6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
Dijitalleşme çağında kişisel veriler, devletler ve özel şirketler için büyük önem taşımaktadır. Türkiye’de 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesini düzenleyen, temel hak ve özgürlükleri güvence altına alan ilk kapsamlı düzenlemedir.
Amaç:
-
Kişisel verilerin korunmasını sağlamak,
-
Bireylerin özel hayatını güvence altına almak,
-
Veri işleyen kişi ve kurumlara yükümlülükler getirmektir.
2. KVKK’nın Temel Kavramları
2.1. Kişisel Veri
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Örn: Ad, soyad, TCKN, telefon, IP adresi, sağlık verileri, biyometrik veriler.
2.2. Veri İşleme
Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması veya silinmesi.
2.3. Veri Sorumlusu
Veri işleme amaç ve vasıtalarını belirleyen kişi veya kurumu ifade eder.
2.4. Açık Rıza
Bireyin, kişisel verilerinin belirli bir amaçla işlenmesine ilişkin özgür iradesiyle verdiği onaydır.
3. KVKK’nın Temel İlkeleri (m.4)
Kişisel verilerin işlenmesinde:
-
Hukuka ve dürüstlük kuralına uygun olma,
-
Doğru ve gerektiğinde güncel olma,
-
Belirli, açık ve meşru amaçlarla işlenme,
-
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
-
Gerekli süre kadar muhafaza edilme,
ilkeleri esastır.
4. Kişisel Verilerin İşlenme Şartları (m.5–6)
4.1. Genel Veriler
-
Açık rıza ile işlenebilir.
-
Kanunda öngörülmesi, sözleşmenin kurulması, hukuki yükümlülük gibi hallerde açık rıza aranmaksızın da işlenebilir.
4.2. Özel Nitelikli Veriler
-
Irk, etnik köken, siyasi düşünce, din, mezhep, sağlık, cinsel hayat gibi hassas verilerdir.
-
Bunlar için daha sıkı koruma öngörülmüştür.
5. Veri Sahibinin Hakları (m.11)
-
Verilerinin işlenip işlenmediğini öğrenme,
-
İşlenmişse buna ilişkin bilgi talep etme,
-
Amacına uygun kullanılıp kullanılmadığını öğrenme,
-
Düzeltilmesini veya silinmesini isteme,
-
İşlenen verilerin üçüncü kişilere aktarılıp aktarılmadığını öğrenme.
6. Veri Sorumlusunun Yükümlülükleri
-
Aydınlatma yükümlülüğü (m.10)
-
Veri güvenliğini sağlama (m.12)
-
Veri Sorumluları Siciline (VERBİS) kayıt zorunluluğu
-
İlgili kişilerin başvurularına cevap verme yükümlülüğü
7. İhlal Halinde Yaptırımlar
7.1. İdari Para Cezaları
-
Aydınlatma yükümlülüğüne aykırılık: 29.852 TL – 597.191 TL
-
Veri güvenliğine aykırılık: 59.702 TL – 1.791.399 TL
-
VERBİS’e kayıt yükümlülüğüne aykırılık: 119.428 TL – 5.971.989 TL
7.2. Ceza Hukuku Yaptırımları (TCK m.135–140)
-
Kişisel verileri kaydetmek: 1-3 yıl hapis,
-
Hukuka aykırı olarak verme veya ele geçirmek: 2-4 yıl hapis,
-
Verileri yok etmeme: 1-2 yıl hapis.
8. Yargıtay ve Uygulama Örnekleri
-
Yargıtay 12. CD, 2017/1896 K.: Kişinin özel bilgilerini sosyal medyada paylaşmak TCK m.136 kapsamında suçtur.
-
Kişisel Verileri Koruma Kurulu Kararı (2019/81): Bir bankanın müşteri verilerini üçüncü kişilerle paylaşması sebebiyle yüksek para cezası uygulanmıştır.
9. Uluslararası Boyut
-
KVKK, büyük ölçüde AB Genel Veri Koruma Tüzüğü (GDPR) ile uyumludur.
-
Ancak bazı farklılıklar vardır; Türkiye’de yaptırımlar idari para cezası + TCK kapsamında hapis cezasıdır.
KVKK:
-
Özel hayatın gizliliğini ve kişisel verilerin güvenliğini sağlamak için temel düzenlemedir.
-
İhlallerde hem yüksek idari para cezaları hem de hapis cezaları söz konusudur.
-
Hem bireyler hem şirketler için büyük sorumluluklar doğurmaktadır.
-
Yargı kararları ve Kurul kararları uygulamayı giderek şekillendirmektedir.
Açık Rıza Nedir?
1. Tanım
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)’na göre açık rıza, ilgili kişinin kendisine ait kişisel verilerin belirli bir konuya ilişkin olarak, bilgilendirmeye dayalı ve özgür iradesiyle verdiği onaydır.
➡ Yani açık rıza, kişinin kendi verilerinin işlenmesine bilinçli bir şekilde izin vermesidir.
2. Açık Rızanın Unsurları
2.1. Belirli Bir Konuya İlişkin Olma
-
Rıza, genel değil spesifik olmalıdır.
-
“Tüm verilerimi istediğin gibi işleyebilirsin” şeklindeki rıza geçerli değildir.
-
Örn: “Ad ve soyadımın etkinlik katılımcı listesinde yayınlanmasına izin veriyorum.”
2.2. Bilgilendirmeye Dayalı Olma
-
Kişi, hangi verisinin, hangi amaçla, kimler tarafından, ne kadar süreyle işleneceğini bilmelidir.
-
Bilgi verilmeden alınan rıza geçersizdir.
2.3. Özgür İrade ile Verilme
-
Zorlama, tehdit veya hizmetten yararlanmanın şartına bağlanmış rıza geçerli değildir.
-
“Onay vermezsen hizmet alamazsın” gibi dayatmalar, özgür irade unsurunu ortadan kaldırır.
3. Açık Rıza Ne Zaman Gereklidir?
-
Genel kural: Kişisel veriler açık rıza olmadan işlenemez.
-
İstisnalar (KVKK m.5 ve 6):
-
Kanunda açıkça öngörülmesi,
-
Fiili imkânsızlık halinde rıza veremeyecek kişinin hayatının veya beden bütünlüğünün korunması,
-
Sözleşmenin kurulması veya ifası için gerekli olması,
-
Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi,
-
Bir hakkın tesisi, kullanılması veya korunması,
-
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
-
Meşru menfaat için zorunlu olması.
-
➡ Bu hallerde açık rıza aranmaz.
4. Özel Nitelikli Verilerde Açık Rıza
-
Sağlık verisi, biyometrik veriler, siyasi görüş, dini inanç gibi özel nitelikli veriler için kural olarak açık rıza şarttır.
-
Sadece kanunda öngörülen istisnalarda rıza aranmadan işlenebilir (örneğin kamu sağlığının korunması için Sağlık Bakanlığı’nın veri işlemesi).
5. Açık Rızanın Geri Alınması
-
Açık rıza, her zaman geri alınabilir.
-
Veri sorumlusu, bu talep üzerine kişisel verileri işlemeyi durdurmak zorundadır.
-
Bu ilke, GDPR’da da aynıdır.
6. Yargı ve Kurul Kararları
-
KVKK Kurul Kararı (2018/88): Sosyal medya hesabı üzerinden alınan genel onay mesajlarının açık rıza sayılamayacağına hükmedilmiştir.
-
Kurul Kararı (2019/157): Bankaların kredi başvurularında “açık rıza”yı hizmet şartına bağlaması hukuka aykırı bulunmuştur.
-
Yargıtay 12. CD 2017/1896 K.: Kişinin bilgisi ve rızası olmadan verilerinin paylaşılması özel hayatın gizliliğini ihlal suçunu oluşturur.
7. Sonuç
-
Açık rıza, kişisel verilerin işlenmesinde temel hukuki dayanaklardan biridir.
-
Geçerli olabilmesi için belirli, bilgilendirilmiş ve özgür iradeye dayalı olması gerekir.
-
Hizmet şartına bağlanan veya genel nitelikte alınan rızalar geçerli değildir.
-
İlgili kişi her zaman açık rızasını geri alabilir.
Hukuk Fakültesi Öğrencisi Ada Ceren KENDİGELEN
About Post Author
