Kişisel Verileri Koruma Kurumu’nun faaliyetleri çerçevesinde, Kurum himayesinde yürütülen bir ‘Toplumsal Farkındalık ve Bilinçlendirme Kampanyası’ olarak hayata geçen ve bir rehber niteliği taşıyan Farkında Ol Güvende Kal; ilgili kişileri kişisel verilerin korunması konusunda bilinçlendirmeyi ve onlara yol göstermeyi amaçlamaktadır. Bu kapsamda, her ay düzenli olarak yayınlanan dünya ve ülkemizde kişisel verilerin korunması kapsamında gündeme gelen Seçilmiş Güncel Gelişmeler' e göz atalım.
Seçilmiş Güncel Gelişmeler 26
* Birleşik Krallık Veri Koruma Otoritesi (ICO), çalışanların iş yerinde hukuka uygun, şeffaf ve adil bir şekilde izlenmesine yönelik bir rehber yayımladı. Yapılan araştırmalara göre halkın %70’inin bir işveren tarafından izlenmeyi rahatsız edici bulduğunu ortaya koyan Otorite, iş yerinde herhangi bir izleme gerçekleştirilmesinden önce yasal yükümlülüklerin ve çalışanların haklarının dikkate alınması yönünde işverenlere çağrıda bulundu. Bu çerçevede bahse konu rehberde; (1) izlemenin niteliği, kapsamı ve nedenleri konusunda çalışanların bilinçlendirilmesi, (2) açıkça tanımlanmış bir amaca sahip olunması ve buna ulaşmak için en az müdahaleci araçların kullanılması, (3) çalışanların verilerinin işlenmesi konusunda yasal bir dayanak bulunması, (4) herhangi bir izlemenin anlaşılması kolay bir şekilde çalışanlara anlatılması, (5) yalnızca amaç kapsamında gerekli olan verilerin saklanması, (6) çalışanların hakları açısından yüksek risk oluşturması muhtemel her türlü izleme için veri koruma etki değerlendirmesi gerçekleştirilmesi ve (7) izleme yoluyla toplanan kişisel verilere erişim talep edilmesi hâlinde bu verilerin çalışanlara sunulmasına yönelik tavsiyelerde bulunulmaktadır.
* Kanada Mahremiyet Komisyonerliği Ofisi (OPC), kamu ve özel sektör kuruluşlarınca işlenen biyometrik verilere ilişkin rehberini güncellemek üzere girdi talep edildiğini duyurdu. Konuya ilişkin olarak 2011 yılında yayımlanan rehberin ardından parmak izi, ses tanıma, yüz tanıma ve genetik verilerin yeni ortaya çıkan kullanımları doğrultusunda rehberin güncellenmesine ihtiyaç duyulduğunu ifade eden Otorite, 12 Ocak 2024 tarihine kadar paydaşları geri bildirimde bulunmaya davet etti.
* İspanya Veri Koruma Otoritesi (AEPD), veri alanlarında mahremiyet artırıcı teknolojilerin kullanımına ilişkin bir rehber yayımladı. Mahremiyet artırıcı teknolojilerin, veri koruma ilkelerinin uygulanmasına yardımcı olmasının yanı sıra güveni ve veri egemenliğini garanti eden yönetişim politikalarının hayata geçirilmesinde de faydalarının bulunduğunu belirten Otorite; bu teknolojilerin verimli ve etkili olması, veri alanlarına entegre olması ve paylaşım ekonomisinde farklı amaçları yerine getirmesi için “çift kullanımlı” teknolojiler olması gerektiği yönünde belirlemelerde bulundu.
* Belçika Veri Koruma Otoritesi (APD), üçüncü taraf çerezler ve kullanıcı takip mekanizmalarının doğru şekilde kullanılmasına yönelik bir kontrol listesi yayımladı. Kuruluşların çerez uygulamalarının mevcut düzenlemelere uygun olmasını sağlamaya yardımcı olması amaçlanan kontrol listesinde, çerezlerin kullanımına ilişkin “yapılması ve yapılmaması gerekenlere” yönelik hatırlatmalarda bulunulmakta ve “kesinlikle gerekli olmayan” herhangi bir izleme için “özgür, spesifik ve bilgilendirilmiş” rızanın gerekli olduğu vurgulanmaktadır.
* Dijital euro oluşturulması teklifinin, mahremiyete ilişkin temel haklar ve kişisel verilerin korunması açısından taşıdığı özel önem nedeniyle Avrupa Komisyonunun talebi üzerine, Avrupa Veri Koruma Kurulu (EDPB) ile Avrupa Veri Koruma Denetçisi (EDPS) tarafından ortak bir görüş metni yayımlandı. Genel olarak bakıldığında, son derece rekabetçi bir ödeme ortamında dijital euro’nun katma değerinin esas olarak mahremiyete verilen önemden kaynaklanacağı hatırlatılan metinde; çevrim içi işlemler için yüksek bir veri koruma standardı sağlanması, tasarım gereği ve varsayılan olarak veri korumanın bu sistemlere dahil edilmesi, Avrupa Merkez Bankası ve ödeme hizmeti sağlayıcılarının veri koruma gereksinimlerine ilişkin açıklamalar sunulması ve bir kullanıcının ne kadar dijital euro’ya sahip olduğunu ölçmek için tanımlayıcıların nasıl kullanılacağına ilişkin net yönergeler getirilmesi gibi hususlarda çağrıda bulunulmaktadır. Diğer yandan metinde; düşük değerli çevrim içi ödemeler için “seçici mahremiyet” yaklaşımının reddedilmesi eleştirilmekte ve bu tür işlemler için kara para aklanmasının önlenmesi/terörizmin finansmanı ile mücadele amacıyla işlem izleme olmaksızın özel bir rejim geliştirilmesi önerilmektedir.
* İspanya Veri Koruma Otoritesi (AEPD), çevrim içi şifreleme sistemlerinin güvenliğinin değerlendirilebilmesi amacıyla bir tarayıcı uygulaması yayımlandığını duyurdu. Bu çerçevede bahse konu aracın, kişisel verilerin işlenmesinde hangi şifreleme standartlarının aranması gerektiği konusunda rehberlik sağlamayı amaçladığı, herhangi bir bilgiyi kaydetmeden ve Otorite’ye geri iletmeden tarayıcıda çalıştığı ve bilgilerin yerel olarak saklanmasına/raporlanmasına olanak tanıdığı belirtildi.
* Kanada Mahremiyet Komisyonerliği Ofisi (OPC), çocukların mahremiyet standartlarını iyileştirmek amacıyla eyalet düzeyindeki veri koruma otoriteleri ile birlikte yakın zamanda alınan ortak kararı desteklemek adına iki adet rehber yayımladı. Bahse konu rehberlerden birisinde, veri işleme faaliyetlerinde gençlerin yüksek yararının gözetilmesine odaklanılırken; diğerinde ise çocukların korunmasına yönelik iyi uygulamalara ilişkin tavsiyeler kuruluşlara sunulmaktadır.
* ABD Federal Ticaret Komisyonu (FTC), “Data Spotlight” ismini verdiği seri içerisinde, sosyal medya aracılığıyla büyüyen dolandırıcılık sorununu ele aldı. Bu kapsamda gerçekleştirilen dolandırıcılıkların çoğunun, bilgisayar korsanlarının sahte bir kişilik oluşturmasına veya profilinize sızmasına, sizin gibi davranmasına ve arkadaşlarınızı dolandırmasına olanak tanıdığını belirten Otorite, bireylerin yaşı, ilgi alanları veya geçmiş satın alımları gibi kişisel ayrıntılara dayanarak metodik hedefleme gerçekleştirilebileceğini de ifade etti.
* İspanya Veri Koruma Otoritesi (AEPD), veri sorumlularının bir veri ihlaline müdahale etmelerine yardımcı olan şirket içi araçlarda güncellemeler gerçekleştirildiğini duyurdu. Bahse konu araçların; veri sorumlularının belirli bir ihlalin ilgili Otorite’ye bildirilip bildirilmeyeceğine karar vermesine ve ihlalden etkilenen ilgili kişiler arasında kimlere bildirimde bulunulması gerektiğine karar vermesine yardımcı olacağı belirtildi.
* Avrupa Veri Koruma Denetçisi (EDPS), hukuki sorumluluk kurallarının yapay zekâ ürünlerine uygulanmasına yönelik olarak Avrupa Komisyonu tarafından hazırlanmış iki düzenleme teklifi hakkındaki görüşünü yayımladı. Bireylerin, yapay zekâ ürün veya hizmetlerinden dolayı zarara uğramaları hâlinde faydalanabilecekleri koruma standartlarının dijital çağa uyarlanmasını amaçlayan tekliflere yönelik olarak Otorite; AB kurumları, organları ve kuruluşları tarafından üretilen ve/veya kullanılan yapay zekâ sistemlerinin neden olduğu zararlara maruz kalan bireylerin, özel sektörde yer alan aktörler veya ulusal otoriteler tarafından üretilen ve/veya kullanılan yapay zekâ sistemlerinin neden olduğu zararlara maruz kalan bireylerle eşit düzeyde korumadan yararlanmasını sağlamak da dâhil olmak üzere yasa koyuculara çeşitli önerilerde bulundu.
* Güney Kore Kişisel Bilgilerin Korunması Komisyonu (PIPC), Otorite bünyesinde “Yapay Zekâ Mahremiyet Ekibi” isimli yeni bir grup kurulduğunu duyurdu. Veri koruma hukukuna ilişkin mevcut düzenlemelere odaklanmak yerine yapay zekâ döneminde takip edilmesi gereken ilkeleri tasarlamaya odaklanması amaçlanan grubun, yapay zekâ mahremiyeti alanında devlet ile özel sektör arasında iletişim ve iş birliği sağlaması, kuruluşların karşılaşabilecekleri belirsizlikleri çözüme kavuşturması ve bu kapsamda belli standartlar ortaya koyması beklenmektedir.
* Fransa Veri Koruma Otoritesi (CNIL), yapay zekâ sistemleri geliştirilmesi için veri setlerinin oluşturulması üzerine “nasıl yapılır?” sayfaları yayımladı ve bunların kamuoyu görüşüne açıldığını duyurdu. İnovasyon geliştirilmesi ile bireylerin haklarının uyum içerisinde sürdürülmesine yardımcı olması ve GDPR’nin yapay zekâya uygulanması ile ilgili hukuki ve teknik konularda pratik yanıtlar sağlaması amaçlanan bu sayfalara yönelik kamuoyu görüşünün 16 Kasım 2023’te sona ereceği belirtildi. Bahse konu sayfaların nihai halinin 2024 yılının başında Otorite’nin internet sayfasında yayımlanması planlanıyor.
