Kişisel Verilerin Korunması ve KVKK Uyum Süreci

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bu veriler, kural olarak ilgili kişinin açık rızası bulunmadan işlenemez. Açık rıza; belirli bir konuya ilişkin olan, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanunda ayrıca sayılan şartlardan biri gerçekleşmişse işleme, açık rıza aranmaksızın da yapılabilir.

Kişisel veri hangi bilgiyi kapsar

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3. maddesi kişisel veriyi, kimliği belirli ya da belirlenebilir gerçek kişiye ait her türlü bilgi olarak tanımlar. İlgili kişi, kişisel verisi işlenen gerçek kişidir. Tanım belirli bir bilgi türüyle sınırlı bir katalog kurmaz; kişinin kimliğinin belirlenmesi veya belirlenebilir olması ile bağlantı aranır.

Kişiyi belirlenebilir kılan bilgiler arasında ad ve soyadı gibi kimlik bilgileri, parmak izi, göz rengi, banka hesabı, cinsel tercih, kişiye ait e-posta adresi ve telefon numarası örnek gösterilebilir. Bu örnekler tanımın bütünü değildir. Başka bir bilginin kişisel veri olup olmadığı, gerçek kişiyle kurulabilecek bağlantıya göre değerlendirilir.

Anonim hâle getirme, verinin başka verilerle eşleştirilmesi hâlinde bile belirli veya belirlenebilir bir gerçek kişiyle hiçbir biçimde ilişkilendirilememesini ifade eder. Kanundaki tanım bu sonucu arar. Anonimleştirmenin hangi teknikle yapılacağı bu tanımda ayrıca gösterilmez.

Veri işleme hangi işlemleri kapsar

Kişisel verilerin işlenmesi, veriler üzerinde yapılan her türlü işlemdir. Kanunun 3. maddesi hem tamamen veya kısmen otomatik yolları hem de bir veri kayıt sisteminin parçası olmak şartıyla otomatik olmayan yolları kapsar. Elde etme, kaydetme, depolama ve muhafaza bu kapsamdadır. Değiştirme, yeniden düzenleme, açıklama, aktarma, devralma, elde edilebilir kılma, sınıflandırma ve kullanılmasını engelleme de örnek olarak sayılır. Sayım örnek niteliğindedir.

Veri kayıt sistemi, kişisel verilerin belirli ölçütlere göre yapılandırılarak işlendiği kayıt sistemidir. Otomatik olmayan bir faaliyetin işleme tanımına girmesi, bu sistemin parçası olma şartına bağlıdır. İşleme bütünüyle yasak değildir; Kanundaki usul ve şartlara tabidir.

Veri sorumlusu ile veri işleyen

Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.

Veri sorumlusu, sözleşmeyle veri işleyene çeşitli belirleme yetkileri verebilir. Bu yetki; verilerin hangi bilgi teknolojisi sistemi veya başka yöntemle toplanacağını, nasıl saklanacağını ve korunması için hangi güvenlik önlemlerinin alınacağını kapsayabilir. Aktarımın yöntemi, saklama sürelerinin uygulanmasında kullanılacak metot ile silme, yok etme ve anonim hâle getirme yöntemlerinin belirlenmesi de bu kapsamda sayılır. Bu sayım, Kanunda çizilmiş bir yetki sınırı değil, sözleşmede kararlaştırılabilecek hususların örneğidir. Silme, yok etme veya anonim hâle getirmenin hangi şartlarda zorunlu olacağı burada ayrıca düzenlenmiş değildir.

Açık rıza ve rızanın aranmadığı hâller

Kanunun 5. maddesinin birinci fıkrasına göre kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez. Aynı maddenin ikinci fıkrası, aşağıda belirtilen şartlardan birinin varlığında açık rıza aranmadan işlemeyi mümkün kılar. Her şart, kendi metnindeki sınırlar içinde uygulanır.

Birinci şart, kanunlarda açıkça öngörülmüş olmadır. İkinci şart, fiilî imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü korumak için işlemenin zorunlu olmasıdır. Üçüncü şart, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak ve işlemenin gerekli bulunması kaydıyla, sözleşmenin taraflarına ait verilerin işlenmesidir.

Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluluk da ayrı bir şarttır. İlgili kişinin veriyi kendisinin alenileştirmiş olması başka bir şarttır. Bir hakkın kurulması, kullanılması veya korunması için işlemenin zorunlu olması da bu fıkrada yer alır. Son şart, ilgili kişinin temel hak ve özgürlüklerine zarar verilmemesi kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olmasıdır. Bu son şartta zarar vermeme kaydı ile zorunluluk birlikte aranır.

Özel nitelikli kişisel veriler

Kanunun 6. maddesinin birinci fıkrası özel nitelikli kişisel verileri sayar. Bunlar arasında ırk ve etnik köken; siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar ile kılık ve kıyafet bulunur. Dernek, vakıf veya sendika üyeliği de bu kapsamdadır. Sağlık ve cinsel hayata ilişkin veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine dair veriler ile biyometrik ve genetik veriler aynı fıkrada özel nitelikli veri olarak gösterilir.

Aynı maddenin ikinci fıkrası, 2/3/2024 tarihli ve 7499 sayılı Kanunun 33. maddesiyle mülga edilmiştir. Değişik üçüncü fıkra, özel nitelikli kişisel verilerin işlenmesini yasaklar. İşleme ancak bu fıkrada sayılan hâllerden biri varsa mümkündür. Sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler, bu değişik metinde ayrı bir genel yasak düzenine bölünerek ele alınmamıştır.

İşlemeyi mümkün kılan hâllerden biri ilgili kişinin açık rızasıdır. Kanunlarda açıkça öngörülme de bu hâllerdendir. Fiilî imkânsızlık yüzünden rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da başkasının hayatını veya beden bütünlüğünü korumak için zorunluluk başka bir hâldir. İlgili kişinin alenileştirdiği veriye ilişkin olmak ve alenileştirme iradesine uygun bulunmak da aranan hâllerdendir. Bir hakkın tesisi, kullanılması veya korunması için zorunluluk aynı fıkrada yer alır.

Sır saklamakla yükümlü kişiler ile yetkili kurum ve kuruluşlar, işlemenin gerekli olması koşuluyla özel nitelikli veri işleyebilir. Gereklilik; kamu sağlığının korunmasına, koruyucu hekimliğe, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesine ya da sağlık hizmetlerinin planlanması, yönetimi ve finansmanına yönelik olmalıdır. Ayrı bir hâl de istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ile sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olmaktır.

Siyasi, felsefi, dini veya sendikal amaçla kurulmuş vakıf, dernek ve kâr amacı gütmeyen diğer kuruluş ya da oluşumlar bakımından da özel nitelikli veri işlenebilir. Bunun için kuruluşun bağlı olduğu mevzuata ve kendi amacına uygun davranması, faaliyet alanını aşmaması ve veriyi üçüncü kişilere açıklamaması birlikte gerekir. İşleme; hâlen ya da eskiden üye veya mensup olanlara veyahut kuruluşla düzenli biçimde temas kuran kişilere yönelmiş olmalıdır.

Özel nitelikli kişisel veriler işlenirken ayrıca Kurul tarafından belirlenen yeterli önlemler alınır. Bu önlemlerin içeriği anılan fıkrada tek tek sıralanmaz.

İşlemede gözetilecek yükümlülükler

Veri sorumlusunun hukuka ve dürüstlük kuralına uygun bir işleme süreci yürütmesi gerekir. İşlemenin doğru ve güncel olması, verilerin belirli ve somut bir amaç için kullanılması da bu çerçevede yer alır. Veriler, işlendikleri belirli amaca bağlılık içinde, o amacın çizdiği sınırlar dâhilinde ve ölçülü biçimde işlenmelidir.

Veri sahibine gerekli aydınlatmanın yapılmış olması ve ilgililerin haklarını kullanabilmesi için kurum içi mekanizmaların kurulup işletilmesi de belirtilen yükümlülükler arasındadır. Aydınlatmanın hangi unsurları taşıyacağı bu çerçevede ayrıca sayılmaz.

Veri sorumlusu, öğrendiği kişisel verileri ilgili mevzuata aykırı olarak başkasına açıklamamalı ve bu verileri işleme amacı dışında kullanmamalıdır.

İlgili kişinin veri sorumlusuna karşı hakları

Kanunun 11. maddesine göre herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel verilerin işlenip işlenmediğini öğrenebilir. Veriler işlenmişse buna ilişkin bilgi talep edebilir. Kişi, işleme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını da öğrenebilir. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme hakkı aynı maddede yer alır.

Veriler eksik veya yanlış işlenmişse düzeltilmeleri istenebilir. Kanunun 7. maddesinde öngörülen şartlar çerçevesinde silme veya yok etme ile bu işlemlerin, verilerin aktarıldığı üçüncü kişilere bildirilmesinin istenmesi de 11. maddede sayılan haklardandır. 7. maddedeki şartların içeriği bu hak tanımında ayrıca açılmaz.

İlgili kişi, işlenen verilerin yalnızca otomatik sistemler aracılığıyla analiz edilmesi sonucunda kendisi aleyhine bir sonuç doğmasına itiraz edebilir. Bu hak, otomatik sistemle yapılan analize ve aleyhe bir sonucun ortaya çıkmasına bağlıdır.

Veri sorumlusuna başvuru

Kanunun 13. maddesine göre ilgili kişi, Kanunun uygulanmasına ilişkin taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Kurulun belirleyeceği diğer yöntemler bu hükümde liste hâlinde gösterilmez.

Veri sorumlusu, başvurudaki talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Süre, talebin niteliğine göre daha kısa olabilir; üst sınır otuz gündür.

Veri sorumlusu talebi kabul eder ya da gerekçesini açıklayarak reddeder. Cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Talep kabul edilmişse gereği veri sorumlusunca yerine getirilir. Hüküm, reddi ayrıca bir tür adıyla nitelendirmez.

Sık sorulan sorular

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy