Kişisel Verilerin Korunması Kanunu Hakkında Bilgilendirme

Kişisel Verilerin Korunması Kanunu, kişisel verilerin hukuka uygun şekilde işlenmesini, saklanmasını, aktarılmasını, silinmesini ve korunmasını düzenleyen temel kanundur. Türkiye’de bu alandaki temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur.

Kanunun amacı; kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemektir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, T.C. kimlik numarası, telefon numarası, e-posta adresi, adres bilgisi, fotoğraf, kamera kaydı, IP adresi, araç plakası ve benzeri bilgiler kişisel veri olarak değerlendirilebilir.

Bir bilginin kişisel veri sayılabilmesi için doğrudan veya dolaylı olarak bir gerçek kişiyle ilişkilendirilebilir olması yeterlidir.

Özel Nitelikli Kişisel Veri Nedir?

Özel nitelikli kişisel veriler, öğrenilmesi halinde kişi hakkında ayrımcılığa veya mağduriyete yol açabilecek daha hassas verilerdir.

Sağlık bilgileri, biyometrik veriler, genetik veriler, ceza mahkumiyeti bilgileri, dini inanç, siyasi düşünce, dernek veya sendika üyeliği gibi veriler özel nitelikli kişisel veri kapsamında değerlendirilebilir.

Kişisel Verilerin İşlenmesi

Kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde yapılan her türlü işlem kişisel veri işleme faaliyeti olarak kabul edilir.

Kişisel veriler ancak kanunda belirtilen usul ve esaslara uygun olarak işlenebilir. Veri işleme faaliyeti hukuka, dürüstlük kurallarına, belirli ve meşru amaçlara uygun olmalıdır.

Kişisel Verilerin İşlenmesinde Temel İlkeler

Kişisel verilerin işlenmesinde aşağıdaki temel ilkelere uyulması gerekir:

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

Açık Rıza

Açık rıza, ilgili kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıkladığı rızadır.

Açık rıza genel, belirsiz ve her şeyi kapsayacak şekilde alınmamalıdır. Hangi verilerin hangi amaçla işleneceği ve kimlerle paylaşılabileceği ilgili kişiye açıkça belirtilmelidir.

Açık Rıza Olmadan Veri İşlenebilir mi?

Kişisel verilerin işlenmesi her zaman açık rızaya bağlı değildir. Kanunda belirtilen şartlardan biri varsa açık rıza olmadan da kişisel veri işlenebilir.

Örneğin bir sözleşmenin kurulması veya ifası için zorunlu olması, kanuni yükümlülüğün yerine getirilmesi, bir hakkın tesisi veya korunması için gerekli olması gibi durumlarda açık rıza olmadan veri işlenmesi gündeme gelebilir.

Veri Sorumlusu

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

Şirketler, kurumlar, dernekler, işletmeler ve bazı durumlarda gerçek kişiler veri sorumlusu sıfatına sahip olabilir.

Veri İşleyen

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Muhasebe firmaları, yazılım hizmeti sağlayıcıları, çağrı merkezi hizmetleri veya bulut hizmet sağlayıcıları veri işleyen olarak değerlendirilebilir.

Veri işleyenler de kendilerine verilen yetki kapsamında hareket etmeli ve kişisel verilerin güvenliği için gerekli tedbirleri almalıdır.

Aydınlatma Yükümlülüğü

Veri sorumlusu, kişisel verileri işlerken ilgili kişiyi bilgilendirmekle yükümlüdür. Bu bilgilendirme genellikle aydınlatma metni aracılığıyla yapılır.

Aydınlatma metninde veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi, hukuki sebep ve ilgili kişinin hakları açıkça belirtilmelidir.

İlgili Kişinin Hakları

Kişisel verisi işlenen gerçek kişi, kanun kapsamında veri sorumlusuna başvurarak bazı haklarını kullanabilir.

• Kişisel verisinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteme
• Şartları varsa verilerin silinmesini veya yok edilmesini isteme
• İşlemenin hukuka aykırı olması halinde zararın giderilmesini talep etme

Veri Sorumlusuna Başvuru

İlgili kişi, kişisel verileriyle ilgili taleplerini veri sorumlusuna iletebilir. Veri sorumlusu, başvuruyu kanunda belirtilen süre ve usule uygun şekilde değerlendirmelidir.

Başvuruda ad, soyad, iletişim bilgileri, talep konusu ve varsa destekleyici belgeler açıkça belirtilmelidir.

Kişisel Verilerin Aktarılması

Kişisel veriler, kanunda belirtilen şartlar oluşmadan üçüncü kişilere aktarılamaz. Veri aktarımı yapılırken aktarım amacı, hukuki sebep, alıcı grubu ve güvenlik tedbirleri dikkate alınmalıdır.

Kişisel verilerin yurt içine veya yurt dışına aktarılması farklı hukuki şartlara tabi olabilir. Özellikle yurt dışına veri aktarımında güncel mevzuata uygun hareket edilmesi gerekir.

Yurt Dışına Veri Aktarımı

Kişisel verilerin yurt dışına aktarılması, kanunda ayrıca düzenlenen şartlara tabidir. Bulut sistemleri, yurt dışı sunucular, yabancı yazılım hizmetleri, e-posta altyapıları ve uluslararası hizmet sağlayıcılar yurt dışına veri aktarımı açısından değerlendirilmelidir.

Yurt dışına aktarım yapılmadan önce aktarımın hukuki sebebi, alınacak güvenlik önlemleri ve ilgili kişinin bilgilendirilmesi dikkatle incelenmelidir.

VERBİS Kaydı

Veri Sorumluları Sicili, kişisel veri işleyen veri sorumlularının kayıt olduğu sistemdir. Bazı veri sorumluları için VERBİS kaydı zorunlu olabilir.

VERBİS yükümlülüğü; çalışan sayısı, mali bilanço, işlenen veri türü ve faaliyet alanı gibi kriterlere göre değerlendirilir. Her işletmenin VERBİS’e kayıt zorunluluğu bulunmayabilir.

Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi

Kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında, veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Saklama ve imha süreçleri, veri sorumlusunun kişisel veri saklama ve imha politikası kapsamında düzenlenebilir. Gereğinden uzun süre veri saklanması hukuki sorumluluk doğurabilir.

Veri Güvenliği

Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, ayrıca kişisel verilerin güvenli şekilde saklanmasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Şifreleme, erişim yetkilendirmesi, güvenlik duvarı, yedekleme, çalışan eğitimi, gizlilik taahhütleri ve düzenli denetimler veri güvenliği kapsamında değerlendirilebilir.

Veri İhlali

Kişisel verilerin yetkisiz kişilerce ele geçirilmesi, kaybolması, sızdırılması, yanlış kişilere gönderilmesi veya hukuka aykırı şekilde erişime açılması veri ihlali olarak değerlendirilebilir.

Veri ihlali halinde veri sorumlusu gerekli incelemeyi yapmalı, ihlalin etkilerini azaltmalı ve kanunda öngörülen bildirim yükümlülüklerini yerine getirmelidir.

Çerezler ve İnternet Siteleri

İnternet sitelerinde kullanılan çerezler, ziyaretçilerin cihazlarına yerleştirilen küçük veri dosyalarıdır. Zorunlu çerezler dışında kalan reklam, pazarlama, analiz ve takip çerezleri kişisel veri işleme faaliyeti oluşturabilir.

İnternet sitesi sahipleri, çerez kullanımı hakkında ziyaretçileri bilgilendirmeli ve gerekli hallerde açık rıza mekanizması oluşturmalıdır.

İşverenler Açısından KVKK

İşverenler, çalışanların özlük dosyaları, kimlik bilgileri, bordro kayıtları, sağlık raporları, kamera kayıtları, giriş-çıkış kayıtları ve iletişim bilgileri gibi birçok kişisel veriyi işler.

İşverenlerin çalışanlarını aydınlatması, gereksiz veri toplamaktan kaçınması, özel nitelikli veriler için gerekli tedbirleri alması ve verileri yalnızca gerekli süre boyunca saklaması gerekir.

Şirketler Açısından KVKK

Şirketler müşteri, çalışan, tedarikçi, ziyaretçi ve iş ortaklarına ait kişisel verileri işlerken Kişisel Verilerin Korunması Kanunu’na uygun hareket etmelidir.

Aydınlatma metinleri, açık rıza metinleri, gizlilik politikaları, çerez politikaları, veri işleme envanteri, saklama ve imha politikası şirketler açısından önemli uyum belgeleridir.

KVKK Uyum Sürecinde Dikkat Edilmesi Gerekenler

• Hangi kişisel verilerin işlendiği tespit edilmelidir.
• Veri işleme amaçları ve hukuki sebepler belirlenmelidir.
• Aydınlatma metinleri hazırlanmalı ve ilgili kişilere sunulmalıdır.
• Gerekli durumlarda açık rıza alınmalıdır.
• Veri güvenliği için teknik ve idari tedbirler uygulanmalıdır.
• Veri saklama ve imha süreçleri düzenlenmelidir.
• Çalışanlara KVKK konusunda eğitim verilmelidir.
• Veri ihlali halinde bildirim süreçleri planlanmalıdır.
• VERBİS yükümlülüğü bulunup bulunmadığı kontrol edilmelidir.

KVKK Kapsamında Avukat Desteği

Kişisel Verilerin Korunması Kanunu, şirketler, kurumlar, işletmeler ve gerçek kişiler açısından önemli yükümlülükler doğuran bir düzenlemedir. KVKK’ya aykırı işlemler idari para cezaları, tazminat sorumluluğu ve itibar kaybı gibi sonuçlara yol açabilir.

Aydınlatma metni, açık rıza metni, veri işleme envanteri, çerez politikası, saklama ve imha politikası, veri ihlali yönetimi ve Kurul başvuruları gibi konularda hukuki destek alınması önemlidir.