Türkiye'de kişisel verilerin korunmasına ilişkin temel hukuki çerçeve, 2016 yılında yürürlüğe konulan 6698 sayılı Kişisel Verilerin Korunması Kanunu ile çizilmiştir. 7499 sayılı Kanun kapsamında yapılan yasal düzenlemeler sonucunda; özel nitelikli kişisel verilerin işlenme şartları, yurt dışına veri aktarımı usulleri, idari yaptırım mekanizmaları ve uygulanan para cezalarına yönelik itiraz yollarına ilişkin temel kurallar 1 Haziran 2024 tarihi itibarıyla yürürlüğe girmiştir. Gerçekleştirilen bu reformlar, veri sorumlularının mevzuata uyum süreçlerinde ve ticari veri işleme faaliyetlerinde yeni ilke ve yükümlülükler getirmiştir.
Özel Nitelikli Kişisel Verilerin Hukuki Niteliği ve İşlenme Şartları
6698 sayılı Kanun'un 6. maddesinin birinci fıkrasında hassas veriler sınırlı olarak sayılmıştır. Bu çerçevede kişilerin biyometrik ve genetik bilgileri, sağlık durumları, cinsel hayatları, ceza mahkûmiyetleri ve güvenlik tedbirleri ile ırk, etnik köken, siyasi kanaat, felsefi inanç, din, mezhep veya sair inançları, kılık ve kıyafetleri ile dernek, vakıf yahut sendika üyelikleri özel nitelikli kişisel veridir. Kanunun 6. maddesinin üçüncü fıkrası uyarınca bu verilerin işlenmesi kural olarak yasaktır; veri işleme faaliyeti ancak ilgilinin açık rızası ya da maddede gösterilen istisnalardan birinin bulunması halinde mümkündür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
7499 sayılı Kanun değişikliği öncesinde uygulanan sağlık ve cinsel hayata ilişkin veriler ile diğer hassas veriler arasındaki kademeli ikilik yürürlükten kaldırılmıştır. Yeni yasal sistemle birlikte tüm özel nitelikli kişisel veriler ortak bir hukuki işleme zeminine bağlanmış ve meşru veri işleme şartlarının kapsamı genişletilmiştir. Ayrıca 6698 sayılı Kanun'un 6. maddesinin dördüncü fıkrası gereğince, özel nitelikli kişisel verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şarttır.
Açık rıza bulunmayan hallerde özel nitelikli kişisel veriler kanunun 6. maddesinin üçüncü fıkrasında gösterilen yasal sebeplerden birine dayanılarak işlenebilir. Bu kapsamda; kanunlarda açık düzenleme bulunması, fiili imkânsızlık sebebiyle rızasını beyan edemeyecek durumda olan ya da rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya üçüncü bir şahsın yaşamı yahut beden bütünlüğünün muhafazası için zorunluluk arz etmesi hallerinde işleme yapılabilir. Bunun yanında, ilgilinin alenileştirdiği verilere yönelik ve alenileştirme iradesinin sınırlarına uygun bulunması ile bir hakkın tesisi, kullanılması veya korunması amacıyla veri işlemenin zorunlu olması durumları da hukuka uygunluk sebebidir.
Meşru işleme sebeplerinin devamında; sır saklama yükümlülüğü altındaki kişilerce veya yetkili mercilerce kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin icrası ile sağlık hizmetlerinin planlanması ve idaresi amacıyla veri işlenmesi mümkündür. Ayrıca istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki kanuni borçların ifası için işlemenin zorunlu olması hali düzenlenmiştir. Son olarak, siyasi, felsefi, dini veya sendikal amaç güden vakıf, dernek ve benzeri kâr amacı gütmeyen kuruluşların tabi oldukları mevzuata ve kuruluş gayelerine uygun davranmaları, faaliyet sınırlarını aşmamaları ve üçüncü şahıslara aktarmamaları kaydıyla; kendi üyelerine, mensuplarına veya bunlarla düzenli temas halindeki kişilere yönelik veri işleme faaliyetleri de hukuka uygun sayılmıştır.
Kişisel verilerin işlenmesinde açık rıza ile kanunda düzenlenen diğer alternatif sebepler arasında hiyerarşik bir derecelendirme yer almamaktadır. Buna karşın, veri işleme faaliyeti için kanunda yer alan diğer meşru sebeplerden biri mevcutsa, veri sorumlusunun ayrıca açık rızaya başvurmaması gerekir. Şartları mevcut olmasına rağmen her ihtimale binaen rıza alma yoluna gidilmesi, veri sorumlusu yönünden dürüstlük kuralına aykırılık riski teşkil edebilir.
Güncel Uygulamada Doğrulama Kodları ve Veri Minimizasyonu
Mal ve hizmet tedariki süreçlerinde kayıt oluşturma, üyelik açma, ödeme alma veya fatura tanzimi amacıyla ilgili kişilere SMS ile gönderilen doğrulama şifrelerinin gönderiliş amacı açıkça gösterilmelidir. Üyelik sözleşmesine ilişkin kabul, kişisel veri işleme onayı ve ticari elektronik ileti gönderim izni gibi hukuki içerik ve sonuçları tamamen birbirinden farklı işlemlerin, tek bir doğrulama kodu veya eylem üzerinden topluca onaylatılması hukuka aykırılık oluşturur.
Mobil platformlar aracılığıyla gönderilen anlık bildirimlerde de bildirim türlerinin ayrıştırılması esastır. Sipariş adımları, kargo süreci veya hizmetin bizzat ifasıyla doğrudan bağlantılı operasyonel bildirimler ile tanıtım, kampanya ve reklam içerikli iletilerin tek bir genel onay altına sokulması hukuka uygun bulunmamaktadır. Hizmetten faydalanabilmenin reklam ve pazarlama bildirimlerinin onaylanması şartına bağlanması, ilgilinin açık rızasının serbest iradeye dayanması zorunluluğunu zedeler.
Otel ve konaklama işletmelerinin tabi oldukları mevzuat hükümleri çerçevesinde konaklayan müşterilerin kimlik bilgilerini kaydetmeleri hukuken mümkün olmakla birlikte, kimlik belgesinin fotokopisinin alınarak arşivlenmesi veri minimizasyonu ile ölçülülük ilkelerine aykırılık doğurur. Gereğinden çok kişisel veri toplanmasına yol açan bu tür kayıt pratiklerinin kanuni bir dayanağı bulunmamaktadır.
Yurt Dışına Veri Aktarımında Yeni Sistem ve Uygun Güvenceler
6698 sayılı Kanun'un 9. maddesinde yapılan köklü düzenleme ve 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile sınır ötesi veri aktarımı üç aşamalı kademeli bir sisteme oturtulmuştur. Aktarımın temel mekanizması, aktarımın yöneldiği ülke, sektör veya uluslararası kuruluş nezdinde Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunmasıdır. Yeterlilik kararı Kurul tarafından tesis edilerek Resmî Gazete'de yayımlanır ve bu kararlar en geç dört yılda bir yeniden değerlendirilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının mevcut olmadığı hallerde; Kanun'un 5. veya 6. maddesindeki işleme şartlarından birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede haklarını etkili şekilde ileri sürebilme ve kanun yollarına müracaat edebilme olanağının bulunması koşuluyla, taraflarca kanundaki uygun güvencelerden biri sağlanarak aktarım gerçekleştirilebilir. Kanunun 9. maddesinin dördüncü fıkrasında düzenlenen uygun güvence araçları; uluslararası sözleşme niteliğinde olmayan anlaşmalar, bağlayıcı şirket kuralları, standart sözleşmeler veya Kurul tarafından izin verilen taahhütnamelerdir. Tarafların standart sözleşmeye dayanması halinde, sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirim yapılması emredici bir usul kuralıdır.
Yeterlilik kararının bulunmadığı ve uygun güvence mekanizmalarının tesis edilemediği hallerde, veri sorumluları ve veri işleyenler yalnızca arızi olmak kaydıyla kanundaki sınırlı istisnalardan birine dayanarak yurt dışına aktarım yapabilir. Düzenli ve süreklilik arz eden aktarımlarda açık rıza meşru bir genel gerekçe olmaktan çıkarılmış; muhtemel risklerin aktarılması koşuluyla ancak münferit ve arızi aktarımlara hasredilmiş istisnai bir zemin olarak kabul edilmiştir. Ayrıca arızi nitelikteki açık rıza, sözleşmenin ifası ve sözleşme öncesi tedbirler ile üçüncü kişi lehine sözleşme istisnaları, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine teşmil edilemez.
Uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin yahut ilgili kişinin menfaatinin ağır biçimde zarar göreceği hallerde, kişisel verilerin yurt dışına aktarımı ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle gerçekleştirilebilir.
Veri Lokalizasyonu Kuralı ve Sektörel Yükümlülükler
6698 sayılı Kanun sisteminde verilerin mutlak olarak yurt içinde depolanmasını şart koşan genel bir veri lokalizasyonu kuralı yer almamaktadır; kanunun temel amacı verilerin Türkiye'de tutulmasını zorunlu kılmak değil, sınır dışına çıkışını hukuki denetim ve güvencelere bağlamaktır. Buna karşılık; bankacılık, elektronik para ve ödeme hizmetleri, sermaye piyasaları, elektronik haberleşme altyapıları ve stratejik kamu hizmetleri bakımından kendi özel sektörel düzenlemeleri çerçevesinde birincil ve ikincil sistemlerin, log kayıtlarının, yedeklerin veya operasyonel belgelerin yurt içinde bulundurulmasına yönelik özel lokalizasyon zorunlulukları mevcuttur.
Özel nitelikli kişisel verilerin rıza olmadan işlenmesi mümkün müdür?
Evet, 6698 sayılı Kanun m. 6/3 uyarınca kanunlarda açıkça öngörülme, fiili imkânsızlık, alenileştirme iradesine uygunluk, bir hakkın tesisi veya korunması, kamu sağlığı ve tıbbi bakım hizmetleri ile istihdam ve sosyal güvenlik yükümlülükleri gibi kanunda tek tek sayılan şartlardan birinin bulunması halinde açık rıza aranmaksızın işlenebilir.
Yurt dışına sürekli veri aktarımında açık rıza yeterli midir?
Hayır, yürürlükteki aktarım rejiminde açık rıza düzenli ve sürekli veri akışlarının hukuki dayanağı olmaktan çıkarılmıştır; yeterlilik kararı ve uygun güvencelerin sağlanamadığı hallerde riskler bildirilerek yalnızca arızi aktarımlar için istisnai olarak kullanılabilir.
Konaklama tesisleri müşterilerin kimlik fotokopisini saklayabilir mi?
Hayır, konaklama hizmeti sırasında kimlik bilgilerinin yasal yükümlülük gereği kaydedilmesi mümkün olmakla birlikte, kimlik belgesinin fotokopisinin alınarak muhafaza edilmesi ölçülülük ve veri minimizasyonu ilkelerine aykırıdır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy