Elektronik haberleşme hizmeti sunan işletmeciler, abonelerine ait trafik ve konum verilerini işlerken hem sektörel yönetmelik hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu rejimiyle aynı anda muhatap olur. Bu ikili yapı, uygulamada en çok karıştırılan ve en çok yaptırım doğuran alandır.
İki Ayrı Denetim Otoritesi, İki Ayrı Sonuç
Sektörel düzenleme kapsamındaki yükümlülüklerin denetimi ile kişisel verilerin korunmasına ilişkin denetim farklı mercilerce yürütülür. Aynı olay, bir yanda sektörel idari para cezasına, diğer yanda veri sorumlusuna yönelik ayrı bir yaptırıma konu olabilir. Bu nedenle savunma stratejisi kurulurken, hangi mevzuata dayanılarak işlem yapıldığı ilk aşamada netleştirilmelidir.
Trafik ve Konum Verisinde Sınır Nerede?
- Faturalandırma amacıyla işlenen veri ile pazarlama amacıyla işlenen veri aynı hukuki temele dayanamaz
- Katma değerli hizmet için konum verisi işlenmesi, ayrıca ve açıkça alınmış bir rızayı gerektirir
- Rızanın her an geri alınabilmesi için teknik bir yolun fiilen çalışıyor olması aranır
- Amaç ortadan kalktığında verinin anonimleştirilmesi veya silinmesi bir tercih değil yükümlülüktür
Veri İhlali Bildiriminde Kritik Eşik
İhlal tespit edildiğinde bildirimin gecikmesi, ihlalin kendisinden daha ağır sonuçlar doğurabilir. Uygulamada en sık görülen hata, iç soruşturma tamamlanana kadar bildirimin ertelenmesidir. Doğru yaklaşım, elde edilen ilk bulgularla bildirimi yapmak ve sonraki bilgileri tamamlayıcı bildirimlerle iletmektir. İhlalden etkilenen abonelere yapılacak bilgilendirmenin içeriği de ayrıca planlanmalıdır.
Talep Karşılama ve Saklama Politikası
Abonelerden gelen bilgi talepleri, veri sorumlusuna başvuru rejimi içinde değerlendirilir. Yanıtsız bırakılan veya şeklî cevaplarla geçiştirilen başvurular, doğrudan Kurul'a şikâyet yolunu açar. İşletmecinin saklama ve imha politikası, hangi veri kategorisinin ne kadar süre tutulacağını gerekçesiyle göstermelidir; sektörel saklama zorunlulukları ile silme yükümlülüğü arasındaki gerilim bu belgede çözülür.
Talep Edilen Verinin Adli Makamlara Aktarımı
Adli makamlardan gelen veri taleplerinde, talebin dayanağı ve kapsamı kayıt altına alınmalı; talep edilenden geniş bir aktarım yapılmamalıdır. Kapsamı aşan aktarımlar, hem abone yönünden tazminat hem de veri sorumlusu yönünden idari sorumluluk doğurabilir.
Bu içerik bilgilendirme amacı taşır; işletmecinin somut veri envanteri ve süreç haritası incelenmeden yükümlülük analizi yapılması doğru sonuç vermez.