Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik
4 Aralık 2020 tarihinde Resmi Gazete’de “Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik” ("Yönetmelik") yayımlandı. 5809 sayılı Elektronik Haberleşme Kanunu ("Kanun") kapsamında düzenlenen Yönetmelik, yayım tarihinden altı ay sonra yürürlüğe girecek olup, yürürlüğe girmesiyle, yani 04/06/2021’de, 24/7/2012 tarihli ve 28363 sayılı Resmî Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğinin Korunması Hakkında Yönetmelik (burada “mülga yönetmelik” olarak anılacaktır) yürürlükten kalkacaktır.
YÖNETMELİĞİN KAPSAMI
Yönetmelik, Bilgi Teknolojileri ve İletişimi Kurumu tarafından verilen yetkilendirme çerçevesinde elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten şirketlere ("İşletmeciler") yükümlülükler getirmektedir. Bu yükümlülükler işletmecilerin hizmet sundukları gerçek ve tüzel kişi kullanıcı/abonelere ait verilerin üzerinde gerçekleştirilen işleme faaliyetlerini kapsamaktadır. Yönetmelik kapsamında “abone”, “bir İşletmeci ile elektronik haberleşme hizmetinin sunumuna yönelik olarak yapılan bir sözleşmeye taraf olan gerçek ya da tüzel kişi”yi ifade ederken; “kullanıcı”, “aboneliği olup olmamasına bakılmaksızın elektronik haberleşme hizmetlerinden yararlanan gerçek veya tüzel kişi” anlamına gelmektedir.
GETİRİLEN DÜZENLEMELER VE MÜLGA YÖNETMELİKLE KARŞILAŞTIRILMASI
İlkeler
Yönetmelik, kişisel verilerin işlenmesinde uyulacak ilkeleri 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 4.maddesinde yer alan ilkelere uyumlu olacak şekilde düzenlemiştir. Mülga Yönetmelikte yer alan milli güvenlik gerekçesiyle kişisel verilerin yurtdışına çıkarılamayacağı yasağı, Yönetmelikte daraltılarak yalnızca ‘trafik verileri’ ve ‘konum verileri’ ile sınırlandırılmıştır.
Güvenlik Tedbirleri ile Riskin ve Kişisel Veri İhlalin Bildirilmesi
Mülga Yönetmelik işletmecilerin, abonelere/kullanıcılara ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla hazırlanacak güvenlik politikalarını belirleme yükümlülüğünü düzenlemişken Yönetmelik, İşletmeciler’e 5 Kasım 2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanunu’na, KVKK’ya ve ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbirleri alma yükümlülüğü getirilmiştir. Böylece kişisel verilerin güvenliği bakımından alınacak asgari tedbirlerin kapsamı genişlemiştir.
İşletmeciler ayrıca, kişisel verilerin güvenliği için gerekli teknik ve idari tedbirleri almak ve kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtlarını iki yıl saklamakla yükümlü olacaktır.
Mülga Yönetmelik’ten farklı olarak Kurum tarafından gerekli görülmesi halinde değil, İşletmeciler’e, şebekelerinin ve sundukları hizmetlerin güvenliğini tehdit eden belirli bir risk olması durumunda her halükarda, (i) bu risk hakkında ve (ii) bu riskin İşletmeci tarafından alınan tedbirlerin dışında kalması halinde, söz konusu riskin kapsamı ve giderilme yöntemleri hakkında ilgili aboneleri / kullanıcıları en kısa sürede bilgilendirme yükümlülüğü getirilmiştir. Ayrıca İşletmeciler, kişisel veri ihlali olması durumunda KVKK ve ilgili mevzuata uygun yöntemlerle Kurum’a, Kişisel Verileri Koruma Kurumu’na ve ilgili abonelere / kullanıcılara en kısa sürede bildirimde bulunmakla yükümlü kılınmışlardır.
