Etiket arşivi: Mina Kupana

KVKK

Depremzede çocukların fotoğraf ve videolarını paylaşmak: Kamu menfaati mi yoksa gizlilik ihlali mi?

Yorum yapın

30 Ekim 2020 tarihinde, Kandilli verilerine göre Ege Denizi açıklarında 6,9 şiddetinde meydana gelen depremde 115 kişi hayatını kaybetti. Depremden günler sonra küçük yaştaki çocukların kurtarılmasına yönelik haberler gerek basında gerekse sosyal medyada büyük bir heyecanla karşılandı. Bir yandan ölü ve yaralı sayısının arttığı, bir yandan da küçük çocukların kurtarılmasıyla ‘mucizelerin’ gerçekleştiği yönündeki haberler de tüm medya organlarda kendine yer buldu. 

Basın kuruluşlarının haberlerinde ve sosyal medya paylaşımlarında ‘çocukların’ bu şekilde kullanılması ise tartışma konusu oldu. Söz konusu çocukların fotoğraf ve videolarının paylaşımlarının artmasıyla birlikte, basın özgürlüğünün sınırlarının aşıldığı konusunda uyarılar yapıldı. Paylaşıma sunulan fotoğraflar ve videoların, gelecekte çocukların karşısına çıkması halinde çocuklarda yaratacağı olumsuz etkilerin göz önünde bulundurulması gerektiği konusunu gündeme getiren İstanbul Barosu ve birçok farklı disiplinden uzmanlar, aynı zamanda yapılan paylaşımların “suç teşkil ettiğini” iddia eden açıklamalar da yayınladılar. 

Söz konusu depremden mağdur olan çocukların haberlerinin yapılmasının, Türkiye’nin de taraf olduğu BM Çocuk Hakları Sözleşmesi’nin ve Anayasa’nın 41. maddesindeki ifadeyle çocuğun üstün yararının ihlal edildiği, kişilik hakkının korunmadığı gibi sonuçları doğurduğu söylendi. 

Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında konunun aslını, yapılan paylaşımlara hangi perspektiften yaklaşılması gerektiği, çocuğun üstün yararının ihlal edilip edilmediğini, çocukların, basınla bağlantılı olan unutulma hakkını kullanıp kullanamayacağını ve tüm hukuki süreçleri Kavlak Avukatlık Bürosu’ndan Av. Deniz Mina Küpana ile konuştuk. 

https://siberbulten.com/kvkk/unutulma-hakki-isteyen-vatandas-kvkkya-basvurabilecek/

İFADE ÖZGÜRLÜĞÜNÜN SINIRINI DOĞRU BELİRLEMEK ÖNEMLİ 

Doğal afetler gibi kamunun bilgi sahibi olması gereken durumlar yaşandığında basın vb. kanallarda sıkça gördüğümüz kişilere ait fotoğraf vb. kişisel veriler ile ilgili Av. Deniz Mina Küpana, “Afet, deprem veya kamunun bilgi sahibi olması gereken herhangi bir durum olduğunda, KVKK’nın 28.maddesi kapsamında basın özgürlüğü istisnası devreye girecektir. Buna göre özel hayatı ve kişilik haklarını ihlal etmemek kaydı ile ifade özgürlüğünün kullanılması halinde KVKK’nın hükümleri uygulanmaz. Fakat burada ifade özgürlüğünün sınırı yani haber değeri olan ve kamunun gerçekten de  bilgilendirilmesi gereken halleri iyi belirliyor olmamız gerekir. Özellikle de muhatap bir çocuk ise burada özel hayatın ihlali ve ifade özgürlüğü dengesini çok doğru kurmak daha da önemli hale gelecektir”  

NEREDEN BAKMALIYIZ; ÇOCUĞUN ÜSTÜN YARARI MI KAMU MENFAATİ Mİ? 

