Kişisel Verileri Koruma Kanunu (KVKK)
Kişisel Verilerin Korunması Kanunu Tasarısı, 6698 sayılı Kişisel Verilerin Korunması Kanunu adı ile 18 Ocak 2016 tarihinde TBMM Başkanlığına sevk edilmiş, 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış ve 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girmiştir.
Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin (kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi) parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Bu doğrultuda, özel sektörde faaliyet gösteren kuruluşlar ile kamu kurum ve kuruluşları bakımından bir ayrım yapılmamış olup, öngörülen usul ve esasların tüm kurum ve kuruluşlar açısından uygulanması benimsenmiştir. Kanunda verisi işlenen gerçek kişilerden bahsedildiği için hak ehliyetine sahip olan herkes Kanun kapsamındadır.
Kimliği belirli ya da belirlenebilir nitelikteki gerçek kişiye ilişkin her türlü bilgidir. Kişisel veriden söz edebilmek için, verinin gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. Buna göre:
a) Gerçek kişiye ilişkin olma: Kişisel veri, gerçek kişiye ilişkin olup, tüzel kişilere ilişkin veriler kişisel verinin tanımının dışındadır. Dolayısıyla, bir şirketin ticaret unvanı, adresi, vergi kimlik numarası, MERSİS numarası ve cirosu gibi tüzel kişiliğe ilişkin bilgiler (bir gerçek kişiyle ilişkilendirilebilecekleri durumlar haricinde) kişisel veri sayılmayacaktır.
b) Gerçek kişiyi belirli veya belirlenebilir kılması: Kişisel veri, T.C. kimlik numarasında olduğu üzere ilgili kişinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte araç plaka numarasında olduğu üzere herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.
c) Her türlü bilgi: Bu ifade son derece geniş olup, bir gerçek kişinin
sadece kimliğini ortaya koyan, adı, soyadı, doğum tarihi ve doğum yeri gibi bilgiler
olabileceği gibi; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası,
pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, e-posta
adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri,
sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler
de kişisel veri olarak kabul edilmektedir. Kanunda hangi bilgilerin kişisel veri
olarak kabul edileceğine ilişkin sınırlı sayım esası benimsenmediğinden, kişisel
verilerin kapsamının genişletilmesi mümkündür. Önemli olan, verinin herhangi bir
gerçek kişi ile ilişkilendirilebiliyor olması ya da o gerçek kişiyi tanımlayabilmesidir.
Özel nitelikli kişisel veriler, işlenmeleri halinde ilgili kişilerin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olma riski taşıyan verilerdir. Bu nedenle, diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir. Kanunun 6. maddesi gereğince özel nitelikli kişisel veriler; “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri”dir. Bu veriler Kanunda sınırlı sayıda belirlenmiş olduğundan bunların genişletilmesi mümkün değildir.
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Bu kişiler, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizzat veri sorumlusu olup, ilgili düzenlemelerde belirtilen hukuki sorumluluğu üstlenecektir. Bu konuda kamu hukuku tüzel kişileri ve özel hukuk tüzel kişileri bakımından bir farklılık gözetilmemiştir. Bu çerçevede hukuki ve cezai sorumluluk bakımından, tüzel kişilerin sorumluluğuna ilişkin özel hukuk ve kamu hukukundaki genel hükümler uygulanır.
Veri sorumlusunun tespiti için kişisel verilerin işlenmesi ve işlenme amacı, işlenecek
kişisel veri türleri, işlenen kişisel verilerin hangi amaçlarla kullanılacağı, hangi kişilerin
kişisel verilerinin işleneceği, kişisel verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa
kimlerle paylaşılacağı, ne kadar süreyle saklanacağı, ilgili kişilerin erişim hakkı ve diğer
haklarının uygulanıp uygulanmayacağı gibi hususlara kimin karar verdiği dikkate alınır.
Herhangi bir hukuki düzenlemenin, kişisel veri işleme amaçlarını ve vasıtalarını
belirlemesi durumunda, bu hukuki düzenleme kapsamında belirlenen görevleri
yerine getirecek gerçek veya tüzel kişiler veri sorumlusu olarak kabul edilmelidir.
Kişisel verilerin işlenmesinde her zaman Kanunda ortaya konulan genel ilkelere uygun davranılmalıdır. Kişisel verilerin işlenmesinde genel ilkeler şunlardır:
1) Hukuka ve dürüstlük kurallarına uygun olma
2) Doğru ve gerektiğinde güncel olma
3) Belirli, açık ve meşru amaçlar için işlenme,
4) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
5) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme faaliyetlerinin
özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak
gerçekleştirilmelidir.
Kişisel verilerin işlenmesinde amaçların detaylandırılması, kişisel verilerin işleneceği amaçların bildirilmesi bakımından ne seviyede bir detay beklendiğinin her bir olay özelinde ayrı ayrı ele alınmasıdır.
