Kişisel Verilerin Korunması

Kişisel verilerin korunması, 24.03.2016 tarihli ve 6698 sayılı “Kişisel Verileri Korunması Kanunu” ile güvence altına alınmıştır. 6698 sayılı KVKK ile; özel hayatın gizliliğine konu olabilecek temel hak ve özgürlükler korunma altına alınırken ayrıca bu verileri işlemekle görevli gerçek ve tüzel kişiliklerin yükümlülükleri ve uyacakları usul ve esaslar düzenlenmiştir.

Kişisel verilerin korunması kanununun dayanağı esasen; Anayasamızın 20. Maddesine eklenen 07.05.2010 tarihli son fıkrası ile atılmıştır. Anayasamızın 20/son fıkrasına göre;

“Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”

Kişisel Veri Nedir?

Kişisel veri tanımı 6698 sayılı KVKK’da yapılmıştır. Yasanın 3/1-d maddesine göre, kişisel veri; kimliği belirli ya da belirlenmesi mümkün gerçek kişiye ilişkin her türlü bilgi” kişisel veri kapsamındadır. Tanımdan da anlaşılacağı üzere kişisel veriler oldukça geniş bir alanı kapsamaktadır. Kişisel veri kavramını örnek yoluyla açıklamak gerekirse; özel hayata konu olabilecek her türlü veri kişisel veri kapsamındadır. Bu nedenle kişinin TC numarası, öz geçmişi, parmak izi veya kan grubu olabileceği gibi telefon numarası, araç plakası, ses ve görüntü kayıtları, adres veya e-posta bilgileri gibi birçok bilgi kişisel veri olarak değerlendirilmektedir.

Kişisel Verilerin İşlenmesi

Kişisel verilerin işlenmesi; kısmen ya da tamamen otomatik bir kayıt sistemi ile mümkündür. Kişisel verilerin işlenmesi kişisel verilerin korunması kanunu (KVKK) kapsamındaki verilerin; depolanması, kayıt altına alınması, başka bir yere aktarılması, sınıflandırılması veya değiştirilmesi ya da gerektiğinde imha edilmesi / silinmesi şeklinde yapılmaktadır. 6698 sayılı kişisel verilerin korunması kanunu kapsamında yapılan tüm bu işlemler kişisel verilerin işlenmesi olarak tabir edilmektedir.

Kişisel verilerin işlenmesi bir takım usul ve esaslara göre yapılmaktadır. Kişiler verilerin işlenmesi konusunda uyulması gereken usul ve esaslar 6698 sayılı yasanın 4/2 maddesi ve alt bendlerinde belirtilmiştir. Buna göre özetle;

• Kişisel veriler hukuka ve dürüstlük kurallarına uygun olmalıdır.
• Doğru şekilde işlenip gerektiğinde güncellemeler yapılmadır.
• Açık ve meşru amaçlar için işlenmelidir.
• İşlendikleri amaca uygun olmalıdır.
• İşlendikleri amaca uygun bir süre muhafaza edilmelidir.

Özel Nitelikli Kişisel Veri

Özel nitelikli kişisel veri tanımı 6698 sayılı kişisel verilerin korunması kanunun 6/1 maddesinde yapılmıştır. Tanıma göre; “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.”

Tanımdan da anlaşılacağı üzere özel nitelikli kişisel veriler öğrenilmesi durumunda bir takım ayrımcılık yapılmasına yol açılabileceği düşünüldüğünden; özel nitelikli kişisel verilerin işlenmesi ve düzenlenmesi için ayrı bir düzenleme yapılması yoluna gidilmiştir.

Aydınlatma Yükümlülüğü

6698 Sayılı Kişisel Verilerin Korunması Hakkında Kanun ile kişisel verilerin işlenmesi, değiştirilmesi veya nakledilmesi gibi işlemlerin yapılması sürecideki görevli kişilere yüklenen sorumlulukların başında aydınlatma yükümlülüğü bulunmaktadır. Bu nedenle aydınlatma yükümlülüğü 6698 sayılı yasanın 10. Maddesinde düzenlenmiştir. Şöyle ki aydınlatma yükümlülüğünün ihlali sonucu sorumluların kabahatler kanununu uyarınca eylemin niteliğine göre haklarında idari para cezası uygulanacağı hüküm altına alınmıştır. Ayrıca aydınlatma yükümlüğünün yerine getirilmesi bir takım usul esaslarına dayandırılmıştır. 6698 sayılı kişisel verilerin korunması hakkında kanunun 10/1 maddesine göre;

• Veri sorumlusunun veya temsilcisinin kimliği
• Kişisel verilerin işlenmesindeki amaç
• Kişisel verilerin paylaşılabileceği kişi ve kurumlar
• Kişisel verinin toplanma yöntemi ve hukuki dayanağı
• Veri sahibinin 6698 sayılı yasanın Maddesinde belirtilen hakları konusunda bilgi verilmesi gerekmektedir.

KVKK Aydınlatma Metni

KVKK aydınlatma metni genel olarak dijital ortamlardaki işlemlerde karşımıza çıkmaktadır. KVVK sözleşmesi olarak da anılan KVKK aydınlatma metni bir bakıma aydınlatma yükümlülüğünün yerine getirilmesi amacı ile hazırlamaktadır. KVKK aydınlatma metni 6698 sayılı kişisel verileri korum kanunun 10 ve 11. Maddelerine dayanılarak hazırlanması ve ilgilisinin onaylaması gereken belgelerdendir.

Açık Rıza

KVKK kapsamında açık rıza aynı kanunun 3. Maddesinde tanımlanmıştır. Tanıma göre, Açık rıza; “belirli bir konuya ilişkin bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı” ifade etmektedir.

Açık rıza bir bakıma kişisel verileri konuma kanunu kapsamındaki verilerin kullanım biçimlerine veya sınırlamalarına izin verilmesidir. Kişisel verilere konu açık rızanın ilgilisine bildirilmesi ise uygulamada açık rıza beyanı olarak anılmaktadır. Tanımdan da anlaşılacağı üzere açık rızanın bilgilendirilmeye dayanması, belirli bir konuya ilişkin olması ve kişinin özgür iradesi ile açıklanması gerekmektedir.

KİŞİSEL VERİLERİN KORUNMASI KANUNUNA AYKIRILIK

Kişisel verilerin korunması kanununa aykırılık eylemin niteliğine göre; Türk Ceza Kanunun 135, 136, 137, 138 ve 140. Maddeleri uyarınca suç teşkil edebileceği gibi; kabahatler kanunu uyarınca idari para cezasına da tabi olabilmektedir.

Kişisel verilerin korunması kanununa aykırılık Türk Ceza Kanunun 135. Maddesinde belirtilen “kişisel verilerin kaydedilmesi” suçunu oluşturması halinde fail; “bir yıldan üç yıla kadar hapis cezası” ile cezalandırılacağı belirtilmiştir. Ayrıca failin eyleminin “kişisel verileri hukuka aykırı olarak verme ve ele geçirme” suçunu oluşturması halinde failin; “iki yıldan dört yıla kadar hapis” cezası ile cezalandırılacağı hüküm altına alınmıştır. Ayrıca suçun kamu görevlisi tarafından işlenmesi nitelikli hal olarak kabul edilerek daha ağır cezayı gerektirmektedir. Bu konuda “Kişisel Verilerin Kaydedilmesi ve Kişiler Verilerin Verilmesi” başlıklı makalemizi inceleyebilirsiniz.

Kişisel verilerin korunması kanununa aykırılık ayrıca idari para cezasını gerektiren durumlara da sebebiyet vermektedir. Bu durumlar 6698 sayılı Kişisel verilerin korunması kanununun 18/1 maddesi ve alt bendlerinde sıralanmıştır. Buna göre;

• İdari para cezasına konu eylemin 6698 sayılı kanunun 10. Maddesinde belirtilen aydınlatma yükümlülüğünü ihlal şeklinde gerçekleşesi durumunda ilgili hakkında 5.000 TL ile 100.000 TL arasında idari para cezası uygulanacağı,
• Eylemin aynı kanunun 12 maddesinde belirtilen “veri güvenliğinin ihlali” şeklinde gerçekleşmesi halinde; 15.000 TL ile 1.000.000 TL arasında idari para cezası uygulanacağı,
• Maddede belirtilen kurul tarafında verilen kararların yerine getirilmemesi halinde; 25.000 TL ile 1.000.000 TL arasında idari para cezası ile cezalandırılacağı,
• Ayrıca kayıt ve bildirim yükümlülüğüne aykırı hareket edenlerin ise; 20.000 TL ile 1.000.000 TL arasında idari para cezası ile cezalandırılacağı hüküm altına alınmıştır.

KİŞİSEL VERİLERİN KORUNMASI KURULUNA BAŞVURU

İlgililer kendileri ile ilgili kişisel nitelikte olan verilerin bu kanun kapsamında işlenip işlenmediği konusunda 6698 sayılı kişisel verilerin korunması hakkında kanunun 13 maddesi gereğince kişisel verilerin korunması kuruluna başvuru hakkına sahiptirler. Bu başvuru ile ayrıca herhangi bir hukuka aykırılık bulunması halinde zararın tazmini de talep edilebilmektedir.

Kişisel verilerin korunması kuruluna başvurunun dayanağı kişisel verilerin korunması kanununa muhalefet, aydınlatma yükümlülüğü, açık rıza veya kişisel verilerin işlenmesi hakkında olabilmektedir. Başvurunun öncelikle veri sorumlusuna yapılması gerekmektedir. Başvurunun reddedilmesi veya yasal süre içerisinde cevap verilmemesi halinde ise; ilgili kurula şikayet hakkını kullanabilmektedir.

Kişisel verilerin korunması kuruluna başvuru sonrasında herhangi bir şekilde hukuka aykırılık tespit edilmesi halinde kurum resen soruşturma yapabileceği gibi eylemin ayrıca suç teşkil etmesi hallerinde ilgili makamlara suç duyurusunda bulunabilecektir. Google ile sitemize ve diğer içeriklerimize ulaşabilirsiniz.