KVKK Nedir? Kişisel Verilerin Korunması Kanunu’na Dair Herşey

KVKK Nedir?

KVKK kişisel verilerin korunması kanunu anlamına gelmektedir. 07.04.2016 Tarihli ve 29677 sayılı Resmi Gazete‘de yayınlanarak yürürlüğe girmiştir. Bu kanun sayesinde kişilerin özel hayatı, temel hak ve özgürlükleri korunma altına alınmıştır. Ayrıca kişisel verileri işleyen kurumların sorumlulukları açıkça düzenlenmiştir.

Kişisel Verilerin Korunma Kanunu, uyulması gereken bazı ilkeleri ortaya koymuştur. Bunlar; hukuk kurallarına uyulması, dürüstlük ilkesinin gereğinin yapılması, doğru olma, meşru amaçlarla iş yapma, sınırlı ve ölçülü olma ve verilerin gerekli süre kadar muhafaza edilmesidir. Bu bağlamda kanunun belirlediği bu ilkeler bütün kişisel veri işleme faaliyetlerinin temelinde yer almalı ve bu ilkelere uygun şekilde işlemler gerçekleştirilmelidir.

Kişisel Verileri Koruma Kurumu

KVKK’yı işletebilmek ve hayatımıza adapte edebilmek adına Kişisel Verileri Koruma Kurumu kurulmuştur. Bu kurum KVKK ile alakalı denetimleri gerçekleştirmekte, veri ihlali bildirimlerini almakta ve bültenler yayınlamaktadır. Misyonunu ve vizyonunu ise şu sözlerler açıklamaktadır:

“Anayasada öngörülen özel hayatın gizliliği ile temel hak ve özgürlüklerin korunması kapsamında, Ülkemizde kişisel verilerin korunmasını sağlamak ve buna yönelik farkındalık oluşturarak bilinç düzeyini geliştirmek, aynı zamanda veri temelli ekonomide özel ve kamusal aktörlerin uluslararası rekabet kapasitelerini artırıcı bir ortam oluşturmak.”

“Kişisel verilerin korunması ile buna ilişkin vatandaşlık bilincinin oluşmasında etkin ve uluslararası alanda söz sahibi bir otorite olmak.”

KVKK Amacı Nedir?

KVKK amacını kanunun ilk maddesinde şöyle açıklamıştır: “ MADDE 1– (1) Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.”

Esasında kanun kişisel verilerin işlenme şartlarını açıklamak istemektedir. Bununla beraber başta temel hak ve özgürlükler olmak üzere kişilerin özel hayatını Anayasa’nın 20. maddesinde de belirtildiği üzere korumaya almayı amaçlamıştır. KVKK ile kişilerin verilerinin sınırsız biçimde toplanmasının ve kullanılmasının önüne geçmek, yetkisiz kişilerin bu haklardan mahrum kalmasını sağlamak ve kişilik hakları ihlallerinin önüne geçmek amaçlanır.

Kişisel Verilerin İşlenme Şartları Nelerdir?

Öncelikle belirtmemiz gerekir ki kişisel veriler ilgilinin rızası alınmaksızın işlenemez. Yani diğer tüm şartlar sağlanmasına rağmen ‘rıza’ şartı sağlanmıyorsa veri işleme yapılamaz. Bu son derece önemli bir husustur. Ancak bazı durumlarda kişinin rızası aranmadan da veriler işlenebilmektedir. Rıza aranmaksızın kişisel verilerin işlenmesi durumları KVKK madde 5’te sıralanmıştır. Bunlar:

 “a) Kanunlarda açıkça öngörülmesi.

1. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
2. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

1. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
2. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
3. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.”

KVKK Aydınlatma Yükümlülüğü

Kişisel verisi işlenecek kişiye, kişisel verisi işlenmeden önce şu hususlarda bilgi verilerek aydınlatılma yapılması gereklidir:

-Veri sorumlusu kimlik bilgileri,

-Alınan verilerin hangi amaçla kullanılacağı,

-Alınan verilerin kimlere ve hangi gayeyle aktarılabileceği,

-Veri toplamanın hukuki gerekçesi,

-Verisi alınan kişinin hukuki hakları.

Veri Sorumlusu

Veri sorumlusu, kişisel verilerin hangi gaye ile işleneceğini ve hangi yöntemler kullanılarak yapılacağını belirleyen gerçek ve tüzel kişilerdir. Veri sorumlusu, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumludur. Veri sorumlusun tüzel kişilik olması durumunda, sorumluluk bizzat tüzel kişinin kendisinde doğacaktır. Bu anlamda tüzel kişinin kamu tüzel kişisi ya da özel hukuk tüzel kişisi olmasında bir ayrım gözetilmemektedir.

Veri sorumlusu, KVKK kapsamında verilerin hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı olarak ulaşılmasının önüne geçmek ve verileri muhafaza etmekle yükümlüdür. Bu vazifelerini yerine getirebilmek adına her türlü tedbiri almalıdır. Ayrıca veri sorumlusu görevi gereği öğrendiği bilgileri başkalarıyla paylaşamaz. Bu sorumluluğu görevi bittikten sonra da devam eder.

Verilerin ifşa olması ya da böyle bir tehditle karşılaşılması durumunda veri sorumlusunun alması gereken tedbirler ve önlemler farklılık gösterebilir. Kolaylık sağlaması açısından Kişisel Verileri Koruma Kurulu tarafından “Kişisel Veri Güvenliği Rehberi” hazırlanmıştır.

KVKK Kapsamında İlgili Kişinin Hakları

KVKK kapsamında ilgili kişi kişisel verileriyle alakalı olarak veri sorumlusuna başvurabilmektedir. Bu bağlamda kişisel verilerinin işlenip işlendiğini öğrenme, işlenmişse bununla ilgili belge talep etme, kişisel verilerinin işlenmesindeki amacı öğrenme, verilerin amacına uygun kullanılıp kullanılmadığını sorgulama, verilerinin aktarıldığı üçüncü kişileri öğrenme, kişisel verilerinde yanlışlık ya da eksiklik olması halinde bunların düzeltilmesini talep etme, kişisel verilerinin işlenme gerekçesinin ortadan kalkması halinde bu verilerin imha edilmesini isteme ve zarara uğraması durumunda zararının tazmin edilmesini talep etme haklarına sahiptir.

Veri Sorumlusuna Başvuru ve Kurula Şikayet Usulü

Kişi, veri sorumlusuna yazılı olarak ya da kurulun belirlediği diğer yöntemlerle başvurabilir. Veri sorumlusu, kişinin talebini en kısa sürede ücretsiz olarak yanıtlamalıdır. Bu süre otuz günü geçemez. Ancak kişinin talebi herhangi maliyeti gerektiriyorsa, kurulun belirlediği miktarda kişiden ücret talep edilir.

Veri sorumlusunun yanıtı üzerine kişi otuz gün içerisinde kurula şikayette bulunabilir. Veri sorumlusunun herhangi bir cevap vermemesi üzerine, başvuru tarihinden itibaren atmış gün içinde kurula şikayette bulunulabilir. Veri sorumlusuna başvuru yapmadan direkt olarak kurula şikayet mümkün değildir.

Kurula yapılan şikayetler atmış içinde yanıtlanır. Kurul tarafından herhangi bir yanıt verilmemesi halinde şikayet reddedilmiş sayılır. Kurul karar verirken veri sorumlusundan bilgi ve belge talep edebilir. Kurulun talep ettiği bilgi ve belgeleri, veri sorumlusu on beş gün içinde teslim etmelidir. Kurulun yaptığı inceleme neticesinde herhangi bir ihlal görülmesi durumunda bu durum veri sorumlusuna aktarılır ve veri sorumlusu bu ihlali otuz gün içinde düzeltir. Kurulun tespit ettiği ihlaller yaygın bir şekilde yapılıyorsa, kurul ilke kararı çıkarır ve bunu ilgililere tebliğ eder.

KVKK Cezaları Nelerdir? KVKK Ceza Miktarları

KVKK ile birlikte gerçek ve tüzel kişilere bazı durumlarda idari para cezası bazı durumlarda ise hapis cezası öngörülmektedir. Kanun, resmi kurumlar dahil, kişisel verileri işleyen tüm kurum, işletme ve şirket sahiplerini kapsamaktadır. Gerçek kişi müşteriler, çalışanlar, ziyaretçilerin bilgileri kaydediliyor ve işleniyorsa KVKK kapsamındadır.

Kanun kapsamındaki tüm kurum ve kuruluşlar, Kişisel Verileri Koruma Kurumu’nun (KVKK) belirlediği tarihler içerisinde kısa adı VERBİS olan “Veri Sorumluları Sicil Bilgi Sistemi”ne kayıt yaptırma zorunluluğu vardır. VERBİS kaydı ile kurum ve işletmeler, hangi kişisel verileri, hangi amaçla, hangi kanuni dayanakla ve ne kadar süreyle işleyeceklerini bildirmekle yükümlüdürler. Bu yükümlülüğünün yerine getirilmemesi halinde kanun, idari ve hapis cezası getirmiştir.

KVKK’nın belirlediği cezalar şu şekildedir. (Not: Ceza tutarları her sene enflasyon oranında güncellenmektedir.)

-Aydınlatma yükümlüğünün ihlali: 13.000 TL – 267.000 TL

-Veri güvenliği yükümlülüğünün ihlali: 40.000 TL – 2.678.000 TL

– Sicil Yükümlülüğü İhlali: 53.000 TL – 2.678.000 TL

– Kurul kararlarına muhalefet: 66.000 TL – 2.678.000 TL

– Kişisel Verileri Hukuka Aykırı Olarak Kaydetmek: 1-3 yıl hapis cezası

– Kişisel Verileri Hukuka Aykırı Olarak Yayma, Başkasına Verme ve/veya Ele Geçirme: 2-4 yıl hapis cezası.

KVKK Kapsamında Aydınlatma Metni Örneği

Kişisel Verileri Koruma Kurulu tarafından yayınlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi’nde aydınlatma metninin nasıl olacağı detaylandırılarak anlatılmaktadır. Bu kapsamda linke tıklayarak daha detaylı bilgiye ulaşabilirsiniz. Aydınlatma metninin bir örneğini aşağıda sizlerle paylaşıyoruz.

Örnek aydınlatma metnine baktığımızda Kanun ve Tebliğdeki “Veri sorumlusunun kimliği” ile hangi kişisel veriler olduğu, Kanun ve Tebliğde yer alan “Kişisel verilerin hangi amaçla işleneceği” bilgisi, Kanun ve Tebliğde yer alan “Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği” bilgisi, Kanun ve Tebliğde yer alan “kişisel veri toplamanın yöntemi ve hukuki sebebi” bilgisi ve Kanun ve Tebliğde yer alan “ilgili kişinin Kanunun 11. maddesinde sayılan diğer hakları” bilgisi açıkça yer almaktadır. Aşağıda KVKK Veri Yönetim Dairesi Başkanlığı’nın hazırlamış olduğu birkaç örnek aydınlatma metnini paylaşıyoruz.

İletişim sayfamızdan bize ulaşabilirsiniz. Diğer makaleler için lütfen tıklayınız.