KVKK’dan belediyelerin borç sorgulama hizmetlerine iki aşamalı doğrulama şartı

Kişisel Verileri Koruma Kurulu, belediyelerin çevrim içi emlak vergisi ödeme, hızlı ödeme ve borç sorgulama hizmetlerine ilişkin 21/04/2022 tarihli ve 2022/388 sayılı İlke Kararını aldı. Karar, yalnızca TC kimlik numarası kullanılarak emlak bilgilerine erişilebildiğine yönelik bildirimlerin ardından gündeme geldi.

İlke Kararı, 29.04.2022 tarihli ve 31824 sayılı Resmî Gazete’de yayımlandı. Kurul, belediyelerin bu hizmetlerde kişisel verilere hukuka aykırı erişimi önlemek amacıyla üyelik ve şifre ya da çift faktörlü doğrulama kullanması gerektiğini değerlendirdi.

Tek kademeli sorgulama sistemleri risk taşıyor

Kurul, yalnızca TC kimlik numarasıyla yapılan sorgulamaların kişilerin emlak bilgilerine kolayca erişilmesi riskini barındırdığına işaret etti. Doğum tarihi, telefon numarası, anne ve baba adı ya da sicil numarası gibi başkalarının da erişebileceği bilgilerle yapılan doğrulamaların da bu riski yeterince azaltmadığı belirtildi.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12 nci maddesi uyarınca veri sorumlularının kişisel verilere hukuka aykırı erişimi önlemek ve verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alması gerekiyor.

İki aşamalı doğrulama yöntemi öne çıkarıldı

İlke Kararında ilk doğrulamanın TC kimlik no, ad soyad, vergi no veya sicil no gibi bilgilerle yapılabileceği belirtildi. İkinci doğrulamanın ise kişiye özel oluşturulan ve yalnızca ilgili kişinin erişebileceği SMS ya da e-posta şifresiyle gerçekleştirilmesi gerektiği ifade edildi.

Kişisel Veri Güvenliği Rehberinde, kişisel verilere uzaktan erişim sağlanan durumlarda iki kademeli kimlik doğrulama güvenlik tedbirleri arasında sayılıyor. Kurul, belediyelerin hizmetleri üyelik ve şifre sistemiyle sunmasını da uygun yöntemler arasında değerlendirdi.

Önlem almayan belediyeler hakkında işlem yapılabilecek

Kurul, belediyelerin emlak vergisi ödeme, hızlı ödeme ve borç sorgulama hizmetlerinde üyelik ve şifre ya da çift faktörlü doğrulama kullanarak Kanun’un 12 nci maddesindeki yükümlülüklerini yerine getirmesi gerektiğine karar verdi.

Gerekli önlemleri almayan belediyeler hakkında iletilecek şikâyet ve ihbarlar doğrultusunda Kanun’un 18 inci maddesi kapsamında işlem tesis edilebileceği bildirildi. Karar, Kanun’un 15 inci maddesinin (6) numaralı fıkrası kapsamında oybirliğiyle alındı ve Resmî Gazete ile Kurumun internet sayfasında yayımlandı.