Sır niteliğindeki bilgilerin paylaşılmasına dair düzenleme, finansal kuruluşlar başta olmak üzere sır saklama yükümlülüğü bulunan kurumların, hangi hâllerde ve hangi güvenceler altında bilgi paylaşabileceğini belirler. Bu rehber, paylaşım kararını veren tarafın hem sırrın ifşasından hem de kişisel verilerin hukuka aykırı aktarımından doğan çifte sorumluluğunu ele alır.
İki Ayrı Hukuki Katman
Bir bilgi paylaşımı değerlendirilirken iki katman birlikte incelenmelidir. Birincisi, bankacılık ve müşteri sırrına ilişkin özel mevzuattan doğan sır saklama yükümlülüğü. İkincisi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki işleme ve aktarma şartları. Bir paylaşım, sır mevzuatı bakımından istisnaya girse bile, KVKK bakımından ayrıca hukuki sebep aranır. Bu iki katmanın karıştırılması, en sık rastlanan uygunluk hatasıdır.
Paylaşım Öncesi Sorulacak Sorular
- Paylaşılacak bilgi gerçekten sır niteliğinde mi, yoksa aleni bir veri mi?
- Paylaşımın dayanağı bir kanun hükmü mü, ilgilinin talebi mi, yoksa bir yargı/idari makam yazısı mı?
- Talep eden makamın bu bilgiyi isteme yetkisi, dayanak gösterilerek belgelenmiş mi?
- Paylaşım, talebin gerektirdiği asgari kapsamla sınırlı tutulmuş mu?
- KVKK kapsamında aydınlatma yükümlülüğü ve varsa açık rıza şartı ayrıca karşılanmış mı?
Talep Yazısının Denetimi
- Yazının hangi merciden geldiği, imza ve evrak numarasının bulunup bulunmadığı
- Talebin dayanağı olarak gösterilen hükmün, istenen bilgiyi gerçekten kapsayıp kapsamadığı
- Talep kapsamının belirli mi yoksa süresiz ve sınırsız mı olduğu; genel nitelikli taleplerin daraltılmasının istenmesi
- Ceza soruşturması kapsamındaki taleplerde 5271 sayılı Ceza Muhakemesi Kanununun ilgili koruma tedbiri hükümlerine uygunluk
Ölçülülük ve Asgari Veri
Paylaşım hukuka uygun olsa dahi, kapsamın gereğinden geniş tutulması ayrı bir ihlal doğurabilir. Talep bir hesap hareketiyle sınırlıysa tüm hesap geçmişinin gönderilmesi, tek bir dönem isteniyorsa yılların aktarılması bu tür bir aşımdır. Bu nedenle paylaşım kararı, gönderilen veri kümesinin kapsamı da gerekçelendirilerek kayda alınmalıdır.
İzlenebilirlik ve Sorumluluk
Her paylaşımın kim tarafından, hangi talebe dayanarak, hangi tarihte ve hangi kapsamda yapıldığını gösteren bir kayıt tutulmalıdır. Bu kayıt, sonradan gündeme gelen bir şikâyet ya da soruşturmada kurumun özenini gösteren temel savunma aracıdır. Sırrın hukuka aykırı ifşası hâlinde, ilgili özel mevzuattaki yaptırımların yanında Türk Ceza Kanunundaki ilgili suç tipleri ve KVKK kapsamındaki idari yaptırımlar birlikte gündeme gelebilir.
Bu yazı genel bilgilendirme amacı taşır; her talep kendi dayanağı ve kapsamıyla değerlendirilmelidir, tereddüt doğuran paylaşım taleplerinde işlem yapılmadan önce hukuki görüş alınması sonradan telafisi güç sonuçları önler.