Kişisel Verilerin İşlenme Şartları
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5 ve 6. maddeleri, kişisel verilerin hangi hukuki sebeplere dayanılarak işlenebileceğini düzenler. Açık rıza bu sebeplerin başında gelir; ancak belirli koşulların varlığı halinde açık rıza aranmaksızın da veri işlenmesi mümkündür. Bu koşullar şunlardır: kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayan ya da rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması ya da ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait verilerin işlenmesinin gerekmesi; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; verinin ilgili kişi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ile temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat için veri işlenmesinin zorunlu bulunması.
Kişisel Verilerin Saklanması ve İmha Usulü
Kişisel veriler, tabi olunan mevzuatta öngörülen saklama süresi kadar, böyle bir süre belirlenmemişse işlendikleri amaç için gerekli olan süre boyunca saklanır. Saklama süresinin ya da işleme amacının sona ermesiyle birlikte kişisel veriler mevzuata uygun biçimde silinir, yok edilir veya anonim hale getirilir.
Yurt Dışına Veri Aktarımında Temel Kural: Yeterlilik Kararı
6698 sayılı Kanun'un 9. maddesinin 1. fıkrası uyarınca kişisel veriler, Kanun'un 5 ve 6. maddelerindeki işleme şartlarından birinin varlığı ve aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması halinde yurt dışına aktarılabilir. Yeterlilik kararı Kurul tarafından verilir ve Resmî Gazete'de yayımlanır; en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir ya da kaldırabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik Kararı Yokken Uygun Güvencelerle Aktarım
Yeterlilik kararının bulunmaması durumunda veri aktarımı, Kanun'un 9. maddesinin 4. fıkrası çerçevesinde belirli koşulların bir arada sağlanmasına bağlıdır. Bu koşullar şunlardır: Kanun'un 5 ve 6. maddelerindeki işleme şartlarından birinin mevcut olması ve ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ile etkili kanun yollarına başvurma imkânının bulunması. Bu iki ön koşula ek olarak aşağıdaki uygun güvencelerden birinin sağlanması da zorunludur: yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul izni; Kurul tarafından onaylanan bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşmenin imzalanarak beş iş günü içinde Kuruma bildirilmesi; ya da yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütname ile Kurul izni. Birinci seçenek yalnızca kamu kurumları veya uluslararası kuruluşlar arasındaki aktarımlara özgüdür; özel kişiler arası aktarımlarda bu yol uygulanmaz.
Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara yapılan aktarımlar bakımından da Kanun'daki güvenceler geçerliliğini korur ve 9. madde hükümleri uygulanır.
Yeterlilik Kararı ve Güvence Yokken İstisnai Arızi Aktarım
Yeterlilik kararının bulunmadığı ve 4. fıkrada sayılan uygun güvencelerden hiçbirinin sağlanamadığı durumlarda veri aktarımı kural olarak yapılamaz. Kanun'un 9. maddesinin 6. fıkrası, bu durumda yalnızca arızi nitelikte olmak kaydıyla sınırlı hallerde aktarıma izin vermektedir. Bu istisnai haller şunlardır: muhtemel riskler konusunda bilgilendirilerek ilgili kişinin açık rıza vermesi; ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya sözleşme öncesi tedbirlerin alınması için zorunluluk; ilgili kişi yararına başka bir sözleşmenin kurulması veya ifası için zorunluluk; üstün kamu yararı için zorunluluk; bir hakkın tesisi, kullanılması veya korunması için zorunluluk; fiili imkânsızlık nedeniyle rızasını açıklayamayan kişinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunluluk; kamuya açık sicilden, meşru menfaat sahibinin talebi ve mevzuat şartlarının sağlanması. Bu fıkra kapsamındaki aktarımlar arızi nitelik taşımak zorundadır; sürekli ya da sistematik aktarım bu hükme dayandırılamaz.
6. fıkranın açık rıza, sözleşmenin ifası ve ilgili kişi yararına sözleşme hallerine ilişkin bentleri kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.
İlgili Kişinin Kanuni Hakları
6698 sayılı Kanun'un 11. maddesi uyarınca herkes veri sorumlusuna başvurarak şu haklara sahiptir: kişisel verilerinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme; verilerin işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme; eksik ya da yanlış işlenmiş verilerin düzeltilmesini isteme; Kanun'un 7. maddesinde öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini talep etme; bu kapsamdaki işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; işlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme; verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğranması halinde bu zararın giderilmesini talep etme.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 11Kaynağı aç
Açık rıza olmadan kişisel veri işlenebilir mi?
Evet, 6698 sayılı Kanun'un 5 ve 6. maddelerinde sayılan şartlardan birinin bulunması halinde açık rıza aranmaksızın da kişisel veri işlenebilir. Bu şartlar arasında kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin kurulması veya ifasıyla doğrudan ilgililik, hukuki yükümlülüğün yerine getirilmesi, alenileştirme, bir hakkın korunması veya meşru menfaat için zorunluluk yer almaktadır.
Saklama süresi sona eren kişisel verilere ne yapılır?
Mevzuatta öngörülen saklama süresinin ya da işleme amacının sona ermesiyle kişisel veriler mevzuata uygun biçimde silinir, yok edilir veya anonim hale getirilir.
Yurt dışına veri aktarımı için hangi güvenceler gerekir?
Öncelikle Kurul tarafından verilmiş bir yeterlilik kararı aranır. Bu kararın bulunmaması halinde Kanun'daki işleme şartlarından birinin varlığı ve ilgili kişinin hedef ülkede hak arama imkânının bulunması zorunludur. Buna ek olarak dört güvence seçeneğinden biri sağlanmalıdır: kamu kurumları veya uluslararası kuruluşlar arasında yapılan ve uluslararası sözleşme niteliği taşımayan anlaşma ile Kurul izni; Kurul onaylı bağlayıcı şirket kuralları; Kurul tarafından ilan edilen standart sözleşme; ya da yeterli korumayı sağlayan yazılı taahhütname ve Kurul izni. Birinci seçenek yalnızca kamu kurumları ve uluslararası kuruluşlar arasındaki aktarımlarda geçerlidir.
Standart sözleşme imzalandıktan sonra bildirim zorunlu mu?
Evet, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi Kanun'un 9. maddesiyle zorunlu kılınmıştır.
Hiçbir güvence sağlanamamışsa yurt dışına veri gönderilebilir mi?
Yeterlilik kararı ve uygun güvencelerden hiçbirinin bulunmaması halinde kişisel veriler yurt dışına ancak arızi nitelikte ve Kanun'un 9. maddesinin 6. fıkrasında sınırlı olarak sayılan istisnai hallerde aktarılabilir. Sürekli veya sistematik aktarım bu hükme dayandırılamaz.
Kişisel verilerimin yanlış işlendiğini düşünürsem ne yapabilirim?
6698 sayılı Kanun'un 11. maddesi uyarınca verilerin düzeltilmesini, mevzuat şartları çerçevesinde silinmesini veya yok edilmesini isteyebilirsiniz; ayrıca bu işlemlerin verinizin aktarıldığı üçüncü kişilere bildirilmesini talep etme hakkınız mevcuttur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy