6698 Sayılı Kişisel Verilerin Korunması Kanunu Nedir?
6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verilerin hukuka uygun şekilde işlenmesini, saklanmasını ve korunmasını düzenleyen temel kanundur. 7 Nisan 2016 tarihinde Resmî Gazete’de yayımlanan KVKK, kişilerin özel hayatının gizliliğini ve temel haklarını korumayı amaçlar. Kanun, kişisel verileri işleyen şirketlerin, kamu kurumlarının ve diğer veri sorumlularının yükümlülüklerini belirler.
Günümüzde dijital sistemlerin, internet sitelerinin, e-ticaret platformlarının ve bulut bilişim hizmetlerinin yaygınlaşmasıyla birlikte kişisel verilerin korunması daha önemli hâle gelmiştir. KVKK; kişisel verilerin hangi amaçlarla işlenebileceğini, hangi şartlarda üçüncü kişilerle paylaşılabileceğini ve ilgili kişilerin sahip olduğu hakları düzenler.
6698 Sayılı KVKK’nın Amacı Nedir?
Kişisel Verilerin Korunması Kanunu’nun temel amacı, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korumak ve veri işleyen kişi veya kuruluşların uyması gereken kuralları belirlemektir.
KVKK’nın başlıca amaçları şunlardır:
- Kişisel verilerin hukuka uygun şekilde işlenmesini sağlamak.
- Özel hayatın gizliliğini ve kişisel hakları korumak.
- Kişisel verilerin yetkisiz erişime karşı güvenliğini sağlamak.
- Veri sorumlularının yükümlülüklerini belirlemek.
- Kişilerin kendi verileri üzerindeki haklarını kullanabilmesini sağlamak.
-
Kişisel verilerin saklanması, aktarılması ve imha edilmesine ilişkin kuralları düzenlemek.
Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek bir kişiye ilişkin her türlü bilgidir. Bir bilginin kişisel veri sayılması için kişinin doğrudan veya dolaylı olarak belirlenebilir olması yeterlidir.
KVKK kapsamında değerlendirilebilecek kişisel veri örnekleri şunlardır:
- Ad ve soyad
- T.C. kimlik numarası
- Telefon numarası ve e-posta adresi
- Ev ve iş adresi
- IP adresi ve çevrim içi kullanıcı bilgileri
- Fotoğraf, video ve kamera kayıtları
- Müşteri ve çalışan kayıtları
- Konum bilgileri
- Sağlık ve biyometrik veriler
Bu verilerin işlenmesi sırasında KVKK’da belirtilen ilkelere ve ilgili hukuki şartlara uyulması gerekir.
Özel Nitelikli Kişisel Veri Nedir?
Özel nitelikli kişisel veriler, açıklanması veya hukuka aykırı kullanılması hâlinde kişilerin ayrımcılığa uğramasına ya da mağduriyet yaşamasına neden olabilecek hassas verilerdir. KVKK’nın 6. maddesi bu verilerin işlenmesine ilişkin özel şartlar düzenler.
Özel nitelikli kişisel veriler arasında sağlık bilgileri, biyometrik ve genetik veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler ile kanunda sayılan diğer veri kategorileri bulunur. Güncel kanun metninde belirtilen şartlar sağlanmadan bu verilerin işlenmesi mümkün değildir.
KVKK Kimleri Kapsar?
KVKK, kişisel verileri tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişileri kapsar.
Bu kapsamda aşağıdaki kuruluşlar KVKK yükümlülükleriyle karşılaşabilir:
- Özel şirketler ve kurumsal işletmeler
- E-ticaret siteleri ve çevrim içi hizmet sağlayıcılar
- İnsan kaynakları ve işe alım departmanları
- Sağlık kuruluşları
- Eğitim kurumları
- Kamu kurum ve kuruluşları
- Müşteri bilgilerini işleyen hizmet sağlayıcılar
- Kişisel veri işleme faaliyetinde bulunan diğer kuruluşlar
Kuruluşların hangi yükümlülüklere tabi olduğu; işledikleri verilerin niteliğine, faaliyetlerine, veri sorumlusu veya veri işleyen sıfatlarına ve ilgili mevzuata göre değişebilir.
Şirketlerin KVKK Kapsamındaki Yükümlülükleri Nelerdir?
