GiZLİLİK, Bİreysel haklar, KİŞİsel verilerin korunmasi
Yüklə 73,5 Kb.
|
- Bu səhifədəki naviqasiya:
- Giriş
- Kişisel Bilgilerin Güvenliği
- Telekomünikasyon Kurumu’nun konuyla ilgili yasa ve yönetmelikleri
- Sonuç ve Değerlendirme
- KAYNAKLAR
|
GİZLİLİK, BİREYSEL HAKLAR, KİŞİSEL VERİLERİN KORUNMASI Eren ERSOY Telekomünikasyon Kurumu / ANKARA eersoy@tk.gov.tr ÖzetBir çok resmi faaliyetin artık bilgisayarlar ve ağlar üzerinden gerçekleştirildiği günümüzde, kişisel bilgiler de bir anlamda risk altındadır. Kişilerin ifşa edilmesini ve izinsiz kullanılmasını istemediği özel bilgilerin bu ortamlarda kullanılmasını belli kurallara bağlayacak olan düzenlemelere ihtiyaç hissedilmektedir. Bu bildiride, bu konudaki gelişmeler ve düşünceler hakkında bilgi verilmeye çalışılmıştır. GirişSon yıllarda bilgisayar ve internet kullanımının hızla yaygınlaşarak artması sonucu, kişiler, kurumlar ve kuruluşlar işlerini artık çok büyük oranda elektronik ortamlarda gerçekleştirmektedirler. Bunun sonucu olarak e-ticaret, e-kurum, e-devlet, e-imza, e-posta gibi kavramlar hızla klasik çalışma biçimlerinin yerini almaktadır. Bu değişimi günlük yaşantımızda neredeyse her alanda görebilmekteyiz. Örneğin bankacılık işlemlerini bankaya gitmeden evimizdeki, iş yerimizdeki kişisel bilgisayarlarımızla veya cep telefonlarımızla yapabilmekteyiz. Vergi, ceza ödemeleri yapmak, pasaport başvurusunda bulunmak, seyahat rezervasyonları yapmak, çalıntı cep telefonlarını sorgulamak, tamirdeki cihazlarımızın hangi aşamada olduğunu öğrenmek, hatta dizüstü bilgisayarlarımızla mobil bilgi işlem uygulamaları yapmak günümüzde sıradan olaylar olarak algılanmaktadır. Ancak bilgisayarlaşma hızındaki bu baş döndürücü gelişmelere paralel olarak kişiler, kurumlar ve işletmelerin sahip oldukları veriler, bilgisayar kullanılarak yapılan sahtekarlıklar, bilgi hırsızlığı, bilgisayar korsanları (hacker), elektronik saldırılar, bilgi sızdırma ve ilgili kuruluşların kendi çalışanlarınca oluşturulabilecek potansiyel iç saldırılar gibi çok geniş bir yelpazeye sahip kaynaklardan gelen tehdit ve tehlikelerle karşı karşıyadır. Özellikle bilgisayar virüsleri, kötü niyetle bilgisayarları ağ üzerinden ele geçirerek bilgisayarlara zarar veren kişilerin kullandığı yöntemler, kişisel ve kurumsal bilgilerin izinsiz olarak elde edilmesi veya değiştirilmesi konusundaki tehditler artarak sürmekte olup, kişiler ve kurumlar bu tehlikeler karşısında giderek daha riskli bir duruma gelmektedirler. Hizmetlerin internet ortamında sunulması eğiliminin artması, açık ve özel ağlar arasındaki geçişler, bilgilerin halka açık sistemlerle paylaşılması gibi uygulamaların artması sonucu bilgilere erişimin denetlenmesi güçleşmekte ve güvenlik zayıflıklarına neden olmaktadır. Güvenlik yazılımcıları her geçen gün virüslerin ve zararlı kodların nasıl çalıştıklarına ilişkin yeni ipuçları ve savunma mekanizmaları