Telefon numaranızın, adresinizin veya T.C. kimlik numaranızın izniniz dışında paylaşılması hâlinde ne yapabilirsiniz? Kişisel verileriniz tehdit, baskı veya şantaj amacıyla kullanılıyorsa hangi hukuki yollara başvurabilirsiniz? 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesine ilişkin temel kuralları ve kişisel verileri işlenen kişilerin haklarını düzenlemektedir.
İnternet siteleri, sosyal medya platformları, alışveriş uygulamaları, işverenler ve çeşitli hizmet sağlayıcılar faaliyetleri sırasında kişisel verileri işleyebilmektedir. Bu verilerin hukuka aykırı biçimde elde edilmesi, açıklanması, üçüncü kişilere aktarılması veya amacı dışında kullanılması, olayın özelliklerine göre idari, hukuki ve cezai sonuçlar doğurabilir.
Ancak her izinsiz veri paylaşımı otomatik olarak suç oluşturmadığı gibi her veri ihlali de kendiliğinden tazminat hakkı doğurmaz. Hukuki değerlendirmede verinin niteliği, işleme amacı, hukuki dayanak, eylemin gerçekleşme biçimi ve meydana gelen zarar birlikte incelenmelidir.
Bu yazıda KVKK kapsamında sahip olunan haklar, veri sorumlusuna başvuru, Kişisel Verileri Koruma Kuruluna (Kurul) şikâyet, başvuru süreleri, ceza hukuku yolları ve maddi veya manevi tazminat imkânları ele alınmaktadır.
1. KVKK nedir ve hangi kişisel verileri korur?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemektir.
Kanun’un 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Bu kapsamda aşağıdaki bilgiler, belirli bir kişiyle ilişkilendirilebilmeleri hâlinde kişisel veri niteliği taşıyabilir:
- Ad ve soyadı
- T.C. kimlik numarası
- Telefon numarası ve e-posta adresi
- İkamet veya iş adresi
- Kişiyi belirlenebilir kılan fotoğraf ve görüntüler
- Konum bilgileri
- Kişiyle ilişkilendirilebilen banka ve finansal bilgiler
- İnternet üzerindeki kullanıcı bilgileri ve işlem kayıtları
- Kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan diğer bilgiler
Bir bilginin kişisel veri sayılması için mutlaka gizli olması gerekmez. Örneğin bir kişinin telefon numarasının daha önce internette yayımlanmış olması, bu numaranın her türlü amaçla kullanılabileceği veya sınırsız biçimde üçüncü kişilerle paylaşılabileceği anlamına gelmez.
KVKK’nın kapsamı bakımından veri işleme faaliyetinin niteliği de önemlidir. Kanun, tamamen veya kısmen otomatik yollarla gerçekleştirilen veri işleme faaliyetleri ile otomatik olmayan yollarla gerçekleştirilen işlemlerde, verilerin bir veri kayıt sisteminin parçası olması şartıyla uygulanabilir. Kanun’un 28. maddesindeki istisnalar da somut olayın özelliklerine göre ayrıca değerlendirilmelidir.
2. Özel nitelikli kişisel veriler nelerdir?
KVKK, bazı kişisel veri kategorileri için daha özel bir koruma öngörmektedir. Özel nitelikli kişisel veriler, Kanun’un 6. maddesinde düzenlenmiştir.
Bu kapsamda özel nitelikli kişisel veriler arasında şunlar yer alır:
- Kişilerin ırkı ve etnik kökeni
- Siyasi düşüncesi, felsefi inancı, dini, mezhebi ve diğer inançları
- Kılık ve kıyafeti
- Dernek, vakıf veya sendika üyeliği
- Sağlığı ve cinsel hayatı
- Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri
- Biyometrik ve genetik verileri
Özel nitelikli kişisel verilerin işlenmesi, Kanun’un 6. maddesinde yer alan özel şartlara tabidir. Bu veriler bakımından yalnızca genel kişisel veri işleme şartlarının değerlendirilmesi yeterli değildir.
Özellikle sağlık bilgileri, biyometrik veriler veya ceza mahkûmiyetine ilişkin kayıtların yetkisiz kişilere açıklanması, somut olayın özelliklerine göre ciddi hukuki sonuçlar doğurabilir.
3. Kişisel verilerin işlenmesi her zaman açık rıza gerektirir mi?
Kişisel verilerin yalnızca açık rıza alınarak işlenebileceği düşüncesi doğru değildir.
KVKK’nın 5. maddesinde genel nitelikli kişisel verilerin işlenmesine ilişkin birden fazla hukuki şart düzenlenmiştir. Açık rıza bu şartlardan yalnızca biridir.
Somut olayın koşullarına göre;
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- İşlemenin kanunlarda açıkça öngörülmesi,
- İlgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesi için kanunda belirtilen şartların bulunması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olması,
gibi koşullar, kanuni sınırlar içinde açık rıza dışında bir işleme şartı oluşturabilir.
Bununla birlikte, bir işleme şartının bulunması kişisel verilerin sınırsız biçimde kullanılabileceği anlamına gelmez.
Kanun’un 4. maddesi uyarınca kişisel veriler;
- Hukuka ve dürüstlük kurallarına uygun olmalı,
- Doğru ve gerektiğinde güncel tutulmalı,
- Belirli, açık ve meşru amaçlarla işlenmeli,
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalı,
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmelidir.
Örneğin bir işletmenin iletişim bilgilerini hizmet sunmak amacıyla edinmiş olması, bu bilgileri ilgisiz kişilere açıklamasını veya tehdit amacıyla kullanmasını kendiliğinden hukuka uygun hâle getirmez.
4. Kişisel verilerin izinsiz paylaşılması suç mudur?
Kişisel verilerin hukuka aykırı biçimde elde edilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi, somut olayın özelliklerine göre ceza hukuku bakımından da değerlendirilmelidir.
5237 sayılı Türk Ceza Kanunu’nun (TCK) ilgili hükümleri arasında şunlar bulunmaktadır:
- TCK m. 135: Kişisel verilerin hukuka aykırı olarak kaydedilmesi.
- TCK m. 136: Kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme.
- TCK m. 138: Kanunda belirtilen şartların gerçekleşmesine rağmen yok edilmesi gereken verileri yok etmeme.
Bu suçların oluşup oluşmadığı, ilgili suçun kanuni unsurlarına göre belirlenir. Bir kişinin telefon numarasının veya adresinin başkasına gönderilmesi, her olayda otomatik olarak aynı hukuki sonucu doğurmaz.
Verinin nasıl elde edildiği, paylaşımın hukuki dayanağı, paylaşımı yapan kişinin durumu, eylemin amacı ve diğer somut koşullar birlikte değerlendirilmelidir.
Ayrıca kişisel verilerin hukuka aykırı işlenmesi ile kişisel verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması, her olayda aynı hukuki değerlendirmeyi gerektirmez. Bu nedenle olayın özelliklerine uygun suç tipinin belirlenmesi önemlidir.
Kişisel veriler tehdit veya şantaj amacıyla kullanılırsa ne olur?
Bir kişinin adresinin ailesine açıklanacağı, evine gidileceği veya özel bilgilerinin başkalarına gönderileceği söylenerek baskı kurulması hâlinde, olayın koşullarına göre kişisel verilerin korunmasına ilişkin hükümler yanında tehdit veya şantaj suçlarına ilişkin hükümler de gündeme gelebilir.
TCK’nın 106. maddesinde tehdit, 107. maddesinde ise şantaj suçu düzenlenmiştir. Ancak kullanılan her rahatsız edici ifade bu suçları kendiliğinden oluşturmaz. Eylemin içeriği, amacı, bağlamı ve ilgili suçun kanuni unsurları ayrı ayrı değerlendirilmelidir.
Örneğin bir alacak veya para uyuşmazlığının bulunması, borçla ilgili iddiaların hukuka uygun yöntemlerle ileri sürülmesini engellemez. Bununla birlikte, alacak iddiası kişisel verilerin hukuka aykırı biçimde elde edilmesini, üçüncü kişilere açıklanmasını veya hukuka aykırı baskı kurulmasını kendiliğinden meşru hâle getirmez.
Önemli: KVKK kapsamında başvuru ile Cumhuriyet başsavcılığına suç duyurusu farklı hukuki yollardır. Somut olayda gerekli koşullar bulunuyorsa bu yollara ayrı ayrı başvurulabilir.
5. Kişisel verileriniz izinsiz kullanılırsa ilk olarak ne yapmalısınız?
Kişisel verilerinizin hukuka aykırı biçimde elde edildiğini veya paylaşıldığını düşünüyorsanız öncelikle olayın belgelenmesi ve doğru hukuki yolun belirlenmesi önemlidir.
1. Delilleri muhafaza edin
Mesajları, e-postaları, ekran görüntülerini, paylaşım bağlantılarını, arama kayıtlarını ve varsa diğer yazışmaları saklayın.
Mümkün olduğunca tarih, saat, gönderen ve paylaşımın yapıldığı platform bilgilerini koruyun. İçeriğin sonradan silinmesi ihtimaline karşı mevcut kayıtları güvenli biçimde muhafaza edin.
Delilleri elde etmek amacıyla başkasının hesaplarına veya sistemlerine hukuka aykırı şekilde erişmeyin. Gerektiğinde delillerin usulüne uygun şekilde tespiti için hukuki destek alın.
2. Veriyi işleyen veya paylaşan kişiyi belirleyin
Olayın bir şirket, işveren, internet platformu, hizmet sağlayıcı veya başka bir gerçek kişi tarafından gerçekleştirilip gerçekleştirilmediği önemlidir.
KVKK bakımından veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Veriyi teknik olarak işleyen başka bir kişi veya kuruluş bulunması, veri sorumlusunun kim olduğunun ayrıca değerlendirilmesini gerektirebilir.
Her bireyler arası uyuşmazlık doğrudan KVKK kapsamında değerlendirilmez. Özellikle kişisel verilerin bir kişi tarafından tamamen kişisel veya ev faaliyetleri kapsamında işlenmesi gibi durumlarda Kanun’un istisnaları gündeme gelebilir. Buna karşılık, verilerin başka kişilere açıklanması, yayılması veya ticari amaçlarla kullanılması somut olayın özelliklerine göre farklı bir değerlendirme gerektirebilir.
3. Veri sorumlusuna başvurun
KVKK’nın 13. maddesi kapsamında, kişisel verilerinizle ilgili haklarınızı kullanmak amacıyla veri sorumlusuna başvurabilirsiniz.
Başvuruda hangi verilerin işlendiğini, işlemenin amacını ve hukuki sebebini öğrenmek; verilerin aktarıldığı üçüncü kişiler hakkında bilgi edinmek veya kanuni şartlar oluşmuşsa verilerin silinmesini istemek gibi taleplerinizi açıkça belirtin.
Başvuru, Kanun’un 11. maddesinde sayılan haklar kapsamında ve uygun usulle yapılmalıdır.
4. Diğer hukuki yolları değerlendirin
Olayın niteliğine göre;
- Kişisel Verileri Koruma Kuruluna şikâyet,
- Cumhuriyet başsavcılığına suç duyurusu,
- Kişilik haklarının korunmasına yönelik hukuki başvurular,
- Maddi veya manevi tazminat talebi,
gündeme gelebilir.
Bu yolların koşulları ve süreleri birbirinden farklıdır. Bir yola başvurulması, diğer yollardaki sürelerin kendiliğinden durduğu veya bütün taleplerin birlikte sonuçlanacağı anlamına gelmez.
6. KVKK kapsamında hangi haklara sahipsiniz?
KVKK’nın 11. maddesi, kişisel verileri işlenen kişilere çeşitli haklar tanımaktadır.
İlgili kişi;
- Kişisel verilerinin işlenip işlenmediğini öğrenebilir.
- Kişisel verileri işlenmişse buna ilişkin bilgi talep edebilir.
- Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenebilir.
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri öğrenebilir.
- Eksik veya yanlış işlenmiş kişisel verilerin düzeltilmesini isteyebilir.
- Kanun’un 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerinin silinmesini veya yok edilmesini isteyebilir.
