KVKK Danışmanlığı

6698 sayılı KVKK (Kişisel Verilerin Korunması Kanunu), 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış ve 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girmiştir. Kanundan önce işlenen verileri de kapsayacak şekilde kanunun uyum süresi 7 Nisan 2018 tarihinde tamamlanmıştır. Bu Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektedir.

Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanmaktadır. KVKK (Kişisel Verilerin Korunması Kanunu), verisi bulunan ilgili kişilere ve kişinin verisini işleyen gerçek veya tüzel kişilere bazı haklar vermekte olduğu gibi yaptırımlar da uygulamaktadır.

Kişisel veri, kişiyle ilişkisi kurulabilecek her türlü bilgiyi ifade eder. Kişisel veri, T.C. kimlik numarasında olduğu üzere ilgili kişinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte araç plaka numarasında olduğu üzere herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.

Bir gerçek kişinin sadece kimliğini ortaya koyan, adı, soyadı, doğum tarihi ve doğum yeri gibi bilgiler olabileceği gibi; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler de kişisel veri olarak kabul edilir.

Günümüzde kişisel verilerin çeşitliliğinin ve büyüklüğünün artmasıyla kişisel veri daha önemli hale gelmiştir. Bu verilerin işlenmesi bazı avantajların yanında özel bilgilerin gizliliği konusunda ortaya çıkan endişeleri de beraberinde getirmiştir. Bu durum kişisel verilerin korunması, yurt içinde veya yurt dışında aktarılması, verilerin yetkisiz kişilerce ele geçirilmesi, bilinçsiz davranışlar sonucu oluşan veri ihlalleri, kişi veri mahremiyetinin sağlanamaması gibi sorunlar ile ilgili yasal düzenlemelerin yapılmasını gerektirmiştir.

Kişisel verilerin işlenmesinde uyulması gereken temel ilkeler, Kanunun 4. maddesinde belirtilmiştir.

• Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
• Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
  • a) Hukuka ve dürüstlük kurallarına uygun olma.
  • b) Doğru ve gerektiğinde güncel olma.
  • c) Belirli, açık ve meşru amaçlar için işlenme.
  • ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
  • d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

İlgili kişi kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna yönelik bilgi talep etme, işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme, kişisel verilerin silinmesini veya yok edilmesini isteme, kişisel veriler üzerinde yapılan işlemlerin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin analiz edilmesiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

İlgili kişinin verisinden sorumlu olan gerçek veya tüzel kişiler ile Veri Sorumlusunun kararlarıyla bu veriyi işleyen kişilerin KVKK kapsamında yükümlülükleri vardır. Veri Sorumlusu kanunda “Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmıştır.

Bu Yükümlülükler Nelerdir?

1.Aydınlatma Yükümlülüğü

Veri sorumlusunun en temel yükümlülüğü aydınlatma yükümlülüğüdür. Aydınlatma yükümlülüğüne göre veri sorumlusu kişisel verilerin elde edilmesi sırasında ilgili kişiye bazı bilgileri sağlamalıdır. Bunlar;

– Veri sorumlusunun ve varsa temsilcisinin kimliği,
– Kişisel verilerin hangi amaçla işleneceği,
– Kişisel verilerin kimlere hangi amaçla akatarılabileceği,
– Kişisel veri toplamanın yöntemi ve hukuki sebebi,
– 11. maddede sayılan diğer hakları olarak belirtilmektedir. İlgili kişi verisinin işlendiği her durumdan haberdar olmalı ve bu konuda bilgilendirilmelidir.

2.Veri Güvenliğine İlişkin Yükümlülüğü

KVK Kanuna göre veri sorumlusu  veri güvenliği konusunda aşağıdaki maddelerden sorumludur:

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak.

Veri sorumlusu bu yükümlülüklerini yürütebilmek için her türlü tedbiri almak ve kanunun işleyişi ile ilgili denetimleri yapmak zorundadır. Kişisel veri, veri sorumlusu adına başka bir kişi tarafından işlenmişse güvenlik konusunda iki kişi de sorumlu durumdadır. Hem veri sorumlusu hem de veriyi işleyen kişi görevi sona erdikten sonra da veriyi paylaşamaz veya işleme amacı dışında kullanamaz. Eğer veri 3. kişiler tarafından ele geçirilmişse bu durum en kısa sürede ilgili kişilere bildirilmelidir.

3.Veri Sorumluları Siciline Kayıt Yükümlülüğü

Veri sorumlularının kamu ile paylaşılabilmesi ve bu sayede kişisel verilerin korunması hakkının daha etkin şekilde kullanılması amacıyla veri sorumluları, Veri Sorumluları Sicili (VERBİS)’e kayıt yaptırmak zorundadır. Bu sistemde veri işleme faaliyetleri ile ilgili bilgiler kayıtlı olarak tutulmaktadır. VERBİS’e kayıt olmak için yapılacak başvuru aşağıdaki bilgileri içermektedir:

• Veri sorumlusunun kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçla işleneceği,
• Veri konusu kişi grubu ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarımı öngörülen kişisel veriler,
• Kişisel veri güvenliğine yönelik alınan tedbirler,
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

4.İlgili Kişiler Tarafından Yapılan Başvuruların Cevaplanması Yükümlülüğü

Veri sorumluları, ilgili kişilerce kendisine iletilen, kanunun uygulanması ile ilgili talepleri en geç otuz gün içerisinde sonuçlandırmalıdır. Veri sorumlusu bu talebin olumlu ya da olumsuz cevabını ilgili kişiye bildirmelidir. İlgili kişi red cevabı alması halinde, cevabı öğrendikten sonraki otuz gün içinde Kurula şikayette bulunabilmektedir. Genellikle ücretsiz olan bu işlem,  gerekmesi halinde bir ücret karşılığında da yapılabilmektedir.

5.Kurul Kararlarının Yerine Getirilmesi Yükümlülüğü

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına giren konularda yapacağı inceleme sonucunda bir ihlalin varlığını tespit ederse, hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek, kararı ilgililere tebliğ eder. Veri sorumlusu, bu kararı, tebliğ tarihinden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirmek zorundadır.