Orman idaresinin verilerinin işlenmesine ve elektronik ortamda yürütülecek işlemlere ilişkin düzenleme, iki ayrı hukuki alanı aynı masada buluşturur: kamu idaresinin veri yönetimi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndan doğan yükümlülükler. Bu rehber, uyum tarafındaki pratik adımları ele alır.
Hangi Veri Kişisel Veridir?
Orman kadastro kayıtları, izin ve irtifak dosyaları, avcılık ve tesis başvuruları, personel işlemleri ve e-imza kayıtları çoğu zaman gerçek kişiyi belirlenebilir kılar. Parsel ya da tesis bilgisi tek başına kişisel veri sayılmasa da, malik veya başvurucu adıyla eşleştiği anda 6698 sayılı Kanun kapsamına girer. Konum verisinin kişiyle birlikte tutulması, hassasiyeti artıran bir unsurdur.
İşleme Şartı Kurmadan Sistem Kurmayın
- Kamu idaresinin veri işlemesi çoğunlukla kanunda açıkça öngörülme ve hukuki yükümlülüğün yerine getirilmesi şartlarına dayanır; bu durumda ayrıca açık rıza aranmaz.
- Açık rızaya dayanmak, kamu hizmetinin şartı haline getirildiğinde geçersizlik tartışması doğurur.
- Her işleme faaliyeti için amaç, hukuki sebep, saklama süresi ve aktarılan taraf ayrı ayrı yazılmalıdır.
Elektronik Ortamda Yapılan İşlemin İspatı
Elektronik başvuru, bildirim ve onaylarda tartışma çoğunlukla "kim, ne zaman, neyi onayladı" sorusunda çıkar. Sistem loglarının değiştirilemez biçimde tutulması, zaman damgası ve elektronik imza kullanımı, sonradan açılacak bir uyuşmazlıkta belgenin ayakta kalmasını sağlar. Log kaydı olmayan bir e-işlem, ıslak imzalı belgeye göre çok daha kırılgandır.
İlgili Kişi Başvurusu Geldiğinde
- Başvuruyu kaydedin ve kimlik doğrulamasını yapın; kimliği doğrulanmamış talebe veri verilmesi ayrı bir ihlaldir.
- Talebin bilgi edinme mi yoksa 6698 kapsamında ilgili kişi başvurusu mu olduğunu ayırt edin; usul ve merci farklıdır.
- Yanıtı yazılı veya elektronik ortamda, gerekçeli biçimde verin.
- Reddedilen ya da yanıtsız kalan taleplerde Kişisel Verileri Koruma Kurulu'na şikâyet yolunun açıldığını unutmayın.
Öne Çıkan Risk: Aşırı Veri ve Süresiz Saklama
Uygulamadaki en yaygın kusur, "ileride lazım olur" düşüncesiyle ihtiyaçtan fazla alanın toplanması ve imha politikasının kâğıt üzerinde kalmasıdır. Veri minimizasyonu ile saklama ve imha takviminin fiilen işletilmesi, hem ihlal riskini hem de olası bir veri sızıntısının etkisini küçültür.
Yukarıdaki değerlendirme genel çerçeveyi anlatır. Kurumsal bir uyum programı kurarken envanterinizin gerçek içeriği belirleyici olacağından, süreci veri koruma alanında çalışan bir hukukçu eşliğinde yürütmeniz önerilir.