Kişisel veriler, bir bireyin kimliğini doğrudan veya dolaylı olarak belirlemeye yarayan her türlü bilgiyi ifade eder. İsim, T.C. kimlik numarası, telefon, adres gibi açık bilgiler yanında; IP adresi, plaka numarası, biyometrik veriler gibi dolaylı tanımlayıcılar da kişisel veri kapsamındadır. Kanun konu bakımından sınırlandırma yapmadığı gibi verinin doğru ya da yanlış olması da o verinin kişisel veri olmasını değiştirmez.

Kişisel veriler gerçek kişileri koruma altına almaktadır çünkü Kanun’un 1. maddesinde “kişisel verileri işlenen gerçek kişiler” ifadesi kullanılmıştır. Şirket, dernek ve vakıflar gibi tüzel kişiliklerin verileri 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında sayılmaz. Ancak tüzel kişilere ait bir verinin elde edilmesi, dolaylı olarak bir ya da birden fazla gerçek kişinin kimliğinin belirlenmesine yol açıyorsa, bu veriler de Kanun kapsamında korunabilir. Bu gibi durumlarda aslında koruma altına alınan, gerçek kişilere ilişkin kişisel verilerdir. Bununla beraber bir tüzel kişi bünyesinde bulunan gerçek kişilerin verileri de kişisel veri kapsamındadır.

Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)’dur. Kanun, 7 Nisan 2016 tarihinde yürürlüğe girmiştir ve Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR) ile büyük benzerlikler taşımaktadır.

Yargıtay Hukuk Genel Kurulu da 17.06.2015 T. 2014/56 E. 2015/1679 K. Sayılı ilamı ile; “kişisel verinin sayısal olarak sınırlandırılmasının mümkün olmadığına, bireyin kimliğini ortaya çıkartan, bir kişiyi belirli kılan ve karakterize eden kişinin kimlik, ekonomik ve dijital bilgileri, tabiiyeti, kanaatleri, ırk, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançları, dernek, vakıf ve sendika üyeliği, sağlık bilgileri, fotoğrafları, parmak izi, sağlık verileri, telefon mesajları, telefon rehberi, sosyal paylaşım sitelerinde yazdığı veya paylaştığı yazı, fotoğraf, ses veya görüntü kayıtlarının kişisel veriler olarak kabul edilebileceğine” hükmetmiştir.

I. Özel Nitelikli Kişisel Veriler

KVKK, bazı verileri özel nitelikli olarak ayrı bir kategoriye alır. (KVKK m.6/1) Bu veriler arasında:

• Irk, etnik köken, siyasi düşünce, din, mezhep,
• Sağlık verileri, cinsel hayat,
• Biyometrik ve genetik veriler,
• Ceza mahkumiyeti, güvenlik tedbirleri ile ilgili bilgiler yer alır.

Bu tür verilerin işlenmesi, çok daha sıkı şartlara bağlıdır. Özel nitelikli kişisel veriler ilgili kişinin açık rızası ile ya da Kanun’da sayılan sınırlı hallerde işlenebilir. Özel nitelikli veriler kanunen sınırlı ve kıyas yolu ile genişletilemez. Bu nitelikteki veriler daha hassas veriler olduğu için özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen önlemlerin de alınma şartı vardır. (KVKK m.6/4)

II. Kişisel Veri İşlemenin Şartları

KVKK’ya göre kişisel veriler, kural olarak, ilgili kişinin açık rızası olmaksızın işlenemez. Ancak aşağıdaki durumlarda açık rıza olmaksızın da veri işlenmesi mümkündür:

• Kanunlarda açıkça öngörülmesi (KVKK m.5/2-a),
• Fiili imkânsızlık nedeniyle rıza veremeyecek durumda olan kişinin verisinin korunması (KVKK m.5/2-b),
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (KVKK m.5/2-c),
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (KVKK m.5/2-ç),
• İlgili kişinin kendisi tarafından alenileştirilmiş olması (KVKK m.5/2-d),
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması(KVKK m.5/2-e),
• Veri sorumlusunun meşru menfaati için veri işlenmesinin zorunlu olması ve temel haklara zarar vermemesi (KVKK m.5/2-f.)

III. Veri Sorumlusu ve Aydınlatma Yükümlülüğü (KVKK m.10)

Veri sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Kanun, veri sorumlularına aydınlatma yükümlülüğü getirir.  Bu kapsamda ilgili kişiye şu konularda bilgi verilmelidir:

• Veri sorumlusunun kimliği,
• Verilerin hangi amaçla işleneceği,
• Kimlere ve hangi amaçla aktarılacağı,
• Kişisel veri toplama yöntemi ve hukuki sebebi,
• Hakları. Veri sorumlusu ve varsa temsilcisi ilgili kişiye aydınlatmada
  bulunurken Kanun’un 11. maddesinde sayılan haklara da sahip
  olduğunu belirtmelidir.

IV. İlgili Kişinin Hakları (KVKK m.11)

İlgili kişi, yani verisi işlenen birey, KVKK’nın 11. maddesi kapsamında veri sorumlusuna başvurarak:

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• Amacına uygun kullanılıp kullanılmadığını öğrenme,
• Aktarıldığı üçüncü kişileri bilme,
• Eksik ya da yanlış işlenmişse düzeltilmesini isteme,
• Silinmesini veya yok edilmesini isteme,
• Otomatik sistemlerle yapılan analizlere itiraz etme,
• Zarara uğraması hâlinde tazminat talep etme haklarına sahiptir.

V. Veri Sorumluları Sicili (VERBİS)

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir. (KVKK m.16/2)

KVKK, bazı veri sorumlularına VERBİS’e kayıt olma yükümlülüğü getirmektedir. Bu sistem, Kişisel Verileri Koruma Kurumu tarafından tutulmakta ve veri sorumlularının hangi tür verileri işlediklerini, hangi amaçla sakladıklarını, yabancı ülkelere aktarımını, veri güvenliğine ilişkin alınan tedbirleri şeffaf bir şekilde sunmaktadır.

VI. Suçlar

Kişisel verilere ilişkin suçlar Türk Ceza Kanununun Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar başlığı altında, 135 – 140. Maddeleri arasında düzenlenmiştir. (KVKK m.17/1)

-Kişisel verileri hukuka aykırı olarak kaydetme suçu,

-Kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçu,

-Verileri yok etmeme suçu hapis cezası ile yaptırıma tabi tutulmuştur.

VII. Kabahatler

Kanunun 18. Maddesinde, kanunda öngörülen yükümlülüklere aykırı davranılması halinde uygulanacak idari yaptırımlar düzenlenmiştir.

-Aydınlatma ve veri güvenliğini sağlama,

-Kurul kararlarını yerine getirme,

-Sicile kayıt ve bildirim ile imzalanan standart sözleşmeyi bildirim yükümlülüklerine aykırı davranılması kabahat olarak öngörülerek idari para cezası yaptırımına bağlanmıştır.

VIII. Sonuç

Kişisel verilerin korunması hukuku, sadece şirketlerin değil bireylerin de günlük yaşamında önem taşıyan bir alandır. Hem veri sorumlularının hukuka uygun hareket etmesi, hem de bireylerin kendi haklarının farkında olması bu sistemin etkin işlemesi açısından hayati önemdedir. Avukatlar olarak bizlerin de hem müvekkillerimizi bilgilendirmek hem de kendi faaliyetlerimizi bu yasal çerçevede yürütmek sorumlulu bulunmaktadır.

NOT: Bu yazımız, bilgilendirme amacıyla hazırlanmıştır. İzinsiz paylaşılması halinde, hukuki süreç başlatılacaktır.

Dike Hukuk ile iletişime geçmek için:https://wa.me/905337608453

KİŞİSEL VERİLERİN KORUNMASI HUKUKU: TEMEL BİLGİLERLE BİR BAKIŞ yazısı ilk önce Dike Hukuk üzerinde ortaya çıktı.