Açık Rıza Şartları
Kanun çerçevesinde açık rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi anlamını taşımaktadır. Yönetmelik, 6698 Sayılı KVKK’na ve Kişisel Verileri Koruma Kurumu’nun kararlarına paralel şekilde açık rıza alma şartlarını haberleşme sektörü bakımından özelleştirmiştir. Buna göre;
- Açık rıza beyanının, belirli bir konuya ilişkin olarak işlem öncesinde alınması gerekir. Belli bir konu ile sınırlandırılmaksızın genel nitelikteki rızalar geçersizdir.
- Açık rıza beyanının özgür iradeyle açıklanmış olması gerekmekte olup, abonelik tesis edilmesi ve temel elektronik haberleşme hizmetleri veya cihazların sunulması, abonenin/kullanıcının verilerinin işlenmesine yönelik açık rıza verme ön şartına bağlanmamalıdır. Bununla birlikte, hediye dakika, SMS ve veri gibi ek fayda sağlanması karşılığında ise aboneden/kullanıcıdan açık rıza talep edilmesi mümkün kılınmıştır.
- Açık rıza beyanının alınmasından önce ilgili kişiye işlenecek kişisel veri türü ile elektronik haberleşmeye ilişkin trafik ve elektronik cihaz konum verisi türleri, kapsamı, işlenme amacı ve süresi hakkında açık ve anlaşılır bilgi, en az 12 punto yazı büyüklüğünde karakter kullanılan metin ile verilecektir.
- İşletmeci’nin gerekli bilgilendirmeyi yapması sonrasında abonenin/kullanıcının “evet/onay/kabul” şeklindeki irade beyanı yazılı veya elektronik ortamda alınabilecektir. Söz konusu irade beyanı, rıza alınan duruma özgü olmalı ve bir sözleşmenin veya hizmetin kabulü ya da pazarlama amaçlı haberleşmelere onay verilmesi ve benzeri hukuki işlemlere yönelik irade beyanları ile birleştirilmemelidir.
- İşletmeciler, abonelerin/kullanıcıların açık rızalarını gösteren kayıtları, ilgili mevzuat hükümlerinde yer alan süreler saklı kalmak kaydıyla asgari abonelik süresince saklamakla yükümlüdür.
- Trafik ve konum verilerinin üçüncü taraflara aktarımının söz konusu olduğu durumlarda; aktarılacak tarafın adı ve açık adresi, aktarma amacı ve süresi, üçüncü tarafın yurt dışında olması halinde verinin aktarılacağı ülkenin adı şeklindeki bilgiler verilerek ayrıca açık rıza alınmalıdır. Bu bilgilerde değişiklik olması halinde ise tekrar açık rıza alınmalıdır.
- İşletmeciler, trafik ve konum verilerinin açık rıza alınarak üçüncü taraflara aktarımının söz konusu olduğu durumlarda, bu verilerin sadece açık rıza bilgilendirmesinde belirtilen üçüncü taraflarca ve belirtilen amaçla işlenmesini temin etmekle yükümlüdür.
Trafik ve Konum Verileri Hakkında Aydınlatma Yükümlülüğü
Trafik ve konum verilerinin işlenebildiği hallerde İşletmeciler’e, KVKK’nın aydınlatma yükümlülüğünü düzenleyen 10. maddesi saklı kalmak kaydıyla işlenebilecek trafik veya konum verisi türleri, işleme amacı ve süresi hakkında abonelere/kullanıcılara ayrıca bilgi verme yükümlülüğü getirilmiştir.
Verilerin İşlenmesi ve Saklanması
Yönetmelikte; kişisel verilerin işlenmesi ve saklanması konusu, Mülga Yönetmelikteki gibi ayrı bir bölüm olarak düzenlenmemiş, kapsamında bulunduğu 5809 sayılı Elektronik Haberleşme Kanunu’nun 27/3/2015 tarihinde yeniden düzenlenen 51. Maddesi ve KVKK’nun ilgili maddeleri ile yetinilmiştir.
Abonelere / Kullanıcılara Tanınan Yeni Haklar
Abonelere/kullanıcılara Mülga Yönetmelikteki düzenlemeden farklı olarak tanınan yeni hakların bazıları aşağıdaki gibidir;
- Abonelerin/kullanıcıların verilerinin işlenmesine yönelik olarak kısa mesaj, çağrı merkezi, internet ve benzeri yöntemlerle vermiş oldukları açık rızayı aynı yöntem ya da daha basit bir yöntem ile her zaman ücretsiz olarak geri almalarına imkan sağlanmalıdır. Bu imkana ilişkin bilgilendirme de açık rıza alınması sırasında yapılmalıdır.
- İşletmeciler her yılın üçüncü çeyreği içinde, mobil numara bilgisi bulunan abonelere/kullanıcılara asgari kısa mesajla, diğerlerine e-posta veya arama yöntemlerinden biri ile olmak üzere, daha önce alınan açık rızaları kapsamında verilerinin işlendiğine dair bilgilendirme yapmakla yükümlüdürler. Aksi durumda daha önce verilen açık rızalar kapsamındaki veri işleme faaliyeti bilgilendirme yapılıncaya kadar durdurulur.
- İşletmeciler tarafından yönetmelik kapsamında engelli tarifelerinden yararlanan abonelere/kullanıcılara yapılacak bilgilendirmeler, işitsel ve/veya görsel yöntemler kullanılarak Bilgi Teknolojileri ve İletişim Kurumu düzenlemelerine uygun şekilde gerçekleştirilmelidir.
- Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılır.
- Yönetmelik kapsamındaki abonelere/kullanıcılara yapılacak tüm bilgilendirmeler, ücretsiz olarak gerçekleştirilmelidir.
- Yönetmelik kapsamındaki bilgilendirmeler, açık rıza, abone/kullanıcı talebi ve onayına ilişkin ispat sorumluluğu tümüyle işletmeciye aittir.
- Açık rızanın geri alınması durumunda işletmeci açık rızaya dayalı olarak yapılan veri işleme faaliyetlerini derhal durdurmakla yükümlüdür.
Çeşitli ve Son Hükümler
İşletmeciler hakkında, Yönetmelik ile belirlenen yükümlülükleri yerine getirmemeleri hâlinde Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği hükümleri uygulanacaktır.
Yönetmelik’in uygulanması sırasında doğacak tereddütleri ve uygulamaya ilişkin aksaklıkları gidermeye ve uygulamayı yönlendirmeye, ilke ve standartları belirlemeye ve uygulama birliğini sağlamaya Kurum yetkili kılınmıştır.
Yönetmeliğin yürürlüğe girdiği tarihten önce hukuka uygun olarak alınmış rızalar geçerli sayılmaktadır. Ancak yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulacaktır.
SONUÇ
Esaslı düzenlemeler içeren Yönetmelik; kişisel veriler konusunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili ikincil mevzuat hükümleri ile yeknesaklık içerisinde olmakla beraber trafik ve konum verilerinin işlenmesi hükümleri gibi bazı düzenlemeleri haberleşme sektörü bakımından özelleştirmiştir.
Bülten içeriği genel bilgilendirme amacıyla hazırlanmıştır. Detaylı bilgi ya da spesifik sorun veya sorularınız için hukukçunuza danışınız.
Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik
/ Yasal Uyarı
Sayın Ziyaretçimiz;
Internet sitemizde bulunan bilgiler VERDA tarafından, Türkiye Barolar Birliği'nin meslek kuralları ve yürürlükteki Avukatlık Kanunu uyarınca sadece bilgi amaçlı olarak sunulmaktadır.
Bu Internet sitesinde yer alan bilgiler, reklam veya diğer bir ticari amaca hizmet etmemektedir ve bu amaçlarla veya Türkiye Barolar Birliği'nin meslek kurallarına aykırı herhangi diğer bir amaçla kullanılamaz. Ayrıca hiçbir şekilde hukuki tavsiye veya görüş teşkil etmez veya bunların yerine geçmemektedir. Burada yer alan bilgilerden hareketle VERDA ve ziyaretçi arasında avukat-müvekkil ilişkisi doğmaz. Son olarak, burada yer alan bilgiler zaman zaman güncel olmayabilir. Hukuki bir konuda sormak istedikleriniz için irtibat bilgilerimizden bize ulaşabilirsiniz.
VERDA’nın bilgisi ve önceden yazılı onayı olmaksızın, bu siteye atıf yapılamaz veya link verilemez.
Sitemizde yer alan tüm bilgiler, bültenler, marka ve logoya ilişkin tüm fikri mülkiyet hakları VERDA’ya aittir ve VERDA’nın önceden yazılı muvafakati olmadan kopyalanamaz, çoğaltılamaz veya kullanılamaz.
Aşağıda detaylarını okuyabileceğiniz Gizlilik Politikamız kapsamında, sitemizi ziyaretiniz esnasında paylaşmış olduğunuz bilgilerin olması durumunda, söz konusu bilgiler sadece sizlerle irtibata geçmemizin gerekmesi halinde kullanılabilecektir. Bunun haricinde üçüncü kişilerle paylaşılmayacaktır.
Bu Yasal Uyarı ve Gizlilik Politikası’nda değişiklik yapma hakkımız olduğunu belirtir, olası değişikliklerin yine burada yayımlanacağının da altını çizmek isteriz.
/ Gizlilik Politikası
Sitemizi ziyaret etmeniz halinde bizimle her hangi bir kişisel veri paylaşmış olmuyorsunuz.
“İletişim” alanımızdan veya info@verdahukuk.com’a mail atılarak yapılan iş başvuruları kapsamında başvurucunun özgeçmişinde paylaşmış olduğu kişisel veriler (kimlik bilgileri, iletişim bilgileri, eğitim bilgileri gibi özgeçmişte bulunan tüm bilgiler) yalnızca iş başvurusu değerlendirmesinde işlenmektedir.
“Online Borç Ödeme” alanımızdaki uygulama üzerinden yapılan yönlendirmeyle yapılan ödemelerde, sisteme girilen kredi kartı bilgileri VERDA tarafından kaydedilmemektedir. Söz konusu alana yazılan ad, soyad ve irtibat bilgileri ise yalnızca, ödeme yapılan dosya kapsamında bilgi verilmesini gerektiren bir durum halinde, size ulaşabilmek amacıyla kaydedilmektedir.
Kişisel verileriniz, ilgili mevzuatın öngördüğü durumlarda düzenleyici denetleyici kurumlara ve resmi mercilere aktarılabilecektir.
İşlenen veriler ve bilgiler, yasal veya sözleşmesel dosyalama süresi sona erdiğinde tarafımızca uygun görülecek yöntemlerden biri ile silinecek, yok edilecek veya imha edilecektir.
Sitemizdeki çerezleri silebilir, devre dışı bırakabilir ya da engelleyebilirsiniz. Bilgisayarlarında çerez kullanımını devre dışı bırakmış ziyaretçilerimiz de internet sitesini kullanmaya devam edebilir. Ayrıca tüm ziyaretçilerimiz VERDA tarafından kendileri hakkında tutulan bilgileri görmek, değiştirmek ya da silmek için info@verdahukuk.com adresine e-posta göndererek talepte bulunabilirler. Talebin kimlik ve adres bilgilerinizi içermesi ve başvuruya kimliğinizi tevsik edici belgelerin de eklenmesi gerekmektedir.
/ COVID - 19
VERDA
COVID – 19 salgınından kaynaklanan risklere karşı aldığımız tedbirler kapsamında, ekibimizin ofiste bulunmaları gerekmedikçe çalışmalarına uzaktan devam edebilmeleri için gerekli tüm teknolojik ve lojistik altyapı devrededir ve müvekkillerimize verilen hizmetlerin herhangi bir gecikme yaşanmaksızın devam etmesi için her türlü önlem alınmıştır. Hali hazırda ofisimizde fiziksel katılımla çalışma yapılmakta olup, binamızda ve çalışma ofislerimizde detaylı dezenfeksiyon işlemi yapılmıştır. Ayrıca ortak kullanım alanları günlük olarak dezenfekte edilmekte ve ozonlama işlemi yapılmaktadır.