KİŞİSEL VERİLERİN KORUNMASI KANUNU – KVKK, 2016 yılında 29677 sayılı Resmi Gazetede yayınlanarak yürürlüğe girdi. Buna göre; “Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemeler” yapılmış oldu.
Son aylarda müşteri hesaplarının personeller tarafından boşaltılması ile sık sık gündeme gelen Körfez Sermayeli büyük bankada sektöre yakışmayan Etik dışı davranışlar bir türlü bitmek bilmiyor ve devam ediyor. Bu sefer iddialar çok vahim : Müşteri bilgilerinin rakip bankaya sızdırılması!
Müşteri bilgileri rakip banka ile paylaşıldı!
Bankanın İstanbul Taksim bölgesinde bir şubesinde Müşteri İlişkiler Portföy Temsilcisi olarak çalışan bir bayan çalışan rakip bankalardan birinde Şube Müdürü olan eşine mail ile paylaşımda bulunuyor. Mail iç kontrolde teftiş kontrolü tarafından tespit edilince soruşturma başlatılıyor. Soruşturma sonunda işten atılması gereken; savcılığa bu yönde suç duyurusunda bulunulması ve Banka olarak KVKK’ye bildirim yapılması gerekirken hiçbiri yapılmamış.
Müşteri bilgilerini paylaşan personeli kim/kimler korudu?
Banka müşteri bilgileri rakip bankada şube müdürü olan eşi ile paylaşan personel, işten atılmak yerine araya hatırı sayılır kişiler girmesi ile Banka İK GMY ağırlığını koyuyor ve personel “istifa” ettirilerek olay kapatılıyor. Banka veri sızıntısı saklandığı gibi bir de işten atılması gereken personele başka bankada ( Avrupa sermayeli yabancı bankasında ) iş ayarlanıyor. Oysa, işten atılma, suç duyurusu ve KVKK’ya bildirim gibi normal süreç işlese veri sızdıran personelin başka bankada iş bulması da söz konusu olmayacaktı. Yukarıda özetlenen olayın ETİK tarafını ise BDDK, Etik Kurulu ve okuyuculara bırakalım.
Bankadan istifa ederek ayrılan bir personel bu duruma; “istifa ederek bankadan ayrılmama rağmen her başvurumda banka olarak olumsuz referans ile önümü kapatan bankanın ne kadar etik olduğunu da bu olayda öğrenmiş olduk, yazıklar olsun” diyerek kendine yapılan haksızlığa da tepki gösterdi.
Diğer bankaya olumlu referans verip iş bulmasını sağlayan ve İş Etik Kurallarını hiçe sayan personel ise ayrı soruşturma konusu. Umarız, BDDK, Etik Kurulu ve KVKK gibi kurumlar bu yönde bankaya soruşturma açarak, yaptırım uygular da örnek olay olarak da sektörde yerini alır. Olaya Banka İK GMY’nin taraf olması ise ayrı bir skandal!
Veri vermek kadar almak ve kullanmak ta suç
Diğer taraftan verilere eşi aracılığı ile ulaşan şube müdürü de suç işlemiş durumda. Zira, veri sızdırma kadar verilere ulaşmak ve o verileri kendi ve kurumu menfaatine kullanmak ta ayrı suç teşkil ediyor. Verileri alan bankanın kısa bir süre önce Rus ortaklık hisselerinin Birleşik Arap Emirlikleri’nden (BAE) kökenli bir bankaya satılmıştı. Bu bankanın şube müdürü ile ilgili ne gibi işlem yapacağı ise önümüzdeki günlerde netleşecek.
Veri hırsızlığının cezaları ne kadar?
KKVK ile Kişisel ve Kurumlara ait veriler güvence altına alındığı gibi bu verilerin ihlal eden yeterli tedbirleri almayan, 3. kişi ve kurumlar ile paylaşanlara ciddi maddi ve hapis cezalarına kadar yaptırımlar getirdi. 2022 yılında parasal ceza 2,6 milyon TL‘den fazlaya kadar ulaşıyor.
Verilerin Hukuka aykırı olarak verme veya ele geçirme Suçu ise Türk Ceza Kanunu’nun 136. maddesi uyarınca, kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
Kişisel verileri yok etmeme suçunun cezası, 1 yıldan 2 yıla kadar hapis cezası verilir (TCK md.138/1). Kişisel verileri yok etmeme suçunun konusu Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken bir veri ise, verilecek ceza bir kat arttırılır.
KVKK’ya bildirim yapılmadı!
Banka, personelini suç üstü yakalamasına ve müşterilerine ait bilgilerin paylaşılmaması gereken 3. kişilere verilmesine rağmen bu veri sızıntısını gizleyerek, üstünü kapatarak ve KVKK’ya bildirmeyerek ayrıca suç da işlemiş oldu. Oysa, Veri sızıntısı Kanunen KVKK’ya bildirilmesi ise tercih değil; kanuni zorunluluk. Veri çaldıran kurum; kimlerin, kaç kişinin ne tür bilgilerinin 3. kişiler tarafından ele geçirdiğini bildirmesi gerekirken bunu saklaması ise Kurumu ( Bankayı )’da ek suç yüklemiş durumda. Olayı Banka içinde saklanması, saklanması için baskı yapılması, bildirilmesi gereken Resmi kurumlara bildirilmemesi de ayrı ayrı suç teşkil ediyor.
Verileri çalınan müşterilere de bilgi verilmedi
Yasal olarak verileri çalınan müşterileri banka bilgilendirme yapması gerekiyor. Bankanın normal şartlar altında verileri ele geçirilen müşterilere bu yönde bilgi vermesi gerekirken bunun da yapılmadığı ve veri sızıntısının müşterilerden de saklandığı öğrenildi. Banka olayda şeffaf davranması; mağdurları bilgilendirmesi gerekirken; verileri sızdıran personelin yanında yer alarak ayıca suç işlemiş duruma da düşmüş oldu. Yakışmadı!
Banka Vitrini