6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir nitelikteki gerçek kişilere ilişkin her türlü bilgiyi kapsar. Ad, soyad, telefon numarası, motorlu araç plakası, T.C. kimlik numarası, elektronik posta adresi, IP adresi ile alışveriş geçmişi bu çerçevede değerlendirilir. Kişisel verilerin başka verilerle bir araya getirilerek dahi hiçbir şekilde kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma getirilmesi ise anonim hâle getirme olarak tanımlanır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 3Kaynağı aç
Kişisel Verilerin İşlenmesinde Temel İlkeler ve Hukuka Uygunluk
6698 sayılı Kanun’un 4. maddesi uyarınca kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ile mevzuatta öngörülen veya amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyulması zorunludur. Kanunun 5. veya 6. maddesindeki yasal dayanaklar mevcut olsa dahi, genel ilkelere aykırı gerçekleştirilen veri işleme faaliyetleri hukuka aykırıdır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 4Kaynağı aç
Ölçülülük ve amaçla bağlantılı olma ilkeleri uyarınca, toplu konut alanlarında sakinlerin ad, soyad, daire numarası ve borç tutarlarını içeren aidat veya borç listelerinin bina girişi, asansör veya ilan panosu gibi ortak alanlara asılması Kanun’un 4. maddesine aykırılık teşkil eder. Borç takibi amacıyla yürütülen işlemlerin üçüncü kişilerin erişimine açık alanlarda sergilenmesi amaçla sınırlılık sınırını aşar.
Veri Sorumlusu ve Veri İşleyen Arasındaki Sorumluluk Dağılımı
6698 sayılı Kanun'un 3. maddesi çerçevesinde veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve idaresinden sorumlu gerçek veya tüzel kişidir. Şirketlerin çalışanlarına, müşterilerine veya tedarikçilerine ilişkin verileri toplarken sahip olduğu konum veri sorumluluğudur. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına verileri işleyen gerçek veya tüzel kişidir. Veri işleyenin işleme amacını belirleme yetkisi bulunmayıp, kendisine emanet edilen verileri kendi pazarlama faaliyetleri amacıyla kullanması durumunda, bu faaliyetler bakımından veri sorumlusu haline gelir ve ilgili yaptırımlara muhatap olur.
Veri İşleme Şartları, Açık Rıza ve İstisnalar
Kişisel veriler 6698 sayılı Kanun’un 5. maddesi uyarınca kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde ilgili kişinin açık rızası aranmaksızın kişisel veri işlenebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (d) bendi uyarınca ilgili kişinin kendisi tarafından alenileştirilmiş olması kişisel verilerin açık rıza aranmaksızın işlenmesine imkân tanır. Bununla birlikte ilgili verilerin alenileştirilme amacına uygun olarak işlenmesi gerektiği yönünde değerlendirmeler bulunmaktadır.
Aydınlatma yükümlülüğü ile açık rıza alma işlemleri birbirinden bağımsız süreçlerdir. Aydınlatma tek taraflı bir bilgilendirme niteliğinde olup onay alma şeklinde kurgulanamaz; açık rıza ise özgür iradeye dayalı bir onay işlemidir. Bu sebeple aydınlatma ile açık rızanın tek onay kutusunda birleştirilmesi uygun bulunmamaktadır. İş sözleşmelerinde işçiye tercih hakkı tanımayan genel ve muğlak rıza ifadeleri battaniye rıza sayılarak geçersiz kabul edilir. Ayrıca kanunda açık rıza aranmaksızın veri işlemenin mümkün kılındığı şartların bulunduğu durumlarda ayrıca açık rıza alınmasına gerek bulunmamaktadır.
Özel Nitelikli Kişisel Veriler ve Biyometrik Veri Sınırı
6698 sayılı Kanun'un 6. maddesinin birinci fıkrası uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Bu verilerin işlenmesi kural olarak yasaktır; ancak ilgilinin açık rızasının bulunması veya kanunda sınırlı sayılan hallerin varlığı halinde işlenebilir. Ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
İş yerlerinde mesai takibi veya yemekhane erişimi amacıyla personelin biyometrik verilerinin işlenmesi, açık rıza alınmış olsa dahi işçi ile işveren arasındaki asimetrik ilişki ve mesai takibinin kartlı geçiş veya şifre gibi temel haklara daha az müdahale eden yöntemlerle sağlanabilmesi gerekçeleriyle ölçülülük ilkesi kapsamında değerlendirilmektedir.
Yurt Dışına Kişisel Veri Aktarım Rejimi
6698 sayılı Kanun’un 9. maddesi uyarınca kişisel veriler, kanundaki işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir. Yeterlilik kararı Kurul tarafından verilir, Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir; Kurul bu kararı ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının bulunmaması durumunda; işleme şartlarından birinin varlığı ve ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla aktarım yapılabilir. Bu aktarım uluslararası sözleşme niteliğinde olmayan anlaşma, bağlayıcı şirket kuralları, standart sözleşme veya yazılı taahhütname güvencelerinden birinin taraflarca sağlanması halinde mümkündür. Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımları bakımından da bu güvencelerin sağlanması zorunludur.
Yurt dışı aktarımında kullanılan standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumu’na bildirilmesi zorunludur. Standart sözleşmeye ilişkin bildirim yükümlülüğünü yerine getirmeyenler hakkında 6698 sayılı Kanun’un 18. maddesi uyarınca 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Yeterlilik kararının bulunmaması ve uygun güvencelerin sağlanamaması durumunda yurt dışına veri aktarımı; arızi olmak şartıyla ilgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi, sözleşmenin ifası veya kanunda sayılan diğer istisnalardan birinin varlığı halinde gerçekleştirilebilir. Arızi aktarıma ilişkin açık rıza ve sözleşme ifası bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerinde uygulanmaz.
Veri Güvenliği, İhlal Bildirimi ve İlgili Kişi Başvuruları
Veri sorumlusu, 6698 sayılı Kanun'un 12. maddesi gereğince kişisel verilerin hukuka aykırı biçimde işlenmesini ve bu verilere hukuka aykırı olarak erişilmesini önlemek ile verilerin güvenle muhafaza edilmesini temin etmek amacıyla uygun güvenlik düzeyini sağlamaya yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür. Verilerin veri sorumlusu adına bir başkası tarafından işlenmesi durumunda veri sorumlusu ilgili tedbirlerin alınmasında bu kişiyle müştereken sorumludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurula yapılacak bildirimin en geç 72 saat içinde yapılması gerektiği yönünde değerlendirmeler bulunmakta olup etkilenen ilgililere de iletişimin sağlanması aranmaktadır.
Veri sorumlusu, ilgili kişinin taleplerini niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. İlgili kişinin kişisel verilerin silinmesi talebinde bulunması halinde, kanuni saklama süresi veya meşru bir gerekçe kalmamışsa veriler en geç otuz gün içinde silinir, yok edilir veya anonim hale getirilir. Kanuni saklama yükümlülüğü devam ediyorsa silme talebi yerine getirilmez; ilgili kişiye otuz gün içinde gerekçeli ret cevabı verilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 13Kaynağı aç
VERBİS Kayıt Zorunluluğu ve İdari Yaptırımlar
6698 sayılı Kanun’un 16. maddesi uyarınca kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterler göz önüne alınarak Kurul tarafından sicile kayıt zorunluluğuna istisna getirilebilir. Değerlendirmelerde yıllık çalışan sayısı elliden çok veya mali bilançosu yüz milyon Türk lirasından fazla olanlar ile ana faaliyeti özel nitelikli veri işleme olanların kayıt zorunluluğuna tabi olduğu ifade edilmektedir. Sicile sunulan bilgilerde değişiklik olması hâlinde durum derhâl Başkanlığa bildirilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç
6698 sayılı Kanun'un 18. maddesinde veri güvenliği, aydınlatma, Kurul kararlarını yerine getirme ve bildirim yükümlülüklerinin ihlaline karşı maktu idari para cezaları öngörülmüştür. Cezaların her bir ihlal fiili için ayrı uygulanabileceği kabul edilmektedir. Anılan maddenin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.
İş yerinde mesai takibi için parmak izi veya yüz tanıma kullanılabilir mi?
Çalışandan rıza alınsa dahi taraflar arasındaki asimetrik ilişki ve kartlı geçiş gibi daha az müdahaleci yöntemlerin varlığı nedeniyle mesai takibinde biyometrik veri kullanımı ölçülülük ilkesi bakımından sakıncalı bulunmaktadır.
Standart sözleşmeler Kuruma kaç gün içinde bildirilmelidir?
Yurt dışına kişisel veri aktarımında taraflar arasında akdedilen standart sözleşmeler, imzalandığı tarihten itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmek zorundadır.
Aydınlatma yükümlülüğü ile açık rıza tek onay kutusunda birleştirilebilir mi?
Aydınlatma tek taraflı bir bilgilendirme işlemi, açık rıza ise özgür iradeye dayalı bir onay işlemi olduğundan her iki sürecin tek bir onay kutusunda birleştirilmesi kanuna aykırıdır.
Silme talebinde bulunulan kişisel veriler ne zaman imha edilir?
Kanuni saklama süresi veya meşru gerekçesi sona ermiş veriler ilgili kişinin başvurusu üzerine en geç otuz gün içinde imha edilir; saklama yükümlülüğü sürüyorsa aynı süre içinde gerekçeli ret cevabı verilir.
Veri ihlali durumunda bildirim süreleri nasıldır?
6698 sayılı Kanun m. 12/5 uyarınca ihlal durumu ilgilisine ve Kurula en kısa sürede bildirilir; Kurul bildiriminin 72 saat içinde yapılması gerektiği yönünde değerlendirmeler mevcuttur.
VERBİS kayıt zorunluluğunda hangi ölçütler geçerlidir?
Kanun gereği veri işlemeye başlamadan önce sicile kayıt kural olmakla birlikte Kurul istisnalar getirebilir; nitekim çalışan sayısı, bilanço tutarı veya özel nitelikli veri işleme gibi eşikler Kurul düzenlemelerinde istisna sınırları olarak ele alınmaktadır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy