ELEKTRONİK HABERLEŞME SEKTÖRÜNDE KİŞİSEL VERİLERİN İŞLENMESİ VE GİZLİLİĞİN KORUNMASI 28 Aralık 2020
4 Aralık 2020 tarihli ve 31324 sayılı Resmî Gazetede yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına ilişkin Yönetmelik (“Yönetmelik”) kapsamında; elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin tüzel kişi abonelikleri dâhil elektronik haberleşme hizmeti sunulması kapsamında elde ettikleri veriler bakımından uyacakları usul ve esaslar düzenlenmektedir. Yönetmelik bakımından, elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten şirket “İşletmeci” olarak; bir işletmeci ile elektronik haberleşme hizmetinin sunumuna yönelik olarak yapılan bir sözleşmeye taraf olan gerçek ya da tüzel kişi “Abone” olarak; ve aboneliği olup olmamasına bakılmaksızın elektronik haberleşme hizmetlerinden yararlanan gerçek veya tüzel kişi ise “Kullanıcı” olarak tanımlanmaktadır.
İşbu Yönetmelik uyarınca kişisel verilerin; hukuka ve dürüstlük kurallarına uygun olarak işlenmesi, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi gerektiği öngörülmüştür. Aynı zamanda milli güvenlik gerekçesiyle trafik ve konum verilerinin yurt dışına çıkarılmaması esastır.
- İŞLETMECİLERİN YÜKÜMLÜLÜKLERİ NELERDİR?
- Kişisel Verilerin Güvenliğine İlişkin Tedbirler
Yönetmelik hükümleri kapsamında işletmecilere birtakım yükümlülükler getirilmiştir. Bu doğrultuda işletmeciler; abonelerine/kullanıcılarına ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla Elektronik Haberleşme Kanununa, Kişisel Verilerin Korunması Kanununa, ulusal ve uluslararası standartlara uygun olarak gerekli her türlü teknik ve idari tedbirleri alacaktır. İşletmeciler kişisel verilerin işlenmesine ilişkin güvenlik politikaları belirleyecek, ihlallere karşı kişisel verilerin koruyacak, kişisel verilere sadece yetkili kişiler tarafından erişilmesini ve kişisel verilerin saklandığı sistemler ile kişisel verilere erişim sağlamak için kullanılan uygulamaların güvenliğini sağlayacaktır. Bilgi Teknolojileri ve İletişim Kurumu tarafından gerekli gördüğü hâllerde alınan güvenlik tedbirlerine ilişkin işletmecilerden, bilgi ve belge istenebilecek, ayrıca idari yaptırım uygulama hakkı saklı kalmak kaydıyla söz konusu güvenlik tedbirlerinde değişiklik talep edilebilecektir. Ayrıca işletmeciler, kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtlarını iki yıl saklamakla yükümlüdür.
- Güvenlik Risklerinin ve Kişisel Veri İhlallerinin Bildirimi
Yönetmelik uyarınca işletmeciler; şebekelerinin ve sundukları hizmetlerin güvenliğini tehdit eden belirli bir risk olması halinde söz konusu riskin kapsamı ve bu riskin giderilme yöntemleri hakkında ilgili aboneleri en kısa sürede bilgilendirmekle ve aynı zamanda kişisel veri ihlali olması durumunda Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak Kişisel Verileri Koruma Kurumuna ve ilgili abonelere/kullanıcılara en kısa sürede bildirimde bulunmakla yükümlüdür.
- Açık Rızaya İlişkin Şartların Sağlanması
İşletmeciler, aboneden/kullanıcıdan açık rıza alınmasını gerektiren durumlarda Yönetmelik’te belirtilen şartları yerine getirmekle yükümlü kılınmıştır. Buna göre açık rıza beyanının ilgili işlemden önce ve belirli bir konuya ilişkin olarak alınması gerekir. Belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki rızalar geçersiz olacaktır.
