Kişisel veriler, kural olarak ilgili kişinin açık rızası bulunmadıkça işlenemez. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. maddesinin ikinci fıkrasında sınırlı olarak sayılan şartlardan biri gerçekleşirse açık rıza aranmayabilir. Özel nitelikli kişisel verilerde ise işleme yasaktır; 6. maddenin üçüncü fıkrasındaki hâllerden biri varsa ve Kurulun belirlediği yeterli önlemler alınmışsa işleme yapılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Yürürlük, amaç ve kimler hakkında uygulanır
6698 sayılı Kanun, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Amaç, veri işlenirken başta özel hayatın gizliliği gelmek üzere temel hak ve özgürlükleri korumak ve veriyi işleyen gerçek ile tüzel kişilerin yükümlülüklerini, uymaları gereken usul ve esaslarla birlikte düzenlemektir.
Kanun, verisi işlenen gerçek kişilere ve bu veriyi tamamen ya da kısmen otomatik yolla işleyen gerçek ve tüzel kişilere uygulanır. Otomatik olmayan işleme de, işlemenin bir veri kayıt sisteminin parçası olması kaydıyla kapsamdadır. Kayıt sistemine bağlı olmaksızın veri işleyenler hakkında Kanun uygulanmaz. Verisi işlenen tarafın gerçek kişi olarak belirlenmesi, verisi işlenen tüzel kişileri kapsam dışında bırakır.
Kişisel veri ve veri sorumlusu
Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ait her türlü bilgidir. Tüzel kişiye ait bilgiler bu tanıma girmez. Bir şirketin ticaret unvanı veya adresi bu nedenle kişisel veri sayılmaz.
Veri sorumlusu, verilerin hangi amaçla ve hangi vasıtalarla işleneceğini belirleyen, veri kayıt sistemini kurmak ve yönetmekten sorumlu gerçek veya tüzel kişidir. Başlıca yükümlülükleri arasında aydınlatma, veri güvenliği, ilgili kişilerin başvurularına cevap verme, Kurul kararlarını yerine getirme, sicile kaydolma ve bildirim yer alır. Teknik ve idari tedbirler, denetim ile verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi de bu yükümlülükler arasında sayılır.
Açık rıza ve rızanın aranmadığı hâller
Kanunun 5. maddesinin birinci fıkrası, kişisel verinin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini belirtir. İkinci fıkra bu kurala kapalı bir istisna listesi getirir. Listelenen şartlardan birinin varlığı, açık rıza alınmadan işlemeyi mümkün kılar.
İlk istisna, işlemenin kanunlarda açıkça öngörülmüş olmasıdır. İkinci istisna, kişinin fiilen rızasını açıklayamaması veya rızasına hukuken geçerlilik tanınmaması durumunda, kendisinin ya da başkasının yaşamının veya beden bütünlüğünün korunması için işlemenin zorunlu olmasıdır. Üçüncü istisna, kurulacak veya ifa edilecek bir sözleşmeyle doğrudan bağlantılı olmak ve sözleşmenin taraflarına ait verilerin işlenmesi gerekli olmak kayıtlarının birlikte bulunmasıdır.
Veri sorumlusunun hukuki bir yükümlülüğünü yerine getirebilmesi için zorunlu olan işleme de açık rıza gerektirmez. İlgili kişinin veriyi kendisinin alenileştirmiş olması ayrı bir şarttır. Bir hakkın kurulması, kullanılması veya korunması işlemi zorunlu kılıyorsa rıza aranmayabilir. Son şartta veri sorumlusunun meşru menfaati için zorunluluk aranır; bunun yanında işlemenin ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi gerekir.
Özel nitelikli kişisel veriler
Kanunun 6. maddesinin birinci fıkrası, bazı verileri özel nitelikli kabul eder. Bunlar arasında ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar ile kılık ve kıyafet yer alır. Dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti, güvenlik tedbirleri, biyometrik ve genetik veriler de aynı gruptadır.
