KVKK, 49 bin ihbar ve başvurunun yüzde 96'sını sonuçlandırdı

Veri güvenliği ve kişisel mahremiyetin öneminin arttığı dijital çağda, vatandaşların kişisel verilerinin işlenmesi ve paylaşılmasıyla ilgili başvuruları dikkatle inceleniyor.

AA muhabirinin aldığı bilgilere göre, Kişisel Verileri Koruma Kurumu (KVKK), 8 yıldan bu yana vatandaşlardan gelen 49 bin 19 ihbar, şikayet ve başvuruyu değerlendirdi.

Başvurulardan 47 bin 294'ünü sonuçlandıran kurum, yapılan incelemeler sonucunda çeşitli kişi veya kurumlara 1 milyar 24 milyon 786 bin liralık idari para cezası kesti.

Bugüne kadar farklı sektörlerden 1669 şirketin verilerinin ihlal edildiğini bildirdiği kurum, bu şirketlerden 361'ini kamuoyuna ilan etti, diğer devlet kurumlarına 1241 hukuki görüş verildi.

Türkiye'deki veri sorumluları ile yurt dışındaki muhatapları arasında güvenli veri paylaşımını sağlamak amacıyla "taahhütname" ve "standart sözleşme" uygulamaları devreye giriyor.

Verilerin yurt dışına aktarımı konusunda 13 taahhütname onaylandı, 2 bin 48 standart sözleşme KVKK'ye bildirildi.

Sınır ötesi veri akışının giderek arttığı dijital çağda, bu iki yöntem hem uluslararası ticaretin gerekliliklerini hem de kişisel veri güvenliğini dengelemeye yardımcı oluyor.

Şikayetlerin çoğu "hukuka aykırı veri işleme" kaynaklı

Kuruma en fazla iletilen şikayetlerin "hukuka aykırı veri işleme" ve "hukuka aykırı paylaşım" gerekçeleriyle yapıldığı, bunu "veri sorumlusu tarafından taleplerin yerine getirilmemesi", "unutulma hakkı" ve "aydınlatma yükümlülüğü ihlali" konularının takip ettiği belirlendi.

Vatandaşlar kuruma doğrudan şikayette bulunmadan önce veri sorumlusuna başvurarak süreci başlatıyor. Bu adım atlanarak yapılan şikayetler usul şartı eksikliği nedeniyle reddediliyor.

Başvurunun yapıldığına dair belge sunulmaması, veri sorumlusundan gelen cevabın dilekçeye eklenmemesi veya ilgili bilgi ve belgelerin başvuruya dahil edilmemesi bu kapsamda en sık yapılan hatalar arasında yer alıyor.

Vatandaşlar başvurularını, yazılı dilekçeyle veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza, veri sorumlusunun sisteminde kayıtlı elektronik posta adresi gibi yollarla iletebiliyor. Başvuru formunda adı, soyadı, TC kimlik numarası, adres, iletişim bilgileri ve talep konusu zorunlu alanlar arasında bulunuyor.

KVKK, Kişisel Verilerin Korunması Kanunu'nun 15. maddesi uyarınca yalnızca şikayet üzerine değil, ihlal iddiasını öğrenmesi durumunda da resen inceleme başlatabiliyor.

Kurum, resen inceleme kararı verirken ihlalin kaç kişiyi etkilediği, bu kişilerin çocuk mu yetişkin mi olduğu, etkilenen verinin niteliği (özel-genel veri), mağdurların durumdan haberdar olup olmadığı ve oluşan maddi veya manevi zararın boyutu gibi kriterleri göz önünde bulunduruyor.

KVKK tarafından uygulanan idari para cezalarında, Kabahatler Kanunu'nun 17. maddesinde yer alan kriterlere göre, ihlalin yaygınlığı, veri kategorisi, zarar boyutu, sürekliliği, failin kusur durumu ve ekonomik büyüklüğü gibi birçok etken dikkate alınıyor.

"Veri güvenliğinin sağlanmasında 'insan faktörü' büyük önem taşıyor"

Kişisel Verileri Koruma Kurumu (KVKK) Başkanı Prof. Dr. Faruk Bilir, AA muhabirine, kişisel verilerin güvenliğinin sağlanabilmesi için kurum ve kuruluşların yalnızca teknik değil, aynı zamanda idari önlemleri de etkin şekilde uygulaması gerektiğini söyledi.

Bilir, kişisel verilerin güvenliğinin gerekli idari ve teknik tedbirlerin alınmasını sağlayan veri koruma politikalarının uygulanmasıyla mümkün olduğunu, bu politikalarda tasarımdan itibaren güvenlik ilkesinin gözetilmesinin, bilişim teknolojilerinin tasarımı ve kullanımında mahremiyetin odak noktası olarak ele alınmasının ve siber saldırılara karşı proaktif bir yaklaşım sergilenmesinin ciddiyetle ele alınması gerektiğini belirtti.

Etkin ve güçlü bir siber güvenlik anlayışının kişisel veri güvenliğinin sağlanmasında önemli bir rol oynadığını dikkati çeken Bilir, veri paylaşımının güvenli altyapılar üzerinden gerçekleştirilmesinin şirket, kurum ve kuruluşlarda, kurumsal siber güvenlik kültürünün yerleştirilmesi açısından son derece önem taşıdığını vurguladı.

KVKK Başkanı Bilir, bir başka önemli idari tedbirin, erişim kontrolü ve yetkilendirme süreçleri olduğunun altını çizerek, "Verilerin kimler tarafından erişilebilir olduğunu belirlemek, veri güvenliğinin temel taşlarından biridir. Yetkisiz erişimleri önlemek için her kullanıcının yalnızca görev tanımına uygun verilere erişmesi sağlanmalıdır. Bu tür önlemler, veri güvenliğini riske atabilecek insan kaynaklı hataların önüne geçilmesinde etkili olmaktadır." diye konuştu.

Veri ihlallerinin çoğunun bireysel hatalardan kaynaklandığına işaret eden Bilir, veri güvenliğinin sağlanmasında teknik tedbirlerin yanı sıra insan faktörünün de büyük önem taşıdığını belirtti.

Bilir, veri ihlallerinin hatırı sayılır bir kısmının bireysel hatalardan kaynaklanmasının bu alanda insan faktörünün rolünü ortaya koyduğundan bahsederek, kişisel veriler konusunda farkındalık ve bilgilendirme çalışmalarının yapılmasının son derece önem taşıdığını sözlerine ekledi.