Üniversite Akademik İşçisinin Sicil, Müsaade Ve Ünite Bilgilerinin Paylaşılmasının Şahsî Bilgileri İhlal Etmesi

Konuya ait başlatılan inceleme çerçevesinde şikayet edilen bilgi sorumlusundan savunması talep edilmiş olup data sorumlusu tarafından verilen karşılıkta özetle; ilgili kişinin müsaade kullanma tarihlerinin, tüm öteki işçi ile birlikte, aşikâr, açık ve legal hedefler için işlendiği; ilgili kişinin, öbür işçi üzere bir iş kontratına dayalı olarak bilgi sorumlusu bünyesinde misyon yaptığı, lakin personelce bu mevzuda gerekli hassasiyetin gösterilmediği görülmekte olduğundan ilgili çalışanın uyarılması niyetiyle dataların paylaşıldığı, bu üzere durumlarda, kişinin isteği aranmaksızın ferdî datalarının işlenebileceği, müsaadelerin kullanımıyla ilgili bahiste ilgili kişiyi de kapsayan bilgi işlenmesinde hukuka karşıtlık bulunmadığı, sürecin kurumsal disiplin ve tertip, verimlilik ve kamu faydası, yerleşik idari anlayış ve uygulamalara uygun bulunduğu söz edilmiştir.

Konuya ait olarak yapılan inceleme sonucunda Ferdî Dataları Müdafaa Konseyinin 27/04/2023 tarihli ve 2023/646 sayılı Kararı ile;

Kanun’un “Tanımlar” başlıklı 3’üncü unsurunda şahsî bilginin; “kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi”, ilgili kişinin; “kişisel verisi işlenen gerçek kişi”, data sorumlusunun ise; “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlandığı,

Kanun’un “Kişisel Verilerin İşlenme Şartları” başlıklı 5’inci hususunun (1) numaralı fıkrasında şahsî dataların ilgili kişinin açık isteği olmaksızın işlenemeyeceğinin, (2) numaralı fıkrasında ise kanunlarda açıkça öngörülmesi, fiili imkansızlık nedeniyle isteğini açıklayamayacak durumda bulunan yahut isteğine türel geçerlilik tanınmayan kişinin kendisinin ya da bir oburunun hayatı yahut vücut bütünlüğünün korunması için mecburî olması, bir kontratın kurulması yahut ifasıyla direkt doğruya ilgili olması kaydıyla, kontratın taraflarına ilişkin şahsî dataların işlenmesinin gerekli olması, bilgi sorumlusunun hukuksal yükümlülüğünü yerine getirebilmesi için mecburî olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması yahut korunması için data işlemenin mecburî olması ve ilgili kişinin temel hak ve özgürlüklerine ziyan vermemek kaydıyla, data sorumlusunun yasal menfaatleri için bilgi işlenmesinin zarurî olması kurallarından birinin varlığı halinde, ilgili kişinin açık isteği aranmaksızın ferdî bilgilerinin işlenmesinin mümkün olduğunun karara bağlandığı,

Bununla birlikte Kanun’un 12’nci unsurunun (1) numaralı fıkrasının “Veri sorumlusu; Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” kararını amir olduğu,

Somut olayda, her ne kadar data sorumlusunun karşılık yazısında şikayete mevzu ferdî data paylaşımının müsaade kullanımı konusunda ilgili çalışanın uyarılması gayesiyle Kanun’un 5’inci hususunun (2) numaralı fıkrasının (c) bendinde düzenlenen “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” kaidesine dayanılarak gerçekleştirildiği söz edilmiş olsa da mezkür sürece koşulunun ilgili kişinin müsaade durumuna ait ferdî bilgilerinin veri sorumlusu bünyesinde çalışan başka şahıslarla paylaşılması bakımından geçerli olmayacağı,

İlgili kişinin müsaade kullanımı konusunda uyarılması gayesiyle ilgili kişinin çalıştığı ünitede misyonlu öteki tüm çalışanla ferdî bilgilerinin paylaşılmasının gereklilik arz etmediği ve bu hedefle sadece ilgili kişi muhatap alınmak suretiyle alternatif süreçlerin işletilebileceği değerlendirmelerinden hareketle,

Veri sorumlusu tarafından ilgili kişinin müsaade durumuna ait ferdî bilgilerinin ilgili kişinin çalıştığı ünitede vazifeli öbür çalışanla paylaşılması suretiyle gerçekleştirilen ferdî bilgi sürece faaliyetinin Kanun’un 5’inci unsurunda yer alan sürece kurallarından rastgele birine dayanmadığı ve bu durumun Kanun’un 12’nci hususunun (1) numaralı fıkrasına karşıtlık teşkil ettiği kanaatine varıldığından Kanun’un 18’inci unsurunun (3) numaralı fıkrası uyarınca data sorumlusu bünyesinde vazife yapan ilgili işçi hakkında disiplin kararlarına nazaran süreç yapılması ve sürecin sonucu hakkında Konseye bilgi verilmesi konusunda data sorumlusunun talimatlandırılmasın;

Karar verilmiştir.

Dolayısı ile kamu yönetimlerinde paylaşılacak bilgilerin ferdî data kapsamında olup olmadığı, kanunen müsaade verilen sonlar içinde bulunup bulunmadığı araştırılması ve titizlikle uygulama yapılması, muhtemel cezai müeyyideler ve hak kayıpları açısından ehemmiyet arz etmektedir.