KİŞİSEL VERİLERİ KORUNMASI KANUNU- 6698 ve ARABULUCULAR BAKIMINDAN DİKKAT EDİLMESİ GEREKEN HUSUSLAR

20 Eylül 2024 Cuma

TC Anayasası 20 m. “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir  “  

İlgili kişi ifadesiyle “Kişisel verisi işlenen gerçek kişi” ifade edilmektedir.  

Kişisel Veri ise; kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü veridir. Fiziki ortamda ve elektronik ortamda veriler tutulabilir.

Kişisel verileri özel nitelikli kişisel veriler ve genel nitelikte kişisel veriler olarak ikiye ayırabiliriz.

Kişisel Veri; (genel nitelikte) bir kişiyi belirli ya da belirlenebilir kılan verilerdir. Örneğin ad, soyad, TC. kimlik numarası, pasaport numarası, yaş, telefon numarası, e- posta adresi, adres, lokasyon bilgisi, IP adresi, banka hesap numarası bilgisi, imza verisi, görsel ve işitsel kayıtları vb; kişisel veriler sayma yoluyla tahdidi olarak belirlenmemiştir. Bir kişi belirli ya da belirlenebilir kılan tüm verileri kişisel veri olarak kabul edilmektedir.  

Özel Nitelikli Veriler; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olup kanunda tahdidi olarak sayılmıştır.

Veri işlemek: bir veriyi elde etmemiz, saklamamız, depolamamız, yok etmemiz, kullanmamız anlamlarına gelir.

Veri kayıt sisteminde veri tutan kişiler veri kayıt sorumlusudur. 

Veri İşleyen; Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi ifade etmektedir. Buna göre örneğin arabulucunun muhasebesini dışarıdan tutan bir muhasebeci ya da hizmet alınan bir bulut bilişim firması, arabuluculuk tutanaklarını hazırlamak için hizmet satın alınan yazılım firması veri işleyen statüsünde olabilecektir.  

Veri Sorumlusu; kişisel verilerin işlenme amaç ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır. Veri sorumlusu hem gerçek hem de tüzel kişi olabilir. Personelinin özlük dosyalarını tutan bir şirket tüzel kişi olarak veri sorumlusu iken; arabulucu ya da arabuluculuk merkezleri de hem istihdam ettikleri personel bakımından işveren sıfatı ile hem de yürüttükleri arabuluculuk faaliyeti ya da arabuluculuk merkezinin işletilmesi faaliyet kapsamında veri sorumlusu sıfatına sahiptir. 

Veri kayıt sisteminde veri tutan kişiler veri kayıt sorumlusudur. 6698 sayılı Kanun kapsamında avukat ve arabulucular veri sorumlusudur. (Verbis, elektronik verilerin işlendiği sicil)

Sicil kaydı ile ilgili kanun kapsamında avukat ve arabulucular muaf veri işlemeden tutulmuşlardır. Arabulucular, 19.07.18 tarih 2018/87 sayılı kurum kararına göre VERBİS kayıt yükümlülüğü bulunmayan meslek gruplarından sayılmıştır. Bu hüküm arabulucuların KVKK kapsamında yükümlülük ve sorumlulukların olmadığı şeklinde anlaşılmamalıdır.

Aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte kişisel verisi işlenen gerçek kişiler için de bir haktır.

6698 SK. bir veriyi işlerken dikkat edilmesi gereken temel ilkeleri saymıştır.

m.4. ilkeler:

1- Hukuka uygun ve dürüstlük kuralına uygun olma

Arabuluculuk süresinde yer alan kişilere ait kişisel verilerin (kimlik, adres vb) ilgisiz kişiler ile paylaşılmaması arabulucuların hazırlamış oldukları doküman ve metinlerde örneğin davet mektuplarında davetin ilgili kişilere ulaşması konusunda hassasiyet göstermesi, telefon konuşmaları ile kurulan iletişimlerde kendisini sürecin tarafı dışında aile yakını vb. olarak tanıtan kişilerle kişisel veri paylaşmamaları hususu önem taşımaktadır

2- Kişisel verileri işlerken amacımız meşru, belli ve açık olmalıdır.

3- Amaçla sınırlı, uyumlu olmalıdır. (Daha az veri alarak amaca ulaşacakken daha çok veri almak cezai sonuç doğuracak bir işlem olabilir.)

Arabulucuların, arabuluculuk sürecine katılan taraflardan fazladan gereksiz veriyi almaması yada bir şekilde süreç içerisinde eline geçen ancak arabuluculuk sürecinin sonunda arabulucu tarafından arşivlenmesi gerekmeyen verilerin arabuluculuk sürecinin sona ermesinden sonra elinde bulundurmaması bu verileri azaltmak için tedbirler alınması uygun olacaktır. Örneğin taraflardan biri fazla mesai ile ilgili bir uyuşmazlık için işçinin imzalarını içeren bordroları ve puantaj kayıtları arabulucuya iletmiş ise bu belge arabulucu tarafından arşivlenmesi gereken bir belge olmayıp arabuluculuk sürecinin tamamlanmasından sonra veriyi ileten tarafa iade edilmesi doğru olacaktır.

