Kişisel Veriler

Modern toplumda kişisel veri, doğrudan veya dolaylı olarak bir gerçek kişiyi tanımlayan her türlü bilgiyi ifade eder. Belarus’ta yürürlükteki mevzuat; ad, soyad, doğum tarihi ve adres gibi standart tanımlayıcıların yanı sıra biyometrik bilgileri (örneğin parmak izleri, iris taramaları) ve genetik verileri de kişisel veri kapsamına dâhil etmektedir.

Kasım 2021’e kadar Belarus’ta kişisel verilerin düzenlenmesi dağınık bir yapıya sahipti. O dönemde yürürlüğe giren yeni yasa kapsamlı bir çerçeve getirerek; veri işleme zincirindeki temel aktörleri (veri sahipleri, operatörler ve yetkili kişiler) belirlemiş, işleme ilkelerini, güvenlik gerekliliklerini ve bireylerin haklarını koruma mekanizmalarını ortaya koymuştur.

Günümüzde kişisel veri operatörleri (kişisel verileri işleyen şirketler ve bireysel girişimciler), veri işleme süreçlerinde risk tabanlı bir yaklaşım benimsemektedir. Uygun koruma seviyesini bağımsız olarak belirlemekte; veri işlemenin niteliği ve ölçeğiyle orantılı yasal, teknik ve organizasyonel önlemler almaktadırlar. Ayrıca veri koruma görevlileri atamak, iç politikalar geliştirmek, çalışanları eğitmek ve kriptografik veya diğer teknik koruma önlemlerini uygulamakla yükümlüdürler.

Kişisel Verileri Koruma Ulusal Merkezi (NCPDP), kişisel veri mevzuatına uyumu denetlemektedir. 2025 yılı planına göre, büyük BT şirketleri, bankalar ve eğitim kurumları dâhil olmak üzere en az dokuz operatör planlı denetime tabi tutulacak olup, ayrıca plansız yerinde denetimlerin gerçekleştirilmesi de öngörülmektedir.

Veri sahiplerinin temel hakları (yani verileri işlenen bireyler); verilerine erişim, düzeltme, silme, bloke etme ile şikâyette bulunma ve operatör işlemlerine itiraz etme haklarını içermektedir. Belarus mevzuatı, kişisel veri işleme süreçlerinde şeffaflığı, risk minimizasyonunu ve denetimi teşvik etmesi bakımından birçok yönüyle Avrupa GDPR standartlarıyla örtüşmektedir.

Kişisel Veriler Alanında Temel Kavramlar

Verilerin doğru bir şekilde işlenebilmesi için temel terminolojinin anlaşılması esastır. Aşağıda yasal korumaya tabi olan başlıca roller ve veri türleri yer almaktadır.

Veri Sahibi
Veri sahibi, kişisel verileri işlenen gerçek kişidir. Verileri toplanan, saklanan, kullanılan veya başka bir şekilde işlenen müşteri, çalışan, yüklenici, bülten aboneleri veya web sitesi kullanıcıları bu kapsamdadır. Temel kriter, kimliği belirlenebilir bilgilerin (ad, adres, telefon numarası, pasaport detayları vb.) mevcudiyetidir.

Veri Operatörü
Veri operatörü, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen tüzel kişi veya bireysel girişimcidir. Operatörler, veri işlemenin yasal gerekliliklere uygun olmasını ve veri sahibi haklarına saygı gösterilmesini sağlamakla yükümlüdür. İşverenler, e-ticaret siteleri, bankalar, sigorta şirketleri ve eğitim kurumları bunun yaygın örnekleridir.
Operatörler veri işlemeyi üçüncü kişilere devredebilir, ancak mevzuata uyum konusunda tüm sorumluluk kendilerinde kalır.

Yetkili Kişi
Yetkili kişi, kişisel verileri işlemek üzere operatörle sözleşme imzalayan üçüncü taraftır. Bir sözleşme veya yetki belgesi çerçevesinde hareket ederler ve operatörle aynı güvenlik önlemlerini uygulamak zorundadırlar. Örneğin, çalışan verilerine erişim sağlayan bir muhasebe bürosu veya CRM sistemini yöneten bir BT sağlayıcısı yetkili kişi olarak kabul edilir.

Kişisel Veri İşleme Faaliyetleri Neleri Kapsar?
İşleme faaliyeti, verilerin yaşam döngüsünün tamamını ifade eder; bunlar şunları içerir:

• Toplama ve kaydetme
• Sistematize etme ve biriktirme
• Saklama ve kullanma
• Aktarım (üçüncü taraflara ve sınır ötesine aktarım dâhil)
• Anonimleştirme
• Bloke etme ve silme

Kişisel verilerin kurumsal e-postada veya bir Excel tablosunda saklanması dahi veri işleme olarak nitelendirilir.

Kişisel Veri Kategorileri

Kişisel veriler, hassasiyet derecelerine göre birkaç kategoriye ayrılmaktadır:

1. Genel Nitelikli Veriler – ad, soyad, doğum tarihi, adres, telefon numarası, iş yeri ve eğitim bilgileri gibi verileri kapsar. Bunlar ticari faaliyetlerde en sık kullanılan veri türleridir.
2. Özel Nitelikli Veriler – ırk veya etnik köken, siyasi düşünce, dini inanç, sağlık durumu, adli sicil kaydı gibi bilgileri içerir. Bu tür verilerin işlenmesi azami özen ve mevzuata tam uyum gerektirir.
3. Biyometrik Veriler – kimlik doğrulaması amacıyla sıklıkla kullanılan parmak izleri, yüz görüntüleri, ses, iris taramaları gibi fiziksel özelliklerin işlenmesinden elde edilen verilerdir.
4. Genetik Veriler – DNA düzeyindeki kalıtsal özellikleri ifade eder. Bunlar genellikle tıbbi ve bilimsel bağlamlarda kullanılır.

Veri işleme zincirinde kimlerin yer aldığının ve hangi veri türlerinin işlendiğinin net bir şekilde anlaşılması, kuruluşların etkin kişisel veri koruma sistemleri kurmasını ve yasal risklerden kaçınmasını sağlar.

Kişisel Veri İşleme İlkeleri

Kişisel verilerin hukuka uygun ve etkin bir şekilde işlenmesi, ancak temel işleme ilkelerine uyulmasıyla mümkündür. Bu ilkeler, bilgi güvenliğine ilişkin genel kabul görmüş yaklaşımı yansıtmakta olup, kurumun dahili veri politikalarının temelini oluşturur.

Hukuka Uygunluk ve Dürüstlük Kuralı

Kişisel veriler açık, adil ve şeffaf esaslara dayanılarak işlenmelidir. Bu durum, organizasyonun bir kişinin kişisel bilgilerini toplamak için meşru bir amaca ve yasal dayanağa sahip olması gerektiği anlamına gelir. Veriler “ne olur ne olmaz” düşüncesiyle veya veri sahibine bilgi verilmeden toplanmamalıdır. Dürüstlük kuralı, bireyin çıkarlarına saygı duyulmasını gerektirir ve manipülatif ya da gizli uygulamaları dışlar.

Amaçla Sınırlılık ve Veri Minimizasyonu

Kuruluşlar yalnızca belirli bir amaç için kesinlikle gerekli olan verileri toplamalıdır. Belirli veri kategorilerine ihtiyaç duyulmadan amaca ulaşılabiliyorsa, bu veriler toplanmamalı veya saklanmamalıdır. Örneğin, bir ürünün teslimatı pasaport bilgilerini veya medeni durum bilgilerini gerektirmez. Minimizasyon ilkesi; veri sızıntısı risklerini azaltmaya, iç süreçleri optimize etmeye ve müşteri güvenini güçlendirmeye yardımcı olur.

Doğruluk ve Güncellik

Kişisel veriler doğru ve güncel olmalıdır. Veri sorumlusu, hatalı veya güncelliğini yitirmiş bilgileri düzeltmek için makul adımları atmakla yükümlüdür. Örneğin, bir çalışan ev adresini veya telefon numarasını değiştirdiğinde, bu veriler derhal güncellenmelidir. Yanlış bilgiler maddi zararlara, teslimat hatalarına, yanlış hesaplamalara ve diğer olumsuz sonuçlara yol açabilir.

Saklama Süresi Sınırlandırması ve Silme

Veriler süresiz olarak saklanmamalıdır. Saklama süresi, veri işleme amacı için gerekli olan süreyle sınırlı olmalıdır. Amaç gerçekleştiğinde veriler silinmeli veya anonimleştirilmelidir. Örneğin, işten ayrılan bir çalışanın kişisel verileri yalnızca arşivleme, bordrolama veya denetimlerle ilgili yasal süreler boyunca saklanmalı, bu sürelerin sonunda ise güvenli bir şekilde imha edilmelidir.

Güvenlik ve Gizlilik

Veri işleme faaliyetleri; bilgilerin yetkisiz erişime, kayba, değişikliğe veya ifşaya karşı korunmasına yönelik önlemleri içermelidir. Bu durum hem teknik önlemleri (şifreleme, erişim kontrolü, yedekleme) hem de organizasyonel yaklaşımları (personel eğitimi, iç düzenlemeler, yüklenici denetimi) kapsar. Kişisel verilere yalnızca görevleri gereği erişmesi gereken çalışanlar yetkilendirilmelidir.

Kişisel Veri Sorumlusunun Yükümlülükleri

Kişisel veri sorumlusu, veri işleme yaşam döngüsünün merkezi figürüdür. Yasal ilkelere ve gerekliliklere uyulmasını sağlamaktan sorumludur. Kurumun büyüklüğüne bakılmaksızın veri sorumlusu bir veri koruma sistemi kurmalı, performansını izlemeli ve veri sahibi haklarının kullanılmasını sağlamalıdır.

Veri Koruma Görevlisinin (DPO) Atanması

Kişisel veri işlemenin organize edilmesindeki ilk adım, veri koruma ve güvenliğini yönetmekten sorumlu yetkili bir çalışan veya departman görevlendirmektir. Bu kişi iç politikaları koordine eder, denetim makamlarıyla iletişim kurar ve veri koruma konularında yönetime danışmanlık yapar. Bu rol, özellikle büyük hacimli veriler işleyen veya sağlık, eğitim ya da çevrimiçi hizmetler sektöründe faaliyet gösteren kuruluşlar için büyük önem taşımaktadır.

İç Belgelerin Hazırlanması

Kişisel veri operasyonları iç politika ve prosedürlere tabi olmalıdır. Veri sorumlusu aşağıdakileri tanımlayan iç düzenleyici belgeler geliştirmek ve uygulamakla yükümlüdür:

• Veri işleme amaçları ve yöntemleri.
• İç veri erişim kuralları.
• Veri sızıntısı veya yetkisiz erişim durumunda izlenecek prosedürler.
• Saklama ve silme süreleri.
• Rıza ve veri sahibi bildirim formatları.

Bu belgeler gerçek iş süreçlerini yansıtmalı ve değişiklikler meydana geldiğinde düzenli olarak güncellenmelidir.

Personel Eğitimi
Kişisel verilere erişimi olan çalışanlar, bu verilerin işlenme kuralları konusunda bilgilendirilmelidir. Bu çalışanların koruyucu önlemlere uyması zorunludur. Eğitimler; ilk bilgilendirmeleri, düzenli bilgi kontrollerini, çalıştayları ve güncellemelerin paylaşılmasını içerebilir. Personel farkındalığının eksikliği, veri sızıntıları veya yetkisiz ifşa ile ilgili olayların ana nedenlerinden biridir.

