6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanun; verisi işlenen tüm gerçek kişileri ve kişisel verileri tamamen ya da kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişileri kapsar. Bir ihlal söz konusu olduğunda ihlalin niteliğine göre idari para cezası, Türk Ceza Kanunu kapsamında hapis cezası ve özel hukuk çerçevesinde tazminat sorumluluğu gündeme gelebilir.
Kanunun Kapsamı ve Korunan Veriler
Kanun, gerçek kişilere ait kişisel verileri koruma altına alır. Buna karşın anonim hâle getirilmiş veriler ile tüzel kişilere ait ticari sır niteliğindeki bilgiler bu özel koruma rejiminin dışında tutulmuştur.
Kişisel Veri İşlemenin Hukuki Dayanakları
6698 sayılı Kanun'un 5. maddesinin 1. fıkrası, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini temel kural olarak koymuştur. Ancak aynı maddenin 2. fıkrası belirli koşulların varlığında açık rıza aranmaksızın veri işlenebileceğini öngörmektedir. Bu koşullar şunlardır: kanunlarda açıkça öngörülmüş olması; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunluluk; bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla sözleşme taraflarına ait verilerin işlenmesinin gerekmesi; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunluluk; ilgili kişinin kendi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunluluk; son olarak ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunluluk.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
Açık Rızanın Geçerlilik Koşulları
6698 sayılı Kanun'un 3. maddesinin 1. fıkrasının (a) bendi açık rızayı; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlamaktadır. Bu tanım uyarınca onayın hangi konuya ilişkin olduğunun net olması, ilgili kişinin bu konuda bilgilendirilmiş bulunması ve onayın özgür iradeyle verilmesi gerekir. Bu koşullardan biri eksikse verilen onay geçersiz sayılır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 3Kaynağı aç
Özel Nitelikli Kişisel Veriler
6698 sayılı Kanun'un 6. maddesinin 1. fıkrası, özel nitelikli kişisel veri kategorilerini sınırlı sayı ilkesiyle belirlemiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri kapsamaktadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Özel nitelikli kişisel veriler, ilgilinin açık rızası olmaksızın kural olarak işlenemez; Kanun'un 6. maddesinde öngörülen sınırlı sayıdaki istisnai hâllerde bu yasağa istisna tanınmıştır. Ayrıca 6. maddenin 4. fıkrası uyarınca özel nitelikli kişisel veri işleme faaliyetlerinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması da zorunludur.
Aydınlatma Yükümlülüğü
Veri sorumlusunun aydınlatma yükümlülüğü rızadan bağımsız olarak doğar. İlgili kişi verisinin işlenmesine onay verse de vermese de kişisel verilerinin akıbeti hakkında önceden ve eksiksiz bilgilendirilme hakkına sahiptir. Dolayısıyla rıza alınmış olması, aydınlatma yükümlülüğünü ortadan kaldırmaz.
Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hâle Getirilmesi
6698 sayılı Kanun'un 7. maddesinin 1. fıkrasına göre Kanun'a ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde veri sorumlusu tarafından resen ya da ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Bu yükümlülük yalnızca hukuka uygun biçimde işlenmiş veriler için geçerlidir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 7Kaynağı aç
Aynı maddenin 2. fıkrası, diğer kanunlarda kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin özel hükümlerin saklı olduğunu belirtmektedir. Silme, yok etme ve anonim hâle getirmeye ilişkin usul ve esaslar ise 3. fıkra uyarınca yönetmelikle düzenlenir.
Yurt Dışına Veri Aktarımı
Kişisel verilerin yurt dışına aktarılması 6698 sayılı Kanun'un 9. maddesiyle düzenlenmiştir. 2/3/2024 tarihli değişiklikle yeniden kaleme alınan 1. fıkraya göre veri aktarımı yapılabilmesi için Kanun'un 5. ve 6. maddelerindeki işleme şartlarından birinin bulunması ve aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı olması gerekir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararı bulunmayan durumlarda, Kanun'un 9. maddesinin 4. fıkrası ek bir yol öngörmektedir: 5. ve 6. maddelerdeki işleme şartlarından birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması ile fıkrada sayılan uygun güvencelerden birinin taraflarca sağlanması hâlinde aktarım yapılabilir. Uygun güvenceler arasında standart sözleşme de yer almakta olup standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.
Yeterlilik kararı ve uygun güvencenin her ikisinin de bulunmaması hâlinde veri aktarımı ancak arızi nitelikte olmak kaydıyla ve Kanun'un 9. maddesinin 6. fıkrasında sınırlı sayıyla belirlenen durumlardan birinin varlığında mümkündür. Bu durumlar arasında muhtemel riskler hakkında bilgilendirilerek ilgili kişinin açık rızasının alınması, sözleşmenin ifası veya ilgili kişi yararına üçüncü kişiyle sözleşme zorunluluğu, üstün kamu yararı, hak tesisi-kullanımı-korunması zorunluluğu, fiili imkânsızlık nedeniyle rızasını açıklayamayan ya da rızasına geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması ve meşru menfaate sahip kişinin erişebildiği sicilden aktarım sayılmaktadır. Bu fıkranın açık rıza, sözleşme ifası ve üçüncü kişiyle sözleşmeye ilişkin (a), (b) ve (c) bentleri kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.
Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara yapılan aktarımlar bakımından da Kanun'daki güvenceler geçerli olup 9. madde hükümleri uygulanmaya devam eder.
İlgili Kişinin Hakları ve Başvuru Usulü
6698 sayılı Kanun'un 11. maddesi, ilgili kişiye bilgi edinme, hatalı verilerin düzeltilmesini isteme, verilerin silinmesini veya yok edilmesini talep etme, üçüncü kişilere bildirim yapılmasını isteme, münhasıran otomatik sistemlerle gerçekleştirilen analize itiraz etme ve uğradığı zararın tazminini talep etme haklarını tanımaktadır.
Kanun'un 13. maddesinin 1. fıkrasına göre ilgili kişi bu haklarını kullanmak için taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu, 13. maddenin 2. fıkrası uyarınca başvurudaki talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmak zorundadır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifeye göre ücret alınabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 13Kaynağı aç
Başvurunun reddedilmesi, cevabın yetersiz bulunması ya da otuz günlük süre içinde yanıt verilmemesi hâlinde ilgili kişi, Kanun'un 14. maddesinin 1. fıkrası uyarınca veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir. Aynı maddenin 2. fıkrası, veri sorumlusuna başvuru yolunun tüketilmeden Kurula şikâyet yoluna başvurulamayacağını açıkça düzenlemiştir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 14Kaynağı aç
Cezai Yaptırımlar: TCK Kapsamındaki Suçlar
5237 sayılı Türk Ceza Kanunu'nun 135. maddesinin 1. fıkrasına göre kişisel verileri hukuka aykırı olarak kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir. Aynı maddenin 2. fıkrası bu cezayı ağırlaştırmaktadır: işlenen verinin siyasi, felsefi veya dinî görüşlere, ırki kökene, hukuka aykırı olarak ahlaki eğilime, cinsel yaşama, sağlık durumuna ya da sendikal bağlantıya ilişkin olması hâlinde 1. fıkra uyarınca verilecek temel ceza yarı oranında artırılır.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
5237 sayılı TCK'nın 140. maddesinin 1. fıkrası, bu bölümde tanımlanan kişisel veri suçlarının işlenmesi hâlinde tüzel kişiler hakkında tüzel kişilere özgü güvenlik tedbirlerine hükmolunacağını öngörmektedir. Hangi güvenlik tedbirlerinin uygulanacağı bu madde kesitinde ayrıntılandırılmamıştır.
5237 sayılı TÜRK CEZA KANUNU m. 140Kaynağı aç
İdari Para Cezaları
6698 sayılı Kanun'un 18. maddesi çeşitli yükümlülüklerin ihlali için idari para cezası öngörmektedir. Aydınlatma yükümlülüğünü (m. 10) yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezasına hükmedilebilir. Veri güvenliğine ilişkin yükümlülükleri (m. 12) yerine getirmeyenler için bu sınırlar 15.000 Türk lirası ile 1.000.000 Türk lirası arasında belirlenmiştir. Kurul tarafından verilen kararları (m. 15) yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne (m. 16) aykırı hareket edenler hakkında ise 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanabilir. Ayrıca 9. maddenin 5. fıkrasındaki standart sözleşme bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörülmektedir. Bu tutarların yasal değişiklikle güncellenmiş olma ihtimali bulunmaktadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Kurulca verilen idari para cezalarına karşı 18. maddenin 3. fıkrası uyarınca —bu hüküm 2/3/2024 tarihli değişiklikle eklenmiştir— idare mahkemelerinde dava açılabilir. Öte yandan 18. maddenin 4. fıkrası, 1. fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde ilgili memurlar ve kamu görevlileri hakkında Kurulun bildirimi üzerine disiplin hükümlerine göre işlem yapılacağını ve sonucun Kurula bildirileceğini düzenlemektedir.
Hukuki Sorumluluk ve Tazminat
Kişisel verilerinin kanuna aykırı işlenmesi nedeniyle zarara uğrayan ilgili kişi, Kanun'un 11. maddesi çerçevesinde genel hükümler uyarınca adli yargı mercilerinde maddi ve manevi tazminat davası açabilir. Kanun'un 14. maddesinin 3. fıkrası ise kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu ayrıca vurgulamaktadır. Böylece aynı ihlal; idari, cezai ve özel hukuk olmak üzere üç ayrı sorumluluk kanalını aynı anda harekete geçirebilir.
Sık Sorulan Sorular
KVKK kimler için geçerlidir?
Kanun; verisi işlenen tüm gerçek kişileri ve kişisel verileri tamamen ya da kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişileri kapsar.
Anonim hâle getirilen veriler KVKK'ya tabi midir?
Hayır. Anonim hâle getirilmiş veriler ile tüzel kişilere ait ticari sır niteliğindeki bilgiler KVKK'nın özel koruma rejiminin dışında tutulmuştur.
Açık rıza hangi koşullarda geçersiz olur?
6698 sayılı Kanun'un 3. maddesi açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlamaktadır. Onayın hangi konuya ilişkin olduğu net değilse, ilgili kişi bilgilendirilmemişse ya da onay özgür iradeyle verilmemişse açık rıza geçersiz sayılır. Bu koşullardan birinin eksik olması geçersizlik sonucu doğurmaya yeterlidir.
Verilerimin silinmesini talep edebilir miyim?
Kanun'a ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş kişisel verileriniz bakımından, işlenmesini gerektiren sebepler ortadan kalktığında veri sorumlusuna yazılı başvuruda bulunarak silme, yok etme veya anonim hâle getirme talebinde bulunabilirsiniz. Veri sorumlusu bu talebi en geç otuz gün içinde yanıtlamak zorundadır.
Başvurum reddedilirse ne yapabilirim?
Veri sorumlusunun başvuruyu reddetmesi, cevabın yetersiz kalması ya da otuz günlük sürede yanıt verilmemesi hâlinde cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Şikâyet yoluna başvurabilmek için önce veri sorumlusuna başvuru yolunun tüketilmiş olması zorunludur.
KVKK ihlali hapis cezasına yol açar mı?
Belirli eylemler bakımından yol açabilir. Kişisel verileri hukuka aykırı olarak kaydeden kişiye 5237 sayılı TCK'nın 135. maddesi uyarınca bir yıldan üç yıla kadar hapis cezası verilir. Verinin siyasi, felsefi veya dinî görüşlere, ırki kökene, hukuka aykırı olarak ahlaki eğilime, cinsel yaşama, sağlık durumuna ya da sendikal bağlantıya ilişkin olması hâlinde bu ceza yarı oranında artırılır.
Tüzel kişiler KVKK ihlali nedeniyle yaptırıma tabi tutulabilir mi?
5237 sayılı TCK'nın 140. maddesi kişisel veri suçlarının işlenmesi hâlinde tüzel kişiler hakkında tüzel kişilere özgü güvenlik tedbirlerine hükmolunacağını öngörmektedir. Öte yandan kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde 6698 sayılı Kanun'un 18. maddesinin 1. fıkrasında sayılan eylemler gerçekleştiğinde, ilgili memurlar ve kamu görevlileri hakkında idari para cezası yerine Kurul bildirimi üzerine disiplin hükümleri uygulanır.
Kişisel verilerimi hukuka aykırı işleyen kuruma karşı tazminat davası açabilir miyim?
Evet. Verilerin kanuna aykırı işlenmesi nedeniyle zarara uğrayan kişi, genel hükümler uyarınca adli yargı mercilerinde maddi ve manevi tazminat davası açabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy