SMY209U-SOSYAL MEDYA ARAÇLARI
Ünite 7: Kişisel Verilerin Korunması ve Güvenlik
Giriş
Teknolojik ortamların kullanımı arttıkça kişisel veri kavramı günümüzde belki de en çok konuşulan konular arasında yer almaktadır. Bunun nedeni olarak günümüzde eskiye oranla kişiye ait veri türlerinin çeşitlenmiş olması kadar kişisel veri miktarının da artmış olması gösterilebilir. Kişisel veri kavramıyla gerçek bir kişiyle ilgili ve o kişiyi tanımlamada kullanılabilecek her türlü veri kastedilmektedir. Kişisel verilerin korunması sürecinde öncelikli unsurların başında veri güvenliğinin sağlanması gelmektedir.
Kişisel veri ihlali, iletilen, saklanan veya işlenen kişisel verilerin kazara veya yasa dışı yollarla imha edilmesi, kaybı, değiştirilmesi, yetkisiz şekilde açıklanması veya bunlara erişime yol açan bir güvenlik ihlalidir.
Kişisel Verilerin Özellikleri ve Türleri
Veri, enformasyon, bilgi ve bilgelik kavramları hiyerarşik yapıdadır. Kişisel veri, ham olmaktan çıkarılmış ve kişiyle ilişkilendirilmiş veri olarak değerlendirilebilir.
Kişisel Verilerin Özellikleri
Kişisel veri kavramı temel olarak kişiyi tanımlamada kullanılabilecek özel ve genel nitelikli tüm verileri kapsamaktadır. Bu veriler kişiye özgü biyometrik nitelikteki göz retinası, kan grubu, damar izi, parmak izi, yüz tarama; genetik nitelikteki saç, doku örneği, DNA verileri vb. olabileceği gibi sonradan tanımlanmış verileri de kapsayabilir. Biyometrik verilerle ilgili temelde iki boyut söz konusudur: Bu boyutlardan birini doğuştan edinilen ve değişmeyen veriler oluştururken ikinci boyutu yine kişiyi ayırt etmede kullanılan ve sonradan edinildiği için değişme potansiyeli de bulunan davranışsal veriler oluşturmaktadır. Davranışsal veriler, kişiyi ayırt eden biyometrik veriler kapsamına girmektedir.
Kişisel Veri Türleri
Kişisel veri gerçek bir kişiyi başka kişilerden ayırt etmede kullanılabilecek her türlü veriyi içerdiği için kişinin sadece gizlenmesi gereken bilgilerini değil aynı zamanda kişinin fiziksel, ailevi, ekonomik, sosyal vb. özelliklerinin tümünü de kapsamaktadır. Kişisel Verilerin Korunması Kanunu Madde 6’nın birinci fıkrasına göre tanımlanan özel nitelikli kişisel veri türleri genişletilemeyen ve sayısı azaltılamayan bir biçimde tanımlanmıştır. Özel nitelikli olmayan kişisel verilerin tümü için genel nitelikli kişisel veri ifadesi kullanılmaktadır. Sosyal medya hesap şifreleri, banka şifreleri, kart bilgileri, güvenlik ifadeleri, kimliği tanımlayıcı bilgileri, fiziksel özellikler vb. verilerin tümü genel nitelikli kişisel verilere girmektedir. Kolaylıkla anlaşılacağı üzere veri türünün genel olması, bu verilerin korunmayacakları anlamına gelmemektedir.
Kişisel veri, gerçek bir kişiyi diğer kişilerden ayırt edebilen özelliklerin tümüdür. Özel ve genel nitelikli veriler kelime isimlerinden de anlaşılacağı gibi verinin kişi tarafından korunma statüsünü ve hukuki korumayı birlikte içermektedir. Genel nitelikli verileri özel nitelikli
verilerden ayıran temel unsur kanun kapsamına alınmamaları ve koruma derecesi bakımından özel bir koruma gerektirmiyor olmalarıdır.
Kişisel Verilerin İşlenmesi
Kişisel verilerin işlenmesi; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.
Veri Sorumlusu ve Veri İşleme
Veri işleme faaliyetlerini gerçek ya da tüzel nitelikli veri işleme sorumluları gerçekleştirmektedir. Veri sorumlusu, söz konusu verilere erişebilen ve bu verileri işleyebilen kişidir. Kişisel veriler, veri sahibinin açık rızası olmadan işlenemez. Ancak, veri işleme sorumlusunun hukuki yükümlülükten kaynaklı yapacağı işlemler, açık rıza aramayı gerektirmemektedir. Açık rızanın aranmasını gerektiren durumlar kadar açık rızanın koşulları da veri işleme aşamasında önemlidir. Kişisel Verilerin Korunması Kanunu Madde 3’te yer verilen açık rıza tanımı kapsamında açık rızanın üç temel unsuru bulunmaktadır:
• Belirli bir konuya ilişkin olması • Rızanın bilgilendirmeye dayanması • Özgür iradeyle açıklanması
Veri işleme konusundaki açık rızanın özgür iradeyle verilip verilmediği, çok önemli bir konudur.
Veri sorumlusunun verileri işlerken belirli bir süre verilere erişimi söz konusu olmaktadır. Bu erişim yetkisi, veri sorumlusu gerçek ya da tüzel kişiye hak olarak tanımlanmıştır. Ancak, bu hak verilirken veri işleme süresinin ne kadar olacağı ilke ile sınırlandırılmıştır. İlgili ilke, verilerin gerektiği süre kadar tutulmasını ve gereklilik ortadan kalktıktan sonra söz konusu verilerin gecikmeksizin/derhal imha edilmesini öngörmektedir. Veri sorumlusu erişebildiği verileri işleyebilir, fakat bu durum açık rızayla, işleme süresiyle ve ilgili tüzükle belirlenen duruma aykırılık oluşturacağı için suç teşkil etmektedir. Veri işleme sürecindeki olası usulsüzlüklerin tümü için hukuki yaptırımlar söz konusudur.
Kişisel Verilere Müdahale
Kişisel veri, sürekli işlenebilecek bir veri değildir. Dolayısıyla veri işleme için belirlenen sürenin sonunda ya da veri sahibinin talebi doğrultusunda ilgili kişisel verilerin veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi öngörülmektedir. Veri işleme sürecindeki olası usulsüzlüklerin tümü için hukuki yaptırımlar söz konusudur.
Kişisel Verilerin Saklanması
Kişisel veri miktarı arttıkça verinin depolanması ve saklanması daha da güçleşmektedir. Verilerin saklandığı ortamların geçmişte çoğunlukla lokal teknolojilerle sınırlı olduğu görülmektedir. Web teknolojileri, veriye ve bilgiye erişim hızı sayesinde, veri ve bilgi üretme, kullanma, işleme, depolama gibi oldukça farklı amaçlarla kullanılabilmektedir.
Bu ortamlar arasında bulut bilişim sistemlerinin önemli ölçüde kullanıldığı görülmektedir. Bulut bilişim ya da orijinal terminolojideki karşılığı ile “Cloud Computing”, bilişim teknolojisi ürünleri için (bilgisayar, tablet, akıllı telefon, giyilebilir teknoloji vb.), istendiğinde kullanılabilen ve kullanıcılar arasında paylaşılan bilgisayar kaynakları sağlayan, internet tabanlı bilişim hizmetlerinin genel adıdır.
Bulut bilişim teknolojileri şirketler için iş akış çözümleri sunarken son kullanıcılar için çoğunlukla depolama amaçlı kullanılmaktadır. Bulut bilişim teknolojilerinin kullanımının önündeki önemli engellerden biri, internet bağlantı hızıdır. Bulut bilişimde dolaşımda olan veri olacağı için bulut platformları kullanıcı verilerinin güvenliğini iki aşamada sağlamak durumundadır. Birinci boyut bulut bilişim sisteminin yetkisiz ya da kötü niyetli kullanıcıların erişimine kapatılmasıyla sağlanırken ikinci boyut kullanıcının alacağı bireysel güvenlik önlemleri sayesinde bu erişimin engellemesiyle gerçekleşmektedir.
Bulut servisinin sunduğu hizmetler kapsamında veri yedekleme seçeneği de bulunmaktadır. Bulutta depolanan verilerin yine bulut ortamında alternatif konumlarda yedeklenmesiyle olası bir siber saldırı karşısında veriler daha korumalı hâle getirilmektedir
Kişisel Verilerin Korunması ve Güvenliği
Hem uygulayıcılar boyutunda hem de kamu güvenliği boyutunda kişisel veri ve kişisel verilerin korunmasına yönelik kapsamlı bir mevzuat oluşmuştur. Kişisel veri konusu hukuksal bir korumayla ele alınmasının yanı sıra kamuoyu nezdinde günden güne farkındalığın arttığı bir konu durumundadır.
Kişisel Verilerin Korunması
Kişisel veriler, Kişisel Verilerin Korunması Kanunu kapsamında hukuki olarak korunmaktadır. Bunun yanında hukuki korumanın özel nitelikli verilere yönelik olduğu ve genel nitelikli verileri kapsamadığı söylenebilir. İlgili kanun (Kişisel Verilerin Korunması Kanunu), anayasa tarafından güvence altına alınan temel hak ve özgürlükleri ve özel hayatın gizliliğini temele alırken bu doğrultuda veri işleme gerektiren eylemlerde hem gerçek kişilerin hem de tüzel kişilerin veri işleme sürecinde uymaları gereken yükümlülükleri, usul ve esasları düzenlemektedir. Özel hayatın gizliliği anayasal güvence altına alınmıştır. Türkiye Cumhuriyeti Anayasası Madde 20’ye göre; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili
kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Kişisel Verilerin Güvenliği
Veri güvenliği ile her türlü kişisel verilerin yetkisiz kişilerin erişimine karşı güvenli hâle getirilmesi kastedilmektedir. Veri sorumlusu kişisel verilerin muhafazasını sağlamak üzere gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Veri sorumlusunun görevini paylaşması durumunda da asli sorumluluğu devam eder.
Veri Güvenliğini Sağlayıcı Yöntemler
Kişisel verilerin yasalar dışında güvenliğinin sağlanması adına birçok teknolojik girişim söz konusudur. Kullanıcıların işletim sisteminden bağımsız olarak kullandıkları uygulamalar ve web servisleri, kişisel verilerinin güvenliği açısından tehdit oluşturabilmektedir. Mobil işletim sistemlerinde yetkisiz kişilerin kişisel verilere erişimini engellemeye yönelik farklı güvenlik önlemleri bulunmaktadır. Anahtar Zinciri (Keychain) bunlardan biridir. Benzer bir güvenlik teknolojisi ise iki faktörlü doğrulama ya da iki adımlı doğrulama (Two- Factor Authentication-2FA) olarak adlandırılan veri güvenlik sistemidir. Bu sistemde temel amaç veri güvenliğini sağlamak adına erişimin teyidini yapmaktır. İki faktörlü kimlik doğrulamada herhangi bir şifrenin ele geçirilmesi olasılığına karşı hesaba bir güvenlik katmanı ekleme yöntemiyle çalışmaktadır. Bu güvenlik katmanı çoğunlukla doğrulama aracı olarak şifre ve telefon numarası eşleştirmesini temel almaktadır.
Mobil uygulamaların kullanımı sırasında gerekli olan güvenlik boyutunda ise uygulamanın kullanım amacı önemli bir belirleyici olmaktadır.
Veri güvenliğine ilişkin bir diğer unsur ise oturum açma süreçlerine ilişkin sağlanan güvenliktir. Farklı cihazlardan açılacak oturumlarda çeşitli iletişim kanalları aracılığıyla kişinin bilgilendirilmesi prensibine dayanan bu uygulama oturum açanın hesap sahibi olup olmadığına ilişkin bir teyit sistemiyle çalışmaktadır.
Mobil teknolojilerde sayısal parola ya da desenin yanı sıra birtakım biyometrik verilerin de kullanıldığı bilinmektedir. Bu biyometrik veriler ise parmak izi okuyucular ve yüz tanıma sistemleri aracılığıyla elde edilmektedir. Gerek parmak izi okuyucu ile elde edilen veri gerekse yüz tanıma sistemi biyometrik veri işleyen teknolojiler olup işletim sistemi ve uygulama geliştiriciler bu verileri işleyebilmektedir. Amaç yüksek güvenliğin sağlanması olduğunda yöntem olarak biyometrik veri işleme hem güvenlik düzeyi ile hem de Kanun açısından ölçülülük ilkesiyle örtüşecektir.
Dijital ortamların kullanımı yaygınlaştıkça daha fazla kişisel veri dijital ortamlarda saklanmaya devam edecektir. Hatta veri türleri çeşitlenerek var olan yöntemlere ek yeni koruma önlemleri devreye konulacaktır. Günümüz teknolojileri ve veri güvenliği açısından düşünüldüğünde önemli güvenlik basamaklarından biri olarak gösterilen blok zincir (Blockchain) teknolojisi, bu anlamda önemli bir çözüm olarak karşımıza çıkmaktadır. Kripto para ile geniş ölçüde farkındalık oluşturan bu teknolojide veriler, geleneksel yöntemler gibi sabit ya da sanal sunucularda tutulmak yerine şifrelenerek ağdaki cihazlara dağıtılmaktadır. Bu dağıtık ve şifrelenmiş yapı sayesinde veriye yüksek düzeyde bir koruma sağlayıp neredeyse değiştirilemez bir güvenlik uygulamaktadır. Sistem temel olarak hem kötü niyetli ve yetkisiz kişilerin veriye erişmesini hem de ağda var olan dijital verilerin dağıtılmasını engellemektedir. Gelecekte çok daha yoğun kullanılacak blok zincir teknolojisi, temelde oluşturulacak dijital kimlikler sayesinde yaşamı kolaylaştırmakta ve verilerin merkeze çok dağıtılmasını engellemektedir.