Kişisel Verilerin Korunması ve Gizlilik

Kişisel verinizin hukuka aykırı şekilde işlendiğini veya paylaşıldığını düşünüyorsanız, KVKK belirli bir başvuru yolu öngörür. İlk adım, doğrudan veri sorumlusuna (verinizi işleyen kurum veya şirkete) yazılı olarak ya da Kurulun belirlediği yöntemlerle başvurmaktır; bu başvuruda verinizin işlenip işlenmediğini öğrenme, silinmesini/düzeltilmesini isteme gibi taleplerde bulunabilirsiniz. Veri sorumlusu başvurunuzu en geç 30 gün içinde sonuçlandırmak zorundadır. Başvurunuz reddedilir, verilen yanıt yetersiz kalır veya 30 gün içinde hiç yanıt verilmezse, bunu öğrendiğiniz tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Kurul, şikâyeti inceleyerek veri sorumlusuna yükümlülüklerini yerine getirmesi yönünde karar verebilir ve gerektiğinde idari para cezası uygulayabilir. Bunların yanında, hukuka aykırı işleme nedeniyle maddi veya manevi bir zarara uğradıysanız genel hükümlere göre tazminat davası açabilir; ağır durumlarda (örneğin verilerin hukuka aykırı ele geçirilmesi) ceza hukuku boyutu da gündeme gelebilir. Süreler ve usul teknik olduğundan, hak kaybı yaşamamak için bir avukattan destek almanız yararlı olur.

Kişisel veri işleyen hemen her işletme KVKK kapsamındadır; müşteri, çalışan, tedarikçi veya ziyaretçi verisi işleyen şirketler kanunun getirdiği yükümlülüklere uymak zorundadır. Temel uyum adımları şunlardır: kişisel veri işleme envanterinin çıkarılması (hangi veriyi, hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle işlediğinizin belgelenmesi), ilgili kişilere yönelik aydınlatma metinlerinin hazırlanması, gereken hallerde açık rıza süreçlerinin doğru kurgulanması, kişisel veri saklama ve imha politikasının oluşturulması, veri güvenliği için gerekli teknik ve idari tedbirlerin alınması ve şartları taşıyan veri sorumlularının VERBİS'e (Veri Sorumluları Sicili) kaydolmasıdır. 2024 değişiklikleri sonrası, özellikle özel nitelikli (hassas) veri işleyen veya yurt dışına veri aktaran şirketlerin süreçlerini yeni hükümlere göre güncellemesi gerekir. Uyumsuzluk halinde Kurul ciddi idari para cezaları uygulayabildiğinden, uyum sürecinin baştan doğru kurgulanması hem yasal risk hem de itibar açısından önemlidir. Bu süreç işletmenin büyüklüğüne ve işlediği veri türüne göre kişiselleştirilmeli; hazır şablonlar çoğu zaman yetersiz kaldığından, bir avukat eşliğinde yürütülmesi önerilir.

Hayır, bunlar farklı kavramlardır ve karıştırılması yaygın bir hatadır. Aydınlatma yükümlülüğü, veri sorumlusunun ilgili kişiyi; kimliğini, verileri hangi amaçla işlediğini, kimlere aktarabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bilgilendirmesidir. Aydınlatma bir bilgilendirmedir ve veri işlemenin neredeyse her halinde, ilgili kişinin rızası aranıp aranmadığına bakılmaksızın yerine getirilmesi gerekir. Açık rıza ise, ilgili kişinin belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıkladığı onayıdır. Önemli nokta şudur: kişisel veriler her zaman açık rıza ile işlenmez; KVKK m.5 ve m.6'da sayılan diğer hukuki sebeplerden biri varsa (örneğin bir sözleşmenin ifası için gereklilik ya da kanuni yükümlülük), açık rıza alınmasına gerek kalmadan veri işlenebilir. Hatta uygulamada, başka bir hukuki sebebe dayanılabilecek durumlarda gereksiz yere açık rıza almak hatalı kabul edilir; çünkü açık rıza her zaman geri alınabilir ve bu da işlemenin dayanağını ortadan kaldırır. Dolayısıyla her veri işleme faaliyeti için doğru hukuki sebebin belirlenmesi ve buna uygun metinlerin hazırlanması teknik bir değerlendirme gerektirir.

Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı izlenecek yol, 2024 yılındaki değişiklikle önemli ölçüde değişmiştir. Önceden bu cezalara karşı sulh ceza hakimliğine başvurulurken, 7499 sayılı Kanun ile yapılan düzenleme sonrası artık Kurul'un idari para cezası kararlarına karşı idare mahkemesinde iptal davası açılır. Bu değişiklik, cezalara karşı daha kapsamlı ve uzmanlaşmış bir yargısal denetim sağlamayı amaçlamaktadır; çünkü idari yaptırımların hukuka uygunluğunun denetimi idari yargının görev alanına daha uygun görülmüştür. İptal davasının, idari yargıda öngörülen yasal süre içinde açılması gerekir; bu sürelerin kaçırılması dava hakkının kaybına yol açar. Dava sürecinde cezanın dayanağı olan ihlalin gerçekten oluşup oluşmadığı, ceza miktarının ölçülülüğü ve usul kurallarına uyulup uyulmadığı gibi hususlar değerlendirilir. (1 Haziran 2024 itibarıyla halen sulh ceza hakimliğinde görülmekte olan dosyalar ise istisnaen o hakimliklerde görülmeye devam eder.) İdari yargıdaki dava usulü ve süreleri teknik olduğundan, ceza tebliğ edildiğinde vakit kaybetmeden bir avukata danışmak önemlidir.

Yurt dışına kişisel veri aktarımı (örneğin yurt dışı sunucu, bulut hizmeti, yabancı grup şirketi veya hizmet sağlayıcı kullanımı) mümkündür; ancak 2024 değişiklikleri sonrası bu konuda kademeli ve daha düzenli bir rejim uygulanır. Önceki açık rıza merkezli yaklaşımın yerini, GDPR'a benzer bir sıralama almıştır. Buna göre öncelikle, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurul'un verdiği bir yeterlilik kararı varsa aktarım bu temelde yapılabilir. Yeterlilik kararı yoksa, taraflar arasında uygun güvencelerden birinin (Kurul'ca ilan edilen standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi) sağlanması gerekir; standart sözleşme kullanılması halinde, imzadan itibaren 5 iş günü içinde Kurul'a bildirim yapılması zorunludur ve bu bildirimin yapılmaması idari para cezasına tabidir. Bu güvenceler de sağlanamıyorsa, yalnızca kanunda sayılan istisnai hallerde ve arızi (süreklilik arz etmeyen) olmak kaydıyla aktarım mümkün olabilir. Ayrıca sonraki aktarımlar (verinin alındıktan sonra başka bir yere aktarılması) bakımından da bu kurallar geçerlidir. Yurt dışına düzenli veri aktaran işletmelerin bu rejime uyumu kritik olduğundan, sürecin bir avukat desteğiyle kurgulanması önerilir.

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının kayıt olmakla yükümlü olduğu, Kişisel Verileri Koruma Kurumu tarafından tutulan kamuya açık bir sicildir. Kural olarak kişisel veri işleyen veri sorumlularının VERBİS'e kaydolması gerekir; ancak Kurul, işlenen verinin niteliği, sayısı, faaliyetin türü ve veri sorumlusunun büyüklüğü gibi ölçütlere göre bazı veri sorumlularına kayıt yükümlülüğünden istisna tanımıştır. Örneğin yıllık çalışan sayısı ve mali bilanço bakımından belirli eşiklerin altında kalan ve ana faaliyeti özel nitelikli veri işleme olmayan bazı işletmeler kayıttan muaf tutulabilmektedir; buna karşılık özel nitelikli (hassas) veri işlemeyi ana faaliyet konusu yapan veya belirli büyüklüğün üzerindeki işletmeler kayıtla yükümlüdür. Kayıt yükümlülüğü bulunmasına rağmen VERBİS'e kaydolmamak, başlı başına idari para cezası sebebidir. İşletmenizin kayıt kapsamında olup olmadığının doğru tespiti; çalışan sayısı, mali durumu ve işlediği veri türünün birlikte değerlendirilmesini gerektirir. Bu nedenle kayıt yükümlülüğünüzün bulunup bulunmadığını ve kapsamını netleştirmek için bir avukata danışmanız ve gerekiyorsa kaydı eksiksiz yaptırmanız yararlı olur.