KVKK NEDİR?
KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur. Kişisel verilerin işlenmesinde Anayasal haklar olan temel hak ve özgürlükleri korumak ve kişisel verileri işleyen kimselerin uyması gereken kuralları belirlemek için vardır. Bu kanun kapsamında ağırlıklı olarak temel hak ve özgürlükler içerisinde yer alan özel hayatın gizliliği korunmaktadır.
KVKK sayesinde kişisel verileri işleyen kimse kişinin onayı olmadan kişisel verileri kullanamaz. Bu sayede kişilerin temel hak ve özgürlükleri korunmuş ve verileri elinde bulunduran kimse sınırlandırılmış olur.
KVKK, kişisel verileri işlenen kişiler ile bu verileri işleyen kişilere uygulanır. Verileri işleyen kişi aynı zamanda verilerin kaydolduğu sistemin bir parçası olan kimseler de olabilmektedir.
KVKK; sağlık, çalışma hayatı, internet siteleri, uygulamalar gibi kişisel verilerin kullanıldığı platformlarda kişisel verileri bulunan kişileri, verileri işleyen kişilere karşı korumaktadır.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişinin ırkı, etnik kökeni, sağlığı, vakıf üyeliği, felsefi inancı, dini, ceza mahkumiyeti gibi kişiye ilişkin her türlü bilgilerdir.
KVKK kapsamında kişisel veriler:
- İsim-soy isim, T.C. kimlik ve SGK numarası
- Telefon numarası
- Okul diplomaları
- Parmak izi, kan grubu
- Kredi kartı, İBAN numarası
- Araç plakası, vergi beyanları
- Vakıf, parti, siyasi düşünceler
- Irk, etnik köken, din gibi ayrımlara ilişkin bilgiler gibi kişiye ait her türlü bilgi KVKK kapsamındaki kişisel verilerdir.
KVKK kapsamında kişisel veri kabul edilmeyenler:
- Şirket, dernek gibi tüzel kişilere ait bilgiler
- Kamu tüzel kişilerinin verileri
- Şirketlere ait vergi kimlik numaraları gibi bilgiler gerçek kişilere ait olmadığından KVKK kapsamında kişisel veri olarak kabul edilmezler.
Özel nitelikli kişisel veriler; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile cinsiyeti, sağlığı gibi biyometrik ve genetik verileridir. Belirtilenler dışında özel nitelikli kişisel verilerin kıyas yoluyla genişletilmesi mümkün değildir.
T.C. kimlik numarası özel nitelikli kişisel veri değildir. Genel nitelikli kişisel veriler arasındadır.
KVKK şartları kişisel verileri korumaya yönelik 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında konulmuş şartlardır.
Kişisel veriler hiçbir şekilde ilgili kişinin açık rızası bulunmadan işlenemez ancak bu kanunda belirtilen şartlar bakımından açık rıza olmaksızın işlenmesi mümkün olmuştur. Bu şartlar kişisel verilerin işlenme şartları ve özel nitelikli kişisel verilerin işlenme şartları olmak üzere iki şekildedir.
Kişisel veriler ancak kişinin açık rızası dahilinde işlenebilmektedir ancak açık rıza olmaksızın bazı hallerde de kişisel veriler işlenebilmektedir. Bunlar:
- Kişisel verinin işlenmesinin kanunda öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Sözleşme nedeniyle kişisel verinin paylaşılmasının gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- Kişisel veri sahibi tarafından yayımlanmış olması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde kişinin açık rızası olmaksızın kişisel veriler işlenebilir.
Özel nitelikli kişisel veriler ancak kişinin açık rızası dahilinde işlenebilmektedir ancak bu verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması gerekmektedir. Ayrıca bazı hallerde kişinin açık rızası olmadan da özel nitelikli kişisel veriler işlenebilmektedir. Bu haller:
- Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde
- Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
Kişisel verilerin işlenmesinde uyulması gereken ilkeler şunlardır:
- Kişisel veriler işlenirken işlemler hukuka ve dürüstlük kurallarına uygun olmalıdır.
- Kişisel veriler doğru ve güncel olmalıdır.
- Kişisel veriler ancak belirli, açık ve meşru amaçlar için işlenmelidir.
- Kişisel verilerin işlenme amacı, verilerin işlenmesiyle bağlantılı ve paralel olmalıdır.
- Kişisel veriler, işlendikleri amaç için gereken süre kadar kullanılmalıdır.
Veri sorumlusu, kişisel verilerin işlenme amacını belirleyen, kişisel verilerin kaydedildiği sistemin kurulmasından ve yönetilmesinden sorumlu olan kişilerdir. Bu kişiler kişisel verilerin neden ve nasıl işleyeceğini belirlemektedirler. Bu kapsamda personellerinin verilerini tutan şirket bir veri sorumlusudur. Ancak müşterilerinin verilerini tutan banka ise veri sorumlusu değil veri işleyendir.
KVKK onayı kişinin verileri işlenirken zorunludur. Çünkü kişinin verileri işlenirken 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca açık rızasının bulunması gerekmektedir ve bu kanunda belirtilen bazı hallerde de açık rıza olmadan veri işlenebilmektedir.
KVKK ihlali durumunda şu şekillerde durumun düzeltilmesi sağlanabilir:
- Veri sorumlusuna, kişisel verilerin ihlal edildiğine dair başvuruda bulunulabilir. Bu durumda veri sorumlusu başvuruyu inceleyerek 30 gün içerisinde başvuruya cevap vermelidir. Veri sorumlusu başvuruyu inceleyerek kabul veya ret kararı verir. Veri sorumlusunun cevabı yeterli olmadığı veya uygun olmadığı düşünüldüğü takdirde 30 gün içerisinde Kişisel Verileri Koruma Kurulu’na başvurulabilir.
- Kişisel Verileri Koruma Kurumu’nun internet sayfası olan kvkk.gov.tr adresi üzerinden Kişisel Veri İhlal Bildirimi yapılabilir. Bu durumda Kurul talebi inceler ve kabul veya ret kararı verir, 60 gün içerisinde herhangi bir yanıt verilmemişse de talep reddedilmiş sayılır. Eğer Kurul inceleme sonucunda talebi kabul ederse ve ihlalin varlığı anlaşılırsa kişisel veri ihlalinin veri sorumlusu tarafından düzeltilmesi sağlanır.
KVKK ihlali cezası bir yıldan dört yıla kadar hapis cezasıdır. Bu cezalar:
- Kişisel Verilerin Kaydedilmesi Cezası: Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumlarında ceza yarı oranında artırılır. Bu suçun kamu görevlisinin görevinin verdiği yetkiyi kötüye kullanarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanarak işlenilmesi halinde ceza yarı oranında arttırılır.
- Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme: Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Bu suçun kamu görevlisinin görevinin verdiği yetkiyi kötüye kullanarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanarak işlenilmesi halinde ceza yarı oranında arttırılır.
- Verileri Yok Etmeme: Kanunların belirlediği sürelerin geçmiş olmasına rağmen verileri sistem içinde yok etmekle görevli kişiler görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.
KVKK ihlali durumunda savcılığa şikayet dilekçesi sunularak ihlal şikayet edilir. Savcılık soruşturma aşamasına geçerek olayı inceler ve gerekli gördüğü hallerde iddianame hazırlayarak ceza davası açılmasını sağlar. Ancak şikayet dilekçesinin ayrıntılı ve hukuki delillerle desteklenmesi gerekmektedir. Bu konuda Ceza Hukuku’nda uzman avukatlardan oluşan büromuzdan yardım alabilirsiniz.