Kişisel Verilerin Korunması Hukuku

Veri sorumlusunun temel yükümlülükleri nelerdir?

Kişisel veri hangi şartlarla işlenebilir?

Kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez. Ancak kanunda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve veri sorumlusunun meşru menfaati gibi hallerde açık rıza aranmaz (KVKK m. 5). Sağlık, biyometrik ve ceza mahkûmiyeti gibi özel nitelikli kişisel veriler için daha sıkı şartlar uygulanır; 2024'te yapılan değişiklikle bu verilerin işlenme şartları yeniden düzenlenmiştir (KVKK m. 6).

İlgili kişinin hakları nelerdir?

Herkes veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verilerin düzeltilmesini ve verilerin silinmesini isteme ile kanuna aykırı işleme nedeniyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir (KVKK m. 11).

Yaptırımlar nelerdir?

Kanuna aykırılıklar için Kurul idari para cezası uygular (KVKK m. 18); ceza tutarları her yıl yeniden değerleme oranında güncellenir. 2024 değişikliğiyle Kurul'un idari para cezası kararlarına karşı idare mahkemesinde dava açılır. Kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi ise Türk Ceza Kanunu'na göre suçtur (TCK m. 135–140).

Temel kavramlar

Kanun yalnızca gerçek kişilerin verilerini korur; şirketlere ait ticari bilgiler KVKK kapsamında değildir. Ancak şirket çalışanlarının, yetkililerinin ve müşteri temsilcilerinin ad, telefon ve e-posta gibi bilgileri kişisel veridir.

Genel ilkeler nelerdir?

Kişisel veriler; hukuka ve dürüstlük kuralına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmeli ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanmalıdır (KVKK m. 4). Bu ilkeler, kanunda sayılan işleme şartlarından birinin varlığı halinde bile uyulması gereken temel kurallardır. Örneğin bir sözleşmenin ifası için alınan veriler, sözleşme sona erdikten ve yasal saklama süresi dolduktan sonra silinmeli, yok edilmeli veya anonim hale getirilmelidir (KVKK m. 7).

Yurt dışına veri aktarımı

Kişisel verilerin yurt dışına aktarılması 2024 değişikliğiyle yeniden düzenlenmiştir (KVKK m. 9). Aktarım; Kurul'un yeterlilik kararı bulunan ülkelere, yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden biriyle yapılabilir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi zorunludur. Yurt dışındaki bulut hizmetleri, e-posta sunucuları ve yazılımların kullanılması da bu kapsamda değerlendirilir. Uygun güvencelerin bulunmadığı istisnai hallerde ise kanunda sayılan sınırlı durumlarda aktarım yapılabilir.

KVKK uyumu kimleri ilgilendirir?

Kişisel veri işleyen her gerçek ve tüzel kişi KVKK'ya tabidir. Müşteri listesi tutan bir mağaza, hasta kaydı tutan bir klinik, çalışan özlük dosyası tutan bir şirket, öğrenci bilgisi işleyen bir okul ve üye kaydı tutan bir dernek bu kapsamdadır. Yükümlülüklerin ağırlığı, işlenen verinin türüne ve miktarına göre değişir; ancak aydınlatma, veri güvenliği ve başvuruları cevaplama yükümlülükleri ölçekten bağımsız olarak herkes için geçerlidir. Gerçek kişilerin yalnızca kendileri veya aynı konutta yaşayan aile bireyleriyle ilgili faaliyetleri kanun kapsamı dışındadır (KVKK m. 28).

Kişisel verilerin saklanması ve imhası

Veri sorumlusu, işleme sebepleri ortadan kalktığında kişisel verileri kendiliğinden veya ilgili kişinin talebi üzerine siler, yok eder veya anonim hale getirir (KVKK m. 7). VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları ayrıca kişisel veri saklama ve imha politikası hazırlamak ve periyodik imha sürelerini belirlemek zorundadır. Saklama süreleri belirlenirken vergi, ticaret ve iş mevzuatındaki zorunlu saklama süreleri dikkate alınır; örneğin ticari defter ve belgeler on yıl, çalışan özlük dosyaları ise iş ilişkisinin sona ermesinden sonra zamanaşımı süreleri boyunca saklanır. Süresi dolan verilerin saklanmaya devam edilmesi kanuna aykırılık oluşturur ve Kurul tarafından yaptırıma konu olabilir.

Çalışanların kişisel verileri

İşverenler, iş sözleşmesinin kurulması ve ifası ile iş ve sosyal güvenlik mevzuatından doğan yükümlülükler için çalışanların kimlik, iletişim, özlük, bordro ve SGK verilerini açık rıza aranmaksızın işleyebilir. Ancak sağlık raporları ve sabıka kaydı gibi özel nitelikli veriler için kanundaki özel şartlar aranır. İşyerinde kamera, e-posta ve konum takibi gibi izleme faaliyetleri ölçülü olmalı, çalışanlar önceden aydınlatılmalı ve mahremiyet alanlarında kayıt yapılmamalıdır.

KVKK hukuku konuları

• KVKK uyum süreci: Envanter, aydınlatma metni, açık rıza, VERBİS ve politika belgeleri.
• İlgili kişi başvurusu: Veri sorumlusuna ve Kurul'a başvuru süreci.
• Veri ihlali: İhlal bildirimi ve sonuçları.