KVKK Nedir? Kişisel Verilerin Korunması Kanunu

Kişisel Verilerin Korunması Kanununun Amacı ve Kapsamı

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesi, depolanması ve aktarılmasını yasal kurallara bağlayarak bireylerin Anayasal haklarını güvence altına almayı hedefler. Düzenlemenin odağında verilerin kendisinden ziyade verisi işlenen kişilerin korunması yer alır.

Kanun uyarınca kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bu çerçevede kanuni koruma sadece gerçek kişilere tanınmıştır. Şirketler, dernekler ve vakıflar gibi tüzel kişilere veya kamu tüzel kişilerine ait kurumsal veriler kanun kapsamında yer almaz. Şirketlerin vergi kimlik numaraları, ticari sırlar veya bankacılık sırrı gibi kurumsal nitelikteki bilgiler bu çerçevede değerlendirilir.

Somut olayın özelliklerine göre bir gerçek kişiyi belirlenebilir kılan ad, soyad, T.C. kimlik numarası, SGK numarası, araç plakası, diploma, kredi kartı, bordro, IBAN veya özgeçmiş gibi bilgiler kişisel veri kabul edilebilir. Bunun yanında elektronik cihazların IP adresi, çerez ve konum kayıtları, cihaz seri numarası, telefon numarası ile parmak izi, kan grubu veya retina gibi biyolojik ve genetik veriler de kişiyi belirli kıldığı ölçüde kişisel veri niteliği taşıyabilir.

Kişisel Verilerin İşlenmesinde Temel İlkeler ve Açık Rıza Kuralı

Kişisel veriler ancak 6698 sayılı Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. Veri işleme faaliyetlerinde hukuka ve dürüstlük kurallarına uyulması, bilgilerin doğru ve gerektiğinde güncel tutulması, meşru amaçlar güdülmesi, amaçla bağlantılı, sınırlı ve ölçülü olunması ile mevzuatta belirlenen veya işleme amacının gerektirdiği süre kadar muhafaza edilmesi zorunludur.

Kişisel verilerin işlenmesinde temel kural, ilgili kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradesiyle açıklanan rızasının bulunmasıdır. Kanuni istisnalar saklı kalmak üzere açık rıza bulunmaksızın kişisel veri işlenemez.

Açık Rıza Aranmaksızın Veri İşlenebilecek Hâller

6698 sayılı Kanun m. 5/2 hükmü uyarınca, veri işlemenin kanunlarda açıkça öngörülmesi hâlinde açık rıza aranmaz. Fiili imkânsızlık sebebiyle rızasını açıklayamayan veya rızasına geçerlilik tanınmayan kişinin kendisinin yahut bir başkasının hayatı veya beden bütünlüğünün korunması için işlemenin zorunlu olması durumunda da rıza şartı bulunmaz.

Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması koşuluyla taraflara ait kişisel verilerin işlenmesinin gerekli bulunması hâlinde açık rıza aranmaz. Bunun yanı sıra veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olduğu durumlarda da rıza bulunmaksızın süreç yürütülebilir.

İlgili kişinin verisini bizzat alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması bakımından veri işlemenin zorunlu olması ile ilgili kişinin temel hak ve özgürlüklerine halel getirmemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu kılınan durumlarda da rıza aranmaz.

Özel Nitelikli Kişisel Verilerin İşlenme Esasları

Kanuna göre kişilerin kökeni, siyasi veya felsefi yaklaşımları, inançları, kılık kıyafeti, dernek, vakıf ya da sendika üyelikleri, sağlık durumları, cinsel hayatları, adli mahkûmiyetleri ve güvenlik tedbiri kayıtları ile biyometrik ve genetik bilgileri özel nitelik taşır. Kanun koyucu bu hassas verilerin işlenmesini kural olarak yasaklamış, yalnızca kanunda açıkça düzenlenen istisnaların varlığı durumunda işlenmelerine olanak tanımıştır.

Özel nitelikli veriler, ilgilisinin açık rızasıyla işlenebileceği gibi fiili imkânsızlık sebebiyle rızasını açıklayamayan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, verinin ilgilisi tarafından alenileştirilmiş ve işlemenin alenileştirme iradesine uygun bulunması yahut bir hakkın tesisi, kullanılması veya korunması için zorunlu olması hâllerinde de rızasız işlenebilir. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik ile sosyal yardım alanlarındaki yükümlülüklerin ifası için zorunlu olması da bu kapsamdadır.

Sağlık ve cinsel hayata ilişkin kişisel veriler; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili mercilerce gerekli olması hâlinde işlenebilir. Siyasi, felsefi, dini veya sendikal amaçla kurulmuş olan vakıf, dernek ve kâr amacı gütmeyen diğer kuruluşlar ise kendi mevzuat ve gayelerine uygun kalmak, faaliyet sahalarıyla sınırlı olmak ve üçüncü kişilere açıklamamak koşuluyla mevcut ya da eski üyeleri, mensupları veya düzenli temas kurdukları kişilere yönelik verileri işleyebilirler. Bu verilerin işlenmesinde ayrıca Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması zorunludur.

Kanunun Kapsamı Dışında Kalan İstisnalar

6698 sayılı Kanun m. 28/1 uyarınca tam istisna kapsamına giren faaliyetlerde kanun hükümleri uygulanmaz. Gerçek kişilerin üçüncü kişilere verilmemek ve veri güvenliğine uyulmak şartıyla tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri kapsamında verileri işlemesi bu kapsamdadır. Resmi istatistik amacıyla verilerin anonimleştirilerek araştırma, planlama ve istatistik amaçlarıyla işlenmesi de kanunun uygulama alanı dışındadır.

Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek koşuluyla sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi kanunun kapsamı dışındadır. Ayrıca kanunla yetkilendirilen kamu kurum ve kuruluşlarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin teminine dönük önleyici, koruyucu ve istihbari işlemler ile adli makamlar ve infaz mercilerince yürütülen soruşturma, kovuşturma, yargılama ve infaz faaliyetleri de kanun hükümlerine tabi tutulmamıştır.

Kanun m. 28/2 düzenlemesinde ise kısmi istisnalar yer alır. Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla; suç önleme veya suç soruşturması, ilgili kişinin veriyi kendisinin alenileştirmiş olması, kanunun verdiği yetkiye dayanılarak kamu kurumları ile kamu kurumu niteliğindeki meslek kuruluşlarınca denetleme, düzenleme veya disiplin işlemlerinin yürütülmesi ve bütçe, vergi ile mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması hâllerinde aydınlatma yükümlülüğü ve sicil kayıt zorunluluğu uygulanmaz. Bu hâllerde zararın giderilmesini talep hakkı saklı tutularak ilgili kişinin diğer hakları sınırlandırılmıştır.

Veri Aktarımı ve Veri Sorumlusunun Yükümlülükleri

Kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın aktarılamaz. Bununla birlikte 6698 sayılı Kanun m. 5/2'de düzenlenen şartlar ile yeterli önlemlerin alınması kaydıyla m. 6/3'te öngörülen hâllerden birinin mevcudiyeti hâlinde açık rıza aranmaksızın aktarım yapılabilir. Kişisel verilerin yurt dışına aktarımı ise kanuni işleme şartlarının bulunması ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının varlığı hâlinde mümkündür. Yeterlilik kararının bulunmadığı durumlarda ise kanundaki şartların varlığı, ilgili kişinin hak arama yollarının bulunması ve taahhütname, standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerin sağlanması aranır; standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur. Uygun güvencelerin de bulunmadığı durumlarda ancak kanunda öngörülen istisnai ve arızi hâllerde aktarım gerçekleştirilebilir.

Kanun m. 10 uyarınca kişisel verilerin elde edilmesi esnasında veri sorumlusu veya yetkilendirdiği kişi ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin işlenme gayesi, aktarılacağı kişiler ve aktarım amaçları, veri toplama yöntemi ile hukuki gerekçesi ve m. 11'de düzenlenen kanuni haklar konusunda bilgi vermekle yükümlüdür.

Veri sorumluları, hukuka aykırı veri işlemeyi ve erişimi engellemek ile verilerin muhafazasını temin etmek için gerekli teknik ve idari tedbirleri almak zorundadır. Verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde bu tedbirlerin alınmasından müştereken sorumlu olunur. Veri sorumlusu kendi bünyesinde gerekli denetimleri yapmak veya yaptırmakla yükümlüdür. Veri sorumluları ile veri işleyenler öğrendikleri verileri başkasına açıklayamaz ve amacı dışında kullanamaz; bu gizlilik borcu görevden ayrıldıktan sonra da devam eder. İşlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi durumunda veri sorumlusu durumu en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirir; Kurul gerek görürse bu durumu internet sitesinde ya da uygun bir vasıtayla ilan edebilir.

6698 sayılı Kanun m. 16 uyarınca kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce kamuya açık Veri Sorumluları Siciline kaydolmak zorundadır. Bununla birlikte Kurul, işlenen verinin niteliği, sayısı, işlemenin kanundan doğması veya üçüncü kişilere aktarılma durumu gibi objektif kriterleri dikkate alarak sicile kayıt yükümlülüğüne istisnalar tanıyabilir. Sicil kaydında bildirilen bilgilerde bir değişiklik meydana gelmesi durumunda bu değişikliklerin derhâl Başkanlığa intikal ettirilmesi gerekmektedir.

Verilerin Silinmesi, Yok Edilmesi ve İlgili Kişinin Hakları

Kanuna ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen verinin işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Anonim hâle getirme; kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma dönüştürülmesidir. Bu işlemlere dair usul ve esaslar yönetmelikle düzenlenir ve ilgili diğer kanunlardaki hükümler saklıdır.

Kanun m. 11 çerçevesinde ilgili kişi, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme ve yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme hakkına sahiptir. Eksik veya yanlış işlenen verilerin düzeltilmesini isteme, kanuni şartlar oluştuğunda verilerin silinmesini veya yok edilmesini talep etme ve bu düzeltme ile silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme hakları da mevcuttur.

İlgili kişi ayrıca verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine doğan sonuca itiraz etme ve kanuna aykırı işleme sebebiyle uğradığı zararın giderilmesini talep etme yetkilerine sahiptir; ayrıca kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat davası açma hakkı saklıdır. Hak arama sürecinde ilgili kişi kanunun uygulanmasına ilişkin taleplerini yazılı olarak veya yetkili yöntemlerle önce veri sorumlusuna iletir; veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Başvuru yolu tüketilmeden şikâyet yoluna gidilemez; başvurusu reddedilen, yetersiz bulunan veya süresinde cevaplanmayan kişi cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Kurul aykırılıkları şikâyet üzerine veya resen inceleyebilir.

Türk Ceza Kanunu Kapsamındaki Suçlar ve Yaptırımlar

Kişisel verilerin ihlaline ilişkin cezai yaptırımlar bakımından Türk Ceza Kanunu hükümleri tatbik edilir. 5237 sayılı Türk Ceza Kanunu m. 135/1 kapsamında kişisel verileri hukuka aykırı şekilde kaydeden kişilere bir yıldan üç yıla kadar hapis cezası uygulanır. Aynı maddenin ikinci fıkrasına göre kaydedilen verilerin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine ilişkin olması yahut hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına dair bulunması durumunda ceza yarı oranında artırılır.

Kişisel verilerin hukuka aykırı olarak üçüncü şahıslara aktarılması, umuma yayılması ya da haksız yollarla temin edilmesi eylemleri 5237 sayılı Türk Ceza Kanunu m. 136/1 uyarınca iki yıldan dört yıla kadar hapis cezası ile yaptırıma bağlanmıştır. Eyleme konu bilgilerin Ceza Muhakemesi Kanunu m. 236/5 ve m. 236/6 çerçevesinde kayda alınan beyan ve görüntülerden oluşması hâlinde verilecek hapis cezası bir kat artırılır.

TCK m. 138/1 uyarınca kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanların görevlerini yerine getirmemesi hâlinde bir yıldan iki yıla kadar hapis cezası verilir. Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması durumunda ceza bir kat artırılır. Öte yandan 6698 sayılı Kanun m. 18'de düzenlenen aydınlatma, veri güvenliği, Kurul kararlarını uygulama, sicile kayıt ve standart sözleşme bildirimi yükümlülüklerinin ihlali hâlinde ise adli cezalardan ayrı olarak Kurul tarafından idari para cezası verilebilir; bu cezalara karşı idare mahkemelerinde dava açılabilir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy