Kişisel Verilerin Korunması Kanunu Kapsamı ve Uygulanması

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesi sürecinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini güvence altına almayı hedefler. Kanun, verileri işleyen gerçek ve tüzel kişilerin uymakla yükümlü olduğu usul ve esasları belirler. Bu kurallar, kişisel verisi işlenen tüm gerçek kişiler ile verileri otomatik olan ya da bir veri kayıt sisteminin parçası olmak üzere otomatik bulunmayan yöntemlerle işleyen taraflara yöneliktir. Düzenleme kapsamında kamu sektörü ile özel sektör tüzel kişileri arasında herhangi bir ayrım gözetilmez. Bununla birlikte, herhangi bir veri kayıt sisteminin parçası niteliği taşımayan ve otomatik olmayan yollarla gerçekleştirilen veri işleme faaliyetleri Kanun kapsamı dışında kalır; ancak bu durum verilerin kişisel veri vasfını ortadan kaldırmadığından hukuka aykırı fiiller bakımından Türk Ceza Kanunu hükümleri geçerliliğini korur.

Temel Tanımlar ve Veri İşleme İlkeleri

Kanun uygulamasında kişisel veri, kimliği belirli veya belirlenebilir nitelikteki gerçek kişiye ait her türlü bilgiyi ifade eder. Bireyin adı, soyadı, doğum yeri gibi kesin teşhis sağlayan bilgilerin yanı sıra telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport bilgisi, özgeçmiş, resim, ses ve görüntü kayıtları ile parmak izi ve genetik veriler gibi kişiyi dolaylı olarak belirlenebilir kılan bütün veriler bu çerçevede değerlendirilir. Kişisel verisi işlenen gerçek kişi ilgili kişi olarak tanımlanırken; veri işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiler veri sorumlusu sayılır. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle tereddütsüz açıklanan onay iradesidir. Anonim hâle getirme ise verilerin başka kayıtlarla eşleştirilmesi durumunda dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma getirilmesidir; elde kalan veri üzerinden yapılacak bir eşleştirmeyle verinin kime ait olduğu anlaşılabiliyorsa anonimleştirme şartı gerçekleşmiş sayılmaz.

Kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar güdülerek işlenme ilkelerine riayet edilmesi zorunludur. İşlenen verilerin belirlenen amaçla bağlantılı, sınırlı ve ölçülü olması, ayrıca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi gerekir. Bir verinin saklanması için kanuni veya meşru bir sebep kalmaması durumunda veri silinir veya anonim hâle getirilir; gelecekte ortaya çıkabilecek kullanım ihtimallerine dayanılarak kişisel veri saklanamaz.

Kişisel Verilerin İşlenme Şartları

6698 sayılı Kanun m. 5/1 uyarınca kişisel verilerin işlenmesi kural olarak ilgilisinin açık rızasına bağlıdır. Bununla birlikte m. 5/2'de düzenlenen hallerden birinin mevcudiyeti durumunda açık rıza aranmaksızın işlem yapılması mümkündür. Kanunlarda açıkça öngörülmesi, fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için veri işlemenin zorunlu olması bu istisnalar arasındadır. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili bulunması koşuluyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli bulunması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması, verinin bizzat ilgili kişi tarafından alenileştirilmiş bulunması, bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri bakımından işlemenin zorunlu olması hallerinde de açık rıza şartı aranmaz.

Özel Nitelikli Kişisel Veriler ve İşlenme Koşulları

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili bilgileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayılır. Başkalarınca öğrenildiğinde ayrımcılığa ya da hak mağduriyetine yol açma tehlikesi taşıyan bu tür hassas verilerin ilgilinin açık rızası olmaksızın işlenmesi ilke olarak yasaklanmıştır.

Özel nitelikli kişisel verilerin işlenmesinde ilgili kişinin açık rızası bulunabileceği gibi, 6698 sayılı Kanun m. 6/3 kapsamında açık rıza aranmayan haller de düzenlenmiştir. Bu kapsamda kanunlarda açıkça öngörülmesi veya fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan ya da rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması durumlarında açık rıza gerekmez. İlgili kişinin kendisi tarafından alenileştirilmiş veriler bakımından alenileştirme iradesine uygunluk bulunması, bir hakkın tesisi, kullanılması veya korunması için zorunluluk bulunması ile kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kuruluşlarca işlenmesi caizdir. Ayrıca istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için işlemenin zorunlu olması ile siyasi, felsefi, dini veya sendikal amaçla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların tâbi oldukları mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak koşuluyla mevcut veya eski üyelerine, mensuplarına ya da düzenli temasta bulunduğu kişilere yönelik veri işlemesi de istisna kapsamındadır. Bu süreçlerin tamamında Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şarttır.