Dar bir çevreye yönelik mal ve hizmet sunan küçük ölçekli bir işletme ile bir perakende
zinciri tarafından sunulan veri işleme amaçlarının aynı detayda olması beklenemez. Bir
market zinciri bakımından çok farklı araçlar vasıtasıyla ve amaçlarla (sadakat programı
ya da çapraz satış vb. gibi) veri işleneceği için tüm bu amaçların detaylandırılması
gerekmektedir.
Aynı anda birbirinden çok farklı hizmetler sunan bir web sitesinin (e-ticaret, sosyal
platform vb. gibi) amaçlarını bildirirken genel ifadelerden kaçınması ve hedef kitlenin
niteliklerine uygun düşen bir dil ve terminolojiyle makul bir detay seviyesinde bilgi
sunması gerekir.
Özel nitelikli kişisel verilerin işlendiği alanlarda, veri işleme amaçlarının diğer alanlara
nazaran daha detaylı olarak sunulması gerekmektedir. Örneğin, özel nitelikli bir kişisel
verinin işlenme amacının insan kaynakları faaliyetlerini yerine getirmek gibi genel
bir kişisel veri işleme amacına işaret etmesi, bu noktada yeterli detayın verilmesini
sağlamamaktadır.
Ancak, özlük dosyasının oluşturulması amacıyla özel nitelikli kişisel verinin işlenmesi
daha detaylı ve belirliliği sağlayacak şekilde kişisel veri işleme amacını ortaya
koymaktadır.
Kanunun 5. maddesinde kişisel verilerin işlenme şartları düzenlenmiştir. Özel nitelikli kişisel verilerin işlenme şartları ise Kanunun 6. maddesinde farklı esaslara bağlanmıştır.
Bu çerçevede, özel nitelikli olmayan kişisel verilerin hangi hallerde hukuka uygun
olarak işlenebileceği Kanundaki esaslara göre aşağıdaki şekilde düzenlenmiş olup,
bu şartlardan sadece bir tanesinin bulunması özel nitelikli olmayan kişisel verilerin
işlenmesi için yeterli hukuki şartı oluşturacaktır:
Veri işleme, Kanunda bulunan ilgili kişinin açık rızası dışındaki veri işleme şartlarından
en az birine dayanıyorsa, bu durumda veri sorumlusu tarafından ilgili kişiden açık rıza
alınması yoluna gidilmemelidir.
Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişilerin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olma riski taşıyan verilerdir.
Kanunda, hangi kişisel verilerin özel nitelikli kişisel veri olduğu tek tek belirtilmiş olup,
bu sayılanlar dışındakiler özel nitelikli kişisel veri olarak kabul edilemez. Bu bakımdan,
özel nitelikli kişisel verilerin sınırlı olarak sayıldığı kabul edilir.
Özel nitelikli kişisel veriler ilgili kişinin açık rızasına dayalı olarak işlenebilir. Ancak Kanun, bazı istisnai durumlarda açık rıza aranmaksızın özel nitelikli kişisel verilerin işlenmesine izin vermiştir. Buna göre; sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler kanunlarda açıkça öngörülmüş olması halinde; sağlık ve cinsel hayata ilişkin kişisel veriler de ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile finansmanın planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebilecektir. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması gerekmektedir.
İlgili kişinin Kanunda tanımlı haklarını kullanırken dürüstlük kuralına uygun davranmak şartıyla veri sorumlusuna yapacağı başvurularla alakalı olarak ilgili kişiye verilecek cevaplar, Veri Sorumluları Siciline açıklanacak bilgiler çerçevesinde ve kategorik şekilde olmalıdır. Veri Sorumluları Siciline açıklanan bilgilerle ilgili kişiye verilecek bilgiler arasında uyum olmalıdır.
Bu kapsamda verilecek bilgiler, temel olarak kişilerin hangi verilerinin işlendiğine dair
bilgilerdir.
İlgili kişinin Kanunda tanımlı haklarını kullanırken dürüstlük kuralına uygun davranmak şartıyla veri sorumlusuna yapacağı başvurularla alakalı olarak ilgili kişiye verilecek cevaplar, Veri Sorumluları Siciline açıklanacak bilgiler çerçevesinde ve kategorik şekilde olmalıdır. Veri Sorumluları Siciline açıklanan bilgilerle ilgili kişiye verilecek bilgiler arasında uyum olmalıdır.
Bu kapsamda verilecek bilgiler, temel olarak kişilerin hangi verilerinin işlendiğine dair bilgilerdir.
İlgili kişi, Kanunun 14. maddesi gereğince haklarına ilişkin başvurusunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; veri sorumlusu tarafından verilen cevabı öğrendiği tarihten itibaren otuz ve herhalde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.
Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kişisel Verileri Koruma Kurulu, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek, bu kararı ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.
Kişisel Verileri Koruma Kurulu, telafisi güç veya imkânsız zararların doğması ve açıkça
hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının
durdurulmasına karar verebilir.
Ayrıca, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kişisel Verileri Koruma Kurulu,
bu konuda ilke kararı alır.
Kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması halinde, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir. Başka bir ifade ile Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.
Veri sorumlularının yükümlülükleri Kanunda belirtilmiştir. Buna göre;
1) Kişisel veri işleme faaliyetinde bulunan herkes, Kanun gereği hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme genel ilkelerine uygun hareket etmelidir.
2) Veri sorumluları tarafından kişisel veriler, Kanunda yer alan düzenlemelere
uygun olarak, özel nitelikli kişisel veriler ise Kişisel Verileri Koruma Kurulu tarafından
belirlenecek yeterli önlemler alınmak şartıyla Kanunda yer alan düzenlemelere uygun
olarak işlenmelidir.
3) Kanun ve ilgili diğer mevzuata uygun olarak işlenmiş olmasına rağmen,
işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya
ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmeli, yok edilmeli veya anonim
hâle getirilmelidir.
4) Kişisel verilerin üçüncü kişilere aktarılmasında Kanunun 8. ve 9. maddelerinde
yer alan düzenlemelere uygun olarak hareket edilmelidir.
5) Kanunun 10. maddesine uygun olarak ilgili kişiler aydınlatılmalıdır.
6) Kanunun 12. maddesine uygun olarak veri güvenliğini sağlamaya yönelik
gerekli her türlü teknik ve idari tedbirler alınmalıdır.
7) İlgili kişilerin veri sorumlularına yönelttiği başvurular Kanunun 13. maddesine
uygun olarak cevaplandırılmalıdır.
8) Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olunmalıdır
Veri sorumlusunun aydınlatma yükümlülüğü Kanunun 10. maddesinde düzenlenmiştir.
Buna göre, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği
kişi, ilgili kişilere;
1) Veri sorumlusunun ve varsa temsilcisinin kimliği,
2) Kişisel verilerin hangi amaçla işleneceği,
3) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
4) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
5) Kanunun 11. maddesinde sayılan diğer hakları konusunda
bilgi vermekle yükümlüdür.
Aydınlatma yükümlülüğünün yerine getirilmesi ilgili kişinin onayına tabi değildir.
Öte yandan kişisel veri işleme faaliyetinin ilgili kişinin açık rızasına bağlı olmadığı ve
faaliyetin Kanundaki başka şartlar kapsamında yürütüldüğü durumlarda da veri
sorumlusunun ve yetkilendirdiği kişinin ilgili kişiyi aydınlatma yükümlülüğü devam
etmektedir.
Veri güvenliğinin sağlanması konusunda veri sorumlusuna düşen yükümlülükler Kanunun 12. maddesinde sayılmıştır. Buna göre veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve
idari tedbirleri almak zorundadır. Veri sorumlusu, kişisel verilerin kendi adına başka bir
gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin
alınması hususunda bu kişilerle birlikte müştereken sorumludur.
Ayrıca; veri sorumluları, kendi kurum veya kuruluşlarında, Kanun hükümlerinin
uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak
zorundadır. Veri sorumluları öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı
olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük
görevden ayrılmalarından sonra da devam eder.
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi
halinde, veri sorumluları bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul,
gerektiği hallerde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir
yöntemle ilan edebilir.
Veri Sorumluları Sicili, veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemidir.
Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri
Sorumluları Siciline kaydolmak zorundadır. Ancak Kanunun 16 ncı maddesiyle Veri
Sorumluları Siciline kayıt zorunluluğuna istisna getirme yetkisi Kurula verilmiş olup
buna istinaden Kurulca hazırlanarak 30.12.2017 tarihli Resmi Gazetede yayımlanan
Veri Sorumluları Sicili Hakkında Yönetmeliğin 16. Maddesinde istisna getirmeye yönelik
objektif kriterler aşağıdaki şekilde belirlenmiştir.
a) Kişisel verinin niteliği.
b) Kişisel verinin sayısı.
c) Kişisel verinin işlenme amacı.
ç) Kişisel verinin işlendiği faaliyet alanı.
d) Kişisel verinin üçüncü kişilere aktarılma durumu.
e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması.
f) Kişisel verilerin muhafaza edilmesi süresi.
g) Veri konusu kişi grubu veya veri kategorileri.
Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri
Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı,
veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi
Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından,
Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.
Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:
a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri,
b) Kişisel verilerin hangi amaçla işleneceği,
c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri
hakkındaki açıklamalar,
ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
d) Yabancı ülkelere aktarımı öngörülen kişisel veriler,
e) Kişisel veri güvenliğine ilişkin alınan tedbirler,
f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.
Kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması halinde, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir. Başka bir ifade ile Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.
Veri sorumluları için 6698 sayılı Kanunda ve Veri Sorumluları Sicili Hakkında Yönetmelikte bazı yükümlülükler getirilmiştir.
6698 sayılı Kanun kapsamında veri sorumluları hakkında getirilmiş olan yükümlülükler;
İnternet sitemizde size en iyi deneyimi sunabilmemiz için zorunlu çerezler kullanmaktayız. Ayrıntılı bilgiye Çerez Politika’mızı okuyarak ulaşabilirsiniz.
Çerez Politikamız