Veri yönetimi alanında kurulan üniversite merkezleri, farklı kaynaklardan gelen veri setlerini bir araya getirir, işler ve analiz eder. Isparta Uygulamalı Bilimler Üniversitesi bünyesindeki merkeze ilişkin yönetmelik merkezin görevlerini belirler; ancak 6698 sayılı Kanun bakımından asıl kritik soru şudur: bu faaliyette veri sorumlusu kimdir ve merkez hangi sıfatla hareket etmektedir?
Veri Sorumlusu ile Veri İşleyen Ayrımı
Kanun, verinin işlenme amaç ve vasıtalarını belirleyen ile bu belirlemeye dayanarak veri işleyeni birbirinden ayırır. Merkez, kendi araştırma sorusunu kurup veriyi kendi amacı için işliyorsa veri sorumlusu konumundadır. Buna karşılık bir kamu kurumu ya da şirket adına, onun talimatıyla analiz yapıyorsa veri işleyen sıfatını taşır. Bu ayrım teorik değildir; aydınlatma yükümlülüğünün kime ait olduğunu, ihlal bildiriminin kimin yapacağını ve idari yaptırımın kime yöneleceğini doğrudan belirler.
Sözleşmede Bulunması Gereken Asgari Unsurlar
- İşleme amacının ve süresinin açıkça sınırlandırılması
- Alt yüklenici kullanımının izne bağlanması
- Teknik ve idari tedbirlerin somut olarak sayılması
- İş bitiminde verinin iadesi ya da imhasına ilişkin kayıt
- Veri ihlali hâlinde bildirim süresi ve iletişim noktası
Açık Veri ve Yeniden Kullanım
Kamuya açık kaynaklardan toplanan veriler çoğu zaman serbestçe kullanılabilir sanılır. Oysa verinin herkese açık olması, her amaçla işlenebileceği anlamına gelmez; işlemenin ayrıca bir hukuka uygunluk sebebine dayanması ve amaçla bağlantılı, sınırlı ve ölçülü olması gerekir. Ayrıca bir internet sitesinden otomatik yöntemlerle veri çekilmesi, kullanım koşulları ve veri tabanı üzerindeki haklar bakımından ayrı bir tartışma doğurur.
Merkez İçin Uygulama Sırası
- Her proje için veri envanteri çıkarın; hangi verinin nereden geldiğini yazın.
- Kişisel veri içeren alanları ayrı bir güvenlik seviyesinde tutun.
- Analiz öncesi anonimleştirme ya da takma adlandırma kararını gerekçesiyle kayda geçirin.
- Erişim yetkilerini proje ekibiyle sınırlayın ve proje bitince kapatın.
- Saklama süresi dolduğunda imha işlemini tutanakla belgeleyin.
İhlal Anında Zaman Baskısı
Bir veri ihlali fark edildiğinde ilk saatler belirleyicidir. Sistemin izole edilmesi, log kayıtlarının değiştirilmeden korunması ve etkilenen veri kategorilerinin belirlenmesi eş zamanlı yürütülmelidir. Bu adımlar önceden yazılı bir müdahale planına bağlanmamışsa, ihlalin kapsamı çoğu zaman olması gerekenden geniş sonuçlar doğurur.
Buradaki açıklamalar genel bilgilendirme niteliğindedir. Belirli bir veri işleme faaliyetinde sıfatın tespiti ve yükümlülük dağılımı, sözleşme ve fiilî uygulama birlikte incelenerek belirlenmelidir; bu konuda önceden hukuki destek almak sonradan doğacak yaptırım riskini azaltır.