Kişisel Verilerin Korunması Kanunu Kapsamı ve Esasları

24 Mart 2016 tarihinde Türkiye Büyük Millet Meclisi Genel Kurulunda kabul edilen 6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.

Kanunun temel gayesi; kişisel veriler işlenirken başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini güvenceye almak, verileri işleyen gerçek veya tüzel kişilerin uymakla yükümlü olduğu usul ve esasları düzenlemektir.

Kişisel Veri ve Veri İşleme Faaliyeti

6698 sayılı Kanun çerçevesinde kişisel veri, kimliği belirli ya da belirlenebilir nitelikteki bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.

Veri işleme kavramı ise kişisel veriler üzerinde yürütülen teknik ve operasyonel süreçleri kapsar. Bilgilerin tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi veri işleme faaliyeti sayılır.

Kişisel Verilerin İşlenme Şartları ve Silinmesi

Kişisel verilerin işlenmesinde temel kural ilgili kişinin açık rızasının bulunmasıdır. Bununla birlikte kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, verinin bizzat ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hâllerinde açık rıza aranmaksızın işleme yapılabilir.

Kanuni düzenlemelere uygun şekilde işlenmiş olmasına rağmen, verilerin işlenmesini gerektiren sebeplerin ortadan kalktığı hâllerde söz konusu kişisel veriler, ilgilisinin başvurusu üzerine veya veri sorumlusu tarafından kendiliğinden silinir, yok edilir ya da anonim hâle getirilir.

Özel Nitelikli Kişisel Veriler ve İşlenme Esasları

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya sair inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyelikleri, sağlık durumu, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili bilgileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri kabul edilir.

Özel nitelikli kişisel verilerin işlenmesi kanun gereğince yasaktır. Bu veriler ancak kanunda sayılan istisnai hâllerden birinin varlığı hâlinde işlenebilir. Bu kapsamda ilgili kişinin açık rızasının bulunması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, verilerin ilgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması veya bir hakkın tesisi, kullanılması ya da korunması için veri işlemenin zorunlu bulunması durumunda işleme yapılabilir. Ayrıca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca işleme gerçekleştirilebilir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan hâllerde de bu veriler işlenebilir. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumlar ise tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı kalmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine, mensuplarına ya da düzenli temasta oldukları kişilere yönelik verileri işleyebilir. Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması zorunludur.

Aydınlatma Yükümlülüğü ve İlgili Kişinin Hakları

Kişisel verilerin elde edilmesi esnasında veri sorumlusu veya onun yetkilendirdiği kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kanuni başvuru hakları hususlarında ilgili kişilere bilgi vermekle yükümlüdür.

Her ilgili kişi veri sorumlusuna başvurarak kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme ile yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü tarafları bilme hakkına sahiptir. Bunun yanında eksik ya da yanlış işlenmiş verilerin düzeltilmesini, yasal koşullar çerçevesinde verilerin silinmesini veya yok edilmesini, yapılan bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini, münhasıran otomatik sistemlerle yapılan analizler neticesinde kişinin kendisi aleyhine bir sonucun doğmasına itiraz etmeyi ve kanuna aykırı işleme sebebiyle zarara uğranması hâlinde zararın giderilmesini talep etme yetkisi bulunmaktadır.

Başvuru Usulü ve Kurula Şikâyet Yolu

İlgili kişi Kanunun uygulanmasına ilişkin taleplerini yazılı olarak veya Kişisel Verileri Koruma Kurulunun belirleyeceği yöntemlerle veri sorumlusuna iletir. Veri sorumlusu kendisine yöneltilen talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Taleplerin sonuçlandırılması kural olarak ücretsizdir; ancak işlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir.

İlgili kişi, veri sorumlusuna yönelttiği talebin reddedilmesi, verilen cevabın yetersiz kalması veya kanuni müddet içinde yanıt verilmemesi hâllerinde Kişisel Verileri Koruma Kuruluna başvurabilir. Bu şikâyet, veri sorumlusunun verdiği cevabın öğrenilmesinden itibaren otuz gün ve her ihtimalde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Kanunun 13 üncü maddesi uyarınca veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyette bulunulamaz. Kişilik hakları ihlale uğrayan kişilerin genel hükümlere göre tazminat talep etme hakkı saklıdır.

İdari Para Cezaları ve Yargı Yolu

Kanuni yükümlülüklere aykırılık hâlinde idari yaptırımlar tatbik edilir. Aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine dair yükümlülüklere aykırı davranılması, Kurul tarafından verilen kararların ifa edilmemesi ve Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne uyulmaması durumlarında öngörülen idari para cezaları veri sorumlusu hakkında uygulanır. Yurt dışına veri aktarımındaki bildirim yükümlülüğünün ihlali hâlinde ise ceza, veri sorumlusunun yanı sıra veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında da verilebilir.

Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Kabahat oluşturan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde ise Kurulun bildirimi üzerine ilgili kamu personeli ve meslek kuruluşu çalışanları hakkında disiplin hükümleri işletilir ve varılan netice Kurula bildirilir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy