Rusya’da 152-FZ sayılı Kişisel Veriler Hakkında Federal Kanun 27 Temmuz 2006’da kabul edilmiştir. Kişisel veriler alanındaki yasal hükümler, Rusya Federasyonu Federal Mevzuatı ile (27 Temmuz 2006 tarihli 152-FZ “Kişisel Veriler Hakkında Federal Kanun”), Rusya Federasyonu İş Kanunu (Bölüm 14) ve Rusya Federasyonu Medeni Kanunu’nunda düzenlenmiştir.
Rusya’da kişisel verilerin korunması; Rusya Federasyonu vatandaşlarının kişisel verilerinin işlenmesi, depolanması ve aktarılması ile ilgili Rusya Federasyonu mevzuatının gerekliliklerini yerine getirmeyi mümkün kılan bir dizi kompleks önlemden oluşmaktadır. Kişisel verilerin korunması kanununun gerekliliklerine göre, operatör (işletmeci), kişisel verilerin işlenmesine ve bu kişisel verilerin işlendiği bilgi sistemlerine ilişkin bir dizi kurumsal ve teknik önlemi almakla ve uygulamakla yükümlüdür.
Rus hukukunda kişisel veriler doğrudan veya dolaylı olarak tanımlanmış veya tanımlanabilir bir gerçek kişiye (kişisel verilerin konusu) ilişkin her türlü bilgiyi ifade eder.
Operatör (veri işletmeci) – kişisel verilerin işlenmesini organize eden ve (veya) gerçekleştiren ve ayrıca kişisel verilerin işlenme amaçlarını, kişisel verilerle gerçekleştirilen eylemleri (işlemler), kişisel verilerin bileşimini belirleyen, diğer kişilerle ortaklaşa veya bağımsız olarak çalışan bir devlet organı, belediye organı, tüzel kişi veya birey olarak tanımlanmıştır.
KİŞİSEL VERİLER KANUNUNUN ANA HÜKÜMLERİ
-Kişisel verilerin işlenmesi, kişisel verilerin işlenmesinin belirlenmiş amaçlarına tam olarak uygun olarak, yasal ve adil bir temelde gerçekleştirilmelidir.
-Kişisel verilerin üçüncü taraflara ifşa edilmesi veya bu tür verilerin uygun bir temel (kişisel veri sahibinin rızası veya federal yasaların gereklilikleri) olmadan yayılması kabul edilemez niteliktedir.
-Bazı durumlarda, kişisel verilerin işlenmesi yalnızca kişisel verilerin sabibinin rızası ile gerçekleştirilebilir.
-Kişisel verileri işleyen bilgi sistemleri, kişisel verilere ilişkin mevzuatın gereklerine uygun haraket etmelidir.
-Kişisel verilerin sahibi, kendi haklarını ve menfaatlerini koruma hakkına sahiptir. Operatörün eylemlerine veya eylemsizliğine ( ihmaline) karşın haklarının korunması için yetkili olan devlet organlarına veya mahkemeye başvurarak maddi ve (veya) manevi zararın tazminini de talep etme hakkı dahil olmak üzere diğer haklarını ve meşru menfaatlerini de koruma ve korunmasını talep hakkına sahiptir.
-Operatör(işletmeci), kişisel verilerin sahibinin haklarının korunması için yetkili organa kişisel verilerin işlenmesi hakkında bir bildirim göndermekle yükümlüdür. Bu organ, Federal İletişim, Bilgi Teknolojisi ve Kitle İletişim Denetleme Servisidir (daha çok Roskomnadzor olarak bilinir uygulamada);
-Kanun gerekliliklerinin ihlali, hukuki, cezai, idari ve disiplin sorumluluğu doğurmaktadır.