geliştirmektedirler. Araştırma kuruluşu Gartner tarafından yapılan bir çalışmada, bireysel haklara ve kişisel verilere karşı artan saldırı sayısı ve sürekli geliştirilen saldırı teknikleriyle baş edebilmek için, güvenlik yazılımları pazarının gittikçe büyümekte olduğu ifade edilmektedir. Araştırmaya göre hükümetlerin de desteğiyle 2009 yılına kadar pazardaki yıllık artış oranı %16.2 olacak ve pazar payı 11.4 milyar ABD Dolarına ulaşacaktır [1]. Bu değerlendirme göstermektedir ki, bilgisayar korsanlarıyla güvenlik yazılımı geliştiren şirketler arasında hiç bitmeyecek olan bir mücadele uzun yıllar devam edecektir. Kişisel Bilgilerin GüvenliğiArtan saldırılar amaçları açısından iki ana bölümde incelenebilir. Bunlardan birincisi kişisel bilgilerin ele geçirilerek elektronik ortamda yapılan bankacılık, e-ticaret v.b. alanlarda başkasının adına sahte işlemler yapılmasıdır. İkincisi ise, bu illegal işlemlerin yanısıra, kişilere ait özel bilgilerin kişilerin izni olmadan çeşitli ortamlarda açığa vurulmasıdır. Birinci gruba giren saldırılara karşı teknik ve prosedürel yaklaşımlar kullanılarak karşı önlemler geliştirilebilmekte olup, yasalarla da desteklenmesi büyük önem arz etmektedir. İkinci gruba ait ihlallerde ise kişisel verilerin korunması ve gizliliğinin sağlanması için yasaların çıkarılması AB uyum süreci içerisinde önem kazanmıştır. Türkiye bu konuda Avrupa Birliği Konseyinin kabul ettiği 108 sayılı sözleşmeyi imzalayarak gerekli önlemlerin alınması için çalışmalar başlatmıştır. Bu çerçevede, kişisel nitelikteki verilerin otomatik işleme tabi tutulması dolayısıyla bireylerin kişilik haklarının himayesine ilişkin Kanun Tasarısı hazırlamak üzere 13/9/1995 tarihinde kurulmuş olan ve çalışmalarını tamamlayamayan Komisyonun yerine yeniden oluşturulan Komisyonca hazırlanan Kişisel Verilerin Korunması Kanunu Tasarısı Adalet Bakanlığı tarafından bakanlıklar ile ilgili kamu kurum ve kuruluşlarının görüşüne gönderilmiştir. Tasarı Haziran 2004’de Başbakanlığa sevk edilmiştir. Tasarı, Başbakanlığın 14/03/2005 tarih ve 1113 sayılı yazısı gereği ”Üzerinde Çalışılanlar” bölümüne alınmıştır. Adı geçen tasarı, veri korumasında genel kabul gören temel uluslararası metinlerin izini taşımaktadır ve ülkemizde kişisel verilerin işlenmesinde hukuka uygunluk denetimi yapacak olan ”Kişisel Verileri Koruma Kurumu”na yer vermektedir. Bu doğrultuda, kamu tüzel kişiliğini haiz idari ve mali özerkliğe sahip “Kişisel Verileri Koruma Kurumu” kurulmasını da öngörmekte olup, Kurumun, Başbakanlığın “ilişkili” kuruluşu olmasını da ifade etmektedir. Kurum, Kişisel Verileri Koruma Kurulu ile Kişisel Verileri Koruma Kurumu Başkanlığı ve hizmet birimlerinden oluşacaktır. Bilgi Güvenliği Kavramı ve Bilginin Gizliliği Tüm dünyada kabul edilen yaygın bir yaklaşımla bilgi güvenliğinin sağlanabilmesi için aşağıdaki şartların yerine getirilmesi gerekmektedir [2].
