Kişisel Verilerin Korunması (KVKK): Temel Yükümlülükler

6698 sayılı Kişisel Verilerin Korunması Kanunu 2016'da yürürlüğe girdi ve Türkiye'de kişisel verilerin işlenmesini ilk kez bütünlüklü bir sisteme bağladı. Kanun; kişileri, şirketleri ve kamu kurumlarını, kimliği belirli ya da belirlenebilir gerçek kişiye ait her türlü bilgiyi işlerken belirli kurallara uymakla yükümlü kılar. 2024'te yapılan değişikliklerle özel nitelikli verilerin işlenme şartları ve yurt dışına aktarım kuralları yeniden düzenlendi.

Kişisel veri ve özel nitelikli veri

Ad, soyad, telefon numarası, IP adresi, kamera görüntüsü ve konum bilgisi kişisel veridir. Sağlık, cinsel hayat, biyometrik ve genetik veriler, ceza mahkûmiyeti, din ve dernek üyeliği gibi bilgiler ise özel nitelikli kişisel veri sayılır ve daha sıkı şartlara tabidir. Bir verinin tek başına kimseyi tanımlamaması, başka verilerle birleştirildiğinde tanımlayabiliyorsa koruma dışı kalmasını sağlamaz.

İşleme şartları

Kanun, kişisel verilerin ancak belirli hukuki sebeplere dayanılarak işlenebileceğini söyler: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi veya korunması, veri sorumlusunun meşru menfaati ve son olarak açık rıza. Uygulamadaki yaygın yanlış, her işlem için açık rıza alınmasıdır. Oysa diğer şartlardan biri varsa açık rıza istenmemeli; gereksiz rıza metinleri hem hukuken sorunlu hem de denetimde aleyhe değerlendirilen bir uygulamadır.

Veri sorumlusunun yükümlülükleri

• Aydınlatma: Veri toplanırken kişiye hangi verinin, hangi amaçla, kime aktarılacağı ve haklarının neler olduğu anlatılmalıdır.
• Veri güvenliği: Yetkisiz erişimi önleyecek teknik ve idari tedbirler alınmalı, çalışanlara eğitim verilmeli, erişim yetkileri sınırlandırılmalıdır.
• VERBİS kaydı: Kurulun belirlediği eşikleri aşan veri sorumluları sicile kayıt olmak zorundadır.
• İhlal bildirimi: Verilerin hukuka aykırı olarak başkalarınca elde edilmesi halinde Kurula en kısa sürede, uygulamada 72 saat içinde bildirim yapılmalıdır.
• Saklama ve imha: İşleme amacı ortadan kalkan veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.

İlgili kişinin hakları ve başvuru

Verisi işlenen kişi; verisinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme ve hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme hakkına sahiptir. Önce veri sorumlusuna yazılı başvuru yapılır; otuz gün içinde cevap verilmez ya da cevap yetersiz bulunursa Kişisel Verileri Koruma Kurulu'na şikâyet yolu açılır. Kurulun verdiği idari para cezaları, işletmeler için ciddi bir yük oluşturabilir.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş veya danışmanlık niteliği taşımaz. Mevzuat ve yargı uygulaması değişebilir; somut olayınız için bir avukata danışın.