SSS

Kişisel veri, gerçek kişiyle ilişkili her tür bilgidir. Bu noktada kişinin kimliğinin belirli olması ya da belirlenebilir olması gerekir.
Kişisel veri, gerçek kişiyle ilişkili her tür bilgidir. Bu noktada kişinin kimliğinin belirli olması ya da belirlenebilir olması gerekir.
Örnek vermek gerekirse;
• Ad Soyad,
• TC kimlik no,
• Doğum tarihi
• Telefon no,
• Plaka,
• Sigorta no,
• Pasaport no,
• Özgeçmiş, resim,
• Performans değerlendirme raporları,
• Görüntü ve ses kayıtları,
• Parmak izleri,
• E-posta adresi
• Kredi kartı/dekont fatura kişisel veri olarak değerlendirilir.

Büyük miktarlarda kişisel verilerin elde edilmesi, kaydedilmesi, paylaşılması içinde bulunduğumuz dijital çağda çok hızlı bir şekilde gelişmektedir. Verilerin bu şekilde yetkisiz ve dikkatsiz işlenmesi insanların kişisel bilgilerini kontrol etmelerini gittikçe zorlaştırmakta. İşte bu noktada verilerin korunması gerekliliği ortaya çıkmıştır ve kişisel bilgileri korumak, bunların kontrol altında tutulmasını sağlamak için uygulamalar, önlemler ve kurallar belirlenmiştir. Basitçe söylemek gerekirse, kişilerin kendi bilgilerine kimin erişebileceği, ne kadar süreyle, hangi nedenle ve bunları paylaşmak isteyip istemediği konusunda özgür iradeyle karar vermesi ve buna rıza göstermesi için düzenlemeler getirildi.

Ayrıca sadece ilgili kişiler değil verileri işleyen kurumlara da bazı görevler tanımlanmıştır. Bu kapsamda kişisel verilerin kaydedilmesi, depolanması, muhafaza edilmesi, güncellenmesi ve yetkili kişilerce ulaşılabilinir olmasını, güvenliğini dolayısıyla korunmasını sağlamak için uymak zorunda oldukları kurallar tanımlanmıştır.

Dolayısıyla kişisel verilerin korunması, kişisel verilerin işlenmesinin disiplin altına alınması ile bu verilerle ilişkili olan kişilerin temel hak ve özgürlüklerin korunmasıdır.

Kişisel verilerin korunması 2010 yılında yapılan Anayasa değişikliği ile özel hayatın gizliliği kapsamında 20. maddede açıkça anayasal güvence altına alınmıştır.

Öncelikle kişisel sağlık verileri özel nitelikli kişisel verisi kapsamına girer. Kişinin tahlil sonuçları, geçirdiği hastalıklar, ilaçları gibi fiziksel ve ruhsal sağlığı ile ilgili bilgi ve aldığı sağlık hizmeti bilgileri kişisel sağlık verisidir.

Özel nitelikli kişisel veriler, kişisel verilerde daha fazla koruma uygulanan küçük bir gruptur, çünkü kişinin mağdur olmasına ya da ayrımcılıkla karşılaşmasına neden olabilir.
Özel nitelikli kişisel veriler arasına; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, sendika vb. gibi üyelikler, sağlık, cinsel hayat, cezası vb. gibi biyometrik ve genetik veriler girer.

Bu kanunla günümüzde kişisel verilerin her konuyla ilişkili olarak kolaylıkla talep edilip toplanabilmesi, verilerin gizliliğinin kaybolması ve farklı kişilerle paylaşılması ya da talep edilen konu dışında ya da kötüye kullanımı sonucu kişilik haklarının ihlalinin engellenmesi amaçlanır.

Kişisel Verilerin Korunması Kanunu, verileri işlenen gerçek kişiler ile bu verileri otomatik ya da otomatik olmayan yollarla (veri kayıt sistemiyle) işleyen gerçek ve tüzel kişileri kapsar.
Özel sektördeki şirketler, vergi mükellefleri ile kamu kurum ve kuruluşları ve aynı zamanda hak ehliyetine sahip olan her birey bu kapsama girer.

Kanunda belirtildiği üzere verileri işlenen tüzel kişiler bu kapsam dışındadır. Veri işleme faaliyetini gerçekleştirenlerden gerçek kişi ve tüzel kişiler kanun kapsamı içindedir. Bu noktada veri kayıt sisteminin parçası olmaksızın veri işleyenler ise kapsam dışındadır.

Tüm Veri İşleme Faaliyetleri için bu kanun hükümleri geçerli değildir. Tam istisna ve kısmi istisna halleri mevcuttur.
Kanun hükümlerinin uygulanmadığı Tam İstisna Halleri
• Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,
• Kişisel verilerin resmi istatistik ile anonim hale getirildiğinde araştırma, planlama ve istatistik gibi konular için işlenebilmesi,
• Millî savunmayı ve güvenliği, kamu düzenini, özel hayatın gizliliğini, kişi haklarını vb. ihlal etmeden sanat, tarih, edebiyat, bilimsel vb. gibi amaçlarla kişisel verilerin işlenmesi,
• Millî savunmayı ve güvenliği, kamu düzenini vb. sağlamak için kanunla yetkilendirilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari işlemler sebebiyle kişisel verilerin işlenmesi,
• Kişisel verilerin yargı ve infaz makamlarının bazı işlemler gerekçesiyle işlenmesi.

Kanun hükümlerinin uygulanmadığı Kısmi İstisna Halleri
Kanunun amacına ve temel ilkelerine uygun ve orantılı olma şartıyla Kanundaki 10. madde, 11. madde ve 16. madde hükümleri, aşağıda belirtilen durumlarda uygulanmamaktadır. Bunlar dışında ise kalan Kanun hükümlerine ise tabidirler.
• Suçu engelleyici veya soruşturma için talep edilmesi durumu,
• Kişinin kendisinin alenileştirdiği verilerin işlenmesi durumu,
• Kanunla yetkilendirilmiş kamu kurum ve kuruluşları tarafından yürütülen görevlerdeki disiplin soruşturma veya kovuşturması için talep edilmesi durumu,
• Devletin ekonomik durumunun korunması amacıyla kişisel verilerin işlenmesi durumu.

Kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.

Bu kapsamda otomatik veri işlenmesi; insan tarafından gerçekleştirilmeyen bilgisayar, telefon, saat vb. işlemci sahibi cihazların algoritmalarıyla gerçekleştirilen veri işleme faaliyetidir. Otomatik olmayan veri işlenmesi ise erişimi ve anlamlandırmayı kolaylaştırmak amacıyla manuel olarak verilerin işlenmesidir.

Açık Rıza belirli bir konuda, bilgilendirmeye dayalı, açık ve özgür iradeyle alınmış olmalıdır. Kişiyle ilgili olan veri sorumlusuna verilen açık rıza bir hak olduğu için kişi bunu geri alabilir.
Geri alma beyanı veri sorumlusuna iletilir. Bu beyanın ulaşmasından sonra açık rıza ile ilişkili tüm işlemler durdurulmalıdır, çünkü hüküm doğurur.

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişilere denir.
Buradaki önemli nokta eğer veri işlemeyi bir tüzel kişilik yapıyorsa, burada veri sorumlusu tüzel kişinin kendisidir. Tüzel kişilikte veri işlemeden sorumlu olan gerçek kişiler veri sorumlusu sayılmazlar. Bu noktada tüzel kişilere özel ve kamu hukukundaki genel hükümler uygulanır.

Veri işleyen, veri sorumlusunun verdiği talimatlar çerçevesinde verileri işleyen gerçek veya tüzel kişilerdir. Veri işleyen en çok teknik kısımları ile ilgilenir. Gerçek veya tüzel kişi hem veri sorumlusu hem de veri işleyen olabilir. Örneğin, şirketimiz çalışanlarımızın verileri bakımından “veri sorumlusu” iken, müşterilerimizin verileri bakımından “veri işleyen” konumundadır.

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Kişisel Verileri Koruma Kanunu’nun 5. maddesinde kişisel verilerin işlenme şartları düzenlenmiştir.
• İlgili kişinin açık rızasının varlığı,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kişisel Verileri Koruma Kanunu’nun 6. maddesinde kişisel verilerin işlenme şartları düzenlenmiştir.
Özel nitelikli kişisel veriler açık rıza ile ya da Kanunda sayılan sınırlı hallerde işlenebilir.
Kanun, sağlık ve cinsel hayata ilişkin kişisel veriler ile bunların haricindeki özel nitelikli kişisel verilerin, açık rıza olmaksızın işlenebileceği haller şeklinde ikiye ayırmıştır.
Sağlık ve cinsel hayat harici özel nitelikli kişisel veriler, ancak kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir.
Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için erişilemez ve kullanılamaz hale getirilmesi işlemidir.
Bu konu ile ilişkin usul ve esasların belirlendiği bir yönetmelik bulumaktadır. Bu yönetmeliğe göre veri sorumluları kişisel veri saklama ve imha politikası hazırlamakla yükümlüdürler. Bu belgenin hazırlanması verilerin silindiği, yok edildiği veya anonim hale getirildiği işleminin yapıldığı anlamına gelmez.

Ancak veri sorumlusu belgede veri silme ve imha etme ile ilgili uyguladığı yöntemleri,politika ve prosedürleri, aldığı teknik ve idari tedbirleri gerekçesiyle açıklamak zorundadır. Veri sorumlusu otomatik olarak yasal saklama süresi sonunda silme yükümlülüğüne tabidir ve diğer yandan ilgili kişinin silme taleplerine uymalıdır.
Silme talebi sadece erişimi engellemek değildir.
Veri saklama ortamından silinmesi demektir.

Yok etme, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, kullanılamaz ve geri getirilemez hale getirilmesi işlemidir.

Bu konu ile ilişkin usul ve esasların belirlendiği bir yönetmelik bulumaktadır. Bu yönetmeliğe göre veri sorumluları kişisel veri saklama ve imha politikası hazırlamakla yükümlüdürler. Bu belgenin hazırlanması verilerin silindiği, yok edildiği veya anonim hale getirildiği işleminin yapıldığı anlamına gelmez .

Ancak veri sorumlusu belgede veri silme ve imha etme ile ilgili uyguladığı yöntemleri, politika ve prosedürleri, aldığı teknik ve idari tedbirleri gerekçesiyle açıklamak zorundadır. Veri sorumlusu otomatik olarak yasal saklama süresi sonunda silme yükümlülüğüne tabidir ve diğer yandan ilgili kişinin silme taleplerine uymalıdır.
Yok edilmesi geri döndürülemez şekilde kaldırılması demektir.

Anonim hale getirme, kişisel verilerin kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Bu noktada anonim hale getirilen veri Kanun hükümleri kapsamında değerlendirilemez.

Bu konu ile ilişkin usul ve esasların belirlendiği bir yönetmelik bulumaktadır. Bu yönetmeliğe göre veri sorumluları kişisel veri saklama ve imha politikası hazırlamakla yükümlüdürler. Bu belgenin hazırlanması verilerin silindiği, yok edildiği veya anonim hale getirildiği işleminin yapıldığı anlamına gelmez .

Ancak veri sorumlusu belgede veri silme ve imha etme ile ilgili uyguladığı yöntemleri,politika ve prosedürleri, aldığı teknik ve idari tedbirleri gerekçesiyle açıklamak zorundadır. Veri sorumlusu kişisel verileri otomatik olarak yasal saklama süresi sonunda silme, yok etme veya anonimleştirme yükümlülüğüne tabidir.

Anonimleştirme, farklı yöntemler kullanılarak verinin bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi demektir.

Kanundaki verilerin işlenmesine ilişkin şartlar ortadan kalktığında resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından kişisel veriler silinir, yok edilir veya anonim hale getirilir.

Kanunda, 5. ve 6. madde şartları sağlanması halinde önlem alınarak kişisel verilerin açık rıza aranmaksızın yurtiçinde aktarılmasına izin verilir.
• Kişisel veriler açısından Kanunun 5. maddesinin 2. fıkrasında sayılan işleme şartlarından en az birinin bulunması,
• Kanunun 6. maddesinin 3. fıkrasında belirtilen şartlardan birinin bulunması durumunda bu mümkündür.

Kanunun 9. maddesinin 1. fıkrasında kişisel verilerin ilgili kişinin açık rızası olmak şartıyla yurt dışına aktarılabileceği düzenlenmiştir.
• İlgili kişinin açık rızasının bulunması,
• Kanunun 5. maddesinin 2. fıkrasında ve Kanunun 6. maddesinin 3. fıkrasında belirtilen şartlardan birinin bulunması ve verinin aktarılacağı ülkede;
a) Yeterli korumanın bulunması,
b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla kişisel verilerin yurt dışına aktarılması mümkündür. Kurul aşağıdaki durumları değerlendirerek karar verir.
• Türkiye’nin taraf olduğu uluslararası sözleşmeleri,
• Diğer ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumunu,
• Her kişisel verinin niteliği ile işlenme amaç ve süresini,
• Kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını dikkate alır.

Veri sorumlusu veya yetkilendirdiği kişinin kimliğini, verileri işleme amacını, işlenen verilerin kimlere ve hangi amaçla aktarılabileceğini, veri toplamanın yöntemini, hukuki sebebini ve Kanunun 11. maddesinde sayılan diğer hakları ilgili kişiyi bilgilendirmekle yükümlüdür.

• Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme,
• Kişisel verilerin işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Kişisel verilerin aktarıldığı üçüncü kişileri bilme (Yurt içi veya yurt dışında)
• Kişisel verilerin eksik ya da yanlış işlenmiş olması durumunda düzeltilmesini isteme, bunun yanında silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme talepleri doğrultusunda yapılan işlemlerin, aktarılan üçüncü kişilere bildirilmesini isteme,
• Kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle oluşan zararın giderilmesini talep etme haklarına sahiptir.

Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile verilerin güvenliğini sağlamaya yönelik gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.
Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak ve yaptırmak zorundadır.
Verilerin yurt dışına aktarımı söz konusu ise kişisel verinin aktarılacağı ülkedeki veri sorumlusu tarafından taahhüt edilen önlemleri, değerlendirerek karar verir.
Yeterli güvenlik önlemi olmayan ülkelere veri aktarımında ilgili kurum ve kuruluşların görüşünü almak suretiyle karar verir.
Veri sorumluları, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkalarına açıklayamaz ve işleme amacı dışında kullanamazlar.
Veri sorumluları ve veri işleyenler için bu sır saklama yükümlülüğü görevden ayrılmalarından sonra da devam eder.
İşlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edildiğinde veri sorumlusu bunu Kurula bildirmekle yükümlüdür.

İlgili kişilerin Kanunun uygulanmasıyla ilgili taleplerini, veri sorumlusuna iletmeleri zorunludur.

Başvuru ücreti yoktur. Ancak bir maliyet olması halinde, Kurulca belirlenen ücret alınabilir. Başvuruya yazılı olarak cevap verilecekse, 10 sayfaya kadar başvuru ücreti alınmaz. 10 sayfanın üzerindeki her sayfa için 1TL başvuru ücreti alınabilir. Cevap kayıt ortamında veriliyorsa, ücret kayıt ortamının maliyetini geçemez. Başvuru konusu veri sorumlusu hatası ile ilgiliyse ücret kişiye iade edilir.

Veri sorumlusu, en kısa sürede ve en geç 30 gün içinde kabul veya red gerekçesini açıklayarak ayrıca cevabını ilgili kişiye bildirmelidir.

Veri sorumlusunun cevabından itibaren 30gün ve veri sorumlusuna başvuru tarihinden itibaren 60gün içinde Kurula şikayette bulunabilir. Veri sorumlusu Kurul tarafından talep edilen bilgi ve belgeleri 15 gün içinde Kurul’a göndermek zorundadır.

İlgili kişilerin tazminat hakları vardır, yargı yoluna gidebilirler.

Kişisel Verileri Koruma Kurulunca kamuya açık olan uygulamadır ve VERBİS olarak tanımlanır.
VERBİS sisteminde,
Veri sorumlusuna ait bilgiler yanında verileri işlenen ilgili kişilere ait verilerin
• Kategorik bazda hangi tür kişisel verilerin hangi amaçlarla işlendiği,
• Bilgilerin ne kadar süreyle muhafaza edileceği,
• Bu bilgilerin kategorik bazda nerelere aktarılabileceği gibi bilgiler bulunur.

Veri Sorumluları Siciline kayıt yükümlülüğü olan kişisel verileri işleyen gerçek ve tüzel kişiler, kişisel veri işleme faaliyetine başlamadan önce Sicile kayıt olmak zorundadır.
VERBİS’te başvuru yapılabilmesi adına veri sorumlusu veya veri sorumlusu temsilcisi ile irtibat kişisinin adı soyadı ve adresi bilgisi açık bir şekilde yer alacaktır. Bu konuda Kanunun uygulanmasını sağlamak için üst düzey bir yönetici belirlenir ve bu kişi Kişisel Verileri Koruma Kurumuna bildirilmelidir.

Türkiye’de yerleşik olmayan veri sorumluları da, kişisel veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Veri Sorumluları Siciline kaydolmak zorundadır. Türkiye’de yerleşik olmayan veri sorumlularıyla alakalı her türlü iletişim, Sicile bildirilen veri sorumlusu temsilcisi aracılığıyla gerçekleştirilir.

Sicile kayıt başvurusu;
• Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçla işleneceği,
• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarımı öngörülen kişisel veriler,
• Kişisel veri güvenliğine ilişkin alınan tedbirler,
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi içerir.

6698 Sayılı Kanunun 16 inci maddesinde Veri Sorumluları Sicilinin kamuya açık olarak tutulması öngörülmüştür. VERBİS’e veri sorumlularınca girilen bilgiler www.kvkk.gov.tr adresinde paylaşılacaktır.

Kanunun yayımı tarihinden önce işlenmiş olan Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler, yayım tarihi itibariyle iki yıl içinde silinir, yok edilir veya anonim hale getirilir.