KİŞİSEL VERİLERİN KORUNMASINI SAĞLAMAK İÇİN KOMPLEKS ÖNLEMLER
Kişisel verileri korumaya yönelik kurumsal önlemler şunları içerir:
-Kişisel verilerin işlenmesini organize etmekten ve güvenliğini sağlamaktan sorumlu kişilerin belirlenmesi;
-Kişisel verilerin alınması, işlenmesi, saklanması, aktarılması ve korunmasına ilişkin tüm süreci düzenleyen organizasyonel ve idari belgelerin geliştirilmesi ve düzenlenmesi;
-Kuruluşun ticari sürecine değişikliklerin dahil edilmesi , kişisel verileri işleyen kullanıcıları düzenleyici belgelerin hükümleriyle tanıştırılması;
-Aracılar ve kişisel verilerin aktarıldığı veya işlenmesinin emanet edildiği üçüncü taraflarla ek anlaşmaların yapılması;
-Kişisel verilerin korunmasına yönelik tedbirler listesinin belirlenmesi ve bu tedbirlerin uygulanması;
Kişisel verilerin işlenmesi ve korunmasının yasal gerekliliklere uygunluğu konusunda iç kontrolün her daim uygulanması.
Kişisel verileri korumaya yönelik teknik önlemler, yazılım ve donanımlı bilgi koruma cihazların vasıtasıyla yapılmalıdır. Kişisel verileri otomasyon araçları kullanarak işlerken, teknik koruma önlemlerinin kullanılması bir ön koşuldur ve bunların sayısı ve koruma derecesi, kişisel veri sisteminin koruma düzeyine göre belirlenir.
KİŞİSEL VERİ BİLGİ SİSTEMLERİ İÇİN GEREKLİLİKLER
Kişisel veri bilgi sistemlerinin güvenlik seviyesinin belirlenmesi, işlenen kişisel verilerin hacmine, kategorisine ve ayrıca 01.11.2012 yılından itibaren 1119 sayılı Hükümet Kararnamesine göre gerçekleştirilir ve kişisel veri bilgi sistemleri bilgi sistemlerine göre mevcut tehditlerin türüne bağlı olarak operatörler tarafından bağımsız olarak gerçekleştirilir.
Bu Kanun Hükmünde Kararname ayrıca, kişisel verilerin güvenlik seviyelerine uygun olarak bilgi sistemlerinde işlenmesi sırasında güvenliğinin sağlanmasına ilişkin gereklilikleri de tanımlamaktadır.
Ek olarak, kişisel verilerin korunması için ayrıntılı gereksinimler de belirlenmiştir, özellikle:
18 Şubat 2013 tarihli FSTEC( Rusya Teknik ve İhracat Kontrolü Federal Servisi) No. 21’in emriyle;
18 Ağustos 2014 tarih ve 378 sayılı FSB (Federal Güvenlik Hizmetinin Emri) (kişisel verileri korumak zarureti halinde koruma araçlarının kullanılması gerekiyorsa bilgiyi şifreleme (kriptografik)).
Ayrıca, 21 Temmuz 2014 tarihli 242-FZ sayılı Federal Kanun ve 31 Aralık tarihli 526-FZ sayılı Federal Kanun ile değiştirilen 152-FZ sayılı “Kişisel Veriler Hakkında” Federal Kanunun yeni versiyonunun gerekliliklerine uygun olarak , 2014, Rusya Federasyonu vatandaşlarının kişisel verilerinin kayıt, sistematizasyon, biriktirme, depolama, açıklama (güncelleme, değiştirme), çıkarma işlemlerinin gerçekleştirildiği bilgi sistemleri veritabanları Rusya Federasyonu topraklarında bulunmalıdır.
Kontrol
Mevzuatın uygulanması üzerindeki kontrol sağlama mekanizması aşağıdaki organlara verilmiştir:
Kişisel verilerin konularının haklarının korunması için yetkili organ (Roskomnadzor), kişisel veriler alanındaki ana denetim organıdır;
FSB(Federal Güvenlik Hizmeti), şifreleme araçlarının kullanımı açısından ana denetim otoriter organıdır;
FSTEC,( Rusya Teknik ve İhracat Kontrolü Federal Servisi) teknik bilgi koruma araçlarının kullanımı açısından denetim makamıdır.
Kişisel verilerin korunması bakımından yetkili olan organ, kişisel verilerin işlenmesinin Rusya Federasyonu mevzuatının gerekliliklerine uygunluğunu kontrol etmek (denetlemek) için hem planlı hem de plansız denetimler yapar ve önlemler alır.
Stj. Av. Rashid Mirzayev