Verilerin Silinmesi ve Aktarılması Esasları

Hukuka ve diğer kanun hükümlerine uygun olarak işlenmiş kişisel veriler, işlenmesini gerektiren sebeplerin kalkması durumunda resen veya ilgilisinin başvurusu üzerine veri sorumlusunca silinir, yok edilir veya anonim hâle getirilir. Verilerin üçüncü taraflara iletilmesinde temel kural ilgilinin açık rızasının varlığıdır. Ancak 6698 sayılı Kanun m. 5/2'de yer alan işleme şartları ya da yeterli tedbirler alınmak şartıyla m. 6/3'teki hallerden biri mevcutsa açık rıza aranmaksızın yurt içinde aktarım mümkündür. Kişisel verilerin aktarımına ilişkin diğer mevzuat hükümleri geçerliliğini muhafaza eder.

Kişisel verilerin yurt dışına aktarımında Kurulca verilmiş bir yeterlilik kararının bulunmaması halinde; 5. ve 6. maddelerde belirtilen işleme şartlarından birinin varlığı ile ilgili kişinin gideceği ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla, kanunda yer alan uygun güvencelerden birine dayanılması gerekir. Bu güvencelerden standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi mecburidir. Yeterlilik kararı ve uygun güvencelerin sağlanamadığı durumlarda ise arızi nitelikte kalmak üzere; riskler konusunda aydınlatılmış açık rıza, sözleşmenin ifası, üstün nitelikteki kamu yararı veya bir hakkın tesisi gibi istisnai koşulların bulunmasıyla yurt dışına aktarım yapılabilir.

Veri Sorumlusunun Yükümlülükleri ve Veri Güvenliği

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi aydınlatma yükümlülüğü altındadır. Bu kapsamda ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ile hukuki sebebi ve kanundan doğan haklar konusunda bilgi verilir.

Veri sorumlusu, kişisel verilerin hukuka aykırı biçimde işlenmesini engellemek, verilere yetkisiz kişilerin erişmesini önlemek ve güvenli muhafazayı temin etmek maksadıyla gereken her türlü teknik ve idari tedbiri almakla yükümlüdür. İşleme faaliyetinin veri sorumlusu adına bir başkası vasıtasıyla yürütülmesi durumunda, güvenlik tedbirlerinin alınmasından veri sorumlusu veri işleyenle birlikte müştereken sorumludur. Veri sorumluları ile veri işleyen kişilerin görevleri sırasında edindikleri kişisel verilere ilişkin sır saklama borcu görevden ayrıldıktan sonra dahi yürürlüktedir. Verilerin kanuna aykırı yollarla başkalarının eline geçmesi durumunda ise veri sorumlusu derhal durumu ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir; Kurul gerek duyduğunda internet sitesi üzerinden veya uygun yöntemlerle kamuya duyurabilir.

Kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması zorunludur. Ancak işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif ölçütler gözetilerek Kişisel Verileri Koruma Kurulu tarafından sicile kayıt zorunluluğuna istisnalar getirilebilir.

İlgili Kişinin Hakları ve Başvuru Usulü

İlgili kişi veri sorumlusuna başvurarak kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme ile yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme hakkına sahiptir. Verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, kanuni şartlar çerçevesinde silinmesini veya yok edilmesini talep etme, düzeltme ve silme işlemlerinin aktarım yapılan üçüncü kişilere bildirilmesini isteme hakları da mevcuttur. Ayrıca işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme ve verilerin kanuna aykırı işlenmesi sebebiyle zarara uğranması hâlinde zararın giderilmesini talep etme yetkisi kanunla tanınmıştır.

İlgili kişi, taleplerini yazılı olarak veya Kurulun belirlediği yöntemlerle veri sorumlusuna iletir; veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz şekilde karara bağlayarak yazılı veya elektronik ortamda bildirir. Başvurunun reddi, yetersiz bulunması veya süresinde cevap verilmemesi durumunda ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün ve her halükârda başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunma imkânına sahiptir. Kanunun 13. maddesindeki veri sorumlusuna başvuru süreci tamamlanmadan Kurula doğrudan şikâyet yoluna başvurulamaz. Kişilik hakları zarara uğrayan kişilerin genel hükümlere dayanarak tazminat davası açma hakları ise saklıdır.

Kişisel Verileri Koruma Kurulu şikâyet üzerine veya resen inceleme yapabilir. Devlet sırrı niteliğindeki bilgi ve belgeler hariç olmak üzere, veri sorumlusu Kurulun istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır. Şikâyet üzerine yapılan incelemede Kurul şikâyet tarihinden itibaren altmış gün içinde cevap vermezse talep reddedilmiş sayılır. İhlalin varlığının tespiti hâlinde Kurul hukuka aykırılıkların giderilmesine karar vererek tebliğ eder; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir. İnceleme sürecinde telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık şartlarının birlikte gerçekleşmesi durumunda Kurul nihai karardan önce veri işlenmesinin veya yurt dışına aktarımın durdurulmasına karar verebilir.

Yaptırımlar ve Yargı Yolu

Kişisel verilere ilişkin suçlar hakkında Türk Ceza Kanununun 135 ila 140. madde hükümleri tatbik edilir. Kanunun 7. maddesine aykırı hareket ederek verileri silmeyen veya anonim hâle getirmeyen ilgililer Türk Ceza Kanunu m. 138 çerçevesinde cezai yaptırıma uğrar. Türk Ceza Kanunu m. 135 uyarınca kişisel verileri hukuka aykırı şekilde kaydetme fiiline konu bilginin özel nitelikli kişisel veri olması durumunda tayin edilecek ceza yarı oranında artırılır.

Aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin teknik ve idari tedbirlerin alınmaması, Kurulca verilen kararların ifa edilmemesi, Veri Sorumluları Siciline kayıt ve bildirim yapılmaması ile 9. maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünün yerine getirilmemesi kabahat teşkil eder ve idari para cezası yaptırımına bağlanmıştır. 6698 sayılı Kanun m. 18/2 gereğince ilk dört gruptaki kabahatler veri sorumlusu hakkında; 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğüne aykırılık ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Kabahat teşkil eden fiillerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi durumunda ise Kurulun bildirimi üzerine ilgili kamu personeli ve meslek kuruluşu görevlileri hakkında disiplin hükümlerine göre işlem yapılarak neticesi Kurula iletilir. Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

Kanunun Kapsamı Dışındaki Haller ve İstisnalar

Kişisel verilerin üçüncü kişilere aktarılmaması ve veri güvenliği ilkelerine riayet edilmesi şartıyla, gerçek kişiler tarafından tamamen kendi şahsı veya aynı konutta ikamet eden aile fertlerinin faaliyetleri kapsamında işlenmesi Kanun kapsamı dışındadır. Verilerin resmi istatistikle anonimleştirilerek araştırma, planlama ve istatistik gayesiyle işlenmesi de düzenlemeye tâbi değildir. Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik veya kişilik haklarını zedelememek kaydıyla; sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü sınırlarında yürütülen veri işlemeleri Kanun dışı tutulmuştur. Benzer biçimde kanunla görevlendirilen kamu organlarının koruyucu, önleyici ve istihbari çalışmaları ile adli mercilerin soruşturma, kovuşturma, yargılama ve infaz faaliyetleri de Kanunun uygulama alanı dışındadır.

Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla; veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması, ilgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi, yetkili kamu kurum ve kuruluşları ile meslek kuruluşlarınca denetleme, düzenleme veya disiplin görevlerinin yürütülmesi için gerekli olması ile Devletin bütçe, vergi ve mali konulara ilişkin ekonomik çıkarlarının korunması için gerekmesi hâllerinde belirli hükümler uygulanmaz. Bu durumlarda veri sorumlusunun aydınlatma yükümlülüğü, zararın giderilmesini talep etme hakkı hariç olmak üzere ilgili kişinin hakları ve Veri Sorumluları Siciline kayıt yükümlülüğü aranmaz.

Kişisel Verileri Koruma Kurulunun Teşkilat Yapısı

Kişisel Verileri Koruma Kurulu dokuz üyeden oluşur. Kurul üyelerinin beş üyesi Türkiye Büyük Millet Meclisi, dört üyesi ise Cumhurbaşkanı tarafından seçilir. Kurul, kendisine verilen görev ve yetkileri bağımsız olarak yerine getirir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy