KVKK Nedir? Kişisel Verilerin Korunması Kanunu Hakkında Bilmeniz Gerekenler

İnternette alışveriş yaparken, bir internet sitesine üye olurken veya bir hizmetten yararlanırken ad, telefon numarası, e-posta adresi ve konum gibi birçok kişisel veri paylaşılabilir. Bu bilgilerin nasıl toplandığı, kullanıldığı ve korunduğu ise kişisel veri güvenliğinin temel konularından biridir.

Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)‘dır.

Peki KVKK nedir, kişisel veri ne demektir ve kişilere hangi hakları sağlar?

KVKK Nedir?

KVKK, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı amaçlayan kanundur.

Aynı zamanda kişisel verileri işleyen gerçek ve tüzel kişilerin uyması gereken yükümlülükleri ve esasları düzenler.

Kanun 7 Nisan 2016 tarihinde yürürlüğe girmiştir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Örneğin:

• Ad ve soyad,
• Telefon numarası,
• E-posta adresi,
• Adres bilgileri,
• Kimlik bilgileri,
• Fotoğraf ve görüntüler,
• IP adresi,
• Konum bilgileri

duruma göre kişisel veri niteliğinde olabilir.

Bir bilginin kişisel veri sayılması için mutlaka kişinin adını açıkça içermesi gerekmez. Bilginin belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilmesi de yeterli olabilir.

Özel Nitelikli Kişisel Veri Nedir?

Bazı kişisel veriler, kişilerin mağduriyetine veya ayrımcılığa uğramasına yol açabilecek nitelikte olmaları nedeniyle kanunda özel olarak korunur.

Özel nitelikli kişisel verilere örnek olarak:

• Irk ve etnik köken,
• Siyasi düşünce,
• Felsefi inanç,
• Din, mezhep veya diğer inançlar,
• Kılık ve kıyafet,
• Dernek, vakıf veya sendika üyeliği,
• Sağlık bilgileri,
• Cinsel hayata ilişkin bilgiler,
• Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler,
• Biyometrik ve genetik veriler

gösterilebilir.

2024 yılında KVKK’da yapılan değişikliklerle özel nitelikli kişisel verilerin işlenmesine ilişkin şartlar yeniden düzenlenmiştir.

KVKK Kimi Korur?

KVKK’nın temel odağında kişisel verisi işlenen gerçek kişiler bulunur.

Kanun ayrıca kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenler.

Bir şirket, internet sitesi, kurum veya başka bir yapı kişisel verilerin hangi amaçlarla ve hangi yöntemlerle işleneceğine karar veriyorsa belirli durumlarda veri sorumlusu konumunda olabilir.

Veri Sorumlusu Nedir?

Veri sorumlusu;

kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.

Örneğin müşterilerinin kişisel verilerini belirli amaçlarla toplayan ve nasıl kullanılacağını belirleyen bir işletme veri sorumlusu olabilir.

Veri sorumlularının KVKK kapsamında çeşitli yükümlülükleri bulunmaktadır.

Bunlardan bazıları:

• İlgili kişileri bilgilendirmek,
• Kişisel verilerin güvenliğini sağlamak,
• Verilerin hukuka uygun şekilde işlenmesini sağlamak,
• Gerekli teknik ve idari tedbirleri almak,
• İlgili kişilerin KVKK kapsamındaki başvurularını değerlendirmektir.

Açık Rıza Nedir?

Açık rıza, KVKK’da belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır.

Ancak önemli bir ayrıntı vardır:

Her kişisel veri işleme faaliyetinde açık rıza alınması zorunlu değildir.

Kanunda açık rıza dışında da çeşitli kişisel veri işleme şartları bulunmaktadır.

Bu nedenle “kişisel veri işlenecekse mutlaka açık rıza gerekir” şeklindeki yaklaşım doğru değildir.

Aydınlatma Yükümlülüğü Nedir?

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere veri işleme faaliyeti hakkında gerekli bilgileri vermekle yükümlüdür.

Aydınlatma kapsamında genel olarak:

• Veri sorumlusunun kimliği,
• Kişisel verilerin hangi amaçlarla işleneceği,
• Verilerin kimlere ve hangi amaçlarla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• İlgili kişinin KVKK kapsamındaki hakları

hakkında bilgi verilmesi gerekir.

Aydınlatma yükümlülüğü ile açık rıza aynı şey değildir ve birbirinin yerine kullanılmamalıdır.

KVKK Kapsamında Kişilerin Hakları Nelerdir?

KVKK’nın 11. maddesi kapsamında ilgili kişiler, veri sorumlusuna başvurarak kişisel verileriyle ilgili çeşitli haklarını kullanabilir.

Bunlardan bazıları:

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
• Kanundaki şartlar oluştuğunda kişisel verilerin silinmesini veya yok edilmesini isteme,
• Kanuna aykırı veri işlenmesi nedeniyle zarara uğranması halinde zararın giderilmesini talep etme

haklarıdır.

Bu hakların kullanılabilmesi için ilgili veri sorumlusuna KVKK’da öngörülen usule uygun şekilde başvuru yapılabilir.

Kişisel Veriler Yurt Dışına Aktarılabilir mi?

Evet, ancak bunun KVKK’da belirtilen şartlara uygun olması gerekir.

2024 yılında yapılan değişikliklerle kişisel verilerin yurt dışına aktarılmasına ilişkin sistem önemli ölçüde değiştirilmiştir.

Yeni sistemde genel olarak:

• Yeterlilik kararının bulunması,
• Yeterlilik kararı bulunmadığında kanunda belirtilen uygun güvencelerden birinin sağlanması,
• Bunların bulunmadığı belirli durumlarda ise kanunda düzenlenen istisnai aktarım şartlarının değerlendirilmesi

gibi farklı aktarım yolları bulunmaktadır.

Uygun güvence yöntemlerinden biri de Kişisel Verileri Koruma Kurulu tarafından belirlenen standart sözleşmelerdir.

Yurt dışına veri aktarımı teknik ve hukuki şartlara bağlı olduğundan işletmelerin kullandıkları bulut, e-posta, analiz ve benzeri hizmetlerde veri aktarım süreçlerini ayrıca değerlendirmeleri gerekebilir.

KVKK ile GDPR Aynı mı?

Hayır.

KVKK ile Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR) kişisel verilerin korunmasına yönelik benzer amaçlara sahip olsa da iki ayrı hukuki düzenlemedir.

Kapsamları, hukuki dayanakları, yükümlülükleri ve yaptırım sistemleri arasında farklılıklar bulunmaktadır.

2024 yılında KVKK’da yapılan bazı değişikliklerle özellikle özel nitelikli kişisel veriler ve yurt dışına veri aktarımı alanlarında Avrupa Birliği düzenlemeleriyle uyumun artırılması amaçlanmıştır.

KVKK’ya Uyum İçin Nelere Dikkat Edilmeli?

İşletmeler açısından KVKK uyumu kuruluşun gerçekleştirdiği veri işleme faaliyetlerine göre değişebilir.

Genel olarak:

• Hangi kişisel verilerin işlendiğinin belirlenmesi,
• Veri işleme amaçlarının ve hukuki sebeplerinin tespit edilmesi,
• Aydınlatma yükümlülüğünün yerine getirilmesi,
• Gerektiğinde açık rıza süreçlerinin doğru şekilde oluşturulması,
• Kişisel verilerin güvenliğinin sağlanması,
• Saklama ve imha süreçlerinin belirlenmesi,
• Yurt dışına veri aktarımının değerlendirilmesi,
• Çalışanların kişisel veri güvenliği konusunda bilgilendirilmesi

önem taşır.

Her kuruluşun veri işleme faaliyetleri farklı olabileceğinden KVKK uyum süreci de kuruluş özelinde değerlendirilmelidir.

Sonuç

KVKK, kişisel verilerin hukuka uygun şekilde işlenmesini ve bireylerin kişisel verileri üzerindeki haklarının korunmasını amaçlayan temel düzenlemelerden biridir.

Kanun yalnızca internet sitelerini veya büyük şirketleri ilgilendiren bir düzenleme değildir. Kişisel veri işleyen gerçek ve tüzel kişiler açısından faaliyetlerine bağlı olarak çeşitli yükümlülükler ortaya çıkabilir.

Özellikle 2024 yılında özel nitelikli kişisel verilerin işlenmesi ve kişisel verilerin yurt dışına aktarılması konusunda önemli değişiklikler yapıldığı için KVKK hakkında eski kaynaklarda yer alan bazı bilgiler güncelliğini kaybetmiş olabilir.

Kişisel veri işleme süreçlerinde güncel mevzuat ile Kişisel Verileri Koruma Kurumunun yayımladığı rehber ve kararların dikkate alınması önemlidir.