Ege Denizi’nde yaşanan deprem dolayısıyla deprem döneminde ve sonrasında basında ve sosyal medyada, özellikle 18 yaş altı mağdur depremzede çocukların fotoğrafları ve videolarının ölçüsüzce paylaşılmasıyla, kamu menfaati ve çocuğun üstün yararı konusundaki dengelerin bozulduğu, bunun kişilik haklarına ihlal oluşturabileceğini söyleyen Küpana, “Depremden sonra toplumun en hassas damarı olan çocukların umut verici kurtuluş fotoğrafları birçok platformda çokça paylaşıldı. Çocuklar konusunda işin rengi değişiyor. İngiltere’de çocukların kişisel verileriyle ilgili daha çok yeni bir Yasa kabul edildi. Bu yasada çocuklar, toplum içerisinde daha fazla dezavantajlı ve daha hassas bir konumda olduklarından gerek çevrimiçi gerekse çevrimdışı ortamlarda nasıl korunacaklarına ilişkin temel yaklaşımlar belirlendi. Bu Regülasyonun getirilişindeki en temel amaç ise bu yaş grubuna yetişkinlerden daha farklı bir muamele yapılması gerekliliği idi. Türkiye’de çocukların mahremiyeti özelinde benzer bir yasal düzenleme var mı sorusu üzerine ise Küpana, Birleşmiş Milletler’in Çocuk Hakları Sözleşmesini hatırlatıyor. “Çocuğun üstün yararı kavramı çok önemli, çocuğun bedensel, fikri ve ahlaki bakımdan en iyi şekilde gelişebilmesi ve böyle bir gelişmenin gerçekleştirilmesi için, çocuğa sosyal, ekonomik ve kültürel koşulların sağlanmış olmasını içeriyor. Bu yüzden de çocuğun üstün yararını göz önüne alırken, onun bedensel, zihinsel, ruhsal, ahlaki ve toplumsal gelişiminin sağlanması amacının gözetilmesi gerekiyor. Paylaşılan fotoğraf ve videolarda önce buraya bakmamız gerekiyor. Yapılan haberlerde kamu menfaati ve çocukların üstün yararı dengesi ne kadar gözetildi? Çocukların özel hayatına saygı duyuldu mu? Çocukların üstün yararını gözetecek, eldeki iki menfaati dengede tutacak bir bakış açısı yakalamamız gerekiyor” dedi. 

UNUTULMA HAKKI DEVREYE GİREBİLİR

Avrupa’da “the right to be forgotten” olarak tanımlanan unutulma hakkı en kısa şekli ile kişinin internet arama sonuçlarında kendisi ile ilgili çıkan haber, fotoğraf, video, bilgi vb. gibi verilerin artık internet arama sonuçlarında olmasını istememe hakkı olarak biliniyor. Söz konusu durumda çocukların “unutulma hakkı”nı talep edip edemeyeceğine yönelik soruyu yanıtlayan Küpana, “Bir de unutulma hakkı konusu var. Bu konu ‘Sosyal Medya Yasası’ ile birlikte gündeme geldi. Unutulma hakkı elbette ‘bunu kaldırın, bunu görmek istemiyorum’ gibi bir şey değil. Kimsenin öğrenmesinde menfaat kalmamış bir kişisel veri internet ortamında varlığını sürdürmesi ile orada kişiyi ayrımcılığa tabi tutuyorsa, kişiyi daha dezavantajlı konuma sokuyorsa, daha da mağduriyet yaşayacağı bir duruma büründürüyorsa verilerinin silinmesini talep etme hakkı kişiye tanınıyor. Önümüzdeki yıllarda mağdur çocukların da böyle bir hak talebiyle gelmesi çok muhtemeldir.  

Siber Bülten abone listesine kaydolmak için formu doldurunuz

https://siberbulten.com/kvkk/sosyal-medya-yasasi-yururluge-girdi-hayatimizda-neler-degisecek/

 

KVKK

Kurumsal e-postalardaki yazışmalar işten çıkarılmak için delil olabilir mi? 

1 Yorum

Geçtiğimiz günlerde Anayasa Mahkemesi (AYM), dijital mahremiyet ile ilgili kritik bir karar verdi. Olayda, bir avukatlık ortaklığında çalışanlar arasındaki uyuşmazlığın çözülmesi için başlatılan iç soruşturmada çalışanının kurumsal e-postalarına erişim sağlandı. İçeriği inceleyen şirket, yazışmaları gerekçe göstererek çalışanının iş akdini feshetti.

İşten çıkartılan kişi özel hayatın korunması hakkı kapsamında kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyetinin ihlal edildiği gerekçesiyle konuyu iç hukuk yollarını tükettikten sonra AYM’ye taşıdı. AYM, 14 Ekim’de Resmi Gazete’de yayınlanan kararında başvurucuyu haklı buldu. Mahkeme başvurucunun Anayasanın 20. maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve Anayasa’nın 22. maddesinde güvence altına alınan haberleşme hürriyetinin ihlal edildiğine hükmetti. 

YÖNETİM HAKKINDA BİLGİLENDİRME VE ŞEFFAFLIK KRİTİK

AYM’nin veri gizliliğini ve özel hayatın mahremiyetini önceleyen kararının ardından kurumların çalışanlarına sağladığı kurumsal e-posta, araç ve telefon gibi imkanların nasıl kullanıldığının kurum tarafından sorgulanmasında bireysel mahremiyetin sınırlarının nasıl belirleneceğine dair bir tartışma başladı. 

Kararı Siber Bülten için yorumlayan Kavlak Avukatlık Bürosundan Avukat Deniz Mina Küpana, iş hukuku düzenlemelerinin işverene bir yönetim hakkı verdiğini ve çalışana sağlanan imkanları denetleme hakkı bulunduğunu belirttikten sonra uyarıyor: “Tabi ki bunlar mahremiyet gözetilerek yapılmalı.” 

Kurumların çalışanlarına sunduğu iletişim araçlarının yönetim hakkı çerçevesinde denetlenirken iki önemli noktaya dikkat edilmesi gerektiğini belirten Küpana, şeffaflık ve ölçülülüğün altını çiziyor: 

“Kurumların farkında olması gereken bir gerçek var. İş ilişkisi müdahaleyi gerektiriyorsa minimumda ilerlenmeli. Eğer çalışanın özel hayatına daha az müdahale etme imkanı var ise bu yöntemler tercih edilmeli.  En önemlisi müdahaleyi gerçekleştirirken şeffaf olmak gerekiyor. Kişiye öncesinde haber verilmesi ve Kanun’a uygun bilgilendirmenin yapılması çok önemli.”

BİLGİLENDİRMENİN ÖNEMİ: BARBULESCU KARARI

AYM’nin verdiği karara benzer şekilde Avrupa’da da özel hayatın gizliliği ve yönetim hakkı arasında bir denge kurulduğu durumlar mevcut. Bunlardan en bilineni Romanya vatandaşı Bogdan Mihai Barbulescu ile ilgili olan ve Barbulescu kararı olarak da anılan AİHM kararı. 

Karara konu olayda, işyerinde mühendis olarak çalışan Barbulescu’nun işveren tarafından açılan e-posta hesabının  başvurucuya bilgi verilmeksizin denetlenmesi söz konusudur. Bu denetlemeye istinaden iş sözleşmesi feshedilen başvurucu iç hukuk yollarından sonra AİHM’e başvurmuş ve Mahkeme de AİHS 8.maddenin ihlal edildiğine karar vererek önemli bir hususun altını çizmiştir. Buna göre AİHM, yaşadığımız iletişim çağında işverenin yönetim hakkı ile işçinin mahremiyetinin dengesinin iyi kurulmasının önemine dikkat çekerek işçiye yapılacak açık ve anlaşılır bilgilendirmenin önemini vurgulamıştır. 

MAHREMİYET VE YÖNETİM HAKKI DENGESİ

Kurumların çalışanlarına verdiği olanaklar arasında kurumsal e-posta dışında cep telefonu, cep telefonu hattı ve araç da bulunuyor. Küpana, işverenlerin yönetim hakkı kapsamında çalışana sağladıkları bu imkanları denetleme hakkı olduğunu fakat bu noktada makul müdahaleler ile  tüm bu süreçlerin açık ve anlaşılır şirket politikaları ile çalışana sunulması gerektiğini belirtiyor. 

“Konuya iki taraf açısından da bakmak gerekir. Şöyle ki çalışan kendisine işin yapılması maksadı ile sunulan bu ekipmanları iş ile bağlantılı olarak kullanmalı işveren de çalışana tahsis edilen ekipmanlar ile ilgili gözetim hakkını kullanırken makul ve ölçülü hareket etmelidir. Burada en önemli nokta ise iki taraf da uyması gereken usulleri veya yapılabilecek olası müdahaleleri şeffaf bir şekilde karşı tarafa sunmalı ve bunu şirket iç metinleri de destekliyor olmalıdır. ” 

AVRUPA’DAKİ DÜZENLEMELER İLE PARALELLİK BULUNUYOR

AYM’nin kararında uluslararası mahkemeler ve sözleşmelere atıf yapması Türkiye’de kişisel verilerin korunması ve özel hayatın dijital ortamda da gizliliğine saygı duyulması açısından Avrupa’daki düzenlemeler ile paralellik içerisinde olduğunu gösteriyor. 

İnsan Hakları Evrensel Beyannamesi başta olmak üzere Avrupa Birliği Veri Koruma Tüzüğü, Avrupa İnsan Hakları Sözleşmesi, Avrupa Konseyi Siber Suç Sözleşmesinin ilgili maddeleri AYM’nin kararına dayanak olarak gösterilen uluslararası hukuk düzenlemeleri olarak göze çarpıyor. Mahkeme kararında AİHM’nin özel hayat kavramının geniş bir şekilde tanımlanmasına dikkat çekti.

Kişisel verilerin korunması ile ilgili çalışmalarıyla bilinen Av. Mina Küpana, Avrupa İnsan Hakları Sözleşmesinin özel hayatla ilgili düzenlemelerin bulunduğu 8. Maddesine AYM kararında özellikle belirtildiğini hatırlattı. Küpana “8. Maddeye göre çalışanın iş hayatında geçirdiği süre özel hayatını kapsayan bir süreçtir. Bu saatler esnasında da kişinin mahremiyetine saygı duyulmalı. Yönetim hakkından doğan müdahaleler en minimal şekilde yapılmalı. Ancak zorunluysa bir sonraki aşamaya geçilmeli.” ifadelerini kullandı. 

Siber Bülten abone listesine kaydolmak için formu doldurunuz

  

KVKK

Üçüncü taraf kaynaklı veri sızıntıları büyük şirketleri zor durumda bırakıyor

Yorum yapın
Deniz Mina Küpana

Dünyada ve Türkiye’de gittikçe artan üçüncü taraftan kaynaklı siber güvenlik olayları kurumlara ciddi maliyetlere sebep olmaya devam ediyor. Ponemon Enstitüsü’nün konuyla ilgili yaptığı araştırmaya göre, kurumların yüzde 53’ü bir veya birden çok kez üçüncü taraf kaynaklı veri sızıntısı yaşamış durumda. Üstelik bu sızıntıların maliyetinin 7.5 milyon doların üzerinde olduğu tahmin ediliyor.

Amazon, e-Bay, T-Mobile, British Airways, Ticketmaster ve  General Electric gibi dünya devi şirketler dahi üçüncü taraf kaynaklı sızıntıları engellemekte tıpkı Türkiye’de bazı örneklerde olduğu gibi güçlük yaşıyor.

Üçüncü taraftan kaynaklanan veri ihlallerini önlemek için hangi adımların atılabileceğini, Kişisel Verileri Koruma Kanununun ilgili olaylarda kimi muhatap kabul ettiğini ve böyle bir olay yaşandığından izlenen hukuki süreci Kavlak Avukatlık Bürosu’ndan Mina Küpana ile konuştuk.

ŞİRKETLER ÜÇÜNCÜ TARAFI SÜREKLİ DENETLEMELİ

Dünyadaki tüm büyük şirketler, belirli hizmetleri kullanıcılarına sunmak, site güvenliğini sağlamak veya çeşitli hedeflerle kurdukları stratejiler doğrultusunda işbirlikleri geliştirmek amacıyla üçüncü taraflarla çalışıyor. Fakat son zamanlarda üçüncü taraflarla kurulan ilişki bu şirketlerin başını ağrıtmaya başladı. Dünyadaki ve ülkemizdeki veri ihlallerinin ciddi bir bölümü göz önünde bulundurulduğunda, sızıntılar genellikle üçüncü taraf kurumlar veya kişilerden kaynaklı oluyor.

Şirketlerin üçüncü taraflarla işbirliği yapmadan önce kılı kırk yaran bir süreçten geçirmesi gerektiğini söyleyen Küpana, “Bu durum artık alt işverenin denetimi düzeyinde yaygınlık kazanmalı ve üzerinde titizlikle durulmalı. Bir şirket, bu tip veri ihlallerini önlemek adına işin başında ve devamında sürekli ve düzenli bir denetim mekanizması kurmalı. Üçüncü tarafın çalışanlarının gerekli eğitimlerden geçip geçmediği, idari ve teknik tedbirlerin alınıp alınmadığı, kurumun güvenlik stratejisinin ne kadar etkili olup olmadığı, doğabilecek riskler ve bunların nasıl önlenebileceği üzerine hazırlıklı olunduğunu kontrol etmeli. Nasıl ki çalıştığımız şirkete, ‘Çalıştırdığın işçilerin sigortasını yapıyor musun?’ sorusunu sormak ne kadar elzemse, güvenlik konusundaki önlemleri alıp almadığını sormak da bir o kadar önemli” dedi.

SEKTÖRDE BAŞARI KADAR GÜVENLİK DE KISTAS OLMALI

Şirketlerin üçüncü taraf hizmet sağlayıcılarla iş yaparken kârlılık hesabı yaparak güvenlik konusunu geri planda bıraktığını vurgulayan Küpana, “Çalışılması düşünülen üçüncü taraf hizmet sağlayıcının sektörde ne düzeyde iyi olduğu doğal olarak belirleyici oluyor. Fakat bu şirketin güvenlik konusunda ne düzeyde hassas olduğu, gerekli önlemleri alıp almadığı çok araştırılmıyor. En baştan bir eleme sürecine tabi tutulmalılar. Sektöründe iyi olabilir. Ama daha önce yapılan işlerde bir güvenlik açığı yaşanmış mı? Şirket güvenlik açıklarını engellemek adına ne gibi bir sisteme sahip? Bu sorular işin başında sorulduğunda ve gerekli denetimlerden ve eleme süreçlerinden geçirildiğinde yapılan işbirliği iki taraf için de sağlıklı olur. Öteki türlü, anlaşmayı imzaladıktan sonra yaşanan bir güvenlik açığı ile görülecek zarar düşünüldüğünde üçüncü taraf ile imzaladığınız sözleşmenin çok da bir getirisi olmuyor. Hukuki sürecin uzun dehlizlerinde kaybolup gidiyorsunuz. Kaldı ki bu ihlalleri önlemek adına yapılacak her titiz çalışma sadece maddi olarak şirketinizi kurtarmıyor. Siber güvenliğin itibar açısından ne kadar önemli olduğu su götürmez bir gerçek. Fakat güvenlik ihlâllleri ve veri sızıntılarının maddi boyutu da oldukça önemli. Gerçekleşen veri ihlalleri her yıl şirketlere büyük kayıplara mal oluyor.” ifadelerini kullandı.

TÜRKİYE’DEKİ ŞİRKETLERE MALİYETİ 12 MİLYONUN ÜZERİNDE

IBM Güvenlik İş Birimi ve Ponemon Institute tarafından geçtiğimiz yıl veri ihlali yaşamış kuruluşlarda çalışan 3200’den fazla güvenlik uzmanıyla yapılan kapsamlı mülakatlara dayanan 2020 Veri İhlali Maliyeti Raporuna göre, Türkiye’de yaşanan her bir veri ihlalinin maliyeti 12,7 milyon TL’ye mal oluyor. Türkiye’deki veri ihlalleri bir önceki yıla göre yüzde 10,3 düzeyinde artış göstererek bu seviyeye geldi. Rapora göre Türkiye’de meydana gelen veri ihlallerinin yüzde 50’sinin temel nedeninin kötü amaçlı saldırılar olduğu ortaya çıktı. Kötücül saldırıların insan hatası ve sistemsel hatalardan kaynaklandığı belirtilen raporda, firmalar için ortalama toplam maliyeti 12,98 milyon TL olan kötücül saldırılardan kaynaklanan veri ihlallerinin yalnızca en yaygın değil, aynı zamanda da en maliyetli sorun olduğu söylendi.

ASIL SORUMLU HER ZAMAN VERİ SORUMLUSU ŞİRKET

Yaşanan veri ihlallerinde Kanunun üçüncü tarafı değil veri sorumlusu firmayı işaret ettiğini belirten Küpana, “Veri sorumlusu şirket istediği kadar üzerine düşeni yapsın, ihlal üçüncü taraftan da kaynaklansa kanun asli sorumlu olarak veri sorumlusu firmayı muhatap alıyor. Sorumluluk çalışılan üçüncü şirkette değil veri kayıt sisteminin kurulduğu ana şirkette. Veri sorumlusu şirket ancak ilerleyen süreçte üçüncü tarafın hata ve eksiklerinden ötürü yasal yollara başvurabiliyor.” dedi.

SÜREÇ NASIL İŞLİYOR?

Kişisel Verileri Koruma Kurumu tarafından yürütülecek soruşturmaya ve verilebilecek cezaya dair de konuşan Küpana, “Sızıntının büyüklüğüne, görülen zararın derecesine göre soruşturmanın boyutu ve verilecek cezanın miktarı değişiyor.

Avrupa ve dünyada pek çok veri koruma otoritesi para cezalarına ilişkin politikalar belirlerken ülkemizde henüz böyle bir standart mevcut değil. KVKK uyarınca yaşanan veri ihlallerini öğrendiğimiz andan itibaren belirli sürelerde Kişisel Verileri Koruma Kurumuna bildirmek durumundayız, Kurum da kamuoyunun menfaati olan hallerde bu ihlalleri kamu ile paylaşıyor.

Bir veri sızıntısı yaşandığında sonraki süreçte yapılacak denetimin sonuçlarına göre verilecek ceza belli olacaktır. Süreçlerde hukuki metinler hazırlanmış mı? Teknik önlemler alınmış mı? Periyodik olarak eğitimler yapılmış mı? Güvenlik açısından gerekli önlemler alınmış mı? Bunlar üzerinden veri sorumlusunun yapması gerekenleri yapıp yapmadığı saptanacak” ifadelerini kullandı.

Siber Bülten abone listesine kaydolmak için formu doldurunuz