Birleşik Krallık Veri Koruma Otoritesi (ICO) Tarafından E-posta İletişimlerine Yönelik Rehber Yayımlandı
Yazar: MGC LEGAL
Birleşik Krallık Veri Koruma Otoritesi (ICO), kuruluşların toplu e-posta gönderimleri sırasında kişisel verilerin korunmasına odaklanan bir rehber yayımlamıştır. Bu rehber ile kuruluşların kişisel verilerin gizliliğini ve güvenliğini sağlamalarına yardımcı olmayı amaçlayan ICO’nun iyi uygulama önerilerine ilişkin öne çıkan bazı bilgiler aşağıdaki gibidir;
E-posta Alıcılarına Dikkat: Bir e-posta ileti gönderirken, içeriğinde hassas bilgiler olsa da olmasa da, alıcıların kim olduğu dikkatli bir şekilde kontrol edilmelidir. Kişisel verilerin yanlış kişilere gönderilmesi, gizlilik ihlali potansiyelini taşır ve kuruluşları ciddi risklerle karşı karşıya getirebilir.
Güvenlik Tedbirleri: Birden fazla alıcıya toplu e-posta gönderirken, kişisel verilerin güvenliğini sağlamak için teknik ve idari güvenlik tedbirleri alınmalıdır. Bu e-posta şifrelemesi, yetkilendirme kontrolleri ve güçlü parolalar gibi önlemleri içerebilir.
Personel Eğitimi: Toplu e-posta gönderimlerinde alınması gereken güvenlik önlemleri konusunda personellere eğitimler verilmelidir. Personellerin eğitilmesi veri güvenliğine yönelik riskli durumları en aza indirecektir. Personellere özellikte toplu e-posta gönderimlerine ilişkin alınması gereken güvenlik önlemleri, e-postaya alternatif olabilecek güvenli seçenekler, hatalı şekilde gönderilen iletilerin geri alınması konularında eğitim verilmesi önemlidir. Öte yandan personelin veri koruma politikalarını ve prosedürlerini bilmesi gerekmektedir. Bu doğrultuda kuruluşların politikalarını düzenli olarak gözden geçirmesi de sürecin güvenli ilerlemesi konusunda önem arz eder.
BCC Kullanımı ve Güvenli Yöntemler: BCC yerine daha güvenli iletişim yöntemleri değerlendirilmelidir. BCC kullanımının yetersiz olabileceği durumlar göz önünde bulundurulmalı ve daha güçlü koruma sağlayan araçların kullanılması değerlendirilmelidir.
Bireysel İletiler: Az sayıda alıcıya e-posta gönderilmesi durumunda, her bir kişiye ayrı ayrı ileti göndermek, kişisel verilerin daha güvenli bir şekilde korunmasına yardımcı olacaktır.
Bu öneriler, kişisel verilerin korunmasını ve gizliliğini sağlamak için toplu e-posta iletişimlerinde dikkate alınmalıdır. ICO’nun rehberi, kuruluşların bu konuda daha bilinçli ve güvenli bir yaklaşım benimsemelerine yardımcı olmayı amaçlamaktadır.
Öte yandan özellikle eğitimler konusunda ülkemizde de bilincin artırılması önem arz etmektedir. Kişisel Verileri Koruma Kurulu 7.10.2022 tarihli ve 2022/1072 numaralı kararı tam olarak bu rehberle ele alınan personel eğitimi konusuna dikkat çekici niteliktedir. Kurulun kararına konu olayda şirket çalışanı şirketin sağladığı mailden ilgili kişinin bilgisi ve onay dışında tanıtım ve reklam amaçlı e-posta iletilmiş olup, ilgili kişi tarafından izinsiz gönderim nedeniyle şikayette bulunulmuştur. Kurul değerlendirmesinde, reklam ve pazarlama amacıyla iletilen e-postanın çalışanın kurumsal e-posta hesabından iletildiği ve mevzuata uygun bir veri işleme faaliyetinde bulunulmadan eylemde bulunulduğunu değerlendirerek şirket tarafında gerekli teknik ve idari tedbirlerin alınmadığı güvenlik önlemlerinin etkili bir şekilde sağlanmadığı gerekçesiyle veri sorumlusu sıfatını haiz şirket hakkında idari para cezası uygulamıştır. Bu karar eğitimin öneminin en büyük göstergesidir.
Kuruluşların veri işleme ve korumaya yönelik pek çok politika geliştirmesine ve bunlar hakkında ilgilileri bilgilendirmek üzere tüm önlemleri alıyor olmasına karşın, personellerin yeterli bilinç düzeyine ulaşmamaları, bu politikaların yaratacağı güvenli ortama gölge düşürmektedir. Bu konuda ülkemizde de gereken bilinç düzeyine ulaşılabilmesi için politikaların mevzuata uyumlu bir şekilde hazırlanmasıyla birlikte personellerin de veri güvenliğine ilişkin bilinçlendirilmesi, adeta iş güvenliği için sıkı tedbirler alınması gibi veri güvenliği de yabana atılmaksızın gereken bilinçlendirici eğitimlerin kuruluşlar bünyesinde iş gören her bir kişiye verilmesinin risklerin önüne geçeceği yadsınamaz.
