S.S.S

6698 sayılı Kanun 7 Nisan 2016 tarihinde yürürlüğe giren Kişisel Verileri Koruma Kanunu’dur (KVKK).

KVKK, “Kişisel Verileri Koruma Kanunu” anlamına gelmektedir. Temel olarak kişisel veri işleme süreçlerini, bu süreçlerin paydaşları olan veri sorumlusu, veri işleyen, ilgili kişi ve benzeri paydaşaların hak ve yükümlülükleri düzenleyen Kişisel Verileri Koruma Kanunu 7 Nisan 2016 yılında yürürlüğe girmiş ve bu tarihten itibaren uygulanmaktadır.

Kişisel Verilerin Korunması Kanunu Tasarısı, 6698 sayılı Kişisel Verilerin Korunması Kanunu adı ile 18 Ocak 2016 tarihinde TBMM Başkanlığına sevk edilmiş, 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış ve 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin (kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi) parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Bu doğrultuda, özel sektörde faaliyet gösteren kuruluşlar ile kamu kurum ve kuruluşları bakımından bir ayrım yapılmamış olup, öngörülen usul ve esasların tüm kurum ve kuruluşlar açısından uygulanması benimsenmiştir. Bu sebeple Kanun'un 28. maddesinde sayılan bir takım istisnalar dışında tüm veri işleme faaliyetleri KVKK kapsamına girmektedir.

Kimliği belirli ya da belirlenebilir nitelikteki gerçek kişiye ilişkin her türlü bilgidir. Kişisel veriden söz edebilmek için, verinin gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.

Kişisel verilerin işlenmesinde 6698 sayılı Kanunun 4’üncü maddesinde sayılan genel ilkelere uygun davranılmalıdır. Kişisel verilerin işlenmesine ilişkin olan bu ilkelerin, tüm kişisel veri işleme faaliyetlerinin özünde bulunması gerektiği ve işleme faaliyetinin bu ilkelere uygun olarak gerçekleştirilmesi gerektiği belirtilmiştir. Bahsedilen genel ilkeler şunlardır:

Hukuka ve dürüstlük kurallarına uygun olma
Doğru ve gerektiğinde güncel olma
Belirli, açık ve meşru amaçlar için işlenme
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

Veri Sorumluları Sicili (VERBİS), veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemidir.

KVKK’nın 17. maddesinde; kişisel veri ihlallerinde, kişisel verilere ilişkin suçlar bakımından 5237 Sayılı Türk Ceza Kanunu’nun 135 ila 140. maddelerinin uygulanacağı, 18. maddesinde ise kişisel veri ihlali halinde uygulanacak idari para cezaları yani kabahat niteliği taşıyan fiiller düzenlenmiştir. Buna göre, 2022 yılı için, Aydınlatma Yükümlülüğünün yerine getirilmemesi halinde 13.391-TL ile 267.883-TL arasında, Veri Güvenliğine İlişkin Yükümlülüklerin Yerine Getirilmemesi Halinde 40.179-TL ile 2.678.863-TL arasında, Kurul Kararlarının Yerine Getirilmemesi Halinde 66.965-TL ile 2.678.863-TL arasında, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edilmesi halinde 53.572-TL ile 2.678.863-TL arasında para cezası kesilir. Yani kişisel verilerin işlenmesine ilişkin hukuka aykırılıklarda uygulanan yaptırımları TCK kapsamındaki cezalar ve KVKK kapsamındaki idari para cezaları olmak üzere iki gruba ayırmak mümkündür.

Anayasanın 20. maddesi gereğince herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Bu doğrultuda herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak, kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Anayasaya uygun olarak Kanunun 11. maddesinde ilgili kişilerin haklarının neler olduğu detaylı olarak düzenlenmektedir.

Aydınlatma yükümlülüğü yerine getirilirken ilgili kişiye verilecek bilgiler, eğer Veri Sorumluları Siciline kayıt yükümlülüğü varsa, Veri Sorumluları Siciline açıklanan bilgilerle uyumlu olmalıdır. Kayıt yükümlülüğü yoksa Kanunun 10. ve 11. maddeleri kapsamında aydınlatma yükümlülüğü yerine getirilmelidir.

Bu yükümlülük yerine getirilirken veri sorumluları veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak aşağıdaki konuları içermesi gerekmektedir:

Veri sorumlusunun ve varsa temsilcisinin kimliği,
Kişisel verilerin hangi amaçla işleneceği,
Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
Kişisel veri toplamanın yöntemi ve hukuki sebebi,
İlgili kişinin Kanunun 11 inci maddesinde sayılan diğer hakları

Kurulca hazırlanan ve 10.03.2018 tarihli Resmî Gazete ’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğe göre sayılan, veri sorumlusunca aydınlatma yükümlülüğünün yerine getirilmesi esnasında uyulması gereken usul