- Düzeltme, silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir.
- İşlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda aleyhine bir sonucun ortaya çıkmasına, kanuni şartlar çerçevesinde itiraz edebilir.
- Kişisel verilerinin kanuna aykırı işlenmesi nedeniyle zarara uğraması hâlinde zararın giderilmesini talep edebilir.
Bu hakların kapsamı ve kullanılma koşulları, somut olayın özelliklerine ve ilgili mevzuata göre belirlenir.
Örneğin kişisel verilerin silinmesi talep edilse bile kanuni saklama yükümlülüğü veya geçerli başka bir hukuki neden devam ediyorsa silme talebinin sonucu farklı olabilir.
Veri sorumlusunun kişisel verilerin korunmasına ilişkin yükümlülükleri, ilgili kişinin talebinin değerlendirilmesinden bağımsız olarak da gündeme gelebilir.
7. Kişisel Verileri Koruma Kuruluna doğrudan şikâyet edilebilir mi?
KVKK kapsamında, ilgili kişinin 11. maddede belirtilen hakları çerçevesindeki şikâyet yoluna başvurabilmesi için kural olarak öncelikle veri sorumlusuna başvurması gerekir.
Kanun’un 13. maddesi uyarınca ilgili kişi, kişisel verileriyle ilgili taleplerini veri sorumlusuna iletir. Veri sorumlusunun başvuruyu reddetmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kanun’un 14. maddesi kapsamında Kurula şikâyet yolu gündeme gelebilir.
Bu iki işlem birbirinden ayrılmalıdır:
Veri sorumlusuna başvuru: Kişisel verilerinizle ilgili haklarınızı kullanmak ve taleplerinizi iletmek amacıyla yapılan başvurudur.
Kurula şikâyet: Veri sorumlusuna yapılan başvurunun sonucuna veya süresinde cevap verilmemesine bağlı olarak kullanılan idari başvuru yoludur.
Kurula şikâyet sürecinin usulüne uygun yürütülebilmesi için veri sorumlusuna yapılan başvurunun ve başvuru tarihini gösteren belgelerin saklanması önemlidir.
Bununla birlikte, kişilik haklarının ihlal edildiği iddiasıyla genel hükümlere göre yargı yoluna başvurulması bakımından Kurula şikâyet sürecinin tamamlanması kural olarak zorunlu değildir. KVKK’nın 14. maddesinin üçüncü fıkrası, genel hükümlere göre tazminat hakkını saklı tutmaktadır.
Bu nedenle somut olayda idari başvuru, ceza soruşturması ve tazminat yolları ayrı ayrı değerlendirilmelidir.
8. KVKK başvurusu nasıl yapılır? Başvuruda hangi bilgiler bulunmalıdır?
Veri sorumlusuna yapılacak başvurunun usulüne uygun olması önemlidir. Başvurular, 6698 sayılı Kanun’un 13. maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de belirtilen yöntem ve koşullara uygun biçimde yapılmalıdır.
Tebliğ kapsamında başvuru;
- Yazılı olarak,
- Kayıtlı elektronik posta (KEP) adresiyle,
- Güvenli elektronik imza veya mobil imza kullanılarak,
- İlgili kişi tarafından veri sorumlusuna daha önce bildirilmiş ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi üzerinden,
- Başvuru amacına yönelik geliştirilmiş bir yazılım veya uygulama aracılığıyla,
iletililebilir.
Herhangi bir e-posta adresine gönderilen her mesajın Tebliğ bakımından usulüne uygun başvuru sayılacağı varsayılmamalıdır. Başvurunun yöntemi ve veri sorumlusuna ulaştığını gösteren kayıtlar önemlidir.
Başvuruda genel olarak şu bilgilere yer verilmelidir:
- Ad ve soyadı; yazılı başvurularda imza
- Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası; yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası
- Tebligata esas yerleşim yeri veya iş yeri adresi
- Varsa bildirime esas e-posta adresi, telefon ve faks numarası
- Talebin konusu
- Konuyla ilgili bilgi ve belgeler
Vekil aracılığıyla başvurularda temsil yetkisini gösteren vekâletname veya ilgili yetki belgesi sunulmalıdır.
Başvurunun teslim edildiğini gösteren belgeler, gönderim kayıtları ve veri sorumlusunun cevabı saklanmalıdır.
Başvuruda hangi taleplerde bulunulabilir?
Telefon numarasının, adres bilgisinin veya diğer kişisel verilerin hukuka aykırı biçimde paylaşıldığını düşünen kişi, somut olayına göre;
- Kişisel verilerinin işlenip işlenmediğinin bildirilmesini,
- Verilerin hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğinin açıklanmasını,
- Verilerin aktarıldığı üçüncü kişiler hakkında bilgi verilmesini,
- Kanuni şartlar oluşmuşsa verilerin silinmesini veya yok edilmesini,
- Eksik veya yanlış verilerin düzeltilmesini,
- Kanun kapsamında mümkün olduğu ölçüde ilgili işlemlerin üçüncü kişilere bildirilmesini,
talep edebilir.
Başvurunun genel ifadeler yerine somut olayla bağlantılı, anlaşılır ve belirli talepler içermesi önemlidir.
9. KVKK başvuru ve şikâyet süreleri nelerdir?
KVKK kapsamında sürelerin doğru hesaplanması, hak kaybının önlenmesi bakımından önemlidir.
Veri sorumlusu kaç gün içinde cevap vermelidir?
KVKK’nın 13. maddesi uyarınca veri sorumlusu, başvuruda yer alan talepleri niteliğine göre ve en geç 30 gün içinde sonuçlandırmalıdır.
Başvurunun kabul edilmesi veya reddedilmesi durumunda cevap, yazılı olarak ya da elektronik ortamda bildirilir. Ret hâlinde gerekçenin açıklanması gerekir.
Kurula şikâyet için kaç gün vardır?
KVKK’nın 14. maddesine göre ilgili kişi;
- Veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün içinde,
- Her hâlükârda veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde,
Kurula şikâyette bulunabilir.
Veri sorumlusunun 30 günlük cevap süresi içinde cevap vermemesi durumunda, cevap verilmemesi nedeniyle şikâyet yoluna başvurulabilir. Bu durumda da başvuru tarihinden itibaren 60 günlük üst sınır dikkate alınmalıdır.
Veri sorumlusunun yasal cevap süresi geçtikten sonra gecikmeli cevap vermesi hâlinde, şikâyet süresinin başlangıcının somut olay bakımından ayrıca değerlendirilmesi önemlidir. Hak kaybı riskini önlemek için gecikmeden hukuki değerlendirme yapılmalıdır.
Önemli: Veri sorumlusuna başvuru için 30 günlük cevap süresi ile Kurula şikâyet için öngörülen 30 ve 60 günlük süreler farklı işlevlere sahiptir. Başvurunun yapıldığı tarih, teslim belgesi ve cevap yazısı birlikte muhafaza edilmelidir.
10. Kişisel verilerin hukuka aykırı işlenmesi hâlinde tazminat istenebilir mi?
Evet. Kişisel verilerin korunmasına ilişkin mevzuat, şartları oluştuğunda zarar gören kişilerin tazminat talep etme imkânını ortadan kaldırmaz.
KVKK’nın 11. maddesinde, kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğranılması hâlinde zararın giderilmesini talep etme hakkı düzenlenmiştir. Kanun’un 14. maddesinin üçüncü fıkrası da kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat haklarını saklı tutmaktadır.
Somut olayın özelliklerine göre maddi veya manevi tazminat talebi gündeme gelebilir.
Maddi tazminat
Kişisel verilerin hukuka aykırı işlenmesi nedeniyle ekonomik bir kayıp ortaya çıkmışsa, uygulanacak sorumluluk hükümlerinin şartları çerçevesinde maddi zarar talep edilebilir.
Örneğin hukuka aykırı veri kullanımı nedeniyle ortaya çıktığı kanıtlanabilen bir ekonomik kayıp, somut olayın koşullarına göre değerlendirmeye alınabilir.
Manevi tazminat
Hukuka aykırı veri işleme eylemi kişinin kişilik haklarını ihlal etmiş ve manevi zarar doğurmuşsa genel hükümler çerçevesinde manevi tazminat talebi değerlendirilebilir.
Özellikle özel hayatın gizliliğinin ihlali, kişisel bilgilerin baskı amacıyla kullanılması veya kişinin itibarını etkileyen hukuka aykırı açıklamalar, olayın özelliklerine göre manevi tazminat bakımından önem taşıyabilir.
Ancak her veri ihlalinde otomatik olarak tazminata hükmedileceği söylenemez. İhlalin niteliği, zarar, uygun illiyet bağı ve uygulanacak sorumluluk hükümleri somut olay çerçevesinde incelenmelidir.
Kurula şikâyet ile tazminat davası birbirinden farklı hukuki yollardır. Kurul, kendi görev ve yetkileri kapsamında inceleme yapar; tazminat talebinin kendiliğinden karara bağlanması söz konusu değildir.
Tazminat bakımından görevli ve yetkili yargı yeri, uygulanacak sorumluluk hükümleri ve süreler somut olayın niteliğine göre belirlenmelidir.
11. Şirketler ve işverenler KVKK bakımından nelere dikkat etmelidir?
KVKK yalnızca kişisel verileri ihlal edilen kişiler açısından değil, kişisel veri işleyen şirketler, işverenler ve diğer veri sorumluları açısından da önemlidir.
Kanun’un 12. maddesi uyarınca veri sorumluları;
- Kişisel verilerin hukuka aykırı işlenmesini önlemek,
- Kişisel verilere hukuka aykırı erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Uygulamada özellikle şu hususlara dikkat edilmelidir:
- İşlenen kişisel verilerin ve işleme amaçlarının belirlenmesi
- Her veri işleme faaliyeti için uygun hukuki şartın değerlendirilmesi
- Aydınlatma yükümlülüğünün yerine getirilmesi
- Gereğinden fazla veri toplanmasının önlenmesi
- Personelin erişim yetkilerinin görev ve sorumluluklarına göre sınırlandırılması
- Kişisel verilerin yetkisiz erişime ve açıklanmaya karşı korunması
- Saklama ve imha süreçlerinin oluşturulması
- Veri sorumlusu ile veri işleyen arasındaki görev ve sorumlulukların belirlenmesi
- Yurt dışına veri aktarımında Kanun’un 9. maddesindeki şartların incelenmesi
- Veri ihlali meydana geldiğinde müdahale ve bildirim süreçlerinin işletilmesi
Veri ihlali meydana gelirse 72 saat içinde bildirim zorunlu mudur?
KVKK’nın 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmelidir.
Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararında, Kanun’daki “en kısa sürede” ifadesi Kurula bildirim bakımından 72 saat olarak yorumlanmıştır. Buna göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır.
Haklı bir gerekçeyle bu süre içinde bildirim yapılamazsa gecikmenin nedenleri de Kurula açıklanmalıdır. İhlalden etkilenen kişilerin belirlenmesinin ardından ilgili kişilere de makul olan en kısa sürede bildirim yapılması gerekir.
Buradaki 72 saatlik süre, bireyin Kurula yapacağı şikâyet süresi değildir. Veri sorumlusunun veri ihlali bildirim yükümlülüğüyle ilgilidir.
12. KVKK’da güncel mevzuat bakımından hangi değişiklikler önemlidir?
6698 sayılı Kanun’da 2024 yılında önemli değişiklikler yapılmıştır. 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Kanun ile özellikle özel nitelikli kişisel verilerin işlenmesi, kişisel verilerin yurt dışına aktarılması ve ilgili hükümlere ilişkin düzenlemeler değiştirilmiştir.
Söz konusu değişikliklerin ilgili hükümleri 1 Haziran 2024 tarihinde yürürlüğe girmiştir.
Özel nitelikli kişisel verilerin işlenmesi
Kanun’un 6. maddesi yeniden düzenlenerek özel nitelikli kişisel verilerin işlenmesine ilişkin şartlar yeniden yapılandırılmıştır.
Bu nedenle sağlık verileri, biyometrik veriler veya ceza mahkûmiyetine ilişkin veriler bakımından açık rızanın her durumda tek hukuki dayanak olduğu varsayılmamalıdır. İlgili maddedeki şartlar ve somut olayın özellikleri birlikte değerlendirilmelidir.
Kişisel verilerin yurt dışına aktarılması
Kanun’un 9. maddesinde yurt dışına veri aktarımına ilişkin yeni bir sistem benimsenmiştir. Bu sistemde yeterlilik kararı, uygun güvenceler ve belirli istisnai aktarım hâlleri önem taşımaktadır.
Yurt dışındaki hizmet sağlayıcıları kullanan şirketler, bulut sistemleri üzerinden veri işleyen işletmeler ve uluslararası şirket grupları, veri aktarımının hukuki dayanağını ayrıca incelemelidir.
Sadece bir aydınlatma metni veya açık rıza metni hazırlanmış olması, yurt dışına veri aktarımının her durumda hukuka uygun olduğu anlamına gelmez.
KVKK uyumu yalnızca belge hazırlamaktan ibaret değildir
Kişisel verilerin korunmasına yönelik uyum çalışmaları; işleme amaçlarının, hukuki sebeplerin, erişim yetkilerinin, saklama sürelerinin, veri aktarım süreçlerinin ve güvenlik tedbirlerinin birlikte değerlendirilmesini gerektirir.
Bu nedenle şirketlerin yalnızca aydınlatma metinlerini değil, fiilî veri işleme süreçlerini de mevzuata uygunluk bakımından gözden geçirmesi önemlidir.
Sonuç: Kişisel verileriniz izinsiz paylaşılırsa hangi yolu izlemelisiniz?
Kişisel verilerin hukuka aykırı şekilde elde edilmesi, paylaşılması veya kullanılması hâlinde izlenebilecek hukuki yollar olayın özelliklerine göre değişir.
KVKK kapsamında veri sorumlusuna başvuru ve Kurula şikâyet imkânları bulunmakla birlikte, somut olayda ceza hukuku yolları ile maddi veya manevi tazminat talepleri de gündeme gelebilir.
Hak kaybı yaşanmaması için;
- Mesajları, ekran görüntülerini ve diğer delilleri muhafaza edin.
- Veriyi işleyen veya paylaşan kişi ya da kuruluşu belirlemeye çalışın.
- KVKK kapsamında başvuru yapılması gerekiyorsa veri sorumlusuna usulüne uygun şekilde başvurun.
- Kurula şikâyet ve diğer hukuki yollar bakımından geçerli süreleri takip edin.
- Tehdit, şantaj veya başka bir suç şüphesi varsa ceza hukuku yönünden ayrıca değerlendirme yapın.
- Maddi veya manevi zarar meydana gelmişse tazminat imkânlarını somut olayın koşullarına göre inceleyin.
Özellikle veri sorumlusuna başvuru ile Kurula şikâyet arasındaki usul ilişkisi, 30 günlük cevap süresi ve 60 günlük şikâyet üst sınırı dikkatle değerlendirilmelidir.
Kişisel verilerin korunmasına ilişkin uyuşmazlıklarda verinin niteliği, işleme amacı, hukuki dayanak, olayın gerçekleşme biçimi ve mevcut deliller birlikte incelenerek uygun hukuki yol belirlenmelidir.
HS Hukuk Ofisi – Ankara
Kişisel verilerin korunması, KVKK başvuruları ve kişisel verilerin hukuka aykırı işlenmesinden kaynaklanan uyuşmazlıklarda somut olayın özelliklerine göre hukuki değerlendirme yapılması önem taşır.
Bilgilendirme notu: Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Somut olayın özelliklerine ve yürürlükteki mevzuata göre hukuki değerlendirme değişebilir.
Başvurulabilecek resmî kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – Mevzuat Bilgi Sistemi
- Kişisel Verileri Koruma Kurumu
- İlgili Kişinin Hakları – KVKK
- Şikâyet Hakkı ve Süreleri – KVKK
- 6698 Sayılı Kanun’da Yapılan Değişiklikler Hakkında Kamuoyu Duyurusu
- Veri İhlali Bildirimi – Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı
