Kişisel verilerin korunması hukuku; bireylerin kimliğini doğrudan ya da dolaylı olarak tanımlamaya elverişli bilgilerin toplanması, işlenmesi, aktarılması ve silinmesi süreçlerini düzenleyen hukuk dalıdır. Türkiye’de bu alandaki temel yasal çerçeve, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile oluşturulmuş; Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR) ile büyük ölçüde uyumlu bir yapı benimsenmiştir.
Kişisel veriler; isim, kimlik numarası, iletişim bilgileri, sağlık durumu, biyometrik veriler, mali bilgiler ve konum verileri gibi unsurları kapsar. Bu veriler üzerinde gerçekleştirilen her türlü işlem —kaydetme, depolama, değiştirme, üçüncü kişilere aktarma veya yok etme— kanunun doğrudan uygulama alanına girer.
KVKK’nın Temel İlkeleri
6698 sayılı Kanun, kişisel veri işleme faaliyetlerinde uyulması zorunlu birkaç temel ilke öngörmektedir. Bu ilkeler; veri sorumlusunun kimliğinden bağımsız olarak her veri işleme sürecinde geçerlidir.
Hukuka ve dürüstlük kuralına uygunluk: Veriler yalnızca kanunun öngördüğü hukuki sebeplere dayanılarak işlenebilir; veri sahibinin makul beklentileriyle çelişen uygulamalar bu ilkeyi ihlal eder.
Doğruluk ve güncellik: İşlenen verinin gerçeğe uygun ve gerektiğinde güncel tutulması zorunludur; hatalı ya da güncelliğini yitirmiş veri işlenmesi hukuka aykırılık doğurabilir.
Belirli, açık ve meşru amaç: Veri işleme amacının önceden açıkça belirlenmesi ve bu amacın meşru bir temele dayanması gerekir; amaç dışı işleme yasaktır.
İşlemeyle bağlantılılık ve ölçülülük: Toplanan veri miktarı, belirlenen amacın gerektirdiğiyle sınırlı tutulmalıdır; amaç için gerekli olmayan verinin işlenmesi orantısız sayılır.
Saklama süresinin sınırlılığı: Kişisel veriler, işlenme amacının gerektirdiği süre kadar saklanabilir. Amacın ortadan kalkması ya da yasal saklama süresinin dolmasıyla birlikte verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi zorunludur.
Veri Sorumlusu ve Veri İşleyen
Kanun, iki temel aktör tanımlar. Veri sorumlusu; kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen gerçek ya da tüzel kişidir. Veri işleyen ise veri sorumlusunun adına ve talimatları doğrultusunda veri işleyen taraftır.
Bu ayrım, hukuki sorumluluğun tespitinde belirleyici rol oynar. Veri sorumlusu; Kişisel Verileri Koruma Kurumu’na kayıt yükümlülüğü, aydınlatma yükümlülüğü ve veri ihlali bildirim yükümlülüğü gibi temel yükümlülüklerin birincil muhatabıdır. Veri işleyen ise bu yükümlülükleri veri sorumlusuyla imzalanan veri işleme sözleşmesi çerçevesinde üstlenir.
Kişisel Veri İşlemenin Hukuki Dayanakları
KVKK m.5, kişisel verilerin hangi hâllerde işlenebileceğini sınırlı sayıda belirlemiştir. Bu hukuki dayanaklardan birinin varlığı, veri işlemenin hukuka uygunluğunun önkoşuludur.
- Veri sahibinin açık rızası
- Kanunlarda açıkça öngörülmesi
- Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- Veri sahibinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- Meşru menfaat dengesi (veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla)
Özel nitelikli kişisel veriler —ırk, etnik köken, siyasi düşünce, dini inanç, sağlık ve cinsel hayata ilişkin bilgiler ile biyometrik ve genetik veriler— daha güçlü güvenceler altındadır. Bu veriler yalnızca m.6’da sayılan koşullar gerçekleştiğinde işlenebilir; genel hukuki dayanaklara başvurulamaz.
Veri Sahiplerinin Hakları
6698 sayılı Kanun’un 11. maddesi, veri sahibine kapsamlı bir haklar kataloğu tanır. Bu hakların kullanımı için önce ilgili veri sorumlusuna başvurulması zorunludur; başvurunun karşılıksız kalması ya da reddedilmesi hâlinde Kişisel Verileri Koruma Kurulu’na şikâyet yoluna gidilebilir.
Bilgi edinme hakkı: Veri sahibi, hakkında kişisel veri işlenip işlenmediğini öğrenebilir ve işleme faaliyetleri hakkında bilgi talep edebilir.
Düzeltme hakkı: Yanlış veya eksik verilerin düzeltilmesini ya da tamamlanmasını isteyebilir.
Silme ve yok etme hakkı: İşlenme şartlarının ortadan kalktığı hâllerde verinin silinmesini veya yok edilmesini talep edebilir.
İtiraz hakkı: Otomatik sistemler aracılığıyla kendisi aleyhine çıkarılan sonuçlara ve belirli veri işleme faaliyetlerine itiraz edebilir.
Tazminat hakkı: Kanuna aykırı veri işleme nedeniyle uğradığı zararın giderilmesini talep edebilir.
Veri İhlali ve Kurul’a Bildirim Yükümlülüğü
Kişisel verilerin yetkisiz erişime, ifşaya, değiştirilmeye veya yok edilmeye maruz kalması durumunda veri ihlali gündeme gelir. KVKK, veri sorumlusuna bu ihlali 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirme yükümlülüğü getirir; ihlalden etkilenen veri sahiplerine de gecikmeksizin bildirim yapılması gerekir.
Bildirim yükümlülüğünün yerine getirilmemesi, idari para cezası uygulanmasına zemin hazırlayabilir. Kurul kararlarına karşı idare mahkemelerinde itiraz yoluna başvurulabilir; bu sürecin usul açısından doğru yürütülmesi sonuç üzerinde belirleyici olabilir.
İdari Para Cezaları ve Yaptırımlar
KVKK’nın 18. maddesi, çeşitli ihlal türlerine karşılık gelen idari para cezası miktarlarını düzenlemektedir. Aydınlatma yükümlülüğünün ihlali, veri güvenliğine ilişkin tedbirlerin alınmaması ve Kurul kararlarına uyulmaması başlıca yaptırım nedenleri arasındadır.
Ceza miktarları her yıl yeniden değerleme oranında güncellenmektedir; somut rakamlar için güncel Kurul duyurularının takip edilmesi önerilir. Bunun yanı sıra, KVKK ihlali aynı zamanda Türk Ceza Kanunu’nun ilgili maddeleri (TCK m.135 vd.) kapsamında cezai sorumluluk da doğurabilir; bu iki yaptırım yolu birbirinden bağımsız işler.
Kurumsal Uyum: KVKK’ya Hazırlık Süreci
Şirketlerin ve kamu kurumlarının KVKK uyumunu sağlaması; teknik önlemler, idari düzenlemeler ve hukuki belgeler olmak üzere üç eksende yürütülür.
Süreç tipik olarak bir veri envanteri oluşturulmasıyla başlar: hangi verilerin, hangi amaçla, hangi hukuki dayanaklara dayanılarak, ne kadar süreyle ve kimlerle paylaşılarak işlendiği belgelenir. Buna bağlı olarak gizlilik politikaları, aydınlatma metinleri ve açık rıza formları hazırlanır. Veri işleyenlerle imzalanan sözleşmelerin KVKK uyumlu hükümler içermesi ve çalışanların farkındalık eğitiminden geçirilmesi de sürecin ayrılmaz parçalarıdır.
Uyum süreci tek seferlik bir proje değil; mevzuat değişikliklerine ve Kurul kararlarına paralel sürdürülen dinamik bir süreçtir. Av. Harun Raşit Özdemir, bu alandaki danışmanlık süreçlerinde veri envanterinden sözleşme revizyonuna uzanan geniş bir kapsama yönelik hukuki destek sunmaktadır.
KVKK ile GDPR Arasındaki Temel Farklar
Türkiye’de faaliyet gösteren ve Avrupa Birliği’ndeki veri sahiplerine yönelik hizmet sunan ya da bu kişilerin verilerini işleyen işletmeler, hem KVKK hem de GDPR yükümlülükleriyle karşı karşıya kalabilir.
İki düzenleme arasındaki başlıca farklılıklar şöyle özetlenebilir: GDPR’ın veri taşınabilirliği hakkı KVKK’da daha sınırlı biçimde düzenlenmiştir. GDPR kapsamındaki ceza tavanları, KVKK’ya kıyasla çok daha yüksek seviyelerdedir. Ayrıca GDPR, belirli ölçek ve risk profiline sahip işletmeler için Veri Koruma Görevlisi (DPO) atanmasını zorunlu kılarken, KVKK’da bu yükümlülük farklı biçimde düzenlenmiştir. İkili yükümlülük altındaki işletmeler için uyum stratejisinin bütüncül kurgulanması büyük önem taşır.
Sık Sorulan Sorular
Açık rıza olmadan kişisel veri işlenebilir mi?
Evet; açık rıza, KVKK m.5’te sayılan hukuki dayanaklardan yalnızca biridir. Sözleşmenin ifası, kanuni yükümlülük veya meşru menfaat gibi diğer dayanakların varlığı hâlinde açık rıza olmaksızın da veri işlenebilir. Ancak hangi dayanağın somut durumda uygulanacağı, her olay özelinde ayrıca değerlendirilmelidir.
Veri ihlali durumunda ne yapılmalıdır?
İhlali öğrenen veri sorumlusu, en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirimde bulunmalıdır. İhlalden etkilenen kişilere de gecikmeksizin bilgi verilmesi gerekir. Bildirimin kapsamı ve biçimi, Kurul’un belirlediği standartlara uygun olmalıdır.
Kişisel Verileri Koruma Kurumu’na nasıl şikâyette bulunulur?
Veri sahibi, öncelikle veri sorumlusuna yazılı başvuru yapmalıdır. Başvuruya 30 gün içinde yanıt verilmemesi ya da yanıtın tatmin edici bulunmaması hâlinde, 30 günlük sürenin dolmasından itibaren 30 gün içinde Kurul’a şikâyet yoluna gidilebilir. Şikâyet, Kurum’un resmi web sitesi üzerinden veya yazılı dilekçeyle iletilir.
Yabancı uyruklu bireylerin verileri KVKK kapsamında mı değerlendirilir?
Türkiye’de gerçekleştirilen veri işleme faaliyetleri bakımından veri sahibinin uyrukluğunun önemi bulunmamaktadır; KVKK, Türkiye’de işlenen tüm kişisel veriler için uygulanır. Yabancı uyruklu kişilerin verilerini işleyen veri sorumluları da kanunun öngördüğü yükümlülüklere tabidir.
Bu içerik genel bilgilendirme amaçlıdır; özellikle süreler ve başvuru koşulları zaman içinde değişebileceğinden, kesin bilgi ve kendi durumunuz için bir avukata danışmanız önerilir.
