Kişisel Veri ve Veri İşleme Faaliyeti
6698 sayılı Kişisel Verilerin Korunması Kanunu m. 3/1-(g) uyarınca kişisel veri, kimliği belirli veya belirlenebilir nitelikteki bir gerçek kişiye ilişkin her çeşit bilgiyi ifade eder. Tüzel kişilere ait verilerin işlenmesi ise Kanun kapsamına dahil edilmemiştir.
Tüzel kişilerin bizzat kendilerine ait bilgiler düzenleme alanı dışında kalsa da şirketler bünyesinde işlenen gerçek kişilere ait veriler koruma kapsamındadır. Çalışanlara ait kayıtlar, alt yüklenici personeli, iş başvuru belgeleri, parmak izi verileri, puantaj ve giriş-çıkış hareketleri, güvenlik kamerası görüntüleri ile sözleşmelerin ekindeki imza sirkülerinde yer alan gerçek kişi bilgileri bu çerçevede değerlendirilir.
6698 sayılı Kanun m. 6/1 uyarınca bireylerin ırk ve etnik kökeni, siyasi görüşü, dini ya da felsefi inancı, kılık kıyafeti, dernek, vakıf veya sendika üyeliği, sağlık durumu, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik bilgileri özel nitelikli kişisel veri sayılır. Bu verilerin işlenmesi kural olarak yasak olup ilgili kişinin açık rızası veya kanunda öngörülen istisnalarla işlenebilir. Ayrımcılık riski barındırması nedeniyle Kanun m. 6/4 gereğince Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması zorunludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Kanun m. 3/1-(e) çerçevesinde veri işleme faaliyeti; kişisel verilerin tamamen ya da kısmen otomatik vasıtalarla yahut bir veri kayıt sisteminin parçası olmak üzere otomatik bulunmayan yöntemlerle temin edilmesi, kaydedilmesi, depolanarak saklanması, değiştirilmesi, yeniden düzenlenmesi, aktarılması ya da kullanımının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü tasarrufu kapsar.
Veri Sorumlusunun Tanımı ve Yükümlülükleri
Kişisel verilerin hangi amaçla ve hangi vasıtalarla işleneceğini kararlaştıran, veri kayıt sisteminin kuruluş ve idaresinden sorumlu olan gerçek ya da tüzel kişi veri sorumlusudur. Şirketler, kamu kurumları, vakıflar veya dernekler tüzel kişi olarak veri sorumlusu sayılabileceği gibi gerçek kişiler de bu sıfatı haiz olabilir. Buna karşılık, tüzel kişiliği bulunmayan şirket içi departmanların veya şubelerin bağımsız veri sorumlusu olarak kabul edilmesi mümkün değildir.
Şirketler topluluğunu oluşturan her bir şirket ayrı bir tüzel kişiliğe sahip olduğu için, veri koruma kuralları yönünden bu şirketlerin her biri ayrı bir veri sorumlusu olarak kabul edilir.
Veri işleme süreçlerinin mevzuata uygun şekilde yürütülmesinden doğan hukuki sorumluluk esas olarak veri sorumlusuna aittir. Tüzel kişilerde veri sorumlusu sıfatı bizzat tüzel kişiliğin üzerinde kalır. Şirket bünyesinde veri işleme faaliyeti gerçekleştiren personelin bulunması veya veri işleme konusunda kişilerin yetkilendirilmiş olması, bu kişilerin veri sorumlusu oldukları anlamına gelmez. Aynı şekilde veri sorumlusunun idari veya teknik hususlarda üçüncü bir tarafı yetkilendirmesi, mevzuattan kaynaklanan sorumluluklarını devrettiği şeklinde yorumlanamaz.
Veri sorumlusu; Veri Sorumluları Siciline kayıt olmak, kişisel veri envanteri düzenlemek, irtibat kişisi tayin etmek, ilgili kişilerden gelen talepleri otuz gün içinde sonuçlandırmak ve hukuka aykırı biçimde gerçekleşen veri işleme durumlarını ilgilisine ve Kişisel Verileri Koruma Kurumuna bildirmek gibi kanuni yükümlülükleri yerine getirmekle mükelleftir.
Veri İşleyen Sıfatı ve Sorumluluk Paylaşımı
Veri işleyen, veri sorumlusunun verdiği yetkiye ve talimatlara bağlı kalarak onun adına kişisel verileri işleyen, veri sorumlusunun kendi organizasyonel yapısı dışındaki bağımsız gerçek veya tüzel kişidir. Taraflar arasındaki sözleşmeye dayalı olarak hareket eden veri işleyen, verileri yalnızca belirlenen çerçevede işler. Veri sorumlusunun kendi bünyesinde istihdam edilen şirket personeli organizasyona dahil olduğundan veri işleyen olarak nitelendirilemez.
Veri işleyen, veri sorumlusundan aldığı yetki ve talimatın dışına çıkarak kendisi adına kişisel veri işlemeye başladığı takdirde, söz konusu kişisel veriler bakımından veri sorumlusu olarak kabul edilir.
Kişisel verilerin veri sorumlusu namına harici bir veri işleyen tarafından işlendiği durumlarda, veri güvenliğinin teminine dair kanuni tedbirlerin eksiksiz alınması hususunda veri sorumlusu ile veri işleyen müştereken sorumludur.
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanuni düzenlemelere aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu sır saklama yükümlülüğü, görevden ayrılmalarından sonra dahi devam eder.
İrtibat Kişisinin Hukuki Konumu ve Görevleri
İrtibat kişisi, veri sorumlusunu genel anlamda hukuken temsil yetkisini haiz değildir. Bu kişinin temel fonksiyonu, Kişisel Verileri Koruma Kurumu ile veri sorumlusu arasındaki irtibatın tesis edilmesi ve koordinasyonun sağlanmasıdır. Kurum tarafından tebliğ edilen evrakı tebellüğ etme, sicil işlemlerini takip etme ve Kurumdan gelen talepler ile veri sorumlusunun cevaplarını aktarma gibi hususlar irtibat kişisinin görevleri arasında örnek olarak gösterilebilir.
Veri sorumlusu olan tüzel kişi, irtibat kişisi sıfatıyla kendi bünyesinde çalışan bir personeli görevlendirebileceği gibi şirket organizasyonu dışındaki üçüncü bir kişiyi de bu iş için atayabilir.
Tüzel kişilere ait bilgiler kişisel veri olarak korunur mu?
Tüzel kişilere ilişkin verilerin işlenmesi Kanun kapsamında değildir; ancak tüzel kişiler bünyesindeki çalışanlar, alt yüklenici personeli ve imza sirkülerinde adı geçen gerçek kişilere ait bilgiler kişisel veri koruması altındadır.
Şirket çalışanları bağımsız birer veri sorumlusu veya veri işleyen olabilir mi?
Şirket çalışanları veri sorumlusunun kendi iç organizasyonu bünyesinde yer aldıklarından bağımsız bir veri sorumlusu veya veri işleyen sıfatını kazanamazlar.
Veri işleyen talimatların dışına çıkarsa hangi hukuki sonuç doğar?
Veri işleyen, veri sorumlusunun talimat ve yetki sınırlarını aşarak verileri kendi adına işlemeye başladığı takdirde, söz konusu kişisel veriler yönünden veri sorumlusu sıfatını kazanır.
İrtibat kişisi veri sorumlusunu hukuken temsil edebilir mi?
İrtibat kişisi veri sorumlusunu hukuken temsile yetkili olmayıp yalnızca Kişisel Verileri Koruma Kurumu ile iletişim ve tebligat süreçlerini koordine etmek gibi örnek görevleri yürütür.
İlgili kişilerin veri sorumlusuna yaptığı başvurular ne kadar sürede sonuçlandırılmalıdır?
Veri sorumlusu, ilgili kişilerin mevzuatın uygulanmasına yönelik başvurularını otuz gün içinde sonuçlandırmakla yükümlüdür.
Veri güvenliği tedbirlerinden veri işleyen de sorumlu mudur?
Kişisel verilerin harici bir veri işleyen tarafından işlendiği hallerde, veri güvenliğini sağlamaya yönelik tedbirlerin alınmasından veri sorumlusu ve veri işleyen müştereken sorumludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy