Kişisel Verileri Koruma Kurumu (KVKK), kaza mağdurlarının kişisel verilerinin hukuka aykırı şekilde işlenmesine ilişkin bir ilke kararı aldı. Buna göre, veri sorumluları, kişisel verilere erişimde 'asgari yetki prensibi' çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve log/takip mekanizmaları gibi veri güvenliğini sağlamaya yönelik teknik ve idari tedbirler alacak.
Resmi Gazete'de yayımlanan kararda, hasar danışmanlık şirketleri veya benzer isimlerle faaliyet gösteren kuruluşların temsilcileri, avukatlar veya avukat olduklarını iddia eden ancak baro levhası sorgulamasında avukat olmadıkları tespit edilen kişiler tarafından kaza mağdurlarıyla isteksiz iletişim kurulduğuna dair KVKK'ye çok sayıda şikayet ulaştığı belirtildi.
Bu şikayetlerde, arayan kişilerin vekalet verilmesi durumunda tazminat alınacağını vaat ettiği, arayanların kendilerine ve kazaya ilişkin bilgilerin nasıl elde edildiğine dair tatmin edici yanıt vermedikleri ifade edildi.
Şikayetlerde, bazı durumlarda ısrarcı aramalar ve hak kaybı yaşanabileceği korkusuyla vekaletname alındığı, bazı durumlarda ise mağdurlar adına herhangi bir talimat verilmeden iş ve işlemler gerçekleştirildiği belirtildi.
KVKK'nin yaptığı incelemelerde, mağdurlara ait kimlik, iletişim bilgileri ve diğer kişisel verilerin yer aldığı kaza tutanaklarına, kaza sonrasındaki süreçte çeşitli kanallar üzerinden erişildiği ortaya çıktı.
Bunun üzerine KVKK, hukuka aykırı kişisel veri erişimi ve işleme faaliyetlerinin yaygınlığı nedeniyle yeni bir ilke kararı aldı.
Bu karara göre, sigortacılık sektörü içinde farklı kanallarda işlenen kişisel verilere hukuka aykırı erişim sağlayan ve 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümleri çerçevesinde işleme faaliyetinde bulunan hasar danışmanlık şirketleri ile yetki sınırlarını aşan eksperlerin, ekspertiz şirketlerinin, avukatların ve avukatlık ortaklarının kişisel veri işleme faaliyetinde bulunması durumunda ilgili kişiler KVKK'ye şikayette bulunabilecek.
Sigorta eksperleri, yasal görevleri doğrultusunda kişisel verileri işleyebilecek, ancak kişisel verileri yetkisiz üçüncü kişilere aktarmaları halinde 5237 sayılı Türk Ceza Kanunu'nun 136. maddesindeki 'kişisel verileri hukuka aykırı olarak verme veya ele geçirme' suçuyla karşılaşacak.
Veri sorumluları, çalışanlarına kişisel verilerin korunması konusunda eğitim ve bilinçlendirme faaliyeti gerçekleştirecek. Ayrıca, kişisel verilere erişimde 'asgari yetki prensibi' çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve log/takip mekanizmaları gibi veri güvenliğini sağlamaya yönelik teknik ve idari tedbirler alacak.
Bu önlemleri almayarak kanun hükümlerine aykırı şekilde devam eden ve ilke kararında belirtilen konulara uygun hareket etmeyen veri sorumluları hakkında Kanun'un 18. maddesinde yer alan cezai işlemler uygulanacak.
Yorumlar
Yorum yapabilmek için giriş yap veya üye ol