KVKK (6698): Kişisel Verilerin Korunması Kanunu’na Genel BakışKVKK (6698): Kişisel Verilerin Korunması Kanunu’na Genel Bakış

Kanunun amacı ve kapsamı

6698 sayılı Kanun, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunmasını amaçlar. Kanun, kişisel verileri işleyen gerçek ve tüzel kişilere uygulanır. Bir işletme, bir kamu kurumu, bir avukatlık bürosu veya bir dernek, kişisel veri işliyorsa kanunun kapsamına girebilir.

Kanun, bazı durumları kapsam dışında bırakmıştır. Kişisel verilerin yalnızca kişinin kendisi veya aynı konutta yaşayan aile fertleri ile ilgili faaliyetler kapsamında, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla işlenmesi bunlardan biridir.

Kanun aynı zamanda Kişisel Verileri Koruma Kurumunu ve Kurulunu düzenler. Kurul, kanunun uygulanmasını izler, şikâyetleri inceler ve gerekli durumlarda idari yaptırım uygular.

Kişisel veri ve özel nitelikli kişisel veri

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tüzel kişilere ait bilgiler kanun kapsamında kişisel veri sayılmaz. Bir bilginin kişisel veri olup olmadığı, tek başına veya diğer bilgilerle birlikte bir kişiyi belirlenebilir kılıp kılmadığına bakılarak değerlendirilir.

Kanun, bazı veri türlerini özel nitelikli kişisel veri olarak ayırır ve bunlara daha sıkı koruma getirir. Kanunun 6. maddesine göre kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Bu verilerin işlenmesi yasaktır; 6. maddenin üçüncü fıkrasındaki şartlardan birinin bulunması hâlinde işlenebilir ve ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

İşleme ilkeleri

Kanunun 4. maddesi, kişisel verilerin işlenmesinde uyulması gereken genel ilkeleri sayar. Bu ilkeler tüm işleme faaliyetleri için geçerlidir.

Bu ilkeler birbirini tamamlar. Örneğin amaçla sınırlı işleme ilkesi, bir amaçla toplanan verinin sonradan bağlantısız başka bir amaçla kullanılmasını engellemeyi hedefler.

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

İşleme şartları ve açık rıza

Kural olarak kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak kanunun 5. maddesi, açık rıza aranmaksızın veri işlenebilecek hâlleri sayar. Kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve meşru menfaat bunlar arasındadır.

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Her işleme faaliyeti için ayrı bir sebep belirlenmesi gerekir. Özel nitelikli veriler için şartlar 6. maddede ayrıca düzenlenmiştir.

Aydınlatma yükümlülüğü ve ilgili kişi hakları

Kanunun 10. maddesi, veri sorumlusunun verileri elde etme sırasında ilgili kişileri aydınlatmasını zorunlu kılar. Aydınlatmada veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları belirtilir.

Kanunun 11. maddesi ise ilgili kişinin haklarını düzenler. Kişi, verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, 7. maddedeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme gibi haklara sahiptir. İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir (m.13).

Veri güvenliği konusunda alınacak tedbirler, verinin niteliğine ve işlemenin riskine göre değişir. Erişim yetkilerinin sınırlandırılması, verilerin şifrelenmesi ve düzenli yedekleme bu tedbirlere örnek olarak verilebilir.

Veri güvenliği ve silme

Kanunun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Bu konuya ilişkin ayrı bir sayfada ayrıntı verilmiştir.

Kanunun 7. maddesi uyarınca işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Bu işlem, kanuni saklama süreleri gibi bağlayıcı sınırlar çerçevesinde yürütülür.

Yurt dışına aktarım ve diğer düzenlemeler

Kişisel verilerin yurt dışına aktarılması kanunun 9. maddesinde ayrıca düzenlenmiştir. Bu madde yakın dönemde değiştirilmiştir ve aktarımın hangi şartlarla yapılabileceği güncel kanun metninden okunmalıdır.

Kanunun 17. maddesi, suçlar bakımından Türk Ceza Kanunu’nun ilgili hükümlerine atıf yapar. İdari yaptırımlar ve başvuru yolları ayrı bir sayfada ele alınmıştır.

Küçük işletmeler için genel uyum noktaları

Kanun, işletmenin büyüklüğüne bakmaksızın kişisel veri işleyen herkes için geçerlidir. Küçük bir işletme için de hangi verileri, ne amaçla ve ne kadar süre işlediğini bilmek, aydınlatma metinlerini hazırlamak ve verileri güvende tutmak temel adımlardır.

Uygulamada yaygın görülen alanlar arasında internet sitesi iletişim formları, çerezler, çalışan özlük dosyaları, müşteri kayıtları ve kamera kayıtları yer alır. Her alan için işleme şartlarının ve aydınlatma yükümlülüğünün ayrı ayrı değerlendirilmesi gerekir.