KVKK Uyum Süreci ve Veri Sorumlusunun Yükümlülükleri |

Kişisel Verilerin Korunması Kanununun Kapsamı ve Genel İlkeler

6698 sayılı Kişisel Verilerin Korunması Kanunu hükümleri, kişisel verileri işleyen bütün gerçek ve tüzel kişileri bağlamaktadır. Veri sorumlusunun esnaf, küçük veya orta büyüklükte işletme ya da büyük sermayeli kuruluş olması kanuni koruma rejiminde bir farklılık yaratmaz. Kişisel veri işleme sürecine dahil olan tüm aktörler aydınlatma, veri güvenliğini sağlama ve hukuka uygunluk ilkelerine riayet etmekle yükümlüdür.

Aydınlatma Yükümlülüğünün Kapsamı ve Unsurları

6698 sayılı Kanun'un 10. maddesinin birinci fıkrası uyarınca, verilerin elde edilmesi aşamasında veri sorumlusu veya onun yetkilendirdiği kişi, ilgili kişilere kapsamlı bilgi vermekle yükümlüdür. Bu çerçevede sunulacak aydınlatma metninde veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçlarla işleneceği, işlenen verilerin kimlere ve hangi gayeyle aktarılabileceği, veri toplamanın yöntemi ile hukuki sebebi ve kanunun 11. maddesinde düzenlenen haklar eksiksiz şekilde bildirilmelidir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 10Kaynağı aç

MADDE 10- (1) Kişisel verilerin elde
edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;
a) Veri sorumlusunun ve varsa
temsilcisinin kimliği,
b) Kişisel verilerin hangi
amaçla işleneceği,
c) İşlenen kişisel verilerin
kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın
yöntemi ve hukuki sebebi,
d) 11 inci maddede sayılan
diğer hakları,
konusunda bilgi vermekle yükümlüdür.
İlgili kişinin hakları

Açık Rıza Şartı ve Kanuni İşleme Sebepleri

6698 sayılı Kanun'un 5. maddesinin 1. fıkrası gereğince kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Kanunun 5. maddesinin 2. fıkrasında kanunlarda açıkça öngörülmesi, fiili imkânsızlık hali, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma, veri sorumlusunun hukuki yükümlülüğü, verinin alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması ile temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat istisnaları düzenlenmiştir. Bu istisnai şartların bulunmadığı hallerde açık rıza alınması zorunludur. Açık rızanın geçerli olabilmesi için belirli bir konuya hasredilmiş bulunması, aydınlatmaya dayanması ve özgür iradeyle beyan edilmesi şarttır.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç

MADDE 5- (1) Kişisel veriler ilgili
kişinin açık rızası olmaksızın işlenemez.
(2) Aşağıdaki şartlardan birinin
varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi
mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle
rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan
kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması
için zorunlu olması.
c) Bir sözleşmenin kurulması
veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait
kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki
yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi
tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması
veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak
ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için
veri işlenmesinin zorunlu olması.
Özel nitelikli kişisel verilerin
işlenme şartları

Veri Güvenliğinin Sağlanması, Denetim ve Sır Saklama Borcu

Veri sorumluları, 6698 sayılı Kanun'un 12. maddesinin 1. fıkrası uyarınca kişisel verilerin hukuka aykırı işlenmesini ve bu verilere yetkisiz erişilmesini önlemek ve verilerin muhafazasını temin etmek için gerekli teknik ve idari tedbirleri almak zorundadır. Bu bağlamda ağ güvenliği tedbirleri, depolama ve aktarım süreçlerinde şifreleme yöntemleri, yetki matrisi yapılandırması ve log kayıtlarının tutulması gibi teknik mekanizmaların işletilmesi gerekir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç

MADDE 12- (1) Veri sorumlusu;
a) Kişisel verilerin hukuka
aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka
aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını
sağlamak,
amacıyla uygun güvenlik düzeyini
temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel
verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde,
birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte
müştereken sorumludur.
(3) Veri sorumlusu, kendi
kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli
denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri
işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak
başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden
ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin
kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu
bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde
bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan
edebilir.
DÖRDÜNCÜ BÖLÜM
Başvuru, Şikâyet ve Veri Sorumluları
Sicili
Veri sorumlusuna başvuru

Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda, gerekli güvenlik tedbirlerinin alınmasından veri sorumlusu ile veri işleyen taraf kanunen müştereken sorumludur. Ayrıca veri sorumlusu, kendi teşkilatında kanun kurallarının tatbikini denetlemek veya denetletmek zorundadır. Veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri sır saklama yükümlülüğü çerçevesinde kanuna aykırı şekilde açıklamama ve işleme gayesi haricinde kullanmama mecburiyeti, görevlerinden ayrılmalarından sonra da varlığını sürdürür.

Veri İhlali Bildirimi ve Alınacak Önlemler

İşlenen kişisel verilerin kanuna uygun olmayan yollarla başkalarının eline geçmesi durumunda, veri sorumlusu 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası gereğince bu vaziyeti en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirmek mecburiyetindedir. Kurul, ihtiyaç görmesi durumunda bu ihlali resmi internet sitesi üzerinden veya belirleyeceği farklı bir yöntemle kamuoyuna ilan edebilir.

VERBİS Kayıt Prosedürü ve İstisnalar

6698 sayılı Kanun'un 16. maddesinin 1. fıkrası uyarınca Veri Sorumluları Sicili, Kişisel Verileri Koruma Kurulunun gözetiminde Başkanlık tarafından kamuya açık olarak tutulur. Kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmaları zorunludur. Yıllık çalışan sayısı elliyi aşanlar, çalışan veya mali tablo büyüklüğüne bakılmaksızın ana faaliyeti özel nitelikli kişisel veri işleme olan kuruluşlar ile yurt dışında yerleşik bulunan veri sorumluları sicile kaydolmakla mükelleftir. Buna karşın Kurul, işlenen kişisel verinin niteliği, sayısı, kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterleri gözeterek sicile kayıt zorunluluğuna istisna getirebilir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç

MADDE 16- (1) Kurulun gözetiminde,
Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.
(2) Kişisel verileri işleyen
gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline
kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin
kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek
objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları
Siciline kayıt zorunluluğuna istisna getirilebilir.
(3) Veri Sorumluları Siciline
kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:
a) Veri sorumlusu ve varsa
temsilcisinin kimlik ve adres bilgileri.
b) Kişisel verilerin hangi
amaçla işleneceği.
c) Veri konusu kişi grubu
ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
ç) Kişisel verilerin aktarılabileceği
alıcı veya alıcı grupları.
d) Yabancı ülkelere aktarımı
öngörülen kişisel veriler.
e) Kişisel veri güvenliğine
ilişkin alınan tedbirler.
f) Kişisel verilerin işlendikleri
amaç için gerekli olan azami süre.
(4) Üçüncü fıkra uyarınca
verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.
(5) Veri Sorumluları Siciline
ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.
BEŞİNCİ BÖLÜM
Suçlar ve Kabahatler
Suçlar

Kurul tarafından belirlenen istisna çerçevesinde kalan veri sorumluları yalnızca Veri Sorumluları Siciline kaydolma yükümlülüğünden muaf tutulmaktadır. Söz konusu muafiyet, aydınlatma yapılması ve teknik ile idari güvenlik tedbirlerinin eksiksiz alınması gibi kanunda yer alan diğer asli ödevleri ortadan kaldırmaz.

Sicile Bildirim Unsurları, Değişiklikler ve İmha Politikası

Veri Sorumluları Sicil Bilgi Sistemi üzerinden yürütülen kayıt başvurularında; veri sorumlusu ve varsa temsilcisinin kimlik ile adres bilgileri, verilerin işlenme amaçları, ilgili kişi grupları ve veri kategorileri, aktarım yapılacak alıcı grupları, yabancı ülkelere aktarılması hedeflenen veriler, alınan teknik ve idari emniyet önlemleri ile azami muhafaza süreleri sisteme beyan edilir. İrtibat kişisi veya temsilci belirlenerek sunulan bu bildirim içeriklerinde herhangi bir değişiklik yaşandığında, keyfiyetin gecikmeksizin Kurum Başkanlığına iletilmesi zorunludur.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik gereğince, VERBİS'e kayıt olma mecburiyeti bulunan veri sorumlularının Kişisel Veri Saklama ve İmha Politikası oluşturmaları kanuni bir zorunluluktur. Bu politika doğrultusunda, iş akdi sona eren çalışanlara ait kayıtlar; iş hukuku zamanaşımı, sosyal güvenlik bildirimleri veya mali mevzuattan kaynaklanan saklama sürelerinin bitmesiyle birlikte usulüne uygun şekilde imha edilmelidir.

İdari Yaptırımlar, Yargı Yolu ve Disiplin Hükümleri

6698 sayılı Kanun'un 18. maddesi uyarınca aydınlatma borcunun ihmali, veri güvenliği tedbirlerinin yerine getirilmemesi, Kurul kararlarının uygulanmaması ve sicile kayıt mecburiyetine aykırılık hallerinde idari para cezaları veri sorumlusu hakkında tertip edilir. Yurt dışına veri aktarımı bildirimine uyulmaması halinde ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri yaptırıma tabi tutulur. 02.03.2024 tarihli kanun değişikliği gereğince, Kurul tarafından uygulanan idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç

MADDE 18- (1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen
aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000
Türk lirasına kadar,
b) 12 nci maddesinde öngörülen
veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk
lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca
Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından
1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler
hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9
uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine
getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35
md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para
cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri
sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri
hakkında uygulanır.
(3) (Ek:2/3/2024-7499/35 md.) Kurulca
verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
(4) Birinci fıkrada sayılan
eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları
bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum
ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki
meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır
ve sonucu Kurula bildirilir.
ALTINCI BÖLÜM
Kişisel Verileri Koruma Kurumu
ve Teşkilat
Kişisel Verileri Koruma Kurumu

6698 sayılı Kanun'un 18. maddesinin 4. fıkrası uyarınca kabahat eylemlerinin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

Türk Ceza Kanunu Kapsamında Cezai Yaptırımlar

Kişisel verilerin hukuka aykırı işlenmesi idari yaptırımların yanı sıra ceza normlarıyla da müeyyideye bağlanmıştır. 5237 sayılı Türk Ceza Kanunu'nun 135. maddesinin birinci fıkrası uyarınca hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. Kişisel verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda verilecek ceza yarı oranında artırılır.

5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç

Madde 135- (1) Hukuka aykırı olarak kişisel verileri kaydeden
kimseye bir yıldan üç yıla kadar hapis cezası verilir.[60]
(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine,
ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına,
sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda
birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.[61]
Verileri hukuka aykırı olarak verme veya ele geçirme

Sıkça Sorulan Sorular

VERBİS siciline kayıt muafiyeti diğer KVKK yükümlülüklerini ortadan kaldırır mı?

Hayır, Kişisel Verileri Koruma Kurulunun belirlediği istisnalar yalnızca sicile kayıt olma borcunu kapsamakta olup aydınlatma yapılması ve veri güvenliğinin temin edilmesi gibi kanuni mecburiyetler devam eder.

Açık rıza metninin geçerli sayılması için hangi koşullar aranır?

Açık rızanın geçerlilik kazanması için belirli bir işleme konusuna ilişkin bulunması, aydınlatma yapılarak bilgilendirmeye dayandırılması ve bir hizmetin icrasına şart koşulmaksızın özgür iradeyle sunulması şarttır.

İşten ayrılan çalışanların kişisel verileri ne zaman silinmelidir?

İşten ayrılan personelin kayıtları, tabi olunan iş hukuku zamanaşımı, sosyal güvenlik bildirimleri ve vergi mevzuatında düzenlenen yasal muhafaza sürelerinin tamamlanmasının ardından usulüne uygun olarak imha edilir.

Kurul tarafından verilen idari para cezalarına karşı hangi mercie başvurulur?

02.03.2024 tarihli kanun değişikliği uyarınca, Kişisel Verileri Koruma Kurulu tarafından tayin edilen idari para cezalarına karşı itiraz ve iptal davaları idare mahkemelerinde açılmaktadır.

Bir veri ihlali meydana geldiğinde veri sorumlusu kimlere bildirim yapmalıdır?

Verilerin kanuni olmayan yollarla elde edildiğinin anlaşılması üzerine veri sorumlusu durumu en kısa sürede hem verisi etkilenen ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy

Avukat Erdal Ersoy İletişim ve randevu

Bilişim hukuku