Devamla, aboneden/kullanıcıdan açık rıza beyanı alınmadan önce işletmeciler tarafından; işlenecek kişisel veri türü ile trafik ve konum verisi türleri, kapsamı, işlenme amacı ve süresi hakkında açık ve anlaşılır bir bilgilendirme yapılması zorunlu tutulmuştur. Ayrıca açık rıza beyanı özgür iradeyle açıklanmış olmalıdır. Bu doğrultuda abonelik tesis edilmesi ve temel elektronik haberleşme hizmetleri veya cihazların sunulması, abonenin/kullanıcının verilerinin işlenmesine yönelik açık rıza verme ön şartına bağlanamaz. Ancak Yönetmelik uyarınca hediye dakika, SMS ve veri gibi ek fayda sağlanması karşılığında aboneden/kullanıcıdan açık rıza talep edilebileceği kabul edilmiştir. Ancak bu hüküm uygulanırken dürüstlük kuralına uygun olarak meşru bir amaç için ve işlenme amacıyla bağlantılı sınırlı ve ölçülü olarak rıza alınması gerektiği unutulmamalıdır.
- ABONELERE SAĞLANAN İMKANLAR NELERDİR?
İşletmeciler, arayan kullanıcıya basit bir yöntemle ve ücretsiz olarak numarasını gizleme ve aranan aboneye de aynı şekilde, gelen aramalarda arayan numaranın gösterilmesini engelleme imkanı sağlayacaktır.
İşletmeciler tarafından aboneye/kullanıcıya, kendisine üçüncü kişilerden gelen otomatik yönlendirmeleri ücretsiz ve basit yöntemlerle durdurma olağanı verilecektir. Başka bir numaraya veya otomatik mesaj sistemine yapılan yönlendirmelerin ücretli olması halinde ise, mutlaka abonenin/kullanıcının onayı alınacaktır. İşletmeciler, abonelerin talep etmeleri halinde kullanım detayında veya ayrıntılı faturada yer alan telefon numaralarının bazı rakamlarının gizlenmesini sağlamakla da yükümlü tutulmuştur.
İşletmeciler, abonelerin/kullanıcıların verilerinin işlenmesine yönelik olarak, kısa mesaj, çağrı merkezi, internet ve benzeri yöntemlerle vermiş oldukları açık rızayı aynı yöntem ya da daha basit bir yöntem ile her zaman ücretsiz olarak geri almalarına imkan sağlayacak ve bu imkana ilişkin bilgilendirme de açık rıza alınması sırasında yapılacaktır. Ayrıca, işletmeciler tarafından abonelere/kullanıcılara kısa mesajla, ya da e-posta veya arama yöntemlerinden biri ile, daha önce alınan açık rızaları kapsamında verilerinin işlendiğine dair bilgilendirme yapılması öngörülmüştür. Şayet bilgilendirme yapılmaz ise daha önce verilen açık rızalar kapsamındaki veri işleme faaliyeti bilgilendirme yapılıncaya kadar durdurulur.
Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılacaktır. Yönetmelik kapsamındaki abonelere yapılacak tüm bilgilendirmeler, ücretsiz olarak gerçekleştirilecek ve bu bilgilendirmeler, açık rıza, abone talebi ve onayına ilişkin ispat sorumluluğu işletmeciye aittir. Açık rızanın geri alınması durumunda ise açık rızaya dayalı olarak yapılan veri işleme faaliyetleri derhal işletmeci tarafından durdurulur.
- MEVCUT RIZALARIN GEÇERLİLİĞİ
Yayımı tarihinden altı ay sonra yürürlüğe girecek olan bu Yönetmelik uyarınca; Yönetmeliğin yürürlüğe girdiği tarihten önce hukuka uygun olarak alınmış rızalar geçerli sayılacaktır. Ancak buradaki geçerliliğin Kişisel Verilerin Korunması Kanunu kapsamından ayrı olarak değerlendirilmesi gerektiği göz önünde bulundurulmalıdır.
Yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda ise bu işlemin, bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulacağı belirlenmiştir.
