6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanun”) 7 Nisan 2016 tarihinde yürürlüğe girmiş olup kimliği belirli veya belirlenebilir gerçek kişilere ilişkin her türlü bilginin işlenmesine ilişkin düzenlemeleri içermektedir. KVK Kanunu kapsamında veri sorumlusu niteliğini haiz şirketlerin genel ilkeler doğrultusunda hukuka uygun olarak verileri işleme ve işlenen bu kişisel verilerin güvenliği sağlama yükümlülükleri bulunmaktadır. Bu noktada, COVID-19 virüs salgını nedeniyle alınması gereken önlemlerin KVK Kanunu bakımından düzenlenen yükümlülüklere uygunluğu aşağıda ayrıntılı bir şekilde açıklanacaktır.
COVID-19 virüs salgınının Dünya Sağlık Örgütü tarafından 11.03.2020 tarihinde pandemi olarak ilan edilmesinin ardından hem kamu kurum ve kuruluşları hem şirketler bakımından kamu sağlığının korunması amacıyla çeşitli önlemler alınmaya başlanmıştır. Gerekli önlemlerin alınması sürecinde kişilerin adı soyadı, adresi, kimlik numarası, işyeri, seyahat bilgileri ve sağlıkla ilgili verileri işlenebilmektedir. Bu doğrultuda özellikle COVID-19 virüsüne karşı alınan önlemler kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri gerekli, amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Dolayısıyla hasta olan kişileri tespit etmek amacıyla önemli olan kişisel verileri işlemeye ve veri minimizasyonu ilkesi kapsamında fazladan hiçbir veri almamaya dikkat edilmesi gerekmektedir.
Kişisel Verilerin Korunması Kurumu tarafından yapılan kamuoyu duyurusunda da belirtildiği üzere, bu süreçte kişisel veriler KVK Kanunu m. 5 ve m. 6 hükümlerinde düzenlenen şartlara uygun olarak işlenmesi gerekmektedir. Bu çerçevede, özellikle sağlık verilerinin işlenmesi açısından çalışanın rızasını alma yoluna gidilmesi tercih edilebileceği gibi, salgının yayılma hızı düşünülürse, çalışan kendi rızası ile de hastalık bildirimi yapabileceği belirtilmiştir. Açık rıza dışındaki şartlar dâhilinde ise sağlık verilerinin işyeri hekimleri tarafından işlenmesinin mümkün olduğu ifade edilmiştir.
Veri sorumluları tarafından KVK Kanunu kapsamında özellikle kişilerin sağlık verilerinin ve diğer kişisel verilerin işlenmesi gerektiği durumlarda veri sorumluları ve veri işleyenler tarafından söz konusu faaliyetlerin KVK Kanunu hükümlerine uygun yürütülmesinin sağlanması ve veri güvenliğine yönelik gerekli idari ve teknik tedbirlerin alınması önem arz etmektedir. Etkilenen kişilerin verileri açık ve zorunlu bir gerekçe olmaksızın herhangi bir üçüncü tarafa ifşa edilmemelidir.
Veri sorumluları, vakalar hakkında çalışanları bilgilendirmelidir. Bilgilendirme yapılırken bireylerin isimlerinin verilmesinin gerekmediği gibi gereğinden fazla bilgi vermeme hususunda özenli davranılmalıdır. Koruyucu tedbirlerin alınması açısından virüsün bulaştığı çalışanın/çalışanların isminin açıklanmasının zorunlu olduğu hallerde ilgili çalışanların bu hususta önceden bilgilendirilmesi veri sorumluları açısından faydalı olacaktır.
Ayrıca buna ek olarak Kurul tarafından bu süreçte uzaktan çalışma yürüten işyerleri ile ilgili alınması gereken idari ve teknik tedbirler kapsamında uzaktan çalışmanın doğurabileceği risklerin asgariye indirilmesi adına, sistemler arasındaki veri trafiğinin güvenli iletişim protokolleriyle gerçekleştirilmesi ve herhangi bir zafiyet içermemesinin sağlanması ile anti-virüs sistemlerinin ve güvenlik duvarlarının güncelliğinin sağlanması başta olmak üzere, her türlü tedbirin alınması ve kişisel verilerin güvenliği açısından konuya ilişkin çalışanların dikkatle bilgilendirilmesi gerektiği hatırlatılmıştır.
Konu ile ilgili herhangi bir sorunuz olması durumunda lütfen bizimle iletişime geçmekten çekinmeyiniz.