Teknik ve Organizasyonel Önlemler
Veri sorumlusu, hem teknik hem de organizasyonel önlemleri uygulayarak kişisel verilerin güvenliğini sağlamakla yükümlüdür. Bunlar şunları içerir:

• Antivirüs yazılımları ve güvenlik duvarlarının kurulması;
• Bilgi sistemlerine erişimin sınırlandırılması;
• Verilerin iletim sırasında korunması (örneğin şifreleme yoluyla);
• Verilerin yedeklenmesi ve harici cihazların kullanımının denetlenmesi;
• Kullanıcı eylemlerinin takip edilmesi ve yetkisiz erişimlerin önlenmesi.

Organizasyonel önlemler ayrıca yüklenici denetimini, bilgi güvenliği denetimlerini ve fiziksel (kağıt) belgelerin işlenmesine yönelik kuralların getirilmesini kapsar.

Kayıt Tutma ve Loglama
Veri sorumlusu, kişisel verileri içeren işlemlerin kayıtlarını tutmalıdır. Bu kapsamda şunlar yer alır:

• Veri erişim olaylarının kaydedilmesi;
• Üçüncü taraflara veri aktarımlarının belgelendirilmesi;
• Güvenlik olaylarının ve ilgili müdahale önlemlerinin loglanması;
• Veri sahibi rızasının ve rıza geri çekme geçmişinin saklanması.

Bu tür belgeler mevzuata uyumun gösterilmesine yardımcı olur, uyuşmazlık veya denetim durumunda veri işlemenin yeniden yapılandırılmasını sağlar ve süreçlerin şeffaflığını garanti eder.

Veri sorumlusu görevlerinin yerine getirilmesine yönelik kapsamlı bir yaklaşım, yalnızca yasal riskleri azaltmakla kalmaz, aynı zamanda kurumun dijital sorumluluk ve bilgi yönetimi kültürü açısından olgunluğunu da kanıtlar.

Veri Sahiplerinin Hakları

Kişisel verilerin korunması mevzuatının temel amaçlarından biri, bireylere kendileri hakkındaki bilgiler üzerinde kontrol sahibi olma imkânı tanımaktır. Her veri sahibi; verilerinin nasıl kullanıldığını anlamasını, etkilemesini ve yönetmesini sağlayan bir dizi hakka sahiptir. Veri sorumlusu yalnızca bu haklara uymakla kalmamalı, aynı zamanda bunların kullanılabilmesi için uygun mekanizmalar sunmalıdır.

Kişisel Veriler Hakkında Bilgi Alma Hakkı
Bireyler; verilerinin kimler tarafından, hangi amaçlarla ve hangi yasal dayanaklarla işlendiğini, hangi veri kategorilerinin kullanıldığını ve verilerin kime aktarıldığını öğrenme hakkına sahiptir. Yapılacak talep üzerine, saklama süreleri ve güvenlik önlemleri hakkındaki detaylar dâhil olmak üzere kapsamlı ve net bilgiler ilgili kişiye verilmelidir.

Veri sorumlusunun “iç politika” bahanesiyle bilgi saklamaması ve makul bir süre içinde yanıt vermesi büyük önem taşımaktadır. İlk kez yapılan veya standart nitelikteki bu tür talepler için herhangi bir ücret talep edilemez.

Erişim, Düzeltme, Bloke Etme ve Silme Hakkı
Veri sahibi, veri sorumlusuyla iletişime geçerek şunları talep edebilir:

• Kişisel verilerine erişim sağlamak;
• Eski veya yanlış bilgileri düzeltmek ya da tamamlamak;
• Veri işlemeyi geçici olarak bloke etmek;
• İşleme amacının artık mevcut olmaması veya rızanın geri alınması durumunda verileri silmek.

Örneğin, bir müşteri telefon numarasının pazarlama mesajları için kullanılmasını artık istemiyorsa, bunun veri sorumlusunun veritabanından silinmesini talep edebilir. Veri sorumlusu ya bu talebi yerine getirmeli ya da yasal bir gerekçe sunmalıdır (örneğin verilerin sözleşmesel yükümlülükleri veya yasal gereklilikleri yerine getirmek için gerekli olması durumunda).

Rızayı Geri Çekme Hakkı
Kişisel veriler veri sahibinin rızasına dayanarak işleniyorsa, veri sahibi herhangi bir gerekçe göstermeksizin bu rızayı istediği zaman geri çekebilir. Rıza geri çekildiğinde, başka bir yasal dayanak (çalışma veya vergi hukuku gereklilikleri gibi) bulunmadığı sürece veri sorumlusu verileri işlemeyi durdurmalıdır.

Veri sorumlusu; çevrimiçi bir form, kullanıcı hesabı, yazılı talep vb. aracılığıyla rızanın geri alınması için basit ve net bir yöntem sunmalıdır. Geri çekme sürecini zorlaştırmak veya bu tür talepleri göz ardı etmek veri sahibinin haklarının ihlali anlamına gelir.

Şikâyette Bulunma ve Veri Sorumlusunun Eylemlerine İtiraz Etme
Bir veri sahibi, haklarının ihlal edildiğine inanıyorsa —örneğin verileri rızası olmadan paylaşılmışsa veya veri sorumlusu verileri silmeyi reddetmişse— şikâyette bulunabilir. Bu şikâyet doğrudan şirkete (veri sorumlusuna) veya veri korumadan sorumlu yetkili devlet organına iletilebilir. Belarus’ta bu kurum Kişisel Verileri Koruma Ulusal Merkezi’dir (NCPDP).

Buna ek olarak veri sahibi, manevi tazminat talebinde bulunma hakkı dâhil olmak üzere yasal yollara başvurabilir.

Veri sahibi haklarının uygulanması sadece şekil şartı değil, yasal güvenliğin ve kamu güveninin kritik bir unsurudur. Veri sorumluları için bu haklara saygı göstermek yalnızca yasal bir zorunluluk değil, aynı zamanda kurumsal olgunluğun, müşteri odaklılığın ve operasyonel şeffaflığın bir göstergesidir.

Kişisel Veri Düzenleyicisi: NCPDP’nin Rolü

Belarus’taki kişisel veri koruma sistemi devlet denetimi ilkesine dayanmaktadır. Bu alandaki temel denetleyici otorite Kişisel Verileri Koruma Ulusal Merkezi’dir (NCPDP). Merkez, yasaya uyumu denetlemenin yanı sıra önemli bir danışmanlık ve önleyici rol de üstlenmektedir.

NCPDP’nin Yetkileri

NCPDP, kişisel verilerin hukuka uygun ve güvenli bir şekilde işlenmesini sağlamaya yönelik geniş yetkilerle donatılmıştır. Özellikle Merkez şu görevleri yürütür:

• kuruluşların kişisel verileri nasıl işlediğini izlemek;
• bireylerin ve tüzel kişilerin şikâyetlerini değerlendirmek;
• ihlallerin giderilmesine yönelik emirler çıkarmak;
• veri sorumluları sicilini tutmak;
• rehberlerin hazırlanmasına katılmak ve kamuoyunu bilgilendirmek.

Merkez; belge talep etme, bilgi sistemlerini inceleme ve kurum çalışanlarıyla mülakat yapma hakkına sahiptir. Çıkardığı kararlar yasal olarak bağlayıcıdır.

Planlı ve Plansız Denetimler

NCPDP hem planlı hem de plansız denetimler gerçekleştirmektedir:

• Planlı denetimler onaylanmış bir programa göre yürütülür. Genellikle büyük şirketleri, devlet kurumlarını ve hassas verilerle çalışan operatörleri hedef alır.
• Plansız denetimler şikâyetler, potansiyel ihbarlar veya risk değerlendirmeleri temelinde başlatılır. Örneğin basında yer alan büyük çaplı bir veri sızıntısı haberi, plansız bir denetimi tetikleyebilir.

Denetim sırasında Merkez; belgeleri inceleyebilir, sorumlu personelle mülakat yapabilir, BT sistemlerini denetleyebilir ve iç politikaları gözden geçirebilir. Kuruluşlar, Merkezin temsilcileriyle iş birliği yapmak zorundadır.

Tespit Edilen İhlallerin Sonuçları

Denetim sırasında ihlal tespit edilmesi durumunda NCPDP şunları yapabilir:

• ihlallerin belirlenen süre içinde giderilmesi için talimat vermek;
• kişisel veri işlemeyi askıya almak veya kısıtlamak;
• dosyaları diğer düzenleyici makamlara veya mahkemeye sevk etmek;
• sorumlu kişiler hakkında idari işlem başlatmak.

Kasıtsız ihlaller genellikle uyarı ve uyum talimatıyla sonuçlanır. Bununla birlikte, tekrarlanan veya ciddi ihlaller; özellikle veri sızıntılarını veya veri sahiplerinin haklarının göz ardı edilmesini içeren durumlar, para cezaları, faaliyetlerin geçici olarak durdurulması ve itibari zararlar gibi daha ağır sonuçlara yol açabilir.

NCPDP Rehber ve Açıklamaları

NCPDP; rehber materyaller, sık sorulan soruların yanıtları, şablonlar, rıza formları ve güvenli veri yönetimine ilişkin talimatlar yayımlamaktadır. Bu kaynaklar hukukçular, işletme yöneticileri, BT uzmanları ve kişisel verilerle çalışan personel için son derece değerlidir.

Kuruluşlar danışmanlık almak, yasal uyumluluk hakkında sorular iletmek ve veri koruma önlemlerinin uygulanmasında destek istemek amacıyla NCPDP ile iletişime geçebilir. Düzenleyici kurumla kurulan bu diyalog, riskleri azaltmaya ve sorumlu veri yönetimi kültürünün gelişmesine katkı sağlar.

Sonuç

Kişisel veri, yalnızca bir bireye ait bilgi değildir; azami sorumlulukla ele alınması gereken hassas bir varlıktır. Veri sorumlusu olarak hareket eden şirketler, yalnızca veri işleme kurallarını anlamakla kalmamalı, aynı zamanda yasallık, şeffaflık ve veri sahiplerinin haklarına saygı ilkelerini savunan dirençli bir koruma sistemi de inşa etmelidir.

Kişisel verilerin korunması alanındaki devlet gereksinimleri gelişmeye devam etmektedir. Bu konuların ihmal edilmesi hem hukuki hem de itibari sonuçlara yol açabilir. Aynı zamanda, kişisel veri işlemeye yönelik iyi yapılandırılmış bir yaklaşım; müşteriler, iş ortakları ve çalışanlar arasında güven oluşturur ve ticari riskleri azaltır.

Kuruluşunuzun mevcut süreçlerinin denetime ihtiyacı varsa, iç politikaların tasarlanmasında, personel eğitiminde veya NCPDP ile etkileşimde yasal desteğe gereksinim duyuyorsanız, AMBY Legal uzmanları her aşamada pratik çözümler sunmaya ve tam destek sağlamaya hazırdır.

Bize Ulaşın

Belarus’ta kişisel verilerle ilgili herhangi bir sorunuz varsa, size yardımcı olmaktan memnuniyet duyarız Bize ulaşın! Uzun yıllara dayanan deneyimimiz, çıkarlarınızı temsil edecek avukatı seçmenizde size rehberlik edecektir.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.