İstatistik merkezleri, üniversite birimleri arasında en yoğun veri trafiğine sahip yapılardır. Merkez kendi verisini üretmekten çok, başkalarının verisini işler. Bu nedenle kuruluş yönetmeliği okunurken sorulacak asıl soru şudur: merkez, işlediği veri bakımından hangi sıfatla hareket etmektedir?
Veri Sorumlusu mu, Veri İşleyen mi?
6698 sayılı Kişisel Verilerin Korunması Kanunu iki ayrı rol tanımlar. Verinin işlenme amaç ve vasıtalarını belirleyen taraf veri sorumlusu, sorumlunun talimatıyla veri işleyen taraf ise veri işleyendir. Merkez, bir kurum adına analiz yapıyorsa çoğu kez veri işleyen konumundadır ve bu ilişkinin yazılı bir sözleşmeye bağlanması gerekir. Rolün yanlış belirlenmesi, ihlal hâlinde sorumluluğun kimde olduğunu tartışmalı hâle getirir.
Analiz Öncesi Kontrol Listesi
- Veri hangi hukuki sebebe dayanarak toplanmış?
- Toplanma amacı, yapılacak analizi kapsıyor mu?
- Veri kimliksizleştirilebilir mi, yoksa kimlik bilgisi zorunlu mu?
- Analiz sonrası ham veri silinecek mi, arşivlenecek mi?
- Aktarım söz konusuysa dayanağı ne?
Amaçla Bağlılık İlkesi
En sık yapılan hata, bir amaçla toplanmış verinin sonradan bambaşka bir çalışmada kullanılmasıdır. Veri elde bulunuyor olması, onu her amaçla işleme yetkisi vermez; ek işleme için ayrı bir hukuki dayanak aranır.
Anonimleştirmenin Gerçekten Yapılmış Olması
Ad ve kimlik numarasının silinmesi tek başına anonimleştirme sayılmaz. Küçük örneklem gruplarında yaş, meslek ve konum bilgilerinin birleşimi kişiyi yeniden tanımlanabilir kılabilir. Yayınlanacak tabloların, hücre bazında tekil kişiye işaret edip etmediği kontrol edilmelidir; aksi hâlde kanun kapsamı dışına çıkılmış olmaz.
Hizmet Sözleşmesinde Bulunması Gerekenler
- İşlenecek veri kategorileri ve işleme süresi
- Güvenlik tedbirleri ve erişim yetkisi olan kişiler
- İhlal hâlinde bildirim yükümlülüğü ve süresi
- Alt işleyen kullanımına izin verilip verilmediği
- Sözleşme sonunda verinin iadesi veya imhası
Sonuçların Yayımlanması
Analiz sonuçlarının akademik yayına dönüşmesi, sözleşmede öngörülmemişse tartışma yaratır. Veri sahibi kurumun onayı olmadan yapılan yayın, hem sözleşmeye aykırılık hem de veri koruma sorunu doğurabilir. Bu nedenle yayın hakkı ve gizlilik dengesi çalışma başlamadan yazıya dökülmelidir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Veri işleme ilişkinizin niteliği sözleşme ve fiilî işleyişe göre belirlendiğinden, somut bir projede veya ihlal iddiasında belgelerinizle birlikte hukuki görüş almanız gerekir.