İnternet siteleri üzerinden yürütülen çevrim içi işlemlerde kişisel verilerin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümlerine tabidir. Kanun, kişisel verileri otomatik olan veya bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişilere uygulanır.
İnternet sitelerinde kullanıcılarla temas eden süreçlerde işlenen kişisel veriler temel iletişim bilgilerinin ötesine geçebilir. Bu doğrultuda IP adresleri, kullanıcı hareketleri, cihaz ve konum verileri, çerezler, form kayıtları veya canlı destek yazışmaları gibi dijital unsurlar da belirli ya da belirlenebilir bir gerçek kişiye işaret ettiği ölçüde Kanun kapsamında kişisel veri olarak nitelendirilir.
Veri Sorumlusu ve Veri İşleyen Sıfatlarının Belirlenmesi
Veri sorumlusu ve veri işleyen ayrımı taraflar arasındaki sözleşmede yazılı unvana göre değil, somut olaydaki fiili duruma göre yapılır. Verinin işlenme amacını belirleyen ve veri üzerinde karar yetkisine sahip olan kişi veya kurum veri sorumlusu kabul edilir. Hosting firması, yazılım geliştirici, ajans, CRM sağlayıcısı, e-posta pazarlama platformu, ödeme altyapısı sağlayıcısı veya canlı destek yazılımı sunan şirketler ise somut duruma göre veri işleyen olabilir.
Aydınlatma Yükümlülüğü ve Açık Rıza Esasları
İnternet sitelerinde veri sorumlusunun yerine getirmesi gereken aydınlatma yükümlülüğü, ilgili kişinin talebine veya onayına bağlı bir işlem değildir. Aydınlatma metinlerinde veri işleme amacı ile hukuki sebebin birbirinden ayrı unsurlar olarak gösterilmesi gerekir. Hukuki sebep kavramı genel nitelikli gerekçeleri değil; 6698 sayılı Kanun'un 5. ve 6. maddelerinde açıkça düzenlenen kişisel veri ve özel nitelikli kişisel veri işleme şartlarından hangisine dayanıldığını ifade eder.
Kişisel veriler, 6698 sayılı Kanun'un 5. maddesinin 1. fıkrası uyarınca kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde açık rıza aranmaksızın kişisel verilerin işlenmesi mümkündür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerekmektedir. Kullanıcılara sunulan açık rıza onay kutucuklarının önceden işaretli şekilde hazırlanmaması ve ilgilinin kendi aktif iradi davranışı ile onay vermesini temin edecek tasarımların kullanılması esastır.
Özel Nitelikli Kişisel Verilerin İşlenme Şartları
6698 sayılı Kanun'un 6. maddesi uyarınca; ırk, etnik köken, siyasi kanaat, felsefi inanç, din, mezhep ve diğer inançlar, kılık kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ile güvenlik tedbirlerine dair veriler ve biyometrik ile genetik veriler özel nitelikli kişisel veri sayılır. Bu nitelikteki kişisel verilerin işlenmesi kanunen kural olarak yasaktır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Özel nitelikli kişisel veriler ancak ilgili kişinin açık rızası bulunması halinde ya da kanunda sınırlı şekilde sayılan istisnai şartlardan birinin mevcudiyeti durumunda işlenebilir. Ayrıca bu verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması kanunen zorunludur.
İnternet Sitelerinde Çerez Yönetimi
İnternet sitelerinde teknik işleyiş için zorunlu olan çerezler haricindeki analiz, reklam, pazarlama, hedefleme ve profilleme amacıyla kullanılan çerezler bakımından kullanıcının aktif eylemine dayanan opt-in yöntemi esastır. Bu kapsamda kabul et, reddet ve tercihler seçeneklerinin kullanıcılara dengeli biçimde sunulması bir iyi uygulama örneği olarak değerlendirilir.
Zorunlu çerezler haricindeki çerez türleri için kullanıcılardan kategori bazında tercih imkânı tanınmaksızın toplu şekilde rıza toplanması yöntemi, açık rızanın belirli bir konuya ilişkin olma ve özgür iradeyle verilme unsurlarını sakatlayabilir.
Yurt Dışına Kişisel Veri Aktarımı Rejimi
6698 sayılı Kanun'un 9. maddesi kapsamında kişisel verilerin yurt dışına aktarımı; Kanun'un 5. ve 6. maddelerindeki işleme şartlarından birinin varlığı ile birlikte aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında verilmiş bir yeterlilik kararının bulunması halinde gerçekleştirilebilir. Yeterlilik kararının bulunmadığı durumlarda ise işleme şartlarının mevcudiyeti, ilgili kişinin haklarını kullanabilme ve etkili kanun yollarına başvurabilme imkânı ile standart sözleşme dahil kanunda sayılan uygun güvencelerden birinin sağlanması gerekir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yurt dışına veri aktarımında Kurul tarafından ilan edilen standart sözleşmelerin kullanılması durumunda, Kanun'un 9. maddesinin 5. fıkrası uyarınca söz konusu standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur. Bildirimlerin Standart Sözleşme Bildirim Modülü üzerinden yapılması mümkündür.
Yeterlilik kararının bulunmadığı ve uygun güvencelerin temin edilemediği hallerde veri aktarımı, arızi nitelikte olmak kaydıyla ve muhtemel riskler hakkında bilgilendirilen ilgili kişinin açık rıza vermesi veya kanunda sınırlı olarak sayılan diğer hallerden birinin mevcudiyeti şartıyla yapılabilir.
Veri Güvenliği, Denetim ve İhlal Bildirim Yükümlülüğü
Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi halinde veri sorumlusu bu tedbirlerin alınması hususunda veri işleyenle müştereken sorumludur. Veri sorumlusu ayrıca kanun hükümlerinin uygulanmasını sağlamak için kendi nezdinde gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri 6698 sayılı Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük, söz konusu kişilerin görevden ayrılmalarından sonra da devam eder.
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası uyarınca veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlüdür. Kurula bildirim yükümlülüğünün gecikmeksizin ve en geç 72 saat içinde yerine getirilmesi aranırken, Kurul gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
Kişisel verilerin işlenmesini gerektiren amaç ortadan kalktığında bu veriler silinmeli, yok edilmeli veya kimliği belirli ya da belirlenebilir gerçek kişiyle ilişkilendirilemeyecek şekilde anonim hâle getirilmelidir. Verilerin anonim hâle getirilmiş sayılması için kişiyle ilişkilendirilemez duruma gelmesi aranmakta olup veri sorumlusu bu kapsamda gerekli teknik ve idari tedbirleri almakla yükümlüdür.
İnternet Siteleri Açısından VERBİS Yükümlülüğü
Her internet sitesi Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) otomatik olarak kayıt olmak zorunda değildir. Veri sorumlusunun faaliyet alanı, çalışan sayısı, mali bilanço toplamı, işlenen özel nitelikli veriler ve ilgili istisnalar dikkate alınarak kayıt yükümlülüğü ayrıca değerlendirilmelidir.
İnternet sitelerindeki çerez kayıtları ve IP adresleri kişisel veri midir?
Evet; IP adresi, cihaz bilgileri, gezinme hareketleri ve çerez kayıtları, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebildiği ölçüde 6698 sayılı Kanun kapsamında kişisel veri niteliği taşıyabilir.
Aydınlatma yükümlülüğü kullanıcının talebine mi bağlıdır?
Hayır; aydınlatma yükümlülüğü ilgili kişinin herhangi bir talebine veya onayına bağlı olmaksızın veri sorumlusu tarafından yerine getirilmesi gereken bağımsız bir kanuni yükümlülüktür.
Aydınlatma ve açık rıza onayları aynı metin içerisinde birleştirilebilir mi?
Hayır; aydınlatma metni ile açık rıza onaylarının ayrı ayrı düzenlenmesi, açık rıza kutucuklarının önceden işaretlenmiş olmaması ve kullanıcının aktif iradesiyle onay vermesi gerekir.
Zorunlu olmayan çerezler için tek bir onayla toplu rıza alınabilir mi?
Zorunlu çerezler haricindeki analiz ve pazarlama çerezleri için kategori bazında tercih imkânı sunulmadan topluca onay alınması, açık rızanın belirli konuya ilişkin olma ve özgür iradeyle verilme unsurlarını sakatlayabilir.
Standart sözleşmelerle yurt dışına veri aktarımında bildirim süresi nedir?
6698 sayılı Kanun'un 9. maddesi uyarınca, Kurul tarafından ilan edilen standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.
İnternet sitesindeki bir veri ihlali nereye ve ne kadar sürede bildirilmelidir?
Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusu durumu en kısa sürede ilgili kişiye ve gecikmeksizin en geç 72 saat içinde Kurula bildirmekle yükümlüdür.
Her internet sitesi sahibi VERBİS'e kayıt olmak zorunda mıdır?
Hayır; her internet sitesi otomatik olarak kayıt yükümlüsü olmayıp yükümlülük faaliyet alanı, çalışan sayısı, mali bilanço toplamı, işlenen özel nitelikli veri türü ve tanınan istisnalara göre belirlenir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy