren internet siteleri ve uygulamalara ilişkin kuruma ulaşan ihbar ve şikayetler kapsamında değerlendirme yapıldığı belirtildi.
Kararda, bunun sonucunda, çeşitli uygulamalar, internet siteleri veya sosyal medya üzerinden kişisel verileri toplayarak, bunları paylaşan, isim sorgulandığında telefon numarası bilgisine, numara sorgulandığında da isim bilgisine erişme ve başkalarının telefon rehberinde nasıl kayıtlı olunduğunu öğrenme gibi konularda hizmet veren birçok uygulama ve internet sitesi bulunduğunun belirlendiğine yer verildi.
Kanunda, "kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemin", kişisel verilerin işlenmesi olarak düzenlendiğine dikkat çekildi.
BİR MİLYON LİRAYA KADAR İDARİ PARA CEZASI
Sayılan eylemlerden birinin gerçekleştirilebilmesi için öncelikle kanunun "Kişisel verilerin işlenme şartları" ve "Özel nitelikli kişisel verilerin işlenme şartları" başlıklı 5. ve 6. maddelerinde sayılan eylemlerden birinin bulunması, ayrıca kanunla öngörülen diğer yükümlülüklerin yerine getirilmesi gerektiği ifade edilen kararda, "bu kapsamda, kanunda ve ilgili mevzuatta dayanağı bulunmaksızın ilgili kişilerin iletişim bilgilerinin paylaşımını yapan internet siteleri ve mobil uygulamalar tarafından gerçekleştirilen veri işleme faaliyetinin kanunun 15. maddesinin (7) numaralı fıkrası uyarınca derhal durdurulması gerektiği" belirtildi.
Bu faaliyetlere son verilmediğine ilişkin bilgi edinilmesi halinde bu internet sitelerine/uygulamalara erişimin engellenmesi adına gereğinin yapılmasını teminen yetkili kurumlara başvuruda bulunulacağına yer verilen kararda, kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceği de dikkate alınarak, savcılığa "Verileri hukuka aykırı olarak verme veya ele geçirme" suçu kapsamında bu siteler ve uygulamalar hakkında ihbarda bulunulacağı kaydedildi.
Resmi Gazete'de yayınlanan kararda, "Kişisel Verileri Koruma Kurulu’nun ilke kararına uymayanlar hakkında 25.000 TL Türk Lirası'ndan 1.000.000 Türk Lirası'na kadar idari yaptırım uygulanmaktadır." denildi.