* Dünya Sağlık Örgütü (WHO), sağlık alanında yapay zekânın düzenlenmesine ilişkin temel hususların ele alındığı bir çalışma yayımladı. Yapay zekâ sistemlerinin güvenliğinin ve etkinliğinin sağlanmasının, ihtiyacı olanlara hızlı bir şekilde uygun sistemler sunulmasının ve geliştiriciler, düzenleyiciler, üreticiler, sağlık çalışanları ve hastalar gibi kişi grupları arasında diyalog oluşturulmasının öneminin vurgulandığı çalışmada, sağlık alanında yapay zekânın düzenlenmesi konusunda altı temel alanın ana hatları çizilmektedir. Bu çerçevede; (1) güvenin artırılması için ürün yaşam döngüsünün belgelenmesi ve geliştirme süreçlerinin izlenmesi gibi şeffaflık ve belgelemenin öneminin anlaşılması, (2) risk yönetimi için “amaçlanan kullanım”, “sürekli öğrenme”, insan müdahaleleri, eğitim modelleri ve siber güvenlik tehditleri gibi konuların tamamının kapsamlı şekilde ele alınması ve modellerin mümkün olduğunca basit hâle getirilmesi, (3) verilerin dışarıdan doğrulanmasının ve yapay zekânın amaçlanan kullanımı konusunda net olunmasının, güvenliğin sağlanmasına ve düzenlemenin kolaylaştırılmasına yardımcı olacağının farkına varılması, (4) verilerin kalitesinin sağlanmasının, sistemlerde bulunan ön yargıları ve hataları artırmamasını sağlamak için, piyasaya sürülmeden önce sistemlerin titizlikle değerlendirilmesi gerektiğinin büyük bir öneme sahip olduğunun anlaşılması, (5) GDPR ve HIPAA gibi düzenlemelerin ortaya çıkardığı zorlukların, yargı yetkisinin kapsamı ve rıza gerekliliklerinin kapsamının anlaşılmasına vurgu yapılarak ele alınması ve (6) bu alandaki çeşitli paydaşlar arasındaki iş birliğinin güçlendirilmesinin, ürün ve hizmetlerin yaşam döngüleri boyunca düzenlemelere uygun kalmasının sağlanmasına yardımcı olabileceği düşüncesinin benimsenmesi yönünde tavsiyelerde bulunulmaktadır.
* Avrupa Veri Koruma Denetçisi (EDPS), AB Yapay Zekâ Yasası’na (AI Act) ilişkin müzakerelerin son aşamasına girilen dönemde, AB yasa koyucularına ilave tavsiyeler sunulması amacına yönelen bir görüş yayımladı. Bu çerçevede bahse konu metinde genel olarak; (1) kabul edilemez riskler taşıması nedeniyle yasaklanması gereken yapay zekâ sistemleri ile yüksek riskli yapay zekâ sistemlerine ilişkin olarak EDPS-EDPB Ortak Görüşünde söz edilen “kırmızı çizgilerin” kritik bir öneme sahip olduğunun hatırlatılması, (2) anılan Yasa’nın uygulamaya başlandığı tarihte hâlihazırda kullanılmakta olan yapay zekâ sistemlerinin Yasa’nın kapsamından muaf tutulmaması gerektiğinin vurgulanması, (3) EDPS’nin bir organ ve gözetim otoritesi olarak ne zaman görev alacağının ve söz konusu Yasa tarafından verilen yetkilerin net bir şekilde tanımlanması gerektiğinin altının çizilmesi, (4) yapay zekâ sistemlerinin kullanımından etkilenen kişilerin yetkili bir otoriteye şikâyette bulunma ve otoritenin kararına karşı da yargıya başvurma hakkının Yasa’ya dahil edilmesinin öneminin anlaşılması ve veri koruma otoritelerinin ulusal denetleyici makamlar olarak atanması yönündeki çağrının yinelenmesi, (5) AB düzeyinde bir organ olarak Avrupa Yapay Zekâ Ofisi kurulması ve (6) Yapay Zekâ Ofisi Sekretaryası’nın EDPS tarafından sağlanması yönündeki önerinin belirtilmesi amaçlanmaktadır.
* Google, çocukların çevrim içi ortamda korunmasına yönelik daha uygun düzenlemeler hazırlanması için politika yapıcılara çeşitli ilkeler sunulan bir yasal çerçeve yayımladı. Çocuklara daha iyi bir çevrim içi deneyim sunulması amacına yönelen ilkeler arasında; (1) ürünlerin tasarımında çocukların ve gençlerin çıkarlarını ön planda tutacak çevrim içi hizmetler oluşturulması, (2) yaş güvencesi talep edilirken risk temelli bir yaklaşım benimsenmesi, (3) artan olgunluklarını yansıtacak şekilde, ebeveyn izni yaşı ile 18 yaş arasındaki gençlere yönelik korumaların artırılması, (4) gençlerin artan yeteneklerine ve özerkliklerine saygı gösteren sağlam ebeveyn kontrolü seçeneklerine duyulan ihtiyacın ele alınması, (5) çevrim içi hizmetlerde, çocukların ve gençlerin ruh sağlığını ve refahını destekleyecek önlemler alınmasının zorunlu kılınması, (6) çocuklara ve gençlere yönelik kişiselleştirilmiş reklamların yasaklanması, (7) platformların, gençlere ve ebeveynlere kişiselleştirilmiş önerilerde çevrim içi görüntüleme ve arama geçmişlerinin kullanımını yönetmelerine yönelik araçlar sunulmasının zorunlu kılınması, (8) platformların içerik politikaları geliştirme ve uygulamaları konusunda sorumlu ve şeffaf bir yaklaşım benimsenmesinin zorunlu kılınması, (9) hesap verebilirliği geliştirmek için risk temelli etki değerlendirmeleri kullanılması, (10) düzenleyici uyumlaştırmasının ve küresel birlikte çalışabilirliğin teşvik edilmesi ile (11) hizmetler arasındaki farklılıkların anlaşılması yer almaktadır.
* Avrupa Komisyonu, Dijital Hizmetler Yasası’nın gerektirdikleri kapsamında “Şeffaflık Veri Tabanı”nın başlatıldığını duyurdu. AB’de faaliyet gösteren çevrim içi platform sağlayıcıları tarafından alınan içerik denetleme kararlarına ilişkin verilerin, daha önce benzeri görülmemiş bir ölçek ve ayrıntı düzeyinde kamunun erişimine açılmasını sağlayan ve bu kapsamda çevrim içi hesap verilebilirliğin artırılmasına olumlu etkileri bulunan bu havuza mevcut durumda çok büyük çevrim içi platformların (VLOP) veri iletmeleri gerekmekte iken 17.02.2024 tarihinden itibaren tüm çevrim içi platform sağlayıcılarının (istisnalar hariç olmak üzere) bu doğrultuda veri paylaşımı yapmaları gerekecektir.
* 14.10.2023 tarih ve 32339 sayılı Resmî Gazete’de yayımlanan “Millî Eğitim Bakanlığı Okul Öncesi Eğitim ve İlköğretim Kurumları Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik” ile yapılan değişiklik ile bahse konu Yönetmelik’in “Öğrenci Sağlığı ve Okul Güvenliği” başlıklı 78. maddesine “Öğrencilerin; okul içi ve okul dışında yapılan eğitim etkinlikleri, sosyal ve kültürel faaliyetler ile gezi ve gözlem faaliyetleri esnasında çekilen görüntüleri sosyal medya platformları ve haberleşme gruplarında her ne ad altında olursa olsun paylaşılamaz. Ancak, veliden ve rehberlik öğretmeni gözetiminde öğrenciden yazılı izin alınması kaydıyla yayımlanabilir.” şeklinde bir fıkra eklenmiştir.
* Kurumumuz tarafından hazırlanan “Genetik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber” yayımlandı.
* KVKK Bülten’in ikinci sayısı “Gölgede Kalan İzler: Unutulma Hakkı” teması ile yayımlandı. Üç aylık periyotlar halinde yayımlanan ve bu doğrultuda Temmuz-Eylül 2023 dönemini kapsayan bültende; unutulma hakkına yönelik birtakım içerikler, bahse konu dönem içerisinde kişisel verilerin korunması ile ilgili olarak öne çıkan gelişmeler ve Kurumumuz faaliyetleri gibi hususlar ele alınmıştır.