I-) YARGI YOLU

Kişisel verileri ihlal edilen kişi, TCK kapsamında ceza mahkemelerine başvuru yapabilir. Kişisel verilerinin işlenmesinden zarar görmesi sebebi ile hukuk mahkemelerinde tazminat davası da açabilmektedir. Kurula siz şikayet edildiyseniz ve sonrasında Kurulca verilen herhangi bir idari para cezası var ise İdari Yargı yoluna gidebilmeniz de mümkündür. Ancak unutmamalı ki, haklılığınızı kanıtlamak için bir avukat yardımı almak elzemdir

II-) KVKK KAPSAMINDA BAŞVURU VE ŞİKAYET YOLU

Kanun, kişisel verilerin korunması kapsamındaki başvurular için kademeli bir başvuru usulü öngörmüştür. İlgili kişilerin, sahip oldukları hakları kullanabilmeleri için öncelikle veri sorumlusuna başvurmaları zorunludur. Bu yol tüketilmeden Kurula şikâyet yoluna gidilemez.

A-) VERİ SORUMLUSUNA BAŞVURU

Kişi rızası olmaksızın işlenen kişisel verilerle ilgili, ilk olarak ilgili kişi veri sorumlusuna başvuru yapmalıdır. KVKK md.11’de veri sorumlusuna başvuru sırasında neler talep edebileceğiniz açıkça sayılmıştır. Örneğin; kişisel verilerinizin işlenip işlenmediğini öğrenme, hukuka aykırı ele geçirilen verilerin yok edilmesini ve silinmesini isteme, kanuna aykırı işlemeden kaynaklı zararınızın tazminini isteme veyahut işlenen kişisel verilerinizle ilgili bilgi talep etme gibi konuları veri sorumlusuna iletmeniz gerekir.  Söz konusu olayda bu yolu kullanmak isterseniz, veri sorumlusuna başvuru yapmak zorundasınız. Yaptığınız başvurunun Türkçe olarak yapılması da bir zorunluluktur.

KVKK md.11 kapsamında başvuru dilekçesi hazırlayıp veri sorumlusuna iletmelisiniz. Bu iletimi, Resmi Gazetede yayımlanan 30356 Sayılı Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğinde başvurunun usulü, süresi ve kapsamı açıklanmıştır.

Gönderdiğiniz başvuru sonrasında veri sorumlusu, başvurunuzu ya kabul edecektir ya da gerekçesini açıklayarak reddetme hakkına sahiptir. Başvuru sonucunu ilgili kişiye yazılı veyahut elektronik ortamda bildirebilir. Veri sorumlusu 30 gün içinde başvurunuza cevap vermelidir. Şayet 30 gün içinde başvurunuza cevap verilmemiş, başvurunuz reddedilmiş veya verilen cevap yetersiz ise Kurula şikayet sürecini başlatabilirsiniz.

B-) KVKK KURULUNA ŞİKAYET

Veri sorumlusuna başvuru sonrasında; yetersiz cevap verilmiş veyahut başvurunuz reddedilmiş ise 30 gün, başvurunuza süresi içinde cevap verilmemesi halinde ise başvuru tarihinden itibaren 60 gün içinde Kurula şikayet sürecini başlatmanız gerekmektedir. Kurulun inceleme yapabilmesi için mutlaka yapılmış olan bir şikayete ihtiyaç yoktur. Kurulun kişisel verilerin ihlali iddiasını herhangi bir şekilde öğrenmesi durumunda da resen harekete geçerek görev alanına giren konularda gerekli incelemeyi yapması yetkisi bulunmaktadır.

Şikayet oluşturabilmeniz için KVKK internet sitesine girerek e-devlet kapısı ile giriş yapmanız gerekmektedir. Sonrasında ise bir dilekçe veyahut başvuru yazısı oluşturmanıza gerek kalmadan şikayet formunu eksiksiz doldurarak şikayetinizi oluşturabilirsiniz. Ayrıntılı bilgi için KVKK Şikayet Modülünü inceleyebilirsiniz.

Kanunda Kurulun, şikâyet üzerine yapacağı inceleme sonunda cevap vermesi öngörülmüştür ancak şikâyet tarihinden itibaren 60 gün içinde herhangi bir cevap verilmezse talebin reddedilmiş sayılacağı hükme bağlanmıştır.

NOT: Bu yazımız, bilgilendirme amacıyla hazırlanmıştır. İzinsiz paylaşılması halinde, hukuki süreç başlatılacaktır.

Dike Hukuk ile iletişime geçmek için: https://wa.me/905337608453

KİŞİSEL VERİLERİN İHLALİNDE NE YAPILMALI? yazısı ilk önce Dike Hukuk üzerinde ortaya çıktı.