Lisanssız Yazılım Kullanımının KVKK ve Veri Güvenliği Riskleri

Lisanssız Yazılımın 6698 Sayılı Kanun Kapsamındaki Yeri

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun incelenen maddelerinde lisanssız yazılım kullanımı adı altında bağımsız bir ihlal tipi yer almamaktadır. Bununla birlikte veri sorumlusunun Kanun'un 12. maddesi çerçevesinde almakla yükümlü olduğu teknik ve idari tedbirlerin lisanssız kullanım nedeniyle zayıflaması, kişisel verilerin korunması mevzuatı açısından güvenlik riski doğurabilir.

6698 sayılı Kanun'un 3. maddesinin birinci fıkrasının (ı) bendi uyarınca veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

Veri Güvenliğini Sağlama ve Denetim Yükümlülüğü

6698 sayılı Kanun'un 12. maddesinin birinci fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.

Veri sorumlusu, kendi kurum veya kuruluşunda 6698 sayılı Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Kişisel Veri Güvenliğine İlişkin Teknik ve İdari Tedbir Ölçütleri

Kişisel verilerin güvenliğinin temini bağlamında yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, log kayıtları, veri yedekleme, güvenlik duvarı, güncel antivirüs sistemleri ve anahtar yönetimi teknik tedbirler arasında sayılmaktadır. Kanun'un 12. maddesi gerekli teknik ve idari tedbirlerin alınmasını zorunlu kılmakla birlikte bu tedbirleri tek tek saymamaktadır; söz konusu liste Kurul'un rehber çalışmalarına dayanmaktadır.

Bilişim sistemlerinde hangi yazılım ve servislerin çalıştığının kontrol edilmesi, olağan dışı hareketlerin belirlenmesi, kullanıcı işlem hareketlerinin düzenli loglanması, güvenlik sorunlarının hızla raporlanması ile bilinen güvenlik açıklarına karşı periyodik zaafiyet taramaları ve sızma testleri yapılması teknik güvenlik gereksinimleri arasında değerlendirilmektedir. Bu ölçütler m. 12'de tek tek sayılmayıp Kurul'un yayımladığı rehber çalışmalarında yer almaktadır.

İdari tedbirler kapsamında ise sözleşmeler, gizlilik taahhütnameleri, kurumsal politikalar, rastgele veya periyodik denetimler ile risk analizleri veri güvenliği yönetiminin parçası olarak uygulanmaktadır. Bu unsurlar da Kurul rehber çalışmalarında yer almakta olup doğrudan m. 12/3'ün denetim hükmünden türetilmemektedir.

Veri İşleyenlerin Müşterek Sorumluluğu ve Bildirim Süreçleri

Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde veri sorumlusu, Kanun'un 12. maddesinin birinci fıkrasında belirtilen teknik ve idari tedbirlerin alınması hususunda veri işleyenlerle birlikte müştereken sorumludur.

Kurul'un veri ihlali bildirime ilişkin duyurusunda, veri işleyen nezdinde bulunan kişisel verilerin kanuni olmayan yollarla elde edilmesi durumunda veri işleyenin bunu gecikmeksizin veri sorumlusuna bildirmesi gerektiği belirtilmektedir. Bu yükümlülük Kanun'un 12. maddesinde ayrıca düzenlenmemiş olup söz konusu duyurunun metnine doğrudan erişim sağlanamamıştır.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu, 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası gereğince en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir. Kanun bildirim süresi olarak 'en kısa süre' ölçütünü benimsemiştir; Kurul duyurularına dayalı idari uygulamada ise haklı bir gerekçe bulunmadıkça bildirimin 72 saat içinde yapılması arandığı belirtilmektedir, ancak bu ölçütün dayandığı duyurunun metnine doğrudan erişim sağlanamamıştır.

Kişisel Verileri Koruma Kurulu, söz konusu veri ihlali bildirimini gerekmesi halinde kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.

Kişisel Verileri Koruma Kurulunun İnceleme Yetkisi ve Kararları

Kurul, şikayet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yürütür. 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun'un 6. maddesinde belirtilen şartları taşımayan ihbar veya şikayetler ise incelemeye alınmaz.

Devlet sırrı niteliğindeki bilgi ve belgeler hariç olmak üzere veri sorumlusu, Kurulun inceleme konusuyla ilgili istemiş olduğu bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkan sağlamak zorundadır.

Şikayet üzerine Kurul talebi inceleyerek ilgililere cevap verir; şikayet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. İnceleme sonucunda ihlalin varlığının anlaşılması halinde Kurul, belirlediği hukuka aykırılıkların veri sorumlusu tarafından giderilmesini kararlaştırarak taraflara tebliğ eder; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

İhlalin yaygın olduğunun anlaşılması durumunda Kurul ilke kararı alır ve yayımlar; bu karardan önce lüzum görmesi halinde ilgili kurum ve kuruluşların görüşünü alabilir. Telafisi güç veya imkansız zararların doğması ve açıkça hukuka aykırılık bulunması halinde ise Kurul, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.

İdari Para Cezaları, Disiplin İşlemleri ve Yargı Yolu

6698 sayılı Kanun'un 18. maddesinin birinci fıkrasının (b) bendi gereğince, 12. maddede öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörülmüştür. Bu tutarlar Kanun metnindeki yazılı aralıklar olup herhangi bir yeniden değerleme sonucunun bu aralıklara yansıyıp yansımadığı mevcut metin kesitinden doğrulanamamaktadır.

Ayrıca 10. maddedeki aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar, 15. madde uyarınca Kurul kararlarını uygulamayanlar hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, 16. maddedeki sicil kayıt ve bildirim yükümlülüğüne aykırı davrananlar hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar ve 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.

Aydınlatma, veri güvenliği, Kurul kararları ve sicil kaydına ilişkin idari para cezaları veri sorumlusu hakkında uygulanırken; 9. maddenin beşinci fıkrasındaki bildirime ilişkin ceza veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında verilir. 6698 sayılı Kanun'un 18. maddesinin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

Kanun'un 18. maddesinin birinci fıkrasında belirtilen eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde, Kurulun bildirimi üzerine ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula iletilir.

Aydınlatma, Sicil İstisnaları ve Zararın Giderilmesini Talep Hakkı

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile Kanun'un 11. maddesinde sayılan diğer haklar konusunda ilgili kişilere bilgi vermek zorundadır.

Kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması kuraldır. Ancak Kurul; işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterleri gözeterek sicil kayıt zorunluluğuna istisna getirebilir.

6698 sayılı Kanun'un 11. maddesinin birinci fıkrasının (ğ) bendi kapsamında ilgili kişi, kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle bir zarara uğraması halinde veri sorumlusuna başvurarak zararın giderilmesini talep etme hakkına sahiptir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy