Kadir Has Üniversitesi Siber Güvenlik ve Kritik Altyapı Koruma Uygulama ve Araştırma Merkezi Yönetmeliği, bir vakıf üniversitesi bünyesinde kurulan araştırma merkezinin amacını, faaliyet alanlarını ve karar organlarını belirleyen ikincil bir düzenlemedir. Bu tür merkez yönetmelikleri, dayanağını yükseköğretim mevzuatından alır; ancak merkezin fiilen yürüttüğü siber güvenlik faaliyetleri, KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ve 5651 sayılı Kanun gibi başka mevzuat başlıklarıyla doğrudan kesişir. Uygulamadaki asıl hukuki gerilim de tam burada doğar.
Merkez Yönetmelikleri Hukuken Ne İşe Yarar?
Bir uygulama ve araştırma merkezi yönetmeliği, merkezi kuran iradenin sınırlarını çizer: merkezin amacı, faaliyet alanları, müdür ve yönetim kurulu gibi organları, bu organların görev süreleri ve yetkileri. Merkez, bu yönetmelikte sayılan faaliyet alanları dışına çıkan bir iş üstlendiğinde, yapılan işlemin dayanağı tartışmalı hâle gelir. Danışmanlık, laboratuvar testi veya dış kuruma raporlama gibi işler üstlenilecekse, faaliyet alanı maddesinin bu işi kapsayıp kapsamadığı önceden kontrol edilmelidir.
Siber Güvenlik Faaliyetinin Veri Boyutu
Siber güvenlik ve kritik altyapı koruma çalışmaları, çoğu zaman log kayıtları, ağ trafiği, zafiyet taramaları ve olay müdahale verileri üzerinden yürür. Bu verilerin bir kısmı kişisel veri niteliğindedir. Merkez yönetmeliğinin bu konuda ayrıntı içermemesi, KVKK yükümlülüklerini ortadan kaldırmaz; aksine merkez, veri sorumlusu üniversitenin bir birimi olarak hareket eder.
- Araştırma verisi toplanırken hukuki işleme şartının belirlenmesi
- Anonimleştirme veya takma adlaştırma yönteminin kayıt altına alınması
- Üçüncü kurumlarla veri paylaşımında yazılı protokol yapılması
- Saklama ve imha sürelerinin üniversitenin politikasıyla uyumlu tutulması
Yetkili Organ ve İşlem Geçerliliği
Merkez müdürünün tek başına yapabileceği işlemlerle yönetim kurulu kararı gerektiren işlemler karıştırıldığında, sonradan idari itiraz veya iptal tartışması çıkar. Özellikle dış kurumlarla imzalanan protokoller, personel görevlendirmeleri ve bütçe etkisi doğuran kararlarda organ yetkisi ve karar tarihi belgelenmelidir.
Uyuşmazlık Çıktığında Hangi Yol İzlenir?
Merkez işlemlerine karşı ilgililerin başvurusu kural olarak idari nitelik taşır. Üniversite içi itiraz yolları tüketildikten sonra idari yargı gündeme gelebilir; İdari Yargılama Usulü Kanunu çerçevesinde dava açma süresinin işlemin tebliği ile başladığı unutulmamalıdır. Bu nedenle merkez kararlarının ilgililere yazılı ve tarihli biçimde tebliğ edilmesi, hem kurum hem muhatap açısından korumadır.
Yukarıdaki değerlendirme genel nitelikte bilgi sunar. Merkezin somut bir işlemi ya da veri işleme faaliyeti tartışma konusu ise, yönetmeliğin güncel metni ve ilgili üniversite kararlarıyla birlikte bir hukukçuyla değerlendirilmesi yerinde olur.