İrlanda Kişisel Veri Koruma Otoritesi ( The Data Protection Commission ) , Avrupa Genel Veri Koruma Tüzüğü (GDPR) ışığında kişisel verilerin kontrolünün kaybedildiği hallerde veri sorumlusunun nasıl bir yol izlemesi gerektiği konusunda görüş bildirmiş olup;  bu görüş Türkiye’de yerleşik veri sorumluları için de GDPR kapsamındaki uygulamalar noktasında kişisel veri koruma uygulamaları için yol gösterici olup  önem taşımaktadır.  

Kişisel verilerin kontrolünün kaybedilmesi ve bilgilerin üçüncü taraf kişilerin eline geçmesi, hem veri sorumlusunun yükümlülükleri, hem de ilgili kişinin hakları konusunda büyük risk meydana getirmektedir. Bu türden bir veri ihlali; üçüncü tarafın kötü niyetli ve kasti bir fiiliyle (siber saldırılar gibi) gerçekleşebileceği gibi, yanlışlıkla da meydana gelebilir. Örneğin e-postaların, belgelerin vb. yanlış adrese yollanması sebebiyle veriler, bunları elde etme isteği ya da beklentisi olmayan üçüncü tarafın eline geçebilir. Böyle bir durumda çoğu zaman veri sorumlusunun, veriyi yanlışlıkla elde eden üçüncü taraflardan bu verileri silmeleri ya da imha etmelerini talep etmesi işe yarayacak, üçüncü taraf memnuniyetle talebi yerine getirecektir.  

Verilerin korunmasına ilişkin sorun, bu üçüncü kişilerin işbirliği yapmaya yanaşmaması halinde meydana gelir. Bazı hallerde veriyi istenmeyen şekilde elde eden alıcılar, verileri kendi amaçları için kullanmaya karar verebilir, veri sorumlusunu verileri ifşa etmek veya yasa dışı şekillerde kullanmakla tehdit edebilir.  

Kişisel verilerin silinmesini ya da iade edilmesini sağlama konusunda temel yükümlülük veri sorumlusundadır.  Bu yükümlülük, veri sorumlusunun verileri güvenli bir şekilde işleme ve risklere karşı uygun teknik ve idari tedbirleri alma yükümlülüğünden doğmaktadır.  

Böyle bir durumda veri sorumlusuna  ilgili kişilerin haklarına yönelen riskleri ele almak ve azaltmak için derhal tüm makul tedbirleri alması tavsiye edilmektedir. Her bir somut olay özelinde ayrı ayrı değerlendirilmek kaydı ile veri ihlalinin ilgili yerel veri koruma otoritesine bildirilmesinin gerektiği durumların yanı sıra, veri sorumlusu şunları yapmalıdır; 

• Veriyi elinde tutan üçüncü tarafla iletişime geçerek, bu verileri elinde tutmasının hukuka aykırı ve ilgili kişilerin haklarına bir ihlal niteliğinde olduğunu anlatılmalıdır. 

• Acil durum eylem planlarını devreye alınmalıdır.  

• Etki analizi raporu oluşturulmalıdır. 

• Veri sorumlusunun veri koruma ekipleri tarafından olay özelinde denetim ve yönetime ilişkin süreç tasarımı yapılmalıdır.   

• Hukuki çözümler ve tedbirler konusunda hukuki danışmanlık alınmalıdır.  

• Suç meydana getiren bir durum olduğu takdirde yetkili kurum ve kuruluşlara durum bildirilmelidir.  

Bilgi ve değerlendirmenize sunarız. İrlanda Veri Koruma Otoritesi’nin açıklamasına BURADAN ulaşabilirsiniz.  
Konuya ilişkin her türlü sorunuz için info@gungorlaw.com adresinden ve 0216 687 03 22 numaralı telefondan bize ulaşabilirsiniz.  

Saygılarımızla,
GÜNGÖR HUKUK BÜROSU