Mesela arabuluculuk merkezine gelen kişilerin parmak izlerini almak veya biyometrik verilerini almak ölçülülük ilkesine aykırı olacaktır.

4- Kişisel verileri ilanihaye saklamayacağız, belli bir süreyle sınırlı olarak saklanabilir.

Örneğin 6325 SK. m.17/4 :5 yıl süreyle saklama yükümlülüğü (Arabuluculuk faaliyetinin sona ermesi hâlinde, arabulucu, bu faaliyete ilişkin kendisine yapılan bildirimi, tevdi edilen ve elinde bulunan belgeleri, ikinci fıkraya göre düzenlenen tutanağı beş yıl süre ile saklamak zorundadır.)

Özel nitelikteki kişisel verilerin işlenmesinin şartları:

-Açık rıza almak gerekir. ( Açık rıza, kişisel veriyi neden aldığımızı, nerede saklayacağımızı, ne kadar süre ile saklı kalacağının belirtilmesi anlamına gelir.)

Veri sorumlusunun hukuki yükümlülüğü veri almasını zaruri tutuyorsa ayrıca rıza almasına gerek yoktur. Ama bu aydınlatma yükümlülüğümüz olmadığı anlamına gelmemektedir. Yani verinin saklandığı ilgilisine anlatılmalıdır.

Örneğin sağlık verilerini işleyebilmek için bazı amaçlarla bazı kişiler yetkilidir. Kamu sağlığı, teşhis ve tedavi, sağlık sisteminin finansmanı amacıyla yetkili kurum ve kişilerce bu veriler işlenebilir. Bu yetkili kişiler içinde arabulucular sayılmadığı için örneğin bir sağlık raporunun veya maluliyet raporunun alınabilmesi ve dosyaya konulması için hem açık rıza hem onam almak gerekir. En iyisi belgeyi inceleyip geri vermektir. Ne kadar çok bilgi depolarsanız o kadar çok sorumluluğunuz artacaktır.

Saklanan kişisel verilerin imhası ile ilgili de yönetmelik var, periyodik imha süreçleri var ve mutlaka tutanağa bağlı olarak yapılmalıdır.

Sekreterlerimize kişisel verileri korumanın önemini anlatmalıyız.

Arabulucu; ilgili düzenlemeler kapsamında tıpkı veri sorumlusunun yükümlülüğünde olduğu gibi; sadece kendisi bakımından değil yanında çalışan kişiler, denetim ve gözetimi altında ilgili mevzuat çerçevesinde staj yapanlar bakımından da gizliliği sağlama yükümlülüğü altındadır. Veri sorumlusu da yanında çalışan personelin gizlilik ve veri güvenliği konusunda farkındalığını sağlamak düzenli aralıklarla onlara eğitim vermek ve almış olduğu teknik ve idari tedbirlere onlarında uymasını sağlamak yükümlülüğü altındadır.

Arabuluculuk toplantılarında bilgilendirme formunu düzenlerken içine “ KVKK kapsamında aydınlatma yükümlülüğü yerine getirilmiştir.” Şekilnde ibare konulabilir.

Veri sızıntısı olabilir. Sizin bilgisayarınızdan müvekkilinize ait kişisel veriler hataen farklı bir kişiye gönderilmiş olabilir. Buna ilişkin olarak bazı teknik tedbirler kullanmak, log kayıt sistemi vs. kullanmak faydalıdır. Böylece kimin gönderdiği tespit edilebilir.

Nihai amaç arabulucunun hukuki ve mesleki sorumluluğunu doğuracak hatalı işlemlerden arabulucunun korunmasıdır.

TAVSİYELER

1. Telefon santral kayıtlarında KVKK bilgilendirmesine yer vermek
2. Web sitesinde KVKK aydınlatma ve bilgilendirme formu bulundurmak
3. Çalışanlarımıza KVKK kapsamında veri gizliliği bildirim formu imzalatmak
4. Muhasebeciye de aynı şekilde veri gizliliği kormu imzalatmak
5. Arabuluculuk dosyalarında hem davet mektubunda hem son tutanakta taraflara KVKK kapsamında bilgilendirme yapmak, aydınlatma formu eklemek
6. Sigorta uyuşmazlıklarında tarafların sağlık verisini almış isek buna ilişkin olarak ekstra onam almak
7. Gelişmelerden haberdar olmak için KVK kurumunun internet sitesini takip etmek.  

Dr. Sezercan Bektaş Hocanın sunumundan faydanılarak hazırlanmıştır.