6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), gerçek kişilere ait verilerin işlenmesini disiplin altına alarak temel hak ve özgürlükleri güvenceye bağlayan yasal çerçevedir. Kanun uyarınca veri işleyen tüm gerçek ve tüzel kişiler; aydınlatma, veri güvenliği, silme ve sicil kaydı gibi yükümlülüklere uymakla mükelleftir. Mevzuata aykırı veri işleme veya aktarım faaliyetleri idari para cezaları ile cezai yaptırımlara tabidir.
KVKK Nedir?
KVKK; kimliği belirli veya belirlenebilir gerçek kişilere ilişkin her türlü bilginin işlenmesi, korunması, aktarılması ve imhasına ilişkin usul ve esasları düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur. 7 Nisan 2016 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren kanun, dijitalleşen dünyada bireylerin özel hayatının gizliliğini korumayı ve veri sorumlularının keyfi veri işlemesini engellemeyi amaçlar.
Kanun, verisi işlenen gerçek kişileri “ilgili kişi”, bu verileri işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişileri ise “veri sorumlusu” olarak tanımlar. Kamu kurumlarından özel şirketlere, derneklerden bağımsız çalışan profesyonellere kadar kişisel veri işleyen her aktör bu yasal rejime tabidir. Bu alandaki düzenleyici ve denetleyici üst kurul, merkezi Ankara Çankaya’da bulunan Kişisel Verileri Koruma Kurumu (KVKK) ve Kuruludur.
KVKK Kapsamında Kişisel Veri Türleri Nelerdir?
Mevzuat, kişisel verileri genel nitelikli kişisel veriler ve özel nitelikli (hassas) kişisel veriler olmak üzere iki ana kategoride değerlendirmektedir. Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağduriyetine veya ayrımcılığa maruz kalmasına yol açabilecek nitelikteki hassas verilerdir.
| Veri Kategorisi | Kapsam ve Örnekler | İşleme Şartları |
|---|---|---|
| Genel Nitelikli Kişisel Veriler | Ad-soyadı, T.C. kimlik numarası, telefon, e-posta, IP adresi, araç plakası, alışveriş geçmişi. | Açık rıza veya kanunlarda açıkça öngörülme, sözleşmenin ifası, veri sorumlusunun hukuki yükümlülüğü gibi 5. maddedeki şartlar. |
| Özel Nitelikli Kişisel Veriler | Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık-kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve biyometrik/genetik veriler. | Açık rıza ya da 6. maddede sayılan sınırlı kanuni istisnalar (sağlık ve iş güvenliği yükümlülükleri, kanunlarda öngörülme vb.) ve Kurulca belirlenen yeterli önlemlerin alınması. |
Veri Sorumlularının Yasal Yükümlülükleri Nelerdir?
Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. İşletmelerin ve kurumların Kişisel Verilerin Korunması (KVKK) mevzuatına uyum sağlaması hukuki bir zorunluluktur.
- Aydınlatma Yükümlülüğü (m. 10): Veri sorumlusu; verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda şeffaf bilgilendirme yapmak zorundadır.
- Veri Güvenliğini Sağlama (m. 12): Şirket içi yetki matrisleri, sızma testleri, şifreleme, güvenlik duvarları ve gizlilik sözleşmeleri gibi idari ve teknik tedbirlerin eksiksiz kurulması gerekir.
- VERBİS Kayıt Yükümlülüğü (m. 16): Kurul tarafından belirlenen istisnalar haricinde, belirlenen yıllık çalışan sayısı veya mali bilanço eşiğini aşan veri sorumluları Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmak zorundadır.
- Veri İhlali Bildirimi: İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en geç 72 saat içinde Kurul’a ve gecikmeksizin ilgili kişiye bildirmelidir.
- Silme, Yok Etme ve Anonim Hale Getirme (m. 7): İşleme şartları ortadan kalkan veriler, resen veya ilgili kişinin talebi üzerine periyodik imha politikalarına uygun olarak silinmeli, yok edilmeli ya da anonimleştirilmelidir.
Yurt Dışına Veri Aktarımı Nasıl Yapılır?
7499 sayılı Kanun ile yapılan mevzuat değişiklikleri neticesinde kişisel verilerin yurt dışına aktarımı üç kademeli bir güvence mekanizmasına bağlanmıştır. Önceki uygulamada sıklıkla başvurulan açık rıza yöntemi, yeni sistemde yalnızca arızi ve istisnai durumlara özgülenmiş; kurumsal veri akışları için nesnel güvenceler zorunlu kılınmıştır.
- Yeterlilik Kararı: Kişisel Verileri Koruma Kurulu tarafından aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterli korumanın bulunduğuna dair karar verilmiş olması durumudur.
- Uygun Güvenceler: Yeterlilik kararı bulunmayan durumlarda; taraflar arasında standart sözleşme akdedilmesi, bağlayıcı şirket kurallarının (BCR) onaylanması veya Kurul onaylı taahhütnamenin varlığı şarttır.
- İstisnai Hâller (Arızi Aktarım): Yeterlilik kararı ve uygun güvencelerin bulunmadığı durumlarda; ilgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi veya sözleşmenin ifası için zorunlu olması gibi süreklilik arz etmeyen, münferit durumlardır.
Standart sözleşmelerin imzalanmasından itibaren 5 iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumu’na bildirilmesi kanuni bir zorunluluk olup, bu bildirimin yapılmaması bağımsız bir idari para cezası yaptırımına bağlanmıştır.
İlgili Kişilerin Hak Arama ve Şikayet Süreci Nasıl İşler?
Kişisel verisi işlenen gerçek kişiler, 6698 sayılı Kanun’un 11. maddesi uyarınca veri sorumlusuna başvurarak verilerinin işlenip işlenmediğini öğrenme, yanlış verilerin düzeltilmesini ve hukuka aykırı verilerin silinmesini talep etme hakkına sahiptir. Hak arama süreci kanunda iki aşamalı bir idari başvuru mekanizması olarak kurgulanmıştır.
İlk olarak ilgili kişi, talebini yazılı olarak veya kayıtlı elektronik posta (KEP) gibi mevzuatta öngörülen yöntemlerle doğrudan veri sorumlusuna iletir. Veri sorumlusu bu talebi, niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmak zorundadır. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya 30 gün içinde cevap verilmemesi hâllerinde ilgili kişi, cevabı öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Ankara’da bulunan Kişisel Verileri Koruma Kurulu’na şikayette bulunabilir.
Kişisel Verileri Koruma Kurulu Kararlarına Karşı Hangi Yargı Yoluna Başvurulur?
Kişisel Verileri Koruma Kurulu tarafından tesis edilen idari yaptırımlara ve idari para cezalarına karşı görevli yargı yeri İdare Mahkemeleridir. 7499 sayılı Kanun değişikliği öncesinde Sulh Ceza Hakimliklerine yapılan itirazlar, yeni yasal düzenleme ile idari yargı denetimine devredilmiştir.
Kurul’un idari para cezası veya talimatlandırma işlemlerine karşı, kararın tebliğinden itibaren 2577 sayılı İdari Yargılama Usulü Kanunu (İYUK) uyarınca 60 gün içinde iptal davası açılması gerekir. 2577 sayılı Kanun’un 32. maddesi kapsamında işlemi tesis eden Kurumun merkezi Ankara’da bulunduğundan, yetkili mahkeme Ankara İdare Mahkemeleridir. Bu davalarda işlemin hukuka uygunluğu, savunma hakkının kullandırılıp kullandırılmadığı, delillerin sıhhati ve ölçülülük ilkesi irdelenir.
KVKK Uyum Süreçlerinde Sınırlar ve Karşılaşılan Riskler Nelerdir?
Uygulamada birçok işletme KVKK uyumunu yalnızca internet sitesine aydınlatma metni ve açık rıza onay kutusu eklemekten ibaret bir formalite olarak görmektedir. Ancak veri envanteri ile sahadaki veri akışının uyuşmaması, sunucuları yurt dışında bulunan bulut yazılımlarının bildirim yapılmaksızın kullanılması ve çalışan yetkilerinin sınırlandırılmaması ciddi idari yaptırımlara zemin hazırlamaktadır.
Ayrıca açık rızanın bir hizmet şartı olarak dayatılması (hizmetin rıza şartına bağlanması) hukuken rızayı sakatlamakta ve Kurul tarafından geçersiz sayılmaktadır. Dolayısıyla uyum süreçlerinin, işletmenin teknik altyapısı ve iş akışları ile birebir örtüşen yaşayan bir mekanizma olarak kurgulanması önem taşır.
Bu yazı kişisel verilerin korunması mevzuatına ilişkin genel hukuki bilgilendirme amacıyla hazırlanmıştır. Her somut olayın, veri işleme sürecinin ve uyuşmazlığın kendine özgü teknik ve yasal dinamikleri bulunduğundan, hak kaybı yaşanmaması adına durumun güncel mevzuat çerçevesinde değerlendirilmesi gerekir.
Sıkça Sorulan Sorular
KVKK kapsamında veri sorumlusuna başvuru süresi ne kadardır?
İlgili kişilerin 6698 sayılı Kanun’un 11. maddesi kapsamındaki taleplerine veri sorumlusu en geç 30 gün içinde gerekçeli bir cevap vermek zorundadır.
Kişisel Verileri Koruma Kurulu'na şikayet için süre şartı var mıdır?
İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her hâlde veri sorumlusuna başvurduğu tarihten itibaren 60 gün içinde Kurul’a şikâyette bulunabilir.
KVKK idari para cezalarına karşı nereye ve ne kadar sürede dava açılır?
Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı, kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde iptal davası açılabilir.
Yurt dışına veri aktarımında standart sözleşme bildirimi nasıl yapılır?
Taraflarca imzalanan standart sözleşmelerin imzadan itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi yasal bir zorunluluktur.
Açık rıza verilmesi hizmetin sunulması şartına bağlanabilir mi?
Hayır, açık rızanın bir mal veya hizmetin sunulması için ön koşul haline getirilmesi hukuken rızanın özgür iradeyle verilmediği sonucunu doğurur ve geçersiz kabul edilir.