Kamunun Vatandaşın Verisini Koruma Yükümlülüğü
Türkiye’de resmi makamlarda bir nedenle kaydı bulunan TC vatandaşı olan ve olmayan yaklaşık 108 milyon kişinin adres, TC kimlik numarası, GSM numarası ve bazı finansal verileri gibi kişisel verilerinin çalındığı ve bir bölümünün internet sitelerinde yayınlandığı, ücret ödeyen abonelere ise daha fazla detay içeren verilere ulaşma imkanı verildiği haberleri birkaç gün önce birçok basın organında yer aldı. Aynı haberlerde çalınan verilerin Google sunucularında barındırıldığı için BTK’nın Google dan hem veriye erişimin engellenmesi hem de veriyi yükleyenlerin IP bilgilerinin verilmesi için yardım istediği de belirtildi. Haberlerin üzerine Ulaştırma ve Altyapı Bakanı Abdulkadir Uraloğlu tarafında bu verilerin pandemi sürecinde ele geçirilen veriler olduğu açıklaması yapıldı. Hemen sonrasında Cumhurbaşkanlığı Dezenformasyon Merkezi, Uraloğlu’nun sözlerinin çarpıtıldığını, sızdırılmış veri olmadığını ve Google dan da bu konuda destek istenmediğini bildiren bir açıklama yaptı. Anlaşıldığı kadarıyla verinin çalındığı kesin, ancak pandemi sırasında mı yoksa yeni mi çalındığı konusunda bir belirsizlik var.
Aslında verinin ne zaman çalındığından bağımsız olarak çalınmasının ardından kamu görevlilerince yapılmış olması gereken iş ve işlemleri hem Türk Ceza Kanunu hem de Kişisel verilerin korunması mevzuatı açısından ele almak gerekir. Bu olayda maalesef görünen o ki kamu görevlileri her iki kanun açısından da yükümlülüklerini yerine getirmemişlerdir.
Türk Ceza Kanunu açısından konu incelendiğinde TCK 243 -244. Maddeleri gereği bilişim sistemine hukuka aykırı olarak giren ve buradaki verileri değiştiren kişiler 6 aydan iki yıla kadar, bir kamu kurumunun verisini bir başka yere aktaran ve bundan menfaat elde eden kişiler 6 yıla kadar hapis cezası ile cezalandırılırlar. Vatandaş verilerini kamu sunucularından çalarak satan kişilerin bu suçları işledikleri açıktır. TCK 279. Maddesi gereği Kamu adına soruşturma ve kovuşturmayı gerektiren bir suçun işlendiğini göreviyle bağlantılı olarak öğrenip de yetkili makamlara bildirimde bulunmayı ihmal eden veya bu hususta gecikme gösteren kamu görevlisi, altı aydan iki yıla kadar hapis cezası ile cezalandırılır. Bu nedenle sayın Bakan tarafından pandemi sırasında işlendiği belirtilen bu suçla ilgili hangi kamu görevlilerinin hangi yetkili makamlara bildirimde bulunduğunun, bu konuyla ilgili herhangi bir soruşturma veya kovuşturma başlatılıp başlatılmadığının belirlenmesi, ihmali olan kamu görevlilerinin cezalandırılması gerekir.
Kişisel verilerin korunması mevzuatı açısından bu veriler gerçek kişilere ilişkin veriler olduklarından bu bir kişisel veri ihlalidir. Türk vatandaşları açısından 6698 sayılı Kişisel Verilerin Korunması Kanunu gereği verilerin üçüncü kişiler tarafından hukuka aykırı yollarla elde edilmesi hâlinde, veri sorumlusunun ihlali ilgili kişiye bildirmesi ve durumu en kısa sürede Kurul’a bildirmesi gerekmektedir. Kişisel Verileri Koruma Kurulu, bu mevzuat çerçevesinde veri sorumlusunun, ihlali öğrendiği tarihten itibaren derhal ve en geç 72 saat içinde Kurul’a bildirimde bulunmak zorunda olduğu ve söz konusu ihlalin gerektiği takdirde resmi internet sitesinde veya uygun göreceği başka bir yolla ilan edileceği yönünde bir karar almıştır. Kurulun sayfasında her ay bir çok veri ihlali duyurusu yayınlanmakta ve bu düzenlemelere uymayan veri sorumlularında çok ciddi cezalar uygulanmaktadır. Kişisel verilerin korunması mevzuatı veri sorumlusunu tanımlarken kamu veya özel hukuk kişileri arasında ayrım yapmamıştır. Dolayısıyla kamu adına vatandaşların verisini işleyen kamu kurumları da veri sorumlusudurlar ve diğer veri sorumluları ile aynı yükümlülüklere sahiptirler. Bu nedenle bu tür bir ihlal gerçekleştikten sonra 72 saat içerisinde çalınan verileri işleyen kamu kurumunun ihlali hem Kurul’a hem de tüm vatandaşlara bildirmesi gerekmektedir. Sayın Bakan’ın veri ihlalinin pandemi sırasında olduğu yönündeki açıklaması dikkate alındığında, böyle bir bildirimin süresi içerisinde yapılmadığı açıktır. Bu açıdan da verileri işleyen kamu kurumunda bu konudan sorumlu kişinin bu bildirimde bulunmaması ile ilgili yasal işlem yapılması gerekir.
Bu yazı ilk olarak 16 Eylül 2024 tarihinde LinkedIn’de yayımlanmıştır: Kamunun Vatandaşın Verisini Koruma Yükümlülüğü
