Bilişim Hukuku ve Kişisel Verilerin Korunması Alanlarının Kapsamı
Bilişim hukuku; internet, yazılım altyapıları, dijital platformlar, siber güvenlik, elektronik ticaret, sosyal medya mecraları, yapay zekâ sistemleri, dijital deliller ve bilişim suçları gibi alanları kapsar. Kişisel verilerin korunması hukuku ise söz konusu dijital ortamlarda işlenen verilerin hangi şartlar dairesinde toplanabileceğini, saklanabileceğini, aktarılabileceğini ve korunacağını düzenler.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel amacı; kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve bu verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemektir. 6698 sayılı Kanun hükümleri; verileri işlenen gerçek kişiler ile bu verileri otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak üzere otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.
Kişisel Veri Kavramı ve Temel İşleme İlkeleri
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye dair her türlü bilgiyi ifade eder. Bir bilginin kişisel veri niteliği kazanması için mutlaka kişinin ad ve soyadını içermesi aranmaz; bireyi doğrudan veya dolaylı biçimde belirlenebilir kılan her türlü bilgi kişisel veri niteliği taşıyabilir.
Kişisel verilerin işlenmesinde uyulması zorunlu olan temel ilkeler; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme şartlarını kapsar. Ayrıca verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi kanuni zorunluluktur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 4Kaynağı aç
Teknik ve İdari Veri Güvenliği Yükümlülükleri ile Denetim
6698 sayılı Kanun'un 12. maddesinin birinci fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını temin etmek amacıyla uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda, gerekli güvenlik önlemlerinin alınması hususunda veri sorumlusu bu kişilerle müştereken sorumludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; bu yükümlülük görevden ayrılmalarından sonra da devam eder.
İşlenen verilerin kanuni olmayan yollarla üçüncü kişiler tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir; Kurul gerekmesi durumunda bu ihlali internet sitesinde veya uygun göreceği sair yöntemle ilan edebilir. Kurul uygulamasında, veri ihlalinin öğrenilmesinden itibaren Kurula yapılacak bildirimin gecikmeksizin ve en geç 72 saat içinde yapılması gerektiği kabul edilmektedir.
Çerez Uygulamaları ve Yurt Dışı Veri Aktarımı Rejimi
Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi; çerezler vasıtasıyla kişisel veri işlenmesi süreçlerini düzenlemekte, kişisel veri işleme faaliyeti içermeyen çerezleri ise kapsam dışında bırakmaktadır. Rehberde yer alan ilkeler masaüstü ve mobil internet sitelerinin yanı sıra web uygulamaları bakımından da geçerlilik taşır.
6698 sayılı Kanun'un 9. maddesi gereğince kişisel veriler, kanuni işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararının bulunması durumunda yurt dışına aktarılabilir. Kurul tarafından verilen ve Resmî Gazete'de yayımlanan yeterlilik kararı en geç dört yılda bir değerlendirilir; değerlendirme sonucunda veya gerek görülen diğer hâllerde ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir ya da kaldırılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının bulunmaması durumunda yurt dışı aktarımı; kanuni işleme şartlarından birinin varlığı, ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla bağlayıcı şirket kuralları veya standart sözleşme gibi uygun güvencelerden birinin sağlanması hâlinde mümkündür. 7499 sayılı Kanun değişikliği ile 1 Haziran 2024 tarihinde yürürlüğe giren bu güvenceler arasında standart sözleşmeye dayanılması hâlinde, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.
Yeterlilik kararı ve uygun güvencelerin bulunmadığı durumlarda veri sorumluları ile veri işleyenler, arızi olmak kaydıyla yalnızca kanunda tahdidi olarak sayılan istisnai hâllerden birinin mevcudiyetinde yurt dışına veri aktarabilir. Bununla birlikte uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği durumlarda veriler ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.
Türk Ceza Kanunu Kapsamındaki Gizlilik ve Veri Suçları
5237 sayılı Türk Ceza Kanunu'nun 134. maddesinin birinci fıkrasına göre, bir kimsenin özel hayatının gizliliğini ihlal eden faile bir yıldan üç yıla kadar hapis cezası uygulanır. Bu ihlalin görüntü veya ses kaydı alınarak gerçekleştirilmesi durumunda hükmedilecek ceza bir kat artırılmaktadır. Kişilerin özel yaşamına dair ses ya da görüntü kayıtlarının hukuka aykırı şekilde ifşa edilmesi hâlinde ise iki yıldan beş yıla kadar hapis cezası öngörülmüş olup söz konusu kayıtların basın ve yayın araçlarıyla kamuoyuna duyurulması durumunda da fail hakkında aynı ceza tayin edilir.
5237 sayılı TÜRK CEZA KANUNU m. 134Kaynağı aç
Kişisel verilerin hukuka aykırı biçimde kayıt altına alınması fiili, 5237 sayılı Türk Ceza Kanunu'nun 135. maddesinin birinci fıkrası kapsamında bir yıldan üç yıla kadar hapis cezası ile karşılanır. Söz konusu kayıt işleminin bireylerin siyasi, felsefi ya da dini inançlarına, ırki kökenlerine veya hukuka aykırı şekilde ahlaki eğilimlerine, cinsel hayatlarına, sağlık durumları ile sendikal üyeliklerine yönelmesi hâlinde, kanunun ikinci fıkrası uyarınca faile uygulanacak ceza yarı oranında artırılmaktadır.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kimse, Türk Ceza Kanunu'nun 136. maddesinin birinci fıkrası doğrultusunda iki yıldan dört yıla kadar hapis cezası ile yaptırıma bağlanır. Fiilin konusunun Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları gereğince kayda alınan beyan ve görüntüler olması hâlinde ceza bir kat artırılarak uygulanır.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
Veri ihlali durumunda bildirim kime ve ne kadar sürede yapılır?
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür; Kurul uygulamasında Kurula yapılacak bildirimin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde gerçekleştirilmesi kabul edilmektedir.
Web sitelerindeki tüm çerezler kişisel veri koruma kurallarına tabi midir?
Çerez Uygulamaları Hakkında Rehber yalnızca çerezler vasıtasıyla kişisel veri işlenen süreçleri kapsamakta olup kişisel veri işlenmesinde kullanılmayan çerezleri kapsam dışında bırakmaktadır.
Hukuka aykırı kişisel veri kaydetme fiilinin cezası nedir?
Hukuka aykırı şekilde kişisel verileri kaydeden kimseye Türk Ceza Kanunu'nun 135. maddesi uyarınca bir yıldan üç yıla kadar hapis cezası verilir; verinin siyasi, felsefi veya dini görüşe, ırki kökene ya da hukuka aykırı olarak ahlaki eğilime, cinsel yaşama, sağlık durumuna veya sendikal bağlantıya ilişkin olması hâlinde ceza yarı oranında artırılır.
Yurt dışına veri aktarımında kullanılan standart sözleşmeler ne zaman bildirilir?
Standart sözleşmeler, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy