Kişisel Verilerin Korunması Kanunu Nedir?

Kişisel Verilerin Korunması Kanunu Nedir? sorusu, yalnızca şirketlerin “uyum” başlığı altında ele aldığı teknik bir mesele değildir; günlük hayatta vatandaşın iletişim bilgilerinden kamera kayıtlarına, sağlık verilerinden müşteri işlem kayıtlarına kadar uzanan geniş bir alanda özel hayatın gizliliği ile doğrudan bağlantılıdır. Bir e-ticaret sitesine üyelik, bir iş başvurusu, apartman girişindeki kamera, hastanede açılan dosya ya da bir çağrı merkezinin ses kaydı, çoğu zaman fark edilmeden kişisel veri işlemeye dönüşür. Bu yazıda, Kanunun koruduğu hukuki zemini, “veri sorumlusu” ve “veri işleyen” gibi temel kavramların pratikte ne anlama geldiğini, açık rıza (kişinin bilgilendirilerek ve özgür iradesiyle onay vermesi) ile hangi sınırların çizildiğini ve uygulamada en sık yapılan hataların nasıl önlenebileceğini ele alacağız. Ayrıca, idari yaptırımların (Kurul tarafından uygulanan para cezaları gibi) yanında, uyuşmazlıkların tazminat ve kişilik hakları boyutuna taşınabildiği noktaları da netleştireceğiz.

Kişisel Verileri Koruma Kanunu (KVKK) Nedir?

Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesi süreçlerine hukuki sınırlar koyan ve bu süreçte hem bireyin haklarını hem de veriyi işleyenlerin yükümlülüklerini düzenleyen temel metindir. “Kişisel veri işleme” kavramı; verinin toplanması, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması veya silinmesi gibi veri üzerinde yapılan her türlü işlemi kapsar. Bu kapsam geniş olduğu için, birçok kurum “biz sadece saklıyoruz” yaklaşımıyla riskleri küçümser; oysa saklama da işleme faaliyeti sayılır.

Kanunun temel yaklaşımı, veri işlemeyi bütünüyle yasaklamak değildir. Aksine, hukuka uygunluk şartlarına bağlayarak düzenler. Burada en kritik ilkeler; amaçla sınırlılık (veri yalnızca belirli ve meşru bir amaç için toplanır), veri minimizasyonu (gereksiz veri istenmez) ve ölçülülük (amaçla orantılı veri işlenir) olarak özetlenebilir. Yargısal değerlendirmelerde de, “toplanan veri gerçekten gerekli miydi?” sorusu çoğu dosyada belirleyici hale gelir.

Uygulamada dikkat çeken bir başka nokta, Kanunun idari yaptırım boyutu kadar özel hukuk sonuçlarının da bulunmasıdır. Kişisel verinin hukuka aykırı kullanımı, çoğu zaman kişilik hakkı ihlali (kişinin şeref, haysiyet, özel hayatı gibi değerlerinin zarar görmesi) iddiasıyla tazminat taleplerine konu olur. Bu nedenle, yalnızca “metinleri web sitesine koyduk” diye uyum sağlandığını düşünmek, pratikte ciddi uyuşmazlıklara yol açar.

• En sık hata: Aydınlatma metni (kişiye veri işlemenin amacı ve hakları hakkında bilgi veren metin) ile açık rızayı aynı belge sanmak.
• Riskli alışkanlık: “Her ihtimale karşı” fazladan veri toplamak ve ne kadar süre saklandığını bilmemek.
• Stratejik yaklaşım: Veri akışını (veri nereden geliyor, kim görüyor, nereye gidiyor) çıkarmadan metin yazmamak.

6698 Sayılı Kişisel Verilerin Korunması Kanunu’ nun Amacı Nedir?

Kanunun amacı, kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumak ve veriyi işleyen gerçek/tüzel kişilerin uyması gereken usul ve esasları belirlemektir. Bu amaç iki eksende yürür: Bir yandan bireye “verim üzerinde söz hakkı” tanır; diğer yandan kurumlara “öngörülebilir kurallar” getirir. Bu çerçevede, veri işleme faaliyetinin dayanağı, amacı, kapsamı ve süresi net değilse, hukuka uygunluk tartışması başlar.

