6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde yürürlüğe girmiştir. Düzenlemenin lafzında ve kural setinde, Avrupa Genel Veri Koruma Tüzüğü (GDPR) öncesinde yürürlükte bulunan 95/46/AT sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Direktif esas alınmıştır. Bu durum, Türk veri koruma mevzuatı ile Avrupa Birliği genel veri koruma rejimi arasında çeşitli yapısal ve usuli farklılıkların ortaya çıkmasına zemin hazırlamıştır.
Coğrafi Uygulama Alanı
GDPR, yer bakımından uygulanma sınırlarını geniş tutmuştur. Tüzük; veri işleme faaliyetinin Avrupa Birliği sınırları içinde gerçekleşip gerçekleşmediğine bakılmaksızın, Birlik içinde yerleşik olan veri sorumlusu veya veri işleyenlerin faaliyetlerine uygulanır. Bunun yanı sıra, Birlik dahilinde yerleşik olmayan aktörlerin AB'de yerleşik kişilere mal veya hizmet sunması ya da bu kişilerin davranışlarını izlemesi hallerinde de Tüzük hükümleri geçerlilik taşır. Ayrıca uluslararası kamu hukuku gereğince bir üye devletin milli hukukunun tatbik edildiği durumlarda da GDPR hükümleri tatbik edilir.
Tazminat ve İdari Para Cezalarında Sorumluluk Dağılımı
6698 sayılı Kanun'un 18. maddesinin 2. fıkrası uyarınca kural olarak aydınlatma, veri güvenliği, Kurul kararlarını yerine getirme ve sicile kayıt ve bildirim yükümlülüklerine aykırılıktan doğan idari yaptırımlar veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır; yurt dışına veri aktarımına ilişkin bildirim yükümlülüğüne aykırılık halinde ise yaptırım veri sorumlusu veya veri işleyen hakkında tatbik edilir. Veri sorumlusu ile veri işleyen arasındaki iç rücu ilişkisi saklıdır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
GDPR madde 82 uyarınca, Tüzük ihlali neticesinde maddi veya manevi zarara uğrayan bireylerin bu zararlarını veri sorumlusundan veya veri işleyenden tazmin etme hakkı bulunmaktadır. Bu çerçevede Tüzük, ihlalden kaynaklanan zararlar yönünden hem veri sorumlusuna hem de veri işleyene tazminat sorumluluğu yüklemektedir.
Aydınlatma Metinlerinde GDPR ve KVKK Uyumu
Kişisel Verileri Koruma Kurulu'nun 8 Kasım 2019 tarihli kamuoyu duyurusu uyarınca, veri sorumluları tarafından aydınlatma yükümlülüğünün yerine getirilmesi amacıyla hazırlanan metinlerde GDPR'a uyum sağlandığına yönelik ifadelere yer verilmesi, veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanunu'na karşı yükümlülüklerini ortadan kaldırmaz. Bu doğrultuda aydınlatma metinlerinde GDPR'a atıf yapılmasının yanında, ilgili politika ve kuralların öncelikle 6698 sayılı Kanun'a uygun olarak düzenlenmesi gerekmektedir.
Görevli ve Temsilci Tayini Zorunlulukları
GDPR madde 37 doğrultusunda; yargı yetkisi kapsamındaki mahkemeler dışındaki kamu kurumları, temel faaliyetleri gereği veri sahiplerinin düzenli ve sistematik olarak büyük çaplı izlenmesini gerektiren işleme süreçlerini yürütenler ile özel kategorideki veriler ya da ceza mahkûmiyetlerine ilişkin verileri büyük ölçekte işleyen veri sorumluları ve işleyenler için bir Veri Koruma Görevlisi (DPO) atanması zorunludur. Bununla birlikte GDPR madde 27, Birlik sınırlarında yerleşik olmayan veri sorumlularına, veri işlemenin istisnai olması ve geniş ölçekli özel nitelikli veri içermemesi veya kamusal bir görev ifa edilmesi halleri saklı kalmak kaydıyla, Birlik içinde yerleşik bir Veri Koruma Temsilcisi (DPR) atama mükellefiyeti yükler.
Veri koruma görevlisi (DPO) ve veri koruma temsilcisi (DPR) müesseseleri 6698 sayılı Kanun kapsamında düzenlenmemiştir. Ancak Türkiye'de yerleşik olmayan veri sorumluları bakımından Veri Sorumluları Sicili Hakkında Yönetmelik madde 5/1-c hükmü devreye girmektedir. Anılan fıkra uyarınca Türkiye'de mukim bulunmayan veri sorumlularının, veri işleme faaliyetine başlamadan önce veri sorumlusu temsilcisi tayin ederek Sicile kayıt yaptırmaları zorunlu kılınmıştır.
Veri Koruma Etki Değerlendirmesi ve Sicil Yükümlülüğü
GDPR madde 35 kapsamında Veri Koruma Etki Değerlendirmesi (DPIA) kurumu düzenlenmiştir. Gerçek kişileri önemli ölçüde etkileyen ve profil çıkarma dahil otomatik işlemeye dayanan sistematik değerlendirmelerde, özel nitelikli veriler ile mahkûmiyet verilerinin büyük çapta işlenmesinde veya kamusal alanların büyük ölçekli sistematik gözetiminde etki değerlendirmesi yapılması mecburidir. Bu nitelikte bir etki değerlendirmesi mekanizması 6698 sayılı Kanun'da yer almamaktadır.
6698 sayılı Kanun, belirlenen istisnalar haricindeki veri sorumluları için Veri Sorumluları Sicili'ne (VERBİS) kayıt zorunluluğu getirmektedir. Kamuya açık olan bu sicil, veri sorumlusunun veri envanterine dayalı işleme faaliyetlerinin ana çerçevesini gösterir. Buna karşılık GDPR sisteminde kamuya açık bir platformda alenileştirme zorunluluğu bulunmamakta; GDPR madde 30 uyarınca işleme faaliyetlerine ilişkin bilgileri içeren kayıtların dahili olarak tutulması ve talep halinde denetim makamına sunulması öngörülmektedir.
Kişisel Verileri Silme Yükümlülüğünün Kapsamı
GDPR madde 17'de düzenlenen silme yükümlülüğü uyarınca; verilerin toplanma amacına ilişkin gerekliliğin kalkması, rızanın geri alınması ve başkaca hukuki dayanağın bulunmaması, işleme faaliyetine haklı sebeple itiraz edilmesi, verilerin hukuka aykırı işlenmiş olması, Birlik veya üye devlet hukukundaki bir yasal mükellefiyetin gerektirmesi yahut bilgi toplumu hizmetlerinin sunumu kapsamında toplanmış olması durumlarında veri sorumlusu, ilgili verileri gecikmeksizin silmekle yükümlüdür.
Aydınlatma metninde GDPR'a atıf yapılması KVKK yükümlülüğünü karşılar mı?
Hayır, aydınlatma metinlerinde GDPR'a uyum sağlandığının belirtilmesi veri sorumlularının 6698 sayılı Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz; kuralların öncelikle Türk mevzuatına uygun olması gerekir.
DPO ve DPR unvanları KVKK kapsamında zorunlu mudur?
Veri koruma görevlisi (DPO) ve veri koruma temsilcisi (DPR) kavramları 6698 sayılı Kanun metninde yer almamaktadır ve Türk hukuku uyarınca bu unvanlarla görevlendirme yapılması düzenlenmemiştir. Ancak Türkiye'de yerleşik olmayan veri sorumlularının Veri Sorumluları Sicili Hakkında Yönetmelik gereğince veri sorumlusu temsilcisi ataması gerekmektedir.
GDPR kapsamında veri işleyenler zarardan sorumlu tutulabilir mi?
GDPR madde 82 hükmü gereğince, Tüzük ihlalinden kaynaklanan maddi veya manevi zararlardan ötürü hem veri sorumlusu hem de veri işleyen zarar gören tarafa karşı tazminatla sorumlu tutulabilmektedir.
Türkiye'de yerleşik olmayan veri sorumluları VERBİS'e nasıl kaydolur?
Veri Sorumluları Sicili Hakkında Yönetmelik'in 5. maddesinin 1. fıkrasının (c) bendi uyarınca, Türkiye'de yerleşik bulunmayan veri sorumluları veri işleme faaliyetine başlamadan önce atayacakları veri sorumlusu temsilcisi marifetiyle Sicile kayıt yaptırmak zorundadır.
GDPR uyarınca verilerin gecikmeksizin silinmesini gerektiren haller nelerdir?
GDPR madde 17 kapsamında; işleme amacının sona ermesi, rızanın çekilmesi ve başka hukuki sebebin bulunmaması, veri sahibinin itirazı, hukuka aykırı işleme, mevzuattan doğan yasal silme zorunluluğu veya bilgi toplumu hizmetleriyle bağlantılı veri toplanması hallerinde verilerin gecikmeksizin silinmesi gerekmektedir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy