Kişisel verilerin işlenmesi ve korunması tartışmasız olarak bir insan hakkı olarak değerlendirilmektedir.
Ulusal ve uluslararası alanda kişisel verilerin işlenmesi, aktarılması ve imhası alanında gerekli düzenlemeler kapsamında ülkemizde Avrupa Birliği uyum sürecinde bu alanda önemli bir adım atarak 07.04.2016 tarihi ile Resmi Gazete de Kişisel Verileri Koruma Kanunu yayınlanmıştır.[1] Kişisel Verileri Koruma Kurumu kişisel verilerle veri sahibinin haklarının ihlal edildiği iddiası ile yapılan şikayetleri karara bağlamakla ve Kişisel verilerin sınırsız ve gelişigüzel toplanmasının önüne geçilmesi ile yükümlüdür.[2]
KVKK uyarınca kişisel veri bulunduran gerçek ya da tüzel kişi veri sorumlusu; verileri hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlar için işleme, işlendikleri amaçla bağlantılı, ölçülü, öngörülen amaç için gerekli süre ile sınırlı muhafaza etme ilkelerine uygun olarak tutmalıdır.
Kişisel Verilerin İşlenmesi Kural Olarak Açık Rızanın Varlığına Bağlıdır.
Kişisel verilerin işlenmesi ancak kişinin açık rızası ile mümkündür. Ancak kanunda sayılı istisnalara yer verilmiştir;
- Kanunlarda açıkça öngörülmesi.
- Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel Nitelikli Kişisel Verinin Varlığı
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri ÖZEL NİTELİKLİ KİŞİSEL VERİDİR. Bu verilerin kişinin Açık rızası olmadan işlenmesi yasaktır.
Sağlık ve cinsel hayata ilişkin veriler ise; ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
İşlenen Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi
Kişisel verilerin silinmesi, imha edilmesi veya anonim hale getirilmesi işleniş sebebinin ortadan kalkması ve kanunen yükümlü olunan sürenin sona ermesi ile söz konusu olmaktadır.
28.10.2017 Tarihinde KVKK’ nın uygulanabilirliği açısından Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik yayınlanmıştır. Bu yönetmelik gereği bir veri işleme ve imha yöntemleri politikası veri sorumlularından beklenmektedir.
Veri sorumluları verilere erişimi yetkili kişilerce sınırlandırmalı ve sistemin zaaflarını geç olmadan bilişim sistemlerini kullanarak tespit etmelidir.
Kişisel Verilerin Aktarılması
Kanunun 8.maddesi ile kişisel veriler kural olarak kişinin açık rızası ile aktarılabilmektedir. Ancak;
Md 5/2 uyarınca;
Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b)Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d)İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e)Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Md. 6/3 uyarınca; yeterli önlemlerin alınması ve kanunda sayılı şartlardan birinin gerçekleşmiş olması halinde ancak açık rıza olmadan kişisel veriler aktarılabilecektir.
Kişisel Verilerin Yurtdışına Aktarılması
Kişisel verilerin ülke içi aktarımı şartlarının yanı sıra aktarım yapılacak ülkede kişisel verilere yönelik yeterli korumanın bulunması ve yeterli korumanın bulunmaması halinde kurumun izni ile yazılı olarak korumaya taahhüt etmeleri halinde mümkündür. Yeterli korumanın olduğu ülkeler kurum tarafından ilan edilememiş ancak yeterli koruma şartını sağlayan ülkelerin belirlenmesinde esas alınacak kriterlerin belirlenmesine dayalı bir form yayınlanmıştır.
Aydınlatma Yükümlülüğü Ve İlgilinin Hakları
Veri sorumlusu md.11 kapsamında aydınlatma yükümlülüğü altındadır. Aydınlatma yükümlülüğünün yerine getirilmediği durumda veri sahibi gerekli yasal haklarını kullanma yolunu seçecektir.
(1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
a) Kişisel veri işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.
Kanunun saydığı bu bilgiler ışığında işlenen ve aktarılacak olan verinin niteliği belirlenmeli ve o şekilde bir aydınlatma metin hazırlanmalıdır. Aydınlatma yükümlülüğü kapsamında veri sahibine kanun veri sorumlusuna hangi verilerini ne amaçla kullandığını, süresini ve nasıl imha edeceği noktasında bilgi sahibi olabileceği bir başvuru imkanı tanımıştır.
Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusuna md.18 kapsamında 5.000 TL den 100.000 TL ye kadar idari para cezası verilebilecektir.
Veri Sorumlusunun Yükümlülükleri
Md 12 kapsamında; veri sorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, kişisel verilerin korunmasını sağlamak amacıyla riskleri belirlemeli, her türlü teknik ve idari tedbirleri almak ve gerekli denetimleri yapmak zorundadır.
- kişilerce verilerin temin edilmesi halinde veri sorumlusu bu durumu en kısa sürede kuruma ve veri sahibine bildirmelidir.
Veri Sahibinin Veri Sorumlusuna Başvurusu
10.03.2018 tarihli Resmi Gazetede yayınlanan Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ ile bu başvuru usulü ve süresi belirlenmiştir.
Veri sorumlusu başvuruyu tebliğden itibaren en geç 30 gün içinde sonuçlandırmalıdır.
Başvurunun veri sorumlusu tarafından reddedilmesi, başvuruya hiç cevap verilmemesi veya cevabın yetersiz kalması halinde 30 gün herhalde 60 gün içinde Kişisel Verileri Koruma Kuruluna veri sahipleri şikayette bulunabilirler.
Veri sorumlusu kurulun yerinde inceleme talebini karşılamalı veya talep etmiş olduğu eksik evrakların gönderimini 15 gün içinde tamamlamalıdır. Şikayet tarihinden itibaren 60 gün içinde cevap verilmezse talep reddedilmiş sayılır.
Kurulun tespit etmiş olduğu hukuka aykırılık hallerinde tebliğ ile 30 gün içinde aykırılık veri sorumlusunca giderilmelidir.
Kurul kararlarının yerine getirilmemesi halinde md 18/1 kapsamında veri sorumlusu 25.000-1.000.00 TL ye kadar idari para cezası ödemek durumunda kalacaktır.
Kurul yaygın olarak hukuka aykırılık taşıyan ihlalleri ilke kararı olarak yayınlamakta ve gerektiği halde veri sorumlularına karşı tedbir kararı verebilmektedir.
Veri Sorumluları Siciline Kayıt Zorunluluğu
KVKK kapsamında veri işleyen veri sorumluları kurum tarafından kurulmuş olan Veri sorumluları Siciline mevzuatta belirtilen tarihe kadar başvuruda bulunması gereken bilgilerin paylaşılması ile kayıt olmak zorundadır.
30.12.2017 tarihli Veri Sorumluları Sicili Hakkında Yönetmelik ile sürece dair ayrıntılı bilgilendirme yapılmıştır.
Sicile kayıt istisnaları sayılıdır;
- Kişisel veri işlemenin suç işlemenin suç işlenmesinin önlenmesi veya soruşturması için gerekli olması
- Veri sahibi tarafından bilginin alenileştirilmiş olması
- Kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturma için gerekli olması
- Bütçe, vergi ve mali konulara ilişkin olarak devletin ekonomik ve mali çıkarlarının korunması için gerekli olması
Kanunda sayılı durumlarda veri sorumlusunun sicile kayıt zorunluluğu bulunmamaktadır.
Kurul uygulamada istisnalara ilişkin kararlar alabilmektedir. Örneğin kurul ilke kararı edinerek 2018/75 sayılı kararında arabulucuların sicile kayıtlarını zorunluluk kapsamına almamıştır.
“Sicile Kayıt Yükümlülüğünün Başlama Tarihleri” ile ilgili Kişisel Verileri Koruma Kurulunun 19/07/2018 Tarihli ve 2018/88 Sayılı Kararı ile veri sorumlularının sicile zorunluluk tarihlerine kişi sayısı ve bilanço üzerinden yer verilmiştir.
-Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.10.2018 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.09.2019 tarihine kadar süre verilmesinin kabulüne,
– Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.10.2018 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.09.2019 tarihine kadar süre verilmesinin kabulüne,
– Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.01.2019 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 31.03.2020 tarihine kadar süre verilmesinin kabulüne,
– Kamu kurum ve kuruluşu veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.04.2019 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.06.2020 tarihine kadar süre verilmesinin kabulüne karar verilmiştir.
Kurul kurumlara sicile kayıt yaptırmaları için süreler öngörmüş, kayıt yaptırmayan kurumlara 20.000TL den 1.000.00 TL ye kadar idari para cezası verileceğine yer verilmiştir.
Kanunun Uygulama Alanında İstisnalar
KVKK 28. Maddesi ile kanunun uygulanmayacağı alanlar belirtilmiştir Şöyle ki;
- Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
- Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
- Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
- Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
- Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.
TCK Kapsamında Kişisel Verilerin Korunması
KVKK 7. Maddesine aykırı olarak kişisel verileri silmeyen veya anonim hale getirmeyenler hakkında TCK 138 Md. Kapsamında işlem yapılacaktır.
(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.
(2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.
Kişisel Verileri Koruma Kanununun doğrultusunda idari ve teknik tedbirlerin tamamlanması beklenmektedir. Şirketlerin bu yönde danışmanlık alması ve veri güvenliği ve gizlilik politikası oluşturulması elzemdir. Ağır yaptırımlar öngören kanun için şirketlerden beklenen VERBİS için veri haritasının çıkarılması, verilerini işledikleri personelleri ve müşterileri için aydınlatma metni hazırlamalıdır. Kişisel veri güvenliğinin bilişim yönünden güncel takibi gereklidir.
Av. ÖZLEM YILDIZ
ÖZCAN HUKUK BÜROSU
[1]http://www.mevzuat.gov.tr/MevzuatMetin/1.5.6698.pdf (E.T: 20.07.2019)
[2] https://kvkk.gov.tr/ (E.T: 20.07.2019)