Üsküdar Üniversitesi Veri Analizi Uygulama ve Araştırma Merkezi Yönetmeliği, veri temelli araştırma yürüten bir merkezin kuruluşunu ve çalışma esaslarını belirler. Bu merkezlerde temel risk, faaliyetin doğası gereği büyük hacimli veri işlenmesi ve bu verinin bir kısmının kişisel veri niteliği taşımasıdır.
Veri Sorumlusu Kim?
Uygulamada sık karışan nokta, veri sorumlusunun merkez mi yoksa üniversite mi olduğudur. Merkezin ayrı tüzel kişiliği bulunmadığından, kural olarak veri sorumlusu üniversitedir; merkez ise bu yapı içinde işleme faaliyetini yürüten birimdir. Bu ayrım, veri sorumluları siciline kayıt, başvuru cevaplama ve ihlal bildirimi yükümlülüklerinin kime ait olduğunu belirlediği için önemlidir.
Araştırma Verisinde Hukuka Uygunluk Sebebi
6698 sayılı Kişisel Verilerin Korunması Kanunu, işlemenin bir hukuka uygunluk sebebine dayanmasını arar. Araştırma projelerinde en çok tartışılan başlıklar şunlardır:
- Verinin gerçekten anonim hâle getirilip getirilmediği (tekrar kimliklendirme riski)
- Açık rızanın özgür iradeye dayanıp dayanmadığı
- Amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine uygunluk
- Saklama süresi dolduğunda silme veya yok etme prosedürünün işletilmesi
"İsim sütunu silindi" demek tek başına anonimleştirme sayılmaz; kalan alanların birleşimiyle kişi yeniden belirlenebiliyorsa veri hâlâ kişisel veridir.
Üçüncü Taraflarla Paylaşım
Dış kurumlarla yürütülen projelerde veri aktarımı yapılacaksa, aktarımın hukuki dayanağı ve tarafların rolleri sözleşmede tanımlanmalıdır. Yurt dışında bulunan bir bulut hizmetinin kullanılması hâlinde, yurt dışına aktarım rejimi ayrıca değerlendirilir. Sunucu konumunun sözleşmede yazılı olması, sonraki denetimlerde ilk sorulan bilgidir.
İhlal Anında Yapılacaklar
- Olayın kapsamını ve etkilenen veri kategorilerini tespit edin.
- Erişimi durdurup teknik kayıtları koruyun.
- Bildirim yükümlülüğü doğuyorsa mevzuattaki usule göre ve gecikmeksizin bildirin.
- İlgili kişilere yapılacak bildirimin içeriğini önceden hazırlayın.
Ayrıca Gözden Kaçan Bir Başlık
İnternet ortamında yayımlanan analiz sonuçları ve görselleştirmeler bakımından 5651 sayılı Kanun kapsamındaki içerik kaldırma talepleri gündeme gelebilir. Kişi hakkında çıkarım içeren bir görselleştirme, kişilik hakkı ihlali iddiasına konu olabilir; yayın öncesi kimlik belirleyici unsurların temizlendiğinden emin olunmalıdır.
Bu rehber bilgilendirme amaçlıdır. Veri koruma yükümlülükleri projeden projeye değiştiğinden, işleme envanterinizi ve rıza metinlerinizi hukuki destekle güncellemeniz önerilir.