Maddenin ikinci fıkrası, 2 Mart 2024 tarihli ve 7499 sayılı Kanun'un 33. maddesiyle mülga olarak gösterilir. Üçüncü fıkra aynı kanun maddesiyle değiştirilmiş metin olarak düzenlenmiştir. Bu metne göre özel nitelikli kişisel verilerin işlenmesi yasaktır; fıkrada sayılan hâllerden biri varsa işleme mümkündür. 7499 sayılı Kanun'un 33, 34, 35 ve 36. maddeleri, 24 Mart 2016 tarihli ve 6698 sayılı Kanunla ilgilidir ve yerine işlenmiştir.
7499 sayılı CEZA MUHAKEMESİ KANUNU İLE BAZI KANUNLARDA DEĞİŞİKLİK YAPILMASINA DAİR KANUN m. 33Kaynağı aç
İlgili kişinin açık rızası veya kanunda açık bir öngörü bulunması bu hâllerdendir. Rızasını fiilen açıklayamayan ya da rızasına hukuki sonuç bağlanamayan kişinin veya bir başkasının yaşamı ya da beden bütünlüğü tehlike altındaysa ve işleme zorunluysa özel nitelikli veri işlenebilir. Kişinin kendisinin alenileştirdiği veri, ancak alenileştirme iradesine uygun düşüyorsa işlenebilir.
Bir hakkın kurulması, kullanılması veya korunması için zorunluluk da özel nitelikli veri işlemeye imkân verir. Sır saklama yükümlülüğü bulunan kişiler ile yetkili kurum ve kuruluşlar, kamu sağlığını koruma, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı için gerekli olduğunda bu verileri işleyebilir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olma ayrı bir hâldir.
Siyasi, felsefi, dini veya sendikal amaçla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumlar da sınırlı bir çevrede özel nitelikli veri işleyebilir. Mevzuata ve amaçlarına uygunluk, faaliyet alanıyla sınırlı kalma ve veriyi üçüncü kişilere açıklamama şartlarının tamamı aranır. İşleme, mevcut veya eski üye ve mensuplara ya da kuruluşla düzenli teması bulunan kişilere yönelik olmalıdır. Ayrıca her özel nitelikli veri işlemesinde Kurulun belirlediği yeterli önlemler alınmalıdır.
Kanunun uygulanmadığı faaliyetler
Kanunun 28. maddesinin birinci fıkrası, Kanun hükümlerinin hiç uygulanmadığı hâlleri düzenler. Gerçek kişi, veriyi üçüncü kişilere vermemek ve veri güvenliği yükümlülüklerine uymak kaydıyla, yalnızca kendisine veya aynı konutta yaşayan aile fertlerine ilişkin bir faaliyet yürütüyorsa Kanun uygulanmaz.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 28Kaynağı aç
Resmî istatistik ile, anonim hâle getirme yoluyla araştırma, planlama ve istatistik gibi amaçlarla yapılan işlemelerde de Kanun uygulanmaz. Sanat, tarih, edebiyat, bilim veya ifade özgürlüğü kapsamında işleme ancak belirli sınırlar içinde istisna oluşturur. Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik, özel hayatın gizliliği veya kişilik hakları ihlal edilmemeli ve işleme suç oluşturmamalıdır.
Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliği sağlamaya kanunla görevli ve yetkili kamu kurum ve kuruluşlarının önleyici, koruyucu ve istihbari faaliyetleri de kapsam dışındadır. Soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları ya da infaz mercilerince yapılan işleme Kanun uygulanmaz.
Yalnızca bazı maddelerin uygulanmadığı hâller
28. maddenin ikinci fıkrası Kanunun tamamını değil, belirli hükümleri devre dışı bırakır. İşlemenin Kanunun amacına ve temel ilkelerine uygun ve orantılı olması gerekir. Bu kayıtla, aydınlatma yükümlülüğünü düzenleyen 10. madde, zararın giderilmesini isteme hakkı hariç ilgili kişinin haklarını düzenleyen 11. madde ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde uygulanmaz. Zararın giderilmesini talep hakkı bu istisnanın dışında tutulmuştur.
Kısmi istisna, suçun önlenmesi veya suç soruşturması için gerekli işlemeyi kapsar. İlgili kişinin kendisinin alenileştirdiği kişisel verilerin işlenmesi de bu fıkrada yer alır. Kanunun verdiği yetkiye dayanarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarının denetim, düzenleme, disiplin soruşturması veya kovuşturması için gerekli işlemesi de kapsamdadır. Bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarını korumak için gerekli işleme son hâldir.
Şikâyet, tazminat ve ceza sonuçları
Kişisel Verileri Koruma Kurumu, kişisel verilerin korunmasını sağlamak ve gözetmek üzere kurulmuş düzenleyici ve denetleyici bir kurumdur. Kişisel Verileri Koruma Kurulu dokuz üyeden oluşur. Üyelerin beşi Türkiye Büyük Millet Meclisi, dördü Cumhurbaşkanı tarafından seçilir.
Kanunun 14. maddesinin birinci fıkrasına göre ilgili kişi, başvurusu reddedilirse, verilen cevabı yetersiz bulursa veya başvurusuna süresinde cevap verilmezse Kurula şikâyet edebilir. Süre, veri sorumlusunun cevabının öğrenildiği tarihten itibaren otuz gündür. Her hâlde başvuru tarihinden itibaren altmış gün geçmemelidir. Aynı maddenin ikinci fıkrası, 13. maddedeki başvuru yolu tüketilmeden şikâyet yoluna gidilemeyeceğini düzenler.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 14Kaynağı aç
Aydınlatma ve veri güvenliği yükümlülüklerini yerine getirmeyen, Kurul kararlarını uygulamayan veya Veri Sorumluları Siciline kayıt yükümlülüğüne aykırı hareket eden veri sorumluları hakkında para cezaları öngörülmüştür. Kanunun 14. maddesinin üçüncü fıkrasına göre kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır. Kişisel veri ihlali nedeniyle zarara uğrayan kişi, bu zarara ilişkin talebini genel mahkemelerde dava konusu edebilir.
5237 sayılı Türk Ceza Kanunu'nun 136. maddesinin birinci fıkrası, kişisel verileri hukuka aykırı biçimde bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörür. Suçun konusu, Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise verilecek ceza bir kat artırılır.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
Sık sorulan sorular
Kişisel veri açık rıza olmadan işlenebilir mi?
Kural olarak işlenemez. Kanunun 5. maddesinin ikinci fıkrasında sayılan şartlardan biri varsa ilgili kişinin açık rızası aranmaksızın işleme mümkündür.
Tüzel kişinin unvanı kişisel veri midir?
Hayır. Kişisel veri gerçek kişiye ilişkindir. Ticaret unvanı veya adres gibi tüzel kişiliğe ait bilgiler kişisel veri sayılmaz.
Özel nitelikli veri yalnız açık rızayla mı işlenir?
Hayır. İşleme yasaktır; ancak açık rıza dâhil Kanunun 6. maddesinin üçüncü fıkrasında sayılan hâllerden biri bulunmalıdır. Ayrıca Kurulun belirlediği yeterli önlemler alınmalıdır.
Aile içindeki veri işlemede Kanun uygulanır mı?
Veri üçüncü kişilere verilmez ve veri güvenliği yükümlülüklerine uyulursa, gerçek kişinin tamamen kendisine veya aynı konutta yaşayan aile fertlerine ilişkin faaliyeti Kanunun uygulanmadığı hâllerdendir.
Kurula şikâyet için hangi süreler vardır?
Başvuru reddedilirse, cevap yetersiz bulunursa veya süresinde cevap verilmezse şikâyet, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılabilir. 13. maddedeki başvuru yolu önce tüketilmelidir.
Kişisel veriyi hukuka aykırı yaymanın cezası nedir?
Bu suç, kişisel verinin hukuka aykırı şekilde başkasına verilmesi, yayılması veya ele geçirilmesidir. Hapis cezası iki yıldan başlar ve dört yıla kadar çıkar. Suçun konusu Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkralarına göre kayda alınan beyan ve görüntüler ise ceza bir kat artırılır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy