Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Bir çalışanın bordrosu, bir müşterinin telefon numarası, kamera kaydı, internet sitesindeki çerezlerden elde edilen cihaz bilgisi bu tanıma girer. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri işleyen şirketlere ve kurumlara "veri sorumlusu" sıfatıyla bir dizi yükümlülük yükler ve uygulamayı Kişisel Verileri Koruma Kurulu (Kurul) denetler.
KVKK'ya uyum tek seferlik bir belge hazırlığı değildir. Şirket yeni bir yazılım kullanmaya başladığında, yurt dışındaki bir bulut hizmetine geçtiğinde ya da yeni bir pazarlama kampanyası planladığında, veri işleme faaliyetinin hukuki dayanağı yeniden kontrol edilmelidir.
Temel ilkeler ve işleme şartları
Her veri işleme faaliyeti, KVKK m.4'teki genel ilkelere uygun olmalıdır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve gerektiğinde güncellik, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olma ve verilerin ancak gerekli süre kadar muhafaza edilmesi. Bu ilkeler, diğer bütün hükümlerin yorumunda ölçüt olarak kullanılır.
İşlemenin bir hukuki sebebe dayanması da gerekir. KVKK m.5, açık rızanın yanında kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi şartları sayar. Uygulamadaki yaygın hata, her işlem için açık rıza almaya çalışmaktır. Başka bir hukuki sebebe dayanan işlem için rıza istemek, ilgili kişiyi yanıltır; rıza geri alındığında da işlemin dayanağı tartışmalı hâle gelir.
Özel nitelikli kişisel veriler
Sağlık, cinsel hayat, biyometrik ve genetik veriler, ırk, etnik köken, siyasi düşünce, din, dernek veya sendika üyeliği ve ceza mahkûmiyeti gibi veriler özel nitelikli sayılır (KVKK m.6). 7499 sayılı Kanunla yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle bu verilerin işlenme şartları yeniden düzenlendi. Açık rızanın yanında artık kanunlarda açıkça öngörülme, fiilî imkânsızlık hâlinde hayati menfaatin korunması, ilgili kişinin alenileştirdiği verilerle sınırlı işleme, bir hakkın tesisi veya korunması, sır saklama yükümlülüğü altındaki kişilerce kamu sağlığı ve tıbbi teşhis amaçlı işleme ve istihdam ile sosyal güvenlik alanındaki hukuki yükümlülükler gibi şartlar da işleme dayanağı olabilir. Bu veriler için Kurulun öngördüğü ek güvenlik önlemlerinin alınması ayrıca zorunludur.
Yurt dışına aktarım
Yurt dışındaki bir sunucuya veri yüklemek, yurt dışındaki grup şirketiyle müşteri listesi paylaşmak ya da yabancı bir yazılım hizmetinden yararlanmak, kural olarak yurt dışına aktarım sayılır. 7499 sayılı Kanunla KVKK m.9 bütünüyle değişti ve aktarım üç basamaklı bir sisteme bağlandı:
- Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararı bulunması
- Yeterlilik kararı yoksa uygun güvencelerden birinin sağlanması: Kurulun ilan ettiği standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname
- Bunlar da yoksa, Kanunda sınırlı olarak sayılan arızi (tekrarlanmayan) aktarım hâlleri
Standart sözleşme imzalanmışsa, imza tarihinden itibaren beş iş günü içinde Kurula bildirilmesi gerekir. Standart sözleşmenin metni değiştirilmeden kullanılmalıdır; tarafların kendi ihtiyaçlarına göre ekleme yapmak istedikleri hükümler, standart sözleşmeyle çelişmeyecek şekilde ayrı bir sözleşmede düzenlenmelidir.
Aydınlatma, başvuru ve şikâyet süreci
Veri sorumlusu, verileri elde ederken ilgili kişiye kimliğini, işleme amacını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bildirmek zorundadır (KVKK m.10). Aydınlatma metni ile açık rıza metni ayrı belgeler olmalıdır; ikisinin tek metinde birleştirilmesi Kurul kararlarında sıkça eleştirilen bir uygulamadır.
İlgili kişi; verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme, aktarıldığı üçüncü kişileri bilme ve zarara uğramışsa tazminat isteme gibi haklarını (KVKK m.11) önce veri sorumlusuna başvurarak kullanır. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırmalıdır (m.13). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir (m.14). Önce veri sorumlusuna başvurulmadan doğrudan Kurula şikâyet yoluna gidilemez.
Veri ihlali ve veri güvenliği
Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için uygun teknik ve idari tedbirleri almak zorundadır; veri işleyen bir hizmet sağlayıcı kullanılıyorsa bu tedbirlerden onunla birlikte sorumludur (KVKK m.12). İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durum ilgili kişiye ve Kurula en kısa sürede bildirilmelidir. Kurul, 2019 tarihli kararıyla bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak belirlemiştir.
Bir ihlal yaşandığında ilk saatlerde yapılacaklar, sonraki bütün süreci belirler: ihlalin kapsamının ve etkilenen veri kategorilerinin tespiti, teknik kayıtların korunması, Kurulun bildirim formunun eksiksiz doldurulması, ilgili kişilere yapılacak bildirimin dili ve kanalı. Siber saldırı kaynaklı ihlallerde ceza şikâyeti, sigorta bildirimi ve sözleşme tarafı şirketlere bildirim de çoğu zaman aynı anda gündeme gelir.
VERBİS ve idari yaptırımlar
Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kayıt olmak zorundadır (KVKK m.16). Kurul, çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan ve ana faaliyeti özel nitelikli veri işlemek olmayan veri sorumlularını kayıt yükümlülüğünden muaf tutmuştur. Eşikler Kurul kararlarıyla değiştirilebildiğinden, şirketin durumu güncel karara göre kontrol edilmelidir.
Aydınlatma yükümlülüğüne, veri güvenliği yükümlülüklerine, Kurul kararlarına ve VERBİS kayıt yükümlülüğüne aykırılık, KVKK m.18 uyarınca idari para cezası gerektirir. Ceza tutarları her yıl yeniden değerleme oranında artırıldığından, güncel tutarlar Kurumun duyurularından takip edilmelidir. 7499 sayılı Kanunla yapılan değişiklik sonucunda, 1 Haziran 2024'ten itibaren Kurulun verdiği idari para cezalarına karşı sulh ceza hâkimliğine değil idare mahkemesine başvurulmaktadır. Dava açma süresi bakımından 2577 sayılı İdari Yargılama Usulü Kanunundaki genel kural uygulanır.
Kişisel verileri hukuka aykırı olarak kaydetme, başkasına verme, ele geçirme ve süresi dolan verileri yok etmeme ise suçtur (5237 sayılı TCK m.135–140). Kurul, bir incelemede suç şüphesi tespit ederse durumu Cumhuriyet başsavcılığına bildirebilir.
Uyum projesi nasıl yürütülür?
Her şirketin veri yapısı farklı olsa da uyum çalışmaları genellikle aynı omurgayı izler. İlk adım, hangi departmanın hangi veriyi hangi amaçla, hangi hukuki sebebe dayanarak işlediğini ve kimlerle paylaştığını gösteren kişisel veri envanteridir. Ardından aydınlatma ve açık rıza metinleri, kişisel veri saklama ve imha politikası, veri işleyenlerle yapılacak sözleşmeler, yurt dışı aktarım mekanizmaları, internet sitesi için çerez yönetimi ve ilgili kişi başvurularının cevaplanma prosedürü hazırlanır. Son aşamada çalışanlara eğitim verilir ve süreçlerin düzenli aralıklarla gözden geçirilmesi için bir takvim belirlenir.
Çalışan verileri, uyum projelerinin en hassas kısmıdır: işe alım, performans değerlendirmesi, kamera ve araç takip sistemleri, e-posta denetimi gibi konular hem KVKK'yı hem iş hukukunu ilgilendirir. Bu konuda İş ve Sosyal Güvenlik Hukuku sayfamıza da bakabilirsiniz. Sektöre özgü gereklilikler için Telekomünikasyon ve Teknoloji ve Yaşam Bilimleri ve Sağlık sayfaları fikir verebilir.
Bu alanda yürüttüğümüz çalışmalar
Şirketler için KVKK uyum projeleri yürütüyor; envanter, politika, aydınlatma ve açık rıza metinlerini, veri işleme ve standart sözleşmeleri hazırlıyoruz. Veri ihlallerinde bildirim sürecini yönetiyor, ilgili kişi başvurularına ve Kurul incelemelerine cevap hazırlıyor, idari para cezalarına karşı dava süreçlerini takip ediyoruz. Büromuzun kendi veri işleme faaliyetlerine ilişkin bilgileri KVKK Aydınlatma Metni sayfasında bulabilirsiniz.
Başlıca konular
- KVKK uyum projeleri ve kişisel veri envanteri
- Aydınlatma metinleri, açık rıza ve çerez yönetimi (KVKK m.5, m.10)
- Özel nitelikli kişisel veriler (KVKK m.6)
- Yurt dışına veri aktarımı ve standart sözleşmeler (KVKK m.9)
- Veri ihlali yönetimi ve Kurula bildirim (KVKK m.12)
- İlgili kişi başvuruları ve Kurul şikâyetleri (KVKK m.11, 13, 14)
- VERBİS kaydı (KVKK m.16)
- İdari para cezalarına karşı dava ve kişisel verilere ilişkin suçlar
Sıkça sorulan sorular
Her veri işleme faaliyeti için açık rıza almak gerekir mi?
Hayır. Açık rıza, KVKK m.5'te sayılan işleme şartlarından yalnızca biridir. İşlem bir sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şarta dayanıyorsa rıza istenmemelidir; gereksiz rıza talebi ilgili kişiyi yanıltabilir ve Kurul kararlarında eleştiri konusu olmaktadır.
Yurt dışındaki bir bulut hizmetini kullanmak veri aktarımı sayılır mı?
Kişisel verilerin yurt dışındaki sunuculara aktarılması veya oradan erişilebilir kılınması kural olarak yurt dışına aktarım sayılır. Bu durumda KVKK m.9'daki yeterlilik kararı, uygun güvenceler veya arızi aktarım hâllerinden birine dayanılması gerekir; standart sözleşme kullanılmışsa beş iş günü içinde Kurula bildirim yapılmalıdır.
Veri ihlalini Kurula ne zaman bildirmeliyiz?
KVKK m.12 bildirimin "en kısa sürede" yapılmasını ister; Kurul bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak belirlemiştir. Tüm bilgiler henüz netleşmemişse, eldeki bilgilerle bildirim yapılıp eksikler sonradan tamamlanabilir.
Kurulun verdiği idari para cezasına nasıl itiraz edilir?
1 Haziran 2024'ten itibaren Kurul cezalarına karşı idare mahkemesinde iptal davası açılır. Dava açma süresi, 2577 sayılı Kanundaki genel kurala göre kararın tebliğinden itibaren hesaplanır; sürenin somut kararın tebliğ tarihine göre hemen kontrol edilmesi önerilir.
Şirketimiz VERBİS'e kayıt olmak zorunda mı?
Kayıt yükümlülüğü kural olarak tüm veri sorumluları için geçerlidir. Ancak Kurul, çalışan sayısı ve yıllık mali bilanço eşiklerinin altında kalan ve ana faaliyeti özel nitelikli veri işlemek olmayan veri sorumlularını muaf tutmuştur. Eşikler değişebildiğinden şirketin durumu güncel Kurul kararına göre değerlendirilmelidir.
Mevzuat ve kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu – Kurul kararları ve rehberler
- 5237 sayılı Türk Ceza Kanunu
- 2577 sayılı İdari Yargılama Usulü Kanunu
- Resmî Gazete (12 Mart 2024 tarihli 7499 sayılı Kanun)
Bu sayfadaki bilgiler genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Mevzuat değişebileceğinden, somut durumunuz için güncel düzenlemelerin ayrıca değerlendirilmesi gerekir.