Kişisel Verilerin Korunması
Kişisel verilerin korunması günümüzde bireylerin temel hak ve özgürlüklerinin ayrılmaz bir parçası haline gelmiştir. Teknolojinin gelişimiyle kişisel veri işleme süreçleri karmaşıklaştığı için bu alandaki hukuki düzenlemelerin önemi artmıştır.
Başta 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) olmak üzere, ulusal ve uluslararası mevzuata uygun olarak kurumun veri işleme süreçlerini bu çalışmada bulabilirsiniz. Bu çalışma, kişisel verilerin işlenmesi, saklanması, aktarılması ve imha edilmesi gibi temel süreçlerde uyulması gereken esasları açık bir şekilde ortaya koyarak tüm paydaşlar için bir rehber niteliği taşımaktadır. Kurumlar, kişisel verilerin korunmasına yönelik yükümlülüklerini yerine getirirken şeffaflık ve hesap verebilirlik ilkelerini esas almalıdır. Kişisel verilerin korunmasının yalnızca idari bir zorunluluk değil, aynı zamanda etik bir sorumluluk olduğu vurgulanmaktadır.
Mevzuat ve Kapsam
Kişisel verilerin korunmasına ilişkin mevzuat, uluslararası ve ulusal düzeyde çeşitli düzenlemeleri içermektedir.
- Uluslararası Mevzuat arasında Avrupa İnsan Hakları Sözleşmesi, OECD’nin Özel Yaşamın Korunması ve Kişisel Verilerin Sınır Ötesi Akışına İlişkin Rehber İlkeler, Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi (108 Nolu Sözleşme), BM’nin Bilgisayarla İşlenen Kişisel Veri Dosyalarına İlişkin Rehber İlkeleri, 95/46/EC Sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi, 181 Nolu Sözleşmeye Ek Denetleyici Makamlar ve Sınır Aşan Veri Akışına İlişkin Protokol ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) bulunmaktadır.
- Ulusal Mevzuat ise Türk Ceza Kanunu (5237 sayılı), Anayasa’daki ilgili hükümler, 108 Nolu Sözleşmenin ve Protokolünün Türk Hukukuna dâhil edilmesi, Kişisel Verilerin Korunması Kanunu (6698 sayılı), Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik, Kişisel Verileri Koruma Kurulu Çalışma Usul Ve Esaslarına Dair Yönetmelik, Kişisel Verileri Koruma Uzmanlığı Yönetmeliği, Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul Ve Esaslar Hakkında Tebliğ, Kişisel Verileri Koruma Kurumu Teşkilat Yönetmeliği, Personel Sertifikasyon Mekanizmasına İlişkin Usul ve Esaslar Hakkında Tebliğ, Kişisel Verileri Koruma Kurumu Disiplin Amirleri Yönetmeliği, Veri Sorumluları Sicili Hakkında Yönetmelik ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul Ve Esaslar Hakkında Yönetmelik gibi çeşitli kanun ve yönetmelikleri içermektedir.
KVKK’nın oluşturulması sürecinde ilk mevzuat değişikliği Ceza Kanunu ile yapılmış olup, bu durum kişisel verilerin korunmasının ciddiyetinin erken dönemde farkına varıldığını göstermektedir. Daha sonra, teknolojik gelişmelerle bu korumanın önemi artınca, 2010 yılında Anayasa’nın 20. maddesine eklenen bir fıkra ile kişisel veri koruması anayasal güvenceye alınmıştır. KVKK, bu anayasal düzenlemeye dayanılarak oluşturulmuştur.
Kişisel Veri Tanımı ve Türleri
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kanun, kişisel verinin neler olduğu konusunda bir sınırlama getirmemiştir. Örneğin, ad, soyad, kimlik numarası gibi doğrudan kimliği belirten bilgiler kişisel veri olduğu gibi, belirli özellikler üzerinden bir kişinin belirlenebilmesini sağlayan bilgiler de kişisel veri olabilir.
Özel nitelikli kişisel veriler ise öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyetine neden olabilecek verilerdir ve Kanun’da sayma yoluyla belirtilmiştir. Bunlar arasında siyasi düşünce, ırk, etnik köken, din, mezhep, kılık kıyafet, felsefi inanç, dernek, vakıf, sendika üyeliği, sağlık, biyometrik ve genetik veriler, cinsel hayat ve ceza mahkûmiyeti yer almaktadır. Bu veriler, diğer kişisel verilere göre daha hassas oldukları için sıkı bir şekilde korunmaları gerekmektedir.
Kişisel olmayan veriler ise tüzel kişi verileri, anonim hale getirilmiş veri, merhum kişinin verileri ve gerçek kişiye atfedilemeyen diğer verilerdir.
Kişisel Veri İşleme Faaliyetleri ve Şartları
Veri işleme, kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi çok çeşitli işlemleri kapsar.
İşlenme Şartları
Kişisel verilerin işlenebilmesi için Kanun’da belirtilen işlenme şartlarından en az birinin bulunması gerekmektedir. Bu şartlar şunlardır:
- Açık rıza.
- Kanunlarda açıkça öngörülme.
- Fiili imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- Veri sorumlusunun meşru menfaatleri için veri işlemesinin zorunlu olması kaydıyla, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.
Özel nitelikli kişisel verilerin işlenmesi ise daha sıkı koşullara tabidir ve KVK Kurulu tarafından belirlenmiş olan yeterli önlemlerin alınması şartına bağlıdır. 12.03.2024 tarihinde yapılan değişiklikle sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli verilerin işlenme şartları arasındaki farklılık kaldırılmıştır.
Veri işlemenin hukuka uygun olabilmesi için yukarıdaki şartlardan en az birinin sağlanmasının yanı sıra aydınlatma yükümlülüğünün yerine getirilmesi, işlenecek kişisel verinin belirli bir amaç ve süre ile sınırlı olması ve temel ilkelere uygun olması gerekmektedir. Temel ilkeler arasında hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme yer almaktadır.
Kanun’da bazı kısmi ve tam istisnalar da bulunmaktadır. Kısmi istisnalar, belirli durumlarda bazı hükümlerin uygulanmaması anlamına gelirken (örneğin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması), tam istisnalar ise Kanun’un kapsamına tamamen girmeyen durumları ifade eder (örneğin kişisel verilerin gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi).
Veri Sahibinin Hakları ve Veri Sorumlusunun Yükümlülükleri
KVKK, kişisel verileri işlenen kişilere (ilgili kişilere) çeşitli haklar tanımaktadır. Bu haklar arasında:
- Kişisel verilerinin işlenip işlenmediğini öğrenme.
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.
- Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
- Yurtiçinde veya yurtdışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme.
- Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme.
- Kanun’da öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteme.
- Yukarıdaki düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
- Kişisel verilerinin Kanun’a aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.
İlgili kişiler bu haklarını veri sorumlusuna başvurarak kullanabilirler. Veri sorumlusu, başvuruları en kısa sürede ve en geç 30 gün içinde sonuçlandırmakla yükümlüdür. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi Kişisel Verileri Koruma Kurulu’na (Kurul) şikayette bulunabilir.
Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür. Ayrıca, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde de bu tedbirlerin alınması konusunda onlarla birlikte müştereken sorumludur. Veri sorumluları, kendi kurum veya kuruluşlarında Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri ihlali durumunda, veri sorumlusu bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirmekle yükümlüdür.
Silme, Yok Etme ve Anonim Hale Getirme
Hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler re’sen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.
- Silme, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
- Yok etme, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
- Anonim hale getirme, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
Aydınlatma, Açık Rıza ve Aktarım
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi aydınlatmakla yükümlüdür. Aydınlatma yükümlülüğü kapsamında veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin hakları hakkında bilgi verilmelidir. Aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir ve açık, anlaşılır ve sade bir dille yapılmalıdır.
Açık rıza, ilgili kişinin sahip olduğu verisinin işlenmesine kendi isteğiyle ve bilgilendirilmiş olarak verdiği onay anlamına gelir. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir rıza olmalıdır. Açık rıza alınması, kişisel verilerin işlenmesi için Kanun’da başka bir hukuka uygunluk sebebi bulunmadığında başvurulan bir yoldur.
Kişisel verilerin yurtdışına aktarımı için Kanun’daki işlenme şartlarından veya özel nitelikli kişisel verilerin işlenme şartlarından en az birinin bulunması ve aktarılacak ülkede yeterli korumanın bulunması gerekmektedir. Yeterli koruma yoksa, veri sorumlusunun yeterli koruma tedbirlerini alacağını taahhüt etmesi ve Kurul’un iznini alması gerekmektedir. Bu şartlar sağlanamıyorsa, ilgili kişinin açık rızası olmadan kişisel veri yurtdışına aktarılamaz.
Suçlar ve Kabahatler
KVKK’da kişisel verilere ilişkin çeşitli suçlar ve kabahatler düzenlenmiştir. Türk Ceza Kanunu’nda kişisel verileri hukuka aykırı kaydetme, verme veya ele geçirme, verileri yok etmeme gibi fiiller suç olarak tanımlanmıştır ve bu fiilleri işleyenlere hapis cezaları verilebilmektedir. Kanun’un 18. maddesinde ise aydınlatma yükümlülüğünü yerine getirmeme, veri güvenliğine ilişkin yükümlülükleri yerine getirmeme, Kurul kararlarını yerine getirmeme, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket etme gibi fiiller kabahat olarak düzenlenmiş ve bu fiilleri işleyenlere idari para cezaları uygulanmaktadır.
Kişisel Verileri Koruma Kurumu
6698 sayılı Kanun ile verilen görevleri yerine getirmek üzere idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu kurulmuştur. Kurum, Kurul ve Başkanlıktan oluşur ve karar organı Kurul’dur. Kurum’un temel görevleri arasında uygulamaları ve mevzuattaki gelişmeleri takip etmek, değerlendirme ve önerilerde bulunmak, iş birliği yapmak, uluslararası gelişmeleri izlemek ve yıllık faaliyet raporunu sunmak yer almaktadır. Kurul, görevlerini bağımsız olarak yerine getirir ve hiçbir organ, makam, merci veya kişi Kurul’a emir ve talimat veremez.
Sonuç
Kurum ve kuruluşlar 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır ve ilgili mevzuata uygun gerekli düzenlemeleri yaparak önlemleri almak, bunları düzenli olarak kontrol etmek, değişiklikler hakkında tüm birimleri haberdar etmek ve bir ihlal söz konusu olması durumunda ivedilikle Kurum’u haberdar etmekle yükümlüdür. Bu amaçla kurumlar kendi bünyesinde “Kişisel Verilerin Korunması Komisyonu” kurulmuş ve çeşitli çalışmalar yürütmelidir. Komisyon tarafından Kişisel Verileri Koruma Politikası, çeşitli aydınlatma metinleri ve açık rıza beyanları hazırlanmalıdır. Kurumun web sitesinin KVKK kapsamında yeniden düzenlenmesi ve ilgili belgelere kolay erişim imkanı sunulması planlanmalıdır. Ayrıca, veri güvenliğinin sağlanması için idari ve teknik tedbirlerin alınması ve bu konuda ilgili teknik birimleri (Bilgi-İşlem gibi) ile iş birliği yapılması gerektiği değerlendirilmektedir. Kurumların yurtdışına veri aktarım süreçleri de KVKK ve ilgili düzenlemeler çerçevesinde titizlikle takip edilmekte ve gerekli ön çalışmalar yapılmaktadır.
Sonuç olarak, Kişisel Verilerin Korunması, kurumlar için sadece yasal bir zorunluluk değil, aynı zamanda bireylerin mahremiyetine saygı gösteren etik bir sorumluluktur. Kurum, bu çalışmada belirtilen ilke ve kurallara uygun hareket ederek veri koruma kültürünü güçlendirmeyi ve bireylerin haklarını en üst seviyede korumayı amaçlamak zorundadır.
