Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler
Kişisel verilerin korunması hukukunun temel çerçevesi: KVKK genel ilkeleri, işleme şartları, aydınlatma, ilgili kişinin hakları, VERBİS ve idari yaptırımlar.
Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler
İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.
Kişisel verilerin korunması, bir uyum projesi değil süreklilik taşıyan bir hukuki rejimdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, veriyi işleyen herkese ispat yükü bindirir: her işleme faaliyetinin bir hukuki dayanağı, bir amacı ve belgelenmiş bir sınırı olmak zorundadır1.
Bu rehber, kanunun kurduğu zinciri tek çerçevede toplar. Kimin veri sorumlusu sayıldığından başlar; genel ilkelere, işleme şartlarına, aydınlatma ve başvuru mekanizmasına, güvenlik ve aktarım kurallarına, oradan da yaptırım rejimine uzanır.
1. Kapsam ve Temel Kavramlar
6698 sayılı Kanun md. 3 dört kavramı tanımlar ve uyumun tamamı bu dört kavramın doğru kurulmasına bağlıdır.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tanım geniştir: ad ve TC kimlik numarası kadar IP adresi, çerez kimliği, araç plakası, ses kaydı ve konum bilgisi de kapsamdadır. Ölçüt bilginin niteliği değil, kişiye ulaşılabilirliktir.
İlgili kişi, verisi işlenen gerçek kişidir. Tüzel kişiler kanunun koruma alanı dışındadır; ancak bir şirket çalışanının veya yetkilisinin verisi işlendiğinde koruma yeniden devreye girer.
Veri sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyendir. Ayrım sözleşme başlığına göre değil, karar yetkisinin fiilen kimde olduğuna göre yapılır. Bu ayrımın sonuçları veri sorumlusu ile veri işleyen arasındaki fark başlığında ayrıntılanmıştır.
Önemli: Veri sorumlusu sıfatı devredilemez. Bir hizmet sağlayıcıya yaptırılan işlemede sorumluluk hizmet sağlayıcıya geçmez; veri sorumlusu, seçtiği veri işleyenin güvenlik tedbirlerinden KVKK md. 12 uyarınca müştereken sorumlu kalmaya devam eder. Sözleşmeye konulan sorumsuzluk kaydı Kurul incelemesinde geçerli savunma üretmez.
2. Genel İlkeler
KVKK md. 4, her işleme faaliyetinin uymak zorunda olduğu beş ilkeyi sayar. Bu ilkeler hukuki sebebin yanında değil, üstünde durur: geçerli bir işleme şartı bulunsa dahi ilkelere aykırı işleme hukuka aykırıdır.
Hukuka ve dürüstlük kurallarına uygunluk. İşleme, ilgili kişinin makul beklentisini aşmamalıdır. Sipariş için alınan telefon numarasının pazarlama listesine eklenmesi, hukuki sebep tartışmasından önce bu ilkeye takılır.
Doğru ve gerektiğinde güncel olma. Veri sorumlusu, yanlış veriden doğan zarardan sorumludur. Kredi, sigorta ve insan kaynakları süreçlerinde güncellik yükümlülüğü aktif bir ödev doğurur.
Belirli, açık ve meşru amaçlar için işleme. Amaç, işleme başlamadan önce tanımlanmalıdır. "İş süreçlerinin yürütülmesi" gibi genel ifadeler amaç belirliliği ölçütünü karşılamaz.
Amaçla bağlantılı, sınırlı ve ölçülü olma. Toplanan her veri kaleminin amaçla nedensel bağı gösterilebilmelidir. Formda sorulan ama hiç kullanılmayan alan, tek başına ihlal delilidir.
Mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza. Süresiz saklama yasaktır. Saklama süresi dolduğunda KVKK md. 7 devreye girer.
3. İşleme Şartları ve Açık Rızanın Yeri
KVKK md. 5/1 kuralı koyar: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. KVKK md. 5/2 ise açık rıza aranmayan halleri sayar. Uygulamadaki en yaygın hata, bu iki fıkranın sırasını tersine çevirmektir.
Açık rıza, kanundaki tanımı gereği belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Üç unsurdan biri eksikse rıza geçersizdir ve işleme dayanaksız kalır. Hizmetin verilmesini rıza şartına bağlamak özgür irade unsurunu ortadan kaldırır.
KVKK md. 5/2 kapsamındaki sebepler şunlardır: kanunlarda açıkça öngörülme; fiili imkansızlık nedeniyle rıza açıklayamayacak durumda olan kişinin hayati menfaatinin korunması; sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi; ilgili kişinin veriyi kendisinin alenileştirmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunluluk; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.
Doğru yöntem, önce bu yedi sebebin uygulanabilirliğini test etmektir. Şartlardan biri varsa ayrıca rıza alınmaz; alınırsa hukuki sebep belirsizleşir ve ilgili kişi rızasını geri aldığında işleme dayanağı çöker. Ayrımın uygulamadaki karşılığı açık rıza hangi hallerde gerekmez başlığında ele alınmıştır.
4. Özel Nitelikli Kişisel Veriler
KVKK md. 6, sınırlı sayıda veri kategorisini özel rejime tabi tutar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
Liste kapalıdır; yorum yoluyla genişletilmez. Buna karşılık kategoriye giren bir veri, işlendiği bağlamdan bağımsız olarak özel nitelikli sayılır. İşe giriş dosyasındaki tek satırlık sağlık raporu da bu rejime tabidir.
2024 yılında 7499 sayılı Kanunla yapılan değişiklik, sağlık ve cinsel hayat verileri için ayrı bir rejim öngören yapıyı kaldırmış ve tüm özel nitelikli veriler için ortak bir işleme şartları listesi kurmuştur. Açık rızanın yanına kanunlarda açıkça öngörülme, fiili imkansızlık, alenileştirme, hakkın tesisi ve kullanılması, sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetlerinin yürütülmesi, istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler ile belirli kuruluşların üyelerine yönelik faaliyetleri eklenmiştir.
Şart bulunması yeterli değildir. KVKK md. 6/4 uyarınca özel nitelikli verilerin işlenmesinde Kurulca belirlenen yeterli önlemlerin alınması zorunludur. Kapsam ve önlem çerçevesi için özel nitelikli kişisel veri nedir sorusuna bakılabilir.
5. Aydınlatma Yükümlülüğü
KVKK md. 10, veri sorumlusuna verinin elde edilmesi sırasında ilgili kişiyi bilgilendirme ödevi yükler. Bilgilendirmenin içeriği kanunda sayılmıştır: veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, KVKK md. 11'de sayılan haklar.
Aydınlatma bir onay alma işlemi değildir. Yükümlülük, hukuki sebep açık rıza olmasa dahi doğar; sözleşmeye dayalı veya hukuki yükümlülük kaynaklı her işlemede de yerine getirilir. Aydınlatma metnine rıza kutusu eklemek, iki farklı hukuki işlemi birbirine karıştırır ve her ikisini de sakatlar.
Zamanlama kritiktir. Bilgilendirme, verinin elde edilmesi sırasında yapılır; sonradan gönderilen bilgilendirme yükümlülüğü karşılamaz. Metnin kurgusu ve kanal bazlı uygulanması KVKK aydınlatma metni rehberi başlığında ayrıntılıdır.
Önemli: Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. Web sitesinde yayımlanmış bir metnin varlığı tek başına yetmez; hangi kişiye, hangi anda, hangi kanaldan sunulduğunun kayıt altına alınmış olması gerekir. Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, ispatlanamayan aydınlatma yapılmamış sayılmaktadır.
6. İlgili Kişinin Hakları ve Başvuru Mekanizması
KVKK md. 11, ilgili kişiye sayılı haklar tanır: kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, KVKK md. 7 çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin aktarım yapılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhe bir sonuç doğmasına itiraz etme ve kanuna aykırı işleme nedeniyle uğranılan zararın giderilmesini talep etme.
Bu haklar KVKK md. 13 kapsamındaki başvuru usulüyle kullanılır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Talep reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse KVKK md. 14 uyarınca Kurula şikayet yolu açılır.
Zararın giderilmesi talebi, idari süreçten bağımsız bir hukuk yolu üretir. Kurul, tazminata hükmetmez; maddi ve manevi tazminat talebi genel mahkemelerde ileri sürülür. İki yolun ilişkisi KVKK ihlalinde tazminat davası açılabilir mi başlığında değerlendirilmiştir. Başvurunun şekli ve süreleri için KVKK veri sahibi başvurusu nasıl yapılır sorusuna bakılabilir.
7. Veri Güvenliği ve İhlal Bildirimi
KVKK md. 12, veri sorumlusuna üç ödev yükler: verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi engellemek ve muhafazayı sağlamak. Bunun için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirler alınır.
Yükümlülük sonuç değil, özen yükümlülüğüdür; ancak ispatı belgeye bağlıdır. Erişim yetki matrisi, log kayıtları, şifreleme ve yedekleme politikaları, personel gizlilik taahhütleri ve veri işleyen sözleşmeleri, incelemede istenen standart belgelerdir. Bu belgelerin ihlal sonrası üretilmesi mümkün değildir.
İşlenen verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde veri sorumlusu, durumu ilgili kişiye ve Kurula en kısa sürede bildirir. Kurul, bu sürenin yetmiş iki saat olarak uygulanacağını karara bağlamıştır. Bildirimin içeriği ve zamanlaması KVKK veri ihlali bildirimi nasıl yapılır başlığında ayrıntılıdır.
Saklama süresi dolduğunda KVKK md. 7 uyarınca veriler silinir, yok edilir veya anonim hale getirilir. Üç yöntemin hukuki sonuçları farklıdır; ayrım kişisel veri anonim hale getirme nedir sorusunda açıklanmıştır.
8. VERBİS ve Kayıt Yükümlülüğü
KVKK md. 16, Kurumun gözetiminde tutulan Veri Sorumluları Sicilini düzenler. Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce sicile kaydolmakla yükümlüdür. Kurul, objektif kriterlere göre bazı veri sorumlularını bu yükümlülükten muaf tutabilir.
Kayıt bir formalite değil, envanter beyanıdır. Sicile bildirilen veri kategorileri, amaçlar, saklama süreleri ve alıcı grupları, sonraki bir incelemede veri sorumlusunun kendi beyanı olarak karşısına çıkar. Envanterle örtüşmeyen bildirim aleyhe delil üretir. Muafiyet ölçütleri ve kapsam için VERBİS kaydı kimler için zorunlu sorusuna bakılabilir.
Kayıt sürecinde iki farklı rol tanımlanır: Türkiye'de yerleşik veri sorumluları için irtibat kişisi, yurt dışında yerleşik veri sorumluları için veri sorumlusu temsilcisi. İki sıfat birbirinin yerine kullanılamaz; farkı irtibat kişisi ile veri sorumlusu temsilcisi farkı başlığında ele alınmıştır.
9. Yurt Dışına Aktarım
KVKK md. 9, 2024 değişikliğiyle kademeli bir yapıya kavuşmuştur. Aktarım üç basamakta değerlendirilir.
Birinci basamak yeterlilik kararıdır. Kurulun yeterli koruma bulunduğuna karar verdiği ülkelere, uluslararası kuruluşlara veya ülke içindeki sektörlere aktarım, KVKK md. 5 ve md. 6'daki şartların varlığı kaydıyla yapılabilir.
Yeterlilik kararı yoksa ikinci basamak uygun güvencelerdir: kamu kurumları arasındaki uluslararası anlaşma niteliğinde olmayan anlaşmalar, bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme ve taahhütname. Standart sözleşme kullanıldığında, imza tarihinden itibaren beş iş günü içinde Kuruma bildirim yapılması zorunludur.
Üçüncü basamak arızi hallerdir. Açık rıza, sözleşmenin ifası, üstün kamu yararı, hakkın tesisi ve kullanılması, hayati menfaatin korunması gibi sebeplere dayanan aktarımlar arızi olmak, yani süreklilik taşımamak kaydıyla mümkündür. Bulut hizmeti veya reklam platformu kullanımı gibi düzenli aktarımlar bu basamağa dayandırılamaz. Uygulama çerçevesi yurt dışına kişisel veri aktarımı nasıl yapılır başlığındadır.
10. Yaptırım Rejimi: İdari Ceza ve Suç
KVKK md. 18, aydınlatma, veri güvenliği, Kurul kararına uymama, sicile kayıt ve yurt dışına aktarım bildirimi kalemlerinde idari para cezası öngörür. Tutarlar her takvim yılı başında yeniden değerleme oranında güncellenir; alt ve üst sınır arasındaki takdirde kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte değerlendirilir. Kalemler ve güncelleme mekanizması KVKK idari para cezaları ne kadar başlığında ayrıntılıdır.
İdari yaptırımın yanında cezai sorumluluk işler. Türk Ceza Kanunu md. 135 kişisel verilerin hukuka aykırı kaydedilmesini, md. 136 verileri hukuka aykırı olarak verme, yayma veya ele geçirmeyi, md. 138 kanunun belirlediği sürelerin geçmiş olmasına karşın verileri yok etmemeyi suç sayar. Nitelikli haller md. 137'de, tüzel kişiler hakkında güvenlik tedbiri md. 140'ta düzenlenmiştir2. Cezai sorumluluk gerçek kişiler hakkında doğar; şirket yöneticisinin bu riski idari para cezasından ayrı değerlendirmesi gerekir.
Kurul kararlarına karşı idari yargı yolu açıktır. Danıştay'ın yerleşik uygulamasında bağımsız idari otorite kararları idari işlem sayılmakta ve iptal davasına konu edilebilmektedir. Yargı yolu ve süreler KVKK Kurul kararına karşı dava açılabilir mi başlığında ele alınmıştır.
Uygulamada
Uyum çalışmalarında tekrar eden üç hata vardır.
Birincisi rıza bağımlılığıdır. İşletmeler, hukuki sebep analizini atlayıp tüm işlemeleri açık rızaya dayandırır. Sonuç iki yönlü zarardır: rıza geri alındığında zorunlu işleme faaliyeti dayanaksız kalır, hizmetin rıza şartına bağlanması halinde ise rızanın kendisi geçersiz sayılır.
İkincisi belge ile gerçeğin ayrışmasıdır. Şablon aydınlatma metni, envantere dayanmayan VERBİS bildirimi ve uygulanmayan imha politikası, denetimde savunma değil çelişki üretir. Kurul incelemesinde ilk sorulan şey belgenin varlığı değil, belgede yazanın fiilen uygulanıp uygulanmadığıdır.
Üçüncüsü tedarikçi zincirinin ihmalidir. Muhasebe yazılımı, çağrı merkezi, kargo firması, bulut sağlayıcı ve reklam platformu; her biri ayrı bir veri işleyen ilişkisi ve çoğu zaman ayrı bir yurt dışı aktarımı doğurur. Bu zincir haritalanmadan yapılan uyum çalışması eksiktir.
Stratejik Not
KVKK uyuşmazlıklarında dosyanın kaderini belirleyen şey, ihlalin ağırlığından çok belgelendirme disiplinidir. İnceleme başladığında veri sorumlusundan istenen dosya bellidir: kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metinleri ve sunum kayıtları, açık rıza kayıtları, erişim yetki matrisi, veri işleyen sözleşmeleri, ihlal müdahale prosedürü. Bu dosyanın tarih izleriyle birlikte önceden hazır olması, tek başına ceza miktarını etkileyen bir unsurdur.
İkinci strateji noktası, ilgili kişi başvurularının erken aşamada doğru yönetilmesidir. Kurula yapılan şikayetlerin önemli bir bölümü, aslında esasa ilişkin ihlal içermeyen ancak süresinde cevaplanmamış başvurulardan doğar. Otuz günlük cevap süresini takip eden bir başvuru yönetim akışı kurmak, düşük maliyetli ve yüksek etkili bir önlemdir.
Üçüncü nokta, ihlal anında aksiyon sırasının önceden belirlenmiş olmasıdır. Tespit, kapsam analizi, Kurula bildirim, ilgili kişilere bildirim ve iyileştirme adımlarının kim tarafından hangi sürede yürütüleceği yazılı değilse, yetmiş iki saatlik pencere çoğunlukla iç yazışmalarla tükenir.
İlgili içerikler için bkz. Haksız Rekabet, KVKK Aydınlatma Metni Rehberi, Açık Rıza Hangi Hallerde Gerekmez?, Özel Nitelikli Kişisel Veri Nedir?.
Dipnotlar
Sonraki dosya · Rehber
Coğrafi İşaret ve Geleneksel Ürün Adı Koruması
Dosyayı aç →