Araştırmalar göstermektedir ki; sadece teknolojik önlemlerle (virüsleri tespit eden yazılımlar, güvenlik duvarı sistemleri, kriptolama vb.) iş süreçlerinde yukarıda belirtilen maddeleri içeren bilgi güvenliğinin tam olarak sağlanması mümkün olamamaktadır. Bilgi güvenliği, süreçlerin ayrılmaz bir parçası olmalı ve bu bakımdan bir iş anlayışı, yönetim ve kişisel/kurumsal kültür açısından ele alınmalıdır. Kişisel Verilerin Korunması Elektronik ortamlarda yapılan işlem sayısının ve çeşitliliğinin günden güne artış göstermesi, kişisel verilerin korunması ve gizliliğinin sağlanması konusunda yeni önlemler alınması ve düzenlemeler yapılmasını zorunlu hale getirmiştir. Kişisel verilerin işlenmesini yaygınlaştırarak bu verilerin elektronik ortamlarda kullanılması zorunlu hale gelirken, diğer yandan da hakkında veri toplanan kişinin kişilik haklarının korunması gerekli olmaktadır. Bu nedenle;
Kişisel veri işleme ilkeleri aşağıdaki gibi özetlenebilir:
Ülkemizde de bu konuda toplantılar ve çalışmalar yapılmaktadır. Mart 2004’te DPT Bilgi Toplumu Dairesi Başkanlığı koordinasyonunda yapılan “Türkiye’de Bilgi Ekonomisine ve Bilgi Toplumuna Geçiş için Strateji ve Politikalar” adlı çalışma raporunda, kişisel bilgilerin korunmasına atıfta bulunularak önemi vurgulanmaktadır. Bu raporda, “Bilgi Ekonomisi içersinde iş yapış ortamı, sadece bilgi ekonomisinde katma değer yaratan girişimcilerden ibaret olarak görülmemelidir. Bilgi ekonomisi ürün ve hizmetlerinin yöneldiği tüketicilere de gerekli hukuksal güvenceler tanınmalıdır. Bunlardan en önemlisi “kişisel verilerin korunması” mekanizmalarının etkin kılınmasıdır. “Kişisel verilerin” gerek özel sektör gerekse de kamu kesimi tarafından işlenmesinde belirli standartların, ilke ve kuralların getirilmesi hem dijital çağda mahremiyeti sağlayacak etkin bir hukuksal korunmanın kapısını aralayacak, hem de tüketicilerin elektronik ortamda güvenle işlem yapmalarının elektronik imzanın yanı sıra bir diğer güvencesi olacaktır. Ülkemizin yüklendiği uluslararası taahhütlerinin de bir gereği olarak “Kişisel Verilerin Korunması Kanun Tasarısı”, bilgi ekonomisinin temel yapı taşının enformasyon olduğu da göz önünde bulundurularak bir an önce kanunlaştırılmalıdır. Bununla birlikte özellikle devletin elinde bulunan, ancak mevcut tasarı ile yeterince korunmayan kişisel veriler konusunda da tasarıda gerekli değişikliklere gidilmelidir. SPAM, veri madenciliği (data mining) gibi kişisel mahremiyeti ihlal eden ve kişisel haklara tecavüz teşkil eden fillerin özellikle sektörel öz-düzenleme (self-regulation) mekanizmaları ile desteklenerek Kişisel Verilerin Korunması Kanunu çerçevesinde ele alınması gerekmektedir” denilmektedir [3]. Bu konuyla ilgili olarak Bilişim Şürası tarafından hazırlanan raporda, “Özel yaşamın gizliliği gerek insan hakları ile ilgili uluslararası belgelerde ve gerek demokratik anayasalarda özenle güvence altına alınan haklardandır. Kişinin fiziksel özellikleri; kişisel düşünce, görüş ve inançları; sağlık, öğrenim, istihdam durumu ile ilgili bilgiler ve birey olarak sürdürdüğü yaşam veya aile içi yaşantısı, başkaları ile yaptığı haberleşmeler kendi isteği dışında bahis konusu yapılamamalı, başkalarına açıklanamamalı, kendisi tarafından açıklanmış olan bilgiler de ancak açıklandığı amaç ve bağlamla ile sınırlı olarak kullanılabilmelidir. Son yıllarda kişisel verilerin elektronik bilgi işlem yöntemleri ile derleme, sınıflandırma, saklama işlemlerine tabi tutulması ve istendiğinde istenen biçimde sunulabilmesi olanağı ortaya çıkmış ama bunun sonucu olarak özel yaşamla ilgili bu gibi bilgilerin, veya teknik deyimi ile kişisel veriler’ in haksız olarak kullanılması riskini artırmış, kişinin rızası alınmadan başkalarına açılanmasını ve bilginin bulunduğu yerden başka yerlere aktarılmasını kolaylaştırmıştır. Türkiye bu konudaki seçimini Avrupa Konseyinin Kabul ettiği 108 sayılı sözleşmeyi imzalamak suretiyle yapmış bulunmaktadır. Esasen Avrupa Birliğine üye olmak için başvurmuş olan ülkemizin başka bir seçeneği de bulunmamakta olması bir yana, gerek özel ve gerek kamu hukuku sistemimiz dikkate alındığında kişisel veriler için en iyi korumanın özel bir yasa kabul edilmek yoluyla gerçekleştirilebileceği sonucuna varılmaktadır. İlgili makamlarımızın da aynı düşünceyi paylaştıklarını memnuniyetle görmekteyiz. Gerçekten ilgili bütün kamu kurum ve kuruluşlarının ve Türkiye Bilişim Derneği’nin temsilcileri ile bilim danışmanlarından oluşan bir çalışma grubunun Adalet Bakanlığının başkanlığında yaptığı uzun süren çalışmalar sonunda Kişisel Verilerin Korunması Kanunu için bir taslak hazırlamış bulunmaktadır. Bu taslağın hazırlanmasında öncelikle 108 sayılı sözleşme esas alınmış, ancak bazı hususlarda ülkemizin jeopolitik konumu ve tarihsel deneyimleri gibi etmenlerle bazı konularda anılan sözleşmede öngörüldüğü ölçüde geniş hükümler getirilmesi mümkün olamamıştır. Yukarda sözü edilen taslak büyük emeklerle hazırlanmıştır. Hem hukuk sistemimizdeki kişisel hak ve özgürlüklerin güvence altına alınması ile ilgili bir boşluğu doldurmak ve hem de kişisel verilerle ilgili olarak başka ülkelerden aktarılmasını istediğimiz bilgilerin elde edilmesinde yaşanan zorlukları gidermek için hükümet tasarısı olarak Türkiye Büyük Millet Meclisine sunulmak üzere olduğun öğrendiğimiz bu taslağın bir an önce yasalaşmasını dilemekteyiz” ifadesine yer verilmektedir [4]. Bu dilekler, kişisel verileri koruma kanununun toplum tarafından net bir şekilde talep edilmesinin bir göstergesidir. Örnek vermek gerekirse, kişisel verileri koruma ilkesinin en önemli uygulama alanlarında biri de Merkezi Nüfus İdaresi Sistemi (MERNİS) projesidir. Bu projenin uygulanması esnasında, tüm kişisel bilgilerin muhafazası ve amacına uygun olarak kullanılması gerekmektedir [5]. Adalet Bakanlığınca hazırlanmış olan bu tür projelerin ve elektronik ortamda dolaşan kişisel verilerin korunmasına ilişkin bir kanun taslağına, Bilişim Şürasının internet adresinden ulaşılabilir [6]. ISO/IEC 17799 Standardı ve Kişisel Bilgilerin Gizliliği Kurumsal Bilgi Güvenliği olarak bilinen ISO/IEC 17799 standardında da kişisel bilgilerin korunması konusunda önemli maddeler yer almaktadır. Standardın ölçeklenebilirliği dikkate alındığında bu koruma ilkeleri kişi ve kurumlara kadar büyük bir yelpazede ele alınabilmektedir. Bu standardın kişisel verilerin korunmasıyla ilgili olarak alınması gereken tedbirleri işaret eden maddeleri aşağıdadır.
Bu çerçevede ele alındığında, kamu hizmetlerinin ortak bir platformdan (tek kapıdan) sunulması için e-Dönüşüm Türkiye Projesi çerçevesinde sürdürülen bi çalışmadır. 25 Ocak 2005 tarihli Bakanlar Kurulu Kararı ile T.C. e-Devlet Kapısı’nın kurulma görevi Türk Telekom’a verilmiştir. Bu projede Türk Telekom ana yüklenici, DPT ise koordinasyondan sorumludur. Türk Telekomun açtığı e-Devlet Kapısı ihalesinde, ihaleye katılacak şirketlerden ISO 17799 belgesi istenmektedir [7]. Ayrıca, “e-Devlet Kapısı projesine dahil edilecek devlet kuruluşlarının ISO 17799 sertifikasına sahip olması gerektiği ve e-Dönüşüm Türkiye 2005 Eylem Planı, 5 nolu eylemde açıkça belirtilmektedir. Bunun amacı, kurum ve kuruluşların kendi kurumsal güvenliklerini sağlamalarının yanısıra, kendilerinin doğal faaliyetleri içerisinde yer alan ve kişilerin özel bilgilerini ellerinde bulundurma yetkilerini kullanırken, bu kişilerin bilgilerini de amacına uygun olarak kullanmak ve muhafaza etmekle yükümlü olacaklardır. Bu yükümlülük, TS 17799-2 veya BS 7799-2 sertifikasına sahip her kuruluşun doğal yükümlülüğü olacaktır. e-Dönüşüm Türkiye Projesi 2005 Eylem Planı’nın 5 ve 33. maddelerinden TUBİTAK-UEKAE sorumludur. Bu eylemler aşağıda kısaca açıklanmaktadır.
