Kişisel Verilerin Korunması Hukuku

Kişisel Verilerin Korunması Hukukunun Kapsamı

Alan; veri işleyen kuruluşların uyum süreçlerinden bireylerin hak arama yollarına kadar geniş bir çalışma sahasını kapsamaktadır. Başlıca konular şunlardır:

• KVKK uyum süreçlerinin yürütülmesi
• Kişisel veri işleme envanterinin hazırlanması
• Aydınlatma metinleri ve açık rıza beyanlarının düzenlenmesi
• Kişisel veri saklama ve imha politikalarının hazırlanması
• VERBİS kayıt yükümlülüğüne ilişkin işlemler
• Veri işleme ve veri aktarım sözleşmeleri
• Yurt dışına veri aktarımına ilişkin süreçler
• Veri ihlali bildirimlerinin yönetimi
• İlgili kişi başvurularının cevaplanması
• Kişisel Verileri Koruma Kurulu şikâyet süreçleri
• İdari yaptırımlara karşı başvuru ve dava yolları
• Çalışan ve müşteri verilerinin işlenmesine ilişkin danışmanlık

Veri İşleme Şartları ve Açık Rıza

Kişisel veriler kural olarak ilgili kişinin açık rızası ile işlenebilmektedir. Açık rızanın geçerli olabilmesi için belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekmektedir. Bir hizmetin sunulmasının açık rıza şartına bağlanması, rızanın özgür iradeyle verilmediği sonucunu doğurabilmektedir.

Kanun, açık rıza aranmaksızın veri işlenebilecek hâlleri de ayrıca düzenlemiştir. Kanunlarda açıkça öngörülme; bir sözleşmenin kurulması veya ifası için gerekli olma; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati bu hâllerin başlıcalarıdır. İşleme şartlarından biri mevcutsa ayrıca açık rıza alınmasına gerek bulunmamaktadır.

Özel nitelikli kişisel verilerin işlenmesi daha sıkı şartlara bağlanmıştır. Bu verilerin hangi hâllerde işlenebileceği kanunda sınırlı olarak sayılmış olup, işleme sırasında Kurul tarafından belirlenen ek güvenlik önlemlerinin alınması gerekmektedir.

Veri Sorumlusunun Yükümlülükleri

Veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri sorumlusunun başlıca yükümlülükleri şunlardır:

• Verilerin işlenmesi sırasında ilgili kişiyi aydınlatma
• Veri güvenliğini sağlamaya yönelik teknik ve idari tedbirleri alma
• Kayıt yükümlülüğü kapsamındaysa Veri Sorumluları Siciline (VERBİS) kaydolma
• İşleme amacı ortadan kalkan verileri silme, yok etme veya anonim hâle getirme
• İlgili kişi başvurularını kanunda öngörülen süre içinde sonuçlandırma
• Veri ihlallerini Kurula ve ilgili kişilere bildirme

Aydınlatma yükümlülüğü; veri sorumlusunun kimliğinin, işleme amacının, verilerin kimlere ve hangi amaçla aktarılabileceğinin, toplama yönteminin ve hukuki sebebinin ilgili kişiye bildirilmesini gerektirmektedir. Veri ihlali hâlinde ise ihlalin öğrenilmesinden itibaren Kurul kararlarıyla belirlenen usul ve süreler çerçevesinde Kurula bildirim yapılması ve ihlalden etkilenen kişilerin bilgilendirilmesi gerekmektedir.

İlgili Kişinin Hakları ve Başvuru Yolu

Kanun, verileri işlenen gerçek kişilere; verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenen verilerin düzeltilmesini ve şartları oluşmuşsa silinmesini veya yok edilmesini isteme haklarını tanımaktadır. İşlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz edilmesi ve zararın giderilmesinin talep edilmesi de mümkündür.

Bu hakların kullanımında kademeli bir başvuru yolu öngörülmüştür. İlgili kişi önce veri sorumlusuna başvurmakta; başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilmektedir. Kurula şikâyet için kanunda öngörülen sürelere uyulması gerekmektedir.

Kurul; şikâyet üzerine veya resen yaptığı incelemede ihlal tespit ederse hukuka aykırılığın giderilmesine karar vermekte ve yükümlülüklerini ihlal eden veri sorumluları hakkında idari para cezası uygulayabilmektedir. Ceza tutarları her yıl yeniden değerleme oranında güncellenmektedir. Kurul kararlarına karşı idari yargı yolu açıktır.

KVKK Uyum Süreci

Uyum süreci, kuruluşun yürüttüğü tüm kişisel veri işleme faaliyetlerinin tespit edilmesiyle başlamaktadır. Hangi verilerin hangi amaçla toplandığı, nerede saklandığı, kimlerle paylaşıldığı ve ne kadar süreyle tutulduğu kişisel veri işleme envanterinde ortaya konulmakta; envanter, diğer tüm uyum adımlarının temelini oluşturmaktadır.

Envanterin ardından aydınlatma metinleri, açık rıza beyanları, saklama ve imha politikası ile veri işleyenlerle yapılan sözleşmeler hazırlanmakta; çalışanlara yönelik gizlilik taahhütleri ve iç prosedürler düzenlenmektedir. Uyum tek seferlik bir proje olmayıp, iş süreçlerindeki ve mevzuattaki değişikliklere göre güncellenmesi gereken sürekli bir yükümlülüktür.

Yurt dışına veri aktarımı kanunda ayrıca düzenlenmiş olup; yeterlilik kararı, uygun güvenceler ve standart sözleşme gibi kanunda öngörülen mekanizmalar çerçevesinde gerçekleştirilebilmektedir. Yurt dışında sunucusu bulunan hizmetlerin kullanılması da aktarım kapsamında değerlendirilebildiğinden, bu usullere uygunluğun ayrıca gözden geçirilmesi gerekmektedir.