En kritik başlıklardan biri açık rıza meselesidir. Açık rıza, her durumda zorunlu bir anahtar değildir; fakat gerektiği yerde de “otomatik onay kutusu” gibi yöntemlerle geçiştirilemez. Açık rızanın geçerli olabilmesi için bilgilendirmeye dayanması, belirli bir konuya ilişkin olması ve özgür iradeyle verilmesi beklenir. Pratikte, hizmetten yararlanmayı rızaya bağlamak (örneğin “rıza vermezsen hizmet alamazsın” şeklinde dayatma) rızanın özgür irade unsurunu tartışmalı hale getirebilir.

Kanunun amaç boyutunda öne çıkan bir diğer alan da aktarımdır. Kişisel verilerin üçüncü kişilere veya yurt dışına aktarımı, ayrı bir hukuki değerlendirme gerektirir. Uygulamada, bulut servisleri, e-posta altyapıları, yurt dışı sunucular ve grup şirketlerine veri paylaşımı gibi rutin görülen işlemler, aktarım kuralına takılabilir. Bu noktada “bizim sistem otomatik çalışıyor” savunması, sorumluluğu ortadan kaldırmaz; çünkü veri akışını tasarlayan irade veri sorumlusudur.

Yargıtay uygulamasında da, özellikle kişilik haklarına temas eden dosyalarda, verinin elde ediliş şekli, paylaşımın kapsamı ve “gereklilik” ölçütü kritik değerlendirme alanıdır. Bu yüzden kurumların yalnızca ceza veya idari para cezası riskini değil, tazminat ve itibar riskini de aynı dosyada birlikte yönetmesi gerekir.

KVKK Kanunu Kimleri Kapsamaktadır?

Kanunun uygulama alanında üç temel rol öne çıkar: ilgili kişi (verisi işlenen gerçek kişi), veri sorumlusu (işleme amaç ve araçlarını belirleyen kişi/kurum) ve veri işleyen (veri sorumlusu adına ve talimatla işleyen kişi/kurum). Bu ayrım, teoride kolay görünse de pratikte en çok hata yapılan noktalardandır. Örneğin bir şirketin çağrı merkezi hizmetini dışarıdan alması halinde, çağrı merkezi çoğu senaryoda veri işleyen konumuna düşer; ancak süreç üzerinde bağımsız karar alma yetkisi varsa sorumluluk alanı genişleyebilir. Bu nedenle sözleşme metinleri tek başına yeterli olmayıp fiilî işleyiş de önem taşır.

Veri sorumlusu, veri işleme faaliyetinin “neden” ve “nasıl” yapıldığına karar veren taraftır. Bu sıfat, yalnızca özel şirketlere değil, kamu kurumlarına, derneklere, vakıflara ve gerçek kişilere de uygulanabilir. Uygulamada, küçük işletmeler “biz zaten küçük ölçekliyiz” diyerek yükümlülükleri hafife alır; oysa yükümlülüğün doğması çoğu zaman ölçekten değil, işlenen verinin niteliğinden ve süreçlerin yapısından kaynaklanır.

Veri sorumlusunun öne çıkan yükümlülükleri arasında; hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi engellemek, verinin güvenli şekilde muhafazasını sağlamak ve organizasyonel tedbirler almak yer alır. Burada “organizasyonel tedbir” denildiğinde yalnızca IT güvenliği değil; yetki matrisi (kim hangi veriye erişebilir), saklama-imha politikası, çalışan eğitimleri ve tedarikçi yönetimi gibi başlıklar da anlaşılmalıdır.

• En sık hata: Tedarikçilerle (ör. yazılım firması, çağrı merkezi, danışman) veri işleyen sözleşmesi yapmadan veri paylaşmak.
• Pratik risk: Aynı veriye birçok birimin erişmesi ve erişim kayıtlarının (log) tutulmaması.
• Doğru adım: Rol tanımlarını netleştirip veri akış şemasını çıkarmak; bu olmadan uyum metinleri eksik kalır.

Yargısal süreçlerde rol tespiti, sorumluluk tayininde belirleyici olduğundan, kurumların “biz sadece aracıydık” savunmasına dayanmak yerine, süreç tasarımını ve talimat mekanizmasını belgelemeyi öncelemesi gerekir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bu tanım, yalnızca ad-soyad gibi açık kimlik bilgilerini değil; tek başına kişiyi göstermese bile başka verilerle birleştirildiğinde kişiyi belirlenebilir hale getiren tüm bilgileri kapsar. Örneğin bir müşteri numarası, cihaz kimliği, lokasyon verisi, alışveriş geçmişi veya kamera kaydı, bağlamına göre kişisel veri niteliği taşıyabilir. Bu yüzden “anonimleştirdik” (kişiyi artık belirlenemez hale getirme) iddiası sıkça dile getirilse de, gerçekten anonimleştirme yapılıp yapılmadığı teknik ve hukuki ölçütlerle değerlendirilir.