“Başta kritik bilgileri kullanan merkezi kurumlar olmak üzere, kamu kuruluşlarının sahip olduğu mevcut sistemler analiz edilerek bilgi güvenliği konusunda izlenecek politikalar ve alınacak önlemlere ilişkin öneriler geliştirilecektir.” 33 numaralı eylem “Kamu bilgi sistemlerinin acil durum yönetimi ihtiyaçları tespit edilerek çözüm önerileri geliştirilecektir.” e-Devlet projesi DPT tarafından bir danışman firma ile yürütülüyor ve 2010 yılı hedeflenmektedir.
Kişisel bilgilerin korunması ilkesi, e-imza kavramının en önemli konularından biridir. E-imza kullanan kişilerin bilgileri doğal olarak Elektronik Sertifika Hizmet Sağlayıcılarında (ESHS) bulunmaktadır. Bu bilgilerin gereği gibi ve amaçları doğrultusunda kullanılarak muhafaza edilmesini sağlamak ESHS’lerin sorumluluğundadır. Telekomünikasyon Kurumu olarak bu konuda hazırlanan yönetmelikler çerçevesinde ESHS’lere gerekli sorumluluklar tanımlanmıştır. Ayrıca Telekomünikasyon sektörü ile sınırlı olarak, işletmecilerin de kişisel verilerin korunmasına yönelik sorumlulukları da belirlenmiştir. Bu yönetmeliklere aşağıda kısaca değinilmektedir.
Sonuç ve DeğerlendirmeAB mevzuatı çerçevesinde yukarıda da belirtildiği üzere kişisel verilerin korunması ve mahremiyetin gizliliğinin sağlanması hususu önemli bir yer işgal etmektedir. Zira günümüzün temel bileşenlerinden birisi olan kişisel verilerin korunması hususuna yönelik olarak AB tarafından 2002/58/EC ve 95/46/EC sayılı 2 adet direktif çıkartılmıştır. 95/46/EC sayılı AB direktifine ilişkin olarak Adalet Bakanlığı tarafından hazırlanan yasa taslağı halen yasalaşmamıştır. Bununla beraber Telekomünikasyon Kurumu tarafından hazırlanan ve yukarıda da belirtilen Yönetmelik AB mevzuat uyumu çalışmaları çerçevesinde 2002/58/EC sayılı direkifi uyumlaştırmak üzere yayınlamıştır. Günümüzün gelişen teknolojisi dikkate alındığında kişisel verilerin eskisine oranla daha büyük bir hızda ve oranda gizliliğinin, mahremiyetinin ve bütünlüğünün riske girdiği aşikardır. Dolayısı ile kişilerin bu hususa yeterince özen ve önem göstermeleri son derece önemlidir. Bu çerçevede kişilerin ve kurumların bilgi güvenliği konusunda bilinçlendirilmesi ve bilgilendirilmesi, olabilecek muhtemel sorunların en aza indirilmesine katkı sağlayacaktır. KAYNAKLAR
http://www.gartner.com/research/focus_areas/asset_48267.jsp 2. ISO, http://www.iso.org/iso/en/prods-services/popstds/informationsecurity.html 3. http://www.itb.com.tr/btr/rapor.htm 4.Bilişim Şürası, http://bilisimsurasi.org.tr/listeler/tbs-hukuk/Mar/att-0044/01- K___SEL_VER_LER_N_KORUNMASI.doc 5. http://www.hukukcu.com/bilimsel/kitaplar/mernis.htm 6. http://bilisimsurasi.org.tr/dosyalar/42.doc 7. http://www.btnet.com.tr/haber.phtml?yazi_id=520000254 8. Telekomünikasyon Kurumu, http://www.tk.gov.tr/Duzenlemeler/Hukuki/yonetmelikler/Kisisel_Bil_Yon_06_02_04.pdf 9. Telekomünikasyon Kurumu, http://www.tk.gov.tr/Duzenlemeler/Hukuki/yonetmelikler/e-imza-yonetmelik.pdf 10. Telekomünikasyon Kurumu, http://www.tk.gov.tr/eimza/eimza_yasasi.htm Yüklə 73,5 Kb. Dostları ilə paylaş:
|