Kişisel Verileri Koruma Kurulu, kamu kurumlarının internet sitelerinde yayımladığı sınav sonuçları, mülakat listeleri, personel duyuruları ve başvuru belgelerindeki kişisel veriler için yeni kurallar belirledi. Resmî Gazete’de yayımlanan ilke kararına göre hukuki dayanağı bulunmayan veriler kaldırılacak, paylaşılması zorunlu bilgiler maskelenecek ve belgeler gerekli sürenin sonunda erişime kapatılacak.
Yalnızca zorunlu bilgiler paylaşılabilecek
Belediyeler, üniversiteler, il özel idareleri ve diğer kamu kurumları, internet ortamında kişisel veri yayımlamadan önce paylaşımın hukuki dayanağını belirleyecek. Geçerli bir veri işleme şartı bulunmayan bilgiler kurumların internet sitelerinde yayımlanamayacak.
Paylaşımın hukuki dayanağı bulunsa bile yalnızca duyurunun amacına ulaşması için gerekli olan asgari düzeydeki kişisel verilere yer verilecek. Amacın gerçekleştirilmesi için gerekli olmayan bilgiler listelerden ve belgelerden çıkarılacak.
Sınav ve mülakat listeleri yeniden düzenlenecek
Sınav sonuçları, işe alım ilanları, mülakat listeleri ve personel duyurularında adaylara ait kişisel veriler açık şekilde yayımlanamayacak. Kurumlar, gerekli durumlarda başvuru veya aday numarası gibi daha sınırlı bilgiler üzerinden sonuç açıklayabilecek.
KPSS puanı, öğrenci numarası, mezun olunan okul, başvurulan pozisyon, doğru ve yanlış sayıları, başarı puanı ile asil ve yedek aday bilgileri de kişisel veri işleme kurallarına uygun biçimde paylaşılacak. Başvurunun reddedilme veya sınava alınmama gerekçeleri gibi bilgilerin de herkese açık şekilde yayımlanması sınırlandırılacak.
Kimlik ve iletişim bilgileri açık bırakılamayacak
Kurulun incelemelerinde bazı kamu kurumlarının internet sitelerinde ad ve soyadın yanı sıra anne ve baba adı, doğum tarihi, doğum yeri, T.C. kimlik numarası, adres, telefon numarası ve imza gibi bilgilere yer verildiği belirlendi.
Meslek, unvan, görev yeri, sicil numarası, çalışılan birim, askerlik durumu, sağlık bilgileri, disiplin kayıtları, vergi numarası ve araç plakası gibi verilerin de yayımlandığı tespit edildi. Yeni kararla bu bilgilerin hukuki dayanak olmadan açık şekilde paylaşılmasının önüne geçilmesi amaçlanıyor.
Zorunlu bilgiler maskelenerek yayımlanacak
Bir belgenin yayımlanması zorunluysa kişisel verilerin tamamı görünür biçimde paylaşılmayacak. Kurumlar maskeleme, anonimleştirme, erişimi sınırlandırma veya benzeri koruma yöntemleri uygulayacak.
Bu kapsamda kimlik numarası, telefon, adres ve aday numarası gibi bilgiler kısmen kapatılabilecek. Sonuçların yalnızca ilgili kişinin erişebileceği güvenli sistemler üzerinden açıklanması da kullanılabilecek yöntemler arasında yer alacak.
Belgeler internet sitelerinde süresiz kalamayacak
Kişisel veri içeren duyuru ve belgeler belirsiz süreyle erişime açık bırakılamayacak. Kamu kurumları, paylaşımların internet sitesinde ne kadar süre tutulacağını önceden belirleyecek.
Belirlenen sürenin tamamlanmasının ardından belgeler kaldırılacak, erişime kapatılacak veya içindeki kişisel bilgiler maskelenecek. Böylece kişisel verilerin yalnızca gerekli olduğu süre boyunca muhafaza edilmesi sağlanacak.
Eski duyurular da gözden geçirilecek
Kamu kurumları yalnızca yeni yayımlayacakları belgeleri değil, internet sitelerinde geçmiş yıllardan kalan duyuru ve listeleri de inceleyecek. Hukuki dayanağı bulunmayan veya veri minimizasyonu ilkesine uymayan içerikler kaldırılacak.
Yayımlanmaya devam etmesi gereken belgelerde kişisel bilgiler kapatılacak veya belgelere erişim sınırlandırılacak. Kurumların internet sitelerindeki arşivlerin de düzenli olarak kontrol edilmesi gerekecek.
Kurumlara teknik tedbir ve personel eğitimi yükümlülüğü
Kamu kurumları, internet ortamındaki kişisel verilerin korunması için gerekli teknik ve idari tedbirleri almakla yükümlü olacak. İnternet sitelerinin düzenli kontrol edilmesi ve gereksiz veri paylaşımını önleyecek sistemlerin oluşturulması istenecek.
Veri paylaşım süreçlerinde görev alan personele Kişisel Verilerin Korunması Kanunu hakkında eğitim verilecek. Çalışanların kişisel verilerin yayımlanması sırasında dikkat etmesi gereken konularda bilinçlendirilmesi sağlanacak.
Kurallara uymayan kurumlara yaptırım uygulanabilecek
Kişisel Verileri Koruma Kurulu, ilke kararında belirtilen önlemleri almayan kurumlar hakkında inceleme başlatabilecek. Yükümlülüklerini yerine getirmeyen veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi kapsamında işlem yapılabilecek.
Kurulun oybirliğiyle aldığı karar, Resmî Gazete ile Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlandı. Düzenlemeyle kamu kurumlarının sonuç, duyuru ve mülakat listelerinde daha sınırlı ve güvenli kişisel veri paylaşması hedefleniyor.
