Kişisel Verilerin Korunması ve Şirketlerin Hukuki Yükümlülükleri

Kişisel Verilerin Korunması Kanununun Amacı ve Kapsamı

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı hedefler. Kanunun getirdiği koruma alanı gerçek kişilere özgülenmiştir; bu nedenle tüzel kişilere ait bilgiler kanuni koruma kapsamının dışındadır. Bununla birlikte kişisel verileri işleyen gerçek kişiler ile kamu hukuku ve özel hukuk tüzel kişileri Kanun hükümlerine tabidir. Çalışanlarının, müşterilerinin veya iş ortaklarının verilerini hangi amaçla ve hangi yöntemle işleyeceğini belirleyen şirketler veri sorumlusu sıfatını taşır ve kanuni yükümlülüklerden sorumludur.

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder ve kanunda sınırlı sayıda sayılmamıştır. Bu kavram yalnızca bireyin kesin teşhisini sağlayan ad, soyad, doğum tarihi veya doğum yeri gibi bilgileri değil; aynı zamanda bireyin belirlenebilir kılınmasını sağlayan fiziki, ailevi, ekonomik ve sosyal özelliklere ilişkin bilgileri de kapsar.

Kişisel Verilerin İşlenmesindeki Temel İlkeler ve Kanuni İstisnalar

Kişisel verilerin işlenmesinde 6698 sayılı Kanunun 4. maddesinde düzenlenen genel ilkelere uyulması zorunludur. Bu çerçevede verilerin hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel tutulması, belirli, açık ve meşru amaçlar için işlenmesi gerekir. Ayrıca işlenen verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi şarttır.

Mevzuat düzenlemesi uyarınca bazı veri işleme faaliyetleri Kanun kapsamı dışında bırakılmıştır. Gerçek kişilerin üçüncü şahıslara aktarmamak ve veri güvenliğini gözetmek suretiyle bizzat kendilerine veya aynı hanede ikamet eden aile bireylerine dönük yürüttükleri işlemler kanuna tabi değildir. Verilerin resmi istatistik yoluyla anonimleştirilerek araştırma, planlama yahut istatistiki incelemeler amacıyla kullanılması da muafiyet tanınan hallerdendir. Kamu güvenliği, kamu düzeni, milli savunma veya ekonomik güvenlik ile kişisel haklar ve özel hayat zedelenmeksizin ve suç oluşturmayacak biçimde sanat, edebiyat, tarih veya bilimsel amaçlar ile ifade hürriyeti doğrultusunda verilerin işlenmesi kapsam dışı tutulmuştur. Bunun yanında kamu güvenliği ve milli savunmanın temini için kanunen görevli idarelerce gerçekleştirilen önleyici ve istihbari nitelikteki çalışmalar ile yargı ve infaz makamlarınca soruşturma, kovuşturma, yargılama ve infaz faaliyetleri kapsamında yapılan veri işlemeleri de Kanun hükümleri haricindedir.

Özel Nitelikli Kişisel Verilerin İşlenme Şartları

Bireylerin ırkı, etnik kökeni, siyasi görüşü, felsefi inancı, din, mezhep veya sair inançları, kılık kıyafeti, dernek, vakıf yahut sendika üyelikleri, sağlık durumları, cinsel hayatları, ceza mahkumiyetleri ve güvenlik tedbiri kayıtları ile biyometrik ve genetik bilgileri özel nitelikli kişisel veri teşkil eder. Kanun koyucu bu tür hassas verilerin işlenmesini esasen yasaklamıştır. İstisnaen bu veriler ilgili şahsın açık rızasıyla işlenebileceği gibi; mevzuatta açık hüküm bulunması, rızasını beyan edemeyecek durumdaki kimsenin hayat ve beden bütünlüğünün muhafazası, ilgilisince alenileştirilen verilere dair alenileştirme iradesine uygunluk, bir hakkın tesisi, kullanılması veya korunması zorunluluğu ile istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki kanuni yükümlülüklerin ifası hallerinde de işlenebilir. Ayrıca kâr amacı gütmeyen siyasi, felsefi, dini veya sendikal kuruluşlar kendi mevzuat ve gayelerine uygun kalarak üçüncü kişilere açıklamamak kaydıyla belirli kişilerin verilerini işleyebilir. Özel nitelikli verilerin işlenmesinde Kişisel Verileri Koruma Kurulunun öngördüğü yeterli önlemlerin alınması mecburi kılınmıştır.

Sağlık ve cinsel hayata dair kişisel veriler açık rıza bulunmadığında yalnızca sır saklama mükellefiyeti altındaki kişiler veya yetkili kuruluşlarca işlenebilir; bu işleme faaliyeti ancak koruyucu hekimlik, kamu sağlığının muhafazası, tıbbi teşhis, tedavi ve bakım süreçlerinin yürütülmesi ile sağlık hizmetleri ve finansmanının idaresi amacıyla yürütülebilir. Sağlık Bakanlığınca yürürlüğe konulan Kişisel Sağlık Verileri Hakkında Yönetmelik hükümleri doğrultusunda söz konusu özel nitelikli sağlık verilerine yönelik daha sıkı güvenlik tedbirlerinin temin edilmesi gerekmektedir.

Veri Sorumlusu Şirketlerin Aydınlatma ve Veri Güvenliği Yükümlülükleri

Veri sorumlusu şirketler, kişisel verilerin elde edilmesi esnasında ilgili kişinin herhangi bir talebi olmaksızın aydınlatma yükümlülüğünü yerine getirmekle yükümlüdür. Bu kapsamda veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile kanunda sayılan diğer haklar konusunda bilgi verilmeli ve bu aydınlatmanın yapıldığı veri sorumlusu tarafından ispatlanmalıdır.

Şirketler, işledikleri kişisel verilere hukuka aykırı erişimleri ve yetkisiz sızıntıları engellemek amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bu sorumluluk kapsamında güvenlik duvarları, şifreleme mekanizmaları, sızma testleri veya log kayıtları gibi teknik vasıtalar ile çalışan eğitimleri, gizlilik sözleşmeleri veya veri işleme politikaları gibi idari süreçlerden elverişli olanlar veri sorumlusunca hayata geçirilebilir.

Veri Sorumluları Siciline Kayıt ve Yurt Dışına Veri Aktarımı Usulü

Kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması zorunludur. Bununla birlikte işlenen verinin niteliği, sayısı, kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler çerçevesinde kayıt zorunluluğuna istisna tanınabilir. Çalışan sayısı veya yıllık mali bilanço gibi kriterleri sağlayan şirketler Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yaptırmak durumundadır. Sicil sistemine bildirilmiş olan bilgilerde meydana gelen değişikliklerin ise derhâl Başkanlığa bildirilmesi kanuni bir zorunluluktur.

Kişisel veriler, kanuni işleme şartlarından biri mevcut olduğunda Kurul tarafından verilmiş bir yeterlilik kararının bulunması halinde veri sorumluları ve veri işleyenlerce yurt dışına aktarılabilir. Yeterlilik kararının bulunmadığı hallerde ise kanuni şartların varlığı ve ilgili kişinin aktarım yapılan ülkede haklarını etkili kanun yollarıyla arayabilmesi koşuluyla uygun güvenceler sağlanmalıdır. Bu güvenceler; Kurul onayından geçmiş bağlayıcı şirket kuralları, taraflarca imzalanan standart sözleşmeler, izinli taahhütnameler veya Kurul iznine tabi uluslararası anlaşma niteliğinde olmayan idari mutabakatlar olabilir. Standart sözleşme vasıtasıyla aktarım sağlandığında bu metnin imzayı izleyen beş iş günü içinde Kişisel Verileri Koruma Kurumuna intikal ettirilmesi gerekmektedir. Yeterlilik kararının ve uygun güvencelerin sağlanamadığı durumlarda ise ancak kanunda sayılan istisnai hallerde ve arızi nitelikte olmak kaydıyla veri aktarımı mümkündür.

İlgili Kişi Başvuruları ve Kurul Denetimi

İlgili kişiler veri sorumlusu şirkete müracaat ederek kişisel verilerinin işlenip işlenmediğini öğrenme veya silinmesini isteme hakkını kullanabilir. Veri sorumlusu şirketlerin söz konusu taleplere gerekçesini açıklayarak en geç otuz gün içinde cevap vermesi kural olarak ücretsizdir; ancak cevabın ayrıca bir maliyet doğurması halinde Kişisel Verileri Koruma Kurulu tarafından tayin edilen tarifedeki ücret talep edilebilir.

Kişisel Verileri Koruma Kurulu tarafından yürütülen incelemelerde, veri sorumlusu devlet sırrı niteliğindekiler hariç olmak üzere istenen bilgi ve belgeleri on beş gün içinde göndermek ve yerinde inceleme yapılmasına imkân sağlamak zorundadır. Şikâyet üzerine Kurulun altmış gün içinde cevap vermemesi durumunda talep zımnen reddedilmiş sayılır ve idari yargıda dava açma süresi işlemeye başlar. İhlalin varlığının tespiti halinde Kurul tarafından verilen hukuka aykırılıkların giderilmesi kararı tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir. Ayrıca Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hallerinde birlikte veri işlenmesinin veya yurt dışına veri aktarılmasının durdurulmasına karar verebilir.

Kişisel Veri İhlallerinde Hukuki ve Cezai Yaptırımlar

Kişisel veri ihlalleri yalnızca idari yaptırımlara yol açmaz; verisi ihlal edilen kişilere uğradıkları maddi ve manevi zararların tazminini talep etme hakkı da tanır.

5237 sayılı Türk Ceza Kanunu kişisel verilere yönelik suç teşkil eden eylemlere muhtelif hapis cezaları bağlamıştır. Kanunun 135. maddesi doğrultusunda hukuka aykırı biçimde kişisel verileri kaydeden failler hakkında bir yıldan üç yıla kadar hapis cezasına hükmolunur; kaydedilen bilgilerin kişilerin siyasi, dini veya felsefi kanaatlerine, ırki kökenlerine, ahlaki eğilimlerine, sendikal üyeliklerine, sağlık verilerine yahut cinsel hayatlarına dair olması durumunda öngörülen ceza yarı oranında artırılır. Aynı Kanunun 136. maddesi çerçevesinde verileri hukuka aykırı olarak başkalarına aktaran, yayan veya ele geçiren failler iki yıldan dört yıla kadar hapis cezasıyla cezalandırılırken; Ceza Muhakemesi Kanununun 236. maddesinin beşinci ve altıncı fıkralarındaki mağdur kayıtlarının suça konu edilmesi halinde ceza bir kat, eylemin kamu görevlisi yetkisiyle veya meslek ve sanat icrasının sağladığı kolaylıktan yararlanılarak işlenmesi durumunda ise yarı oranında artırılmaktadır. Ayrıca Türk Ceza Kanununun 138. maddesi uyarınca yasal imha süresi dolmasına karşın sistemdeki verileri yok etmeyen yükümlüler için bir yıldan iki yıla kadar hapis cezası öngörülmekte; yok edilmesi gereken verinin ceza muhakemesi hükümleri kapsamına girmesi halinde ceza bir kat artırılarak uygulanmaktadır.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy