Kişisel Verilerin Korunması Kanunu (KVKK): Temel İlkeler, Haklar ve Yükümlülükler

Kişisel Verilerin Korunması Kanunu (KVKK)

Neredeyse her gün kişisel bilgilerimizin çalındığına, bu verilere yetkisiz şekilde erişildiğine veya kişisel verilerin hukuka aykırı biçimde kullanılarak çeşitli menfaatler elde edildiğine ilişkin haberlerle karşılaşıyoruz.

Türkiye’de kişisel verilerin korunmasına ilişkin ilk kapsamlı düzenleme, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu, kısaca KVKK’dır.

KVKK ile kişisel veri, veri sorumlusu ve veri işleyen gibi temel kavramlar; kişisel verilerin işlenme şartları, veri sorumlularının yükümlülükleri ve ilgili kişilerin hakları ayrıntılı biçimde düzenlenmiştir.

Kişisel Veri Nedir?

KVKK’da kişisel veri:

“Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”

olarak tanımlanmaktadır.

Bu tanımdan hareketle, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilen her türlü bilgi kişisel veri kapsamında değerlendirilebilir.

Bunlar arasında:

• Ad ve soyad
• T.C. kimlik numarası
• İletişim bilgileri
• IP adresi
• Lokasyon bilgileri
• Teknik tanımlayıcılar
• Bir kişiyle ilişkilendirilebilecek diğer bilgiler

yer alabilir.

Dolayısıyla kişisel veri kavramı yalnızca bir kişinin kimliğini doğrudan ortaya koyan bilgilerle sınırlı değildir.

Dolaylı olarak kimlik tespitine imkan veren veriler de KVKK kapsamında kişisel veri niteliği taşıyabilir.

Veri Sorumlusu ve Veri İşleyen

KVKK kapsamında kişisel veri işleme faaliyetlerinden sorumlu en önemli aktörlerden biri veri sorumlusudur.

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

Veri sorumlusu aynı zamanda KVKK kapsamındaki uyum yükümlülüklerinin temel muhataplarından biridir ve yükümlülüklerin yerine getirilmemesi halinde idari yaptırımlarla karşılaşabilir.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Bu nedenle veri işleyenin yetki ve sorumluluk alanı, veri sorumlusu tarafından belirlenen çerçeve içerisinde şekillenmektedir.

Bu ayrım, kişisel veri işleme faaliyetlerinin hukuka uygun ve güvenli şekilde yürütülmesinde veri sorumlusunun rolünün önemini de ortaya koymaktadır.

Kişisel Verilerin İşlenmesinde Uyulması Gereken İlkeler

KVKK’nın 4. ve 5. maddeleri, kişisel veri işleme faaliyetleri açısından temel düzenlemeler arasında yer almaktadır.

Madde 4, kişisel veriler işlenirken uyulması gereken genel ilkeleri düzenlemektedir.

KVKK Madde 4/2 Kapsamındaki İlkeler

Kişisel verilerin:

1. Hukuka ve dürüstlük kurallarına uygun olarak işlenmesi.
2. Doğru ve gerektiğinde güncel olması.
3. Belirli, açık ve meşru amaçlarla işlenmesi.
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması.
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi

gerekmektedir.

Bu ilkeler, KVKK kapsamında gerçekleştirilen tüm kişisel veri işleme faaliyetlerinin temelini oluşturmaktadır.

Kişisel Verilerin İşlenme Şartları

Kural olarak kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez.

Bununla birlikte KVKK Madde 5/2 kapsamında açık rıza alınmaksızın kişisel veri işlenmesine imkan tanıyan belirli hukuki sebepler düzenlenmiştir.

Bunlar:

1. Kanunlarda açıkça öngörülmesi.
2. Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması.
3. Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
5. İlgili kişinin kişisel veriyi kendisi tarafından alenileştirmiş olması.
6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek şartıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olmasıdır.

Bu nedenle şirketlerin kişisel veri işlemeye başlamadan önce ilgili faaliyet açısından geçerli hukuki sebebi doğru şekilde belirlemesi gerekir.

Özel Nitelikli Kişisel Veriler

KVKK bazı kişisel veri kategorilerini daha hassas kabul etmekte ve bunları özel nitelikli kişisel veri olarak düzenlemektedir.

Bu kapsamda:

• Irk
• Etnik köken
• Siyasi düşünce
• Felsefi inanç
• Din, mezhep veya diğer inançlar
• Kılık ve kıyafet
• Dernek, vakıf veya sendika üyeliği
• Sağlık
• Cinsel hayat
• Ceza mahkumiyeti ve güvenlik tedbirleri
• Biyometrik veriler
• Genetik veriler

özel nitelikli kişisel veriler arasında yer almaktadır.

Bu veriler, hassas yapıları nedeniyle daha sıkı işleme şartlarına ve güvenlik tedbirlerine tabidir.

İlgili Kişinin Hakları

KVKK, kişisel verileri işlenen kişilere çeşitli haklar tanımaktadır.

Bu haklar temel olarak Kanun’un 11. maddesinde düzenlenmiştir.

İlgili kişi veri sorumlusuna başvurarak:

1. Kişisel verisinin işlenip işlenmediğini öğrenebilir.
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep edebilir.
3. Kişisel verilerin işlenme amacını ve bu amaçlara uygun kullanılıp kullanılmadığını öğrenebilir.
4. Kişisel verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenebilir.
5. Eksik veya yanlış işlenen kişisel verilerin düzeltilmesini talep edebilir.
6. KVKK Madde 7 kapsamında gerekli şartlar oluşmuşsa kişisel verilerin silinmesini veya yok edilmesini isteyebilir.
7. Düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir.
8. İşlenen verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine bir sonuç ortaya çıkmasına itiraz edebilir.
9. Kişisel verilerin hukuka aykırı olarak işlenmesi nedeniyle zarara uğraması halinde zararın giderilmesini talep edebilir.

Bu haklar, kişilerin kendilerine ait verilerin nasıl toplandığı, kullanıldığı, aktarıldığı ve saklandığı konusunda önemli bir kontrol mekanizmasına sahip olmasını sağlamaktadır.

Kişisel Verilerin İşlenmesi Ne Anlama Gelir?

KVKK, kişisel verilerin işlenmesi kavramını oldukça geniş biçimde tanımlamaktadır.

Kişisel verilerin tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerle gerçekleştirilen hemen her türlü işlem veri işleme faaliyeti kapsamında değerlendirilebilir.

Bunlar arasında:

• Elde etme
• Kaydetme
• Depolama
• Muhafaza etme
• Değiştirme
• Yeniden düzenleme
• Açıklama
• Aktarma
• Devralma
• Erişilebilir hale getirme
• Sınıflandırma
• Kullanımın engellenmesi

gibi işlemler yer almaktadır.

Dolayısıyla kişisel verilerin işlenmesi yalnızca verilerin toplanması anlamına gelmemektedir.

Kişisel verinin yaşam döngüsü içerisindeki birçok işlem KVKK kapsamında veri işleme faaliyeti niteliği taşıyabilir.

Kişisel Verileri Koruma Kurumu

KVKK kapsamında kişisel verilerin işlenmesi, aktarılması ve saklanmasına ilişkin düzenleyici ve denetleyici yetkilere sahip temel kamu kurumu Kişisel Verileri Koruma Kurumu’dur.

Kurum, Kanun ve ilgili ikincil düzenlemeler kapsamında verilen yetkiler çerçevesinde kişisel verilerin korunmasına ilişkin uygulamaları denetlemektedir.

Veri Sorumlusunun Yükümlülükleri

Veri sorumlularının kişisel veri işleme faaliyetlerini KVKK’da düzenlenen ilke ve şartlara uygun biçimde uçtan uca yürütmesi gerekmektedir.

Bu kapsamda özellikle iki temel yükümlülük öne çıkmaktadır:

• Aydınlatma yükümlülüğü
• Kişisel veri güvenliğini sağlama yükümlülüğü

Veri Sorumlusunun Aydınlatma Yükümlülüğü

KVKK Madde 10 kapsamında veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında ilgili kişiye belirli konularda bilgi vermek zorundadır.

Bu bilgiler:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği.
2. Kişisel verilerin hangi amaçlarla işleneceği.
3. İşlenen kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği.
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi.
5. KVKK Madde 11 kapsamında ilgili kişiye tanınan haklardır.

Aydınlatma yükümlülüğünün, ilgili veri işleme faaliyetine uygun, anlaşılır ve erişilebilir şekilde yerine getirilmesi önem taşımaktadır.

Veri Güvenliğine İlişkin Yükümlülükler

KVKK Madde 12 kapsamında veri sorumlularının uygun güvenlik seviyesini sağlamak amacıyla gerekli teknik ve idari tedbirleri alması gerekmektedir.

Bu tedbirlerin temel amaçları:

1. Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek.
2. Kişisel verilere hukuka aykırı şekilde erişilmesini önlemek.
3. Kişisel verilerin güvenli şekilde muhafaza edilmesini sağlamak.

olarak belirlenmiştir.

Veri güvenliği, yalnızca bir defa yerine getirilecek teknik bir işlem olarak değerlendirilmemelidir.

Şirketlerin erişim yetkilerini, veri saklama politikalarını, siber güvenlik önlemlerini ve kurum içi prosedürlerini düzenli olarak gözden geçirmesi gerekir.

Veri Sorumluları Sicili

KVKK ayrıca belirli veri sorumluları bakımından Veri Sorumluları Siciline kayıt yükümlülüğü öngörmektedir.

Şirketlerin kendi faaliyetleri açısından sicile kayıt zorunluluğu bulunup bulunmadığını değerlendirmesi ve mevcut kayıtlarının yürüttükleri veri işleme faaliyetlerini doğru şekilde yansıtmasını sağlaması önem taşımaktadır.

Sonuç

Kişisel verilerin hukuka uygun şekilde işlenmesi, aktarılması, saklanması ve korunması hem işletmeler hem de ilgili kişiler açısından kritik öneme sahiptir.

Özellikle büyük miktarda kişisel veriyi toplama, birleştirme ve analiz etme kapasitesine sahip teknolojilerin gelişmesiyle birlikte hukuka aykırı veri işleme faaliyetlerinin yaratabileceği riskler daha da önemli hale gelmektedir.

Şirketler açısından KVKK’ya uyulmaması yalnızca idari para cezaları bakımından değil, itibar, operasyon ve ticari faaliyetler açısından da ciddi riskler doğurabilir.

Bu nedenle kişisel veri işleme faaliyetlerinin bütüncül biçimde değerlendirilmesi ve sürecin uygun hukuki, teknik ve organizasyonel tedbirlerle yönetilmesi gerekmektedir.

Legalifi, KVKK ve daha geniş veri koruma yükümlülüklerini dikkate alan teknoloji destekli çözümleriyle şirketlerin kişisel veri uyum süreçlerini daha anlaşılabilir, yönetilebilir ve öngörülebilir hale getirmelerine yardımcı olmayı amaçlamaktadır.