Kişisel verileri işleyen şirketlerin, faaliyetlerine uygun teknik ve idari önlemleri alması ve KVKK’nın ilgili hükümlerine uyması gerekir.
-
Aydınlatma Yükümlülüğü
Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişileri; veri sorumlusunun kimliği, işleme amaçları, aktarım yapılabilecek taraflar, veri toplama yöntemi ve hukuki sebep ile ilgili kişi hakları hakkında bilgilendirmelidir.
-
Hukuka Uygun Veri İşleme
Kişisel veriler, hukuka ve dürüstlük kurallarına uygun şekilde, doğru ve gerektiğinde güncel olarak, belirli, açık ve meşru amaçlarla ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.
-
Kişisel Veri Güvenliğini Sağlama
Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere yetkisiz erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almalıdır.
Bu tedbirler kuruluşun risklerine göre erişim yetkilendirmesi, güçlü kimlik doğrulama, şifreleme, güvenlik duvarları, yedekleme, kayıtların izlenmesi, personel eğitimi ve düzenli güvenlik değerlendirmeleri gibi uygulamaları içerebilir.
-
Saklama ve İmha Politikası
Kişisel veriler süresiz olarak saklanmamalıdır. İşleme şartları ortadan kalktığında ve verilerin tutulmasını gerektiren başka bir hukuki neden bulunmadığında, ilgili mevzuata uygun şekilde silme, yok etme veya anonim hâle getirme süreçleri uygulanmalıdır.
-
İlgili Kişi Başvurularını Yanıtlama
Şirketler, kişilerin KVKK kapsamında yaptıkları başvuruları mevzuatta belirtilen usul ve süreler içinde değerlendirmelidir. Başvuruların yönetilmesi için açık bir süreç oluşturulması önemlidir.
KVKK Kapsamında Kişilerin Hakları Nelerdir?
KVKK’nın 11. maddesi, kişisel verileri işlenen gerçek kişilere çeşitli haklar tanır. İlgili kişiler, kanunda belirtilen şartlar çerçevesinde:
- Kişisel verilerinin işlenip işlenmediğini öğrenebilir.
- Kişisel verileri işlenmişse buna ilişkin bilgi talep edebilir.
- Verilerin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenebilir.
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri öğrenebilir.
- Eksik veya yanlış işlenen verilerin düzeltilmesini isteyebilir.
- Kanuni şartlar oluştuğunda verilerin silinmesini veya yok edilmesini talep edebilir.
- Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir.
- Münhasıran otomatik sistemlerle analiz sonucunda aleyhlerine bir sonuç ortaya çıkmasına itiraz edebilir.
- Kanuna aykırı veri işleme nedeniyle zarara uğramaları hâlinde zararın giderilmesini talep edebilir.
Bu hakların kullanılmasında veri sorumlusuna başvuru usulü ve ilgili kanuni şartlar dikkate alınmalıdır.
KVKK ve Bilgi Güvenliği Arasındaki İlişki
KVKK ile bilgi güvenliği birbiriyle yakından ilişkilidir. Bilgi güvenliği; verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya yönelik uygulamaları kapsar. KVKK ise kişisel verilerin işlenmesine ilişkin hukuki çerçeveyi ve veri sorumlularının yükümlülüklerini belirler.
Şirketler, KVKK uyum çalışmalarını desteklemek için aşağıdaki bilgi güvenliği uygulamalarından yararlanabilir:
- Sunucu ve depolama sistemlerinde erişim kontrolü
- Verilerin düzenli olarak yedeklenmesi
- Yetkisiz erişimlerin izlenmesi ve kayıt altına alınması
- Ağ güvenliği ve güvenlik duvarı çözümleri
- Verilerin uygun durumlarda şifrelenmesi
- Felaket kurtarma ve iş sürekliliği planları
- Güvenlik açıklarının düzenli olarak değerlendirilmesi
- Çalışanlara yönelik farkındalık eğitimleri
Bu uygulamalar, kuruluşun veri güvenliği risklerini azaltmaya yardımcı olur. Ancak tek başlarına KVKK’ya tam uyum sağlandığı anlamına gelmez; hukuki, idari ve teknik süreçlerin birlikte ele alınması gerekir.
KVKK İhlalinde Hangi Yaptırımlar Uygulanabilir?
KVKK kapsamındaki yükümlülüklerin ihlal edilmesi, ihlalin niteliğine göre idari para cezalarına ve diğer hukuki sonuçlara neden olabilir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi veya paylaşılması gibi bazı fiiller ayrıca Türk Ceza Kanunu kapsamında değerlendirilebilir.
İdari para cezalarının tutarları yıllara göre değişebildiğinden, güncel tutarlar için Kişisel Verileri Koruma Kurumunun resmî duyuruları ve ilgili mevzuat kontrol edilmelidir.
KVKK Uyum Süreci Nasıl Yürütülür?
KVKK uyum süreci, kuruluşun kişisel veri işleme faaliyetlerinin belirlenmesi ve risklerin değerlendirilmesiyle başlar. Genel olarak aşağıdaki adımlar izlenebilir:
- İşlenen kişisel verilerin ve işleme amaçlarının belirlenmesi.
- Veri akışlarının ve verilerin aktarıldığı tarafların incelenmesi.
- Veri işleme faaliyetlerinin hukuki şartlarının değerlendirilmesi.
- Aydınlatma metinleri ve gerekli diğer dokümanların hazırlanması.
- Saklama ve imha süreçlerinin oluşturulması.
- Teknik ve idari veri güvenliği önlemlerinin uygulanması.
- İlgili kişi başvuruları ve veri ihlallerine yönelik süreçlerin belirlenmesi.
- Gerekli olması hâlinde VERBİS kayıt yükümlülüğünün değerlendirilmesi.
- Uyum çalışmalarının düzenli olarak gözden geçirilmesi.
Her kuruluşun yükümlülükleri aynı değildir. VERBİS kayıt zorunluluğu ve istisnalar, ilgili mevzuat ve Kurul kararları çerçevesinde ayrıca değerlendirilmelidir.
Sık Sorulan Sorular
6698 Sayılı KVKK ne zaman yürürlüğe girdi?
6698 Sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde Resmî Gazete’de yayımlanmıştır. Kanunun farklı hükümleri için yürürlük tarihleri ayrıca düzenlenmiştir.
KVKK’nın açılımı nedir?
KVKK’nın açılımı Kişisel Verilerin Korunması Kanunu’dur. Kanun numarası 6698’dir.
Her şirket KVKK’ya uymak zorunda mıdır?
Kişisel verileri kanunda belirtilen yöntemlerle işleyen şirketler, faaliyetlerine uygulanabilir KVKK hükümlerine uymak zorundadır. Yükümlülüklerin kapsamı, somut faaliyetlere ve varsa kanuni istisnalara göre belirlenir.
KVKK kapsamında açık rıza her zaman gerekli midir?
Hayır. Açık rıza, kişisel verilerin işlenmesinin tek hukuki şartı değildir. KVKK’nın 5. ve özel nitelikli kişisel veriler bakımından 6. maddelerinde belirtilen şartlardan uygun olanı mevcutsa, ilgili veri işleme faaliyeti bu hukuki şarta dayanabilir. Açık rıza gerektiğinde ise geçerli rızaya ilişkin koşullar sağlanmalıdır.
KVKK ihlalinde nereye başvurulur?
İlgili kişi öncelikle KVKK’nın 13. maddesi kapsamında veri sorumlusuna başvurmalıdır. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi gibi durumlarda, kanunda belirtilen şartlar ve süreler dâhilinde Kişisel Verileri Koruma Kuruluna r.
6698 Sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin hukuka uygun işlenmesini ve korunmasını sağlayan temel düzenlemedir. Şirketlerin KVKK yükümlülüklerini yerine getirmesi; kişisel veri işleme süreçlerini belirlemesini, ilgili kişileri bilgilendirmesini, uygun güvenlik önlemlerini uygulamasını ve verileri gerekli süre boyunca saklamasını gerektirir.
KVKK uyumunu etkili biçimde yönetmek için hukuki gerekliliklerin bilgi güvenliği uygulamalarıyla birlikte ele alınması ve süreçlerin düzenli olarak güncellenmesi önemlidir.
Resmî kaynak: Kişisel Verileri Koruma Kurumu — https://www.kvkk.gov.tr/
Bu içerik genel bilgilendirme amacı taşır; hukuki danışmanlık yerine geçmez. Uygulama öncesinde güncel kanun metni, ikincil mevzuat ve Kurul kararları dikkate alınmalıdır.