Uygulamada kritik ayrım, özel nitelikli kişisel veri başlığında ortaya çıkar. Özel nitelikli veri; sağlık, biyometrik veriler gibi kişiyi daha ağır risklere açık hale getirebilecek veri gruplarını ifade eder. Bu tür veriler söz konusu olduğunda, hem işleme şartları hem de güvenlik tedbirleri daha sıkı yorumlanır. Kurumların “biz sadece dosyada tutuyoruz” yaklaşımı, veri güvenliği açısından yeterli kabul edilmez; çünkü risk, verinin tutulduğu anda başlar.

Yargıtay’ın kişilik hakları eksenli uyuşmazlıklarda dikkat ettiği noktalardan biri, verinin paylaşım kapsamı ve yayılım etkisidir. Kişisel verinin sınırlı bir çevrede kalması ile geniş kitlelere yayılması arasında zarar değerlendirmesi farklılaşabilir. Bu nedenle, veri ihlalinde “kimler gördü, ne kadar süre erişilebilir kaldı, hangi önlemler alındı” gibi olgusal sorular dosyanın kaderini belirleyebilir.

Uygulamada yapılan temel hata, veriyi “önemsiz” görmektir. Oysa bir verinin önemsizliği, hukuken çoğu zaman sonuç doğurmaz; ölçüt, kişinin belirlenebilirliği ve verinin yaratabileceği risklerdir.

KVKK Kapsamında Alınması Gereken Teknik Tedbirler

Kanun, veri güvenliğini yalnızca teknoloji meselesi olarak ele almaz; teknik ve idari tedbirlerin birlikte kurulmasını bekler. Teknik tedbirler; erişim kontrolü, şifreleme, loglama, ağ güvenliği, yedekleme, veri sızıntısı önleme çözümleri gibi uygulamaları kapsar. Ancak yalnızca yazılım satın alıp “tamamlandık” demek, pratikte en sık görülen uyum yanılgısıdır. Çünkü sistemi doğru kurgulamayan, erişim yetkilerini sınırlandırmayan ve çalışan farkındalığını artırmayan kurumlar, en güçlü altyapıda dahi ihlal yaşayabilir.

Veri ihlali (kişisel verilerin yetkisiz erişim, ifşa veya kayıp gibi sebeplerle güvenliğinin bozulması) yaşandığında, kurumların verdiği ilk tepki dosya riskini büyütebilir. Panikle kayıtları silmek, kanıt niteliğindeki logları kaybetmek veya ilgili kişiyi geç bilgilendirmek, hem idari yaptırım hem de tazminat boyutunda olumsuz sonuçlar doğurabilir. Bu nedenle kriz planı (ihlal yönetim prosedürü) ve olay kayıtlarının düzenli tutulması, sadece IT değil hukuk yönetimi açısından da kritiktir.

Yargısal uyuşmazlıklarda ve Kurul değerlendirmelerinde, “ihlal oldu mu?” kadar “ihlal olmaması için makul önlem alınmış mıydı?” sorusu önemlidir. Makul önlem değerlendirmesi ise kurumun büyüklüğüne göre değil, işlediği verinin niteliği ve risk seviyesine göre şekillenir. Örneğin özel nitelikli veri işleyen bir yapıda, temel güvenlik uygulamalarının eksikliği, ağır ihmal olarak yorumlanabilir.

• Erişim kontrolü: Yetki matrisi kur; herkesin her veriye eriştiği yapı sürdürülemez.
• Loglama: Erişim kayıtlarını tut; “kim ne zaman baktı?” sorusu çoğu dosyada belirleyicidir.
• Şifreleme: Özellikle taşınabilir ortamlar ve yedekler için asgari güvenlik standardıdır.
• Yedekleme: Sadece almak değil, geri yükleme testini yapmak gerekir.
• Tedarikçi yönetimi: Veri işleyenlerle sözleşme ve denetim mekanizması kur.

Teknik tedbirlerin etkili olabilmesi için idari tedbirlerle desteklenmesi gerekir. Aydınlatma metinleri, saklama-imha politikası, çalışan eğitimleri, veri envanteri ve risk analizi, bir bütün olarak ele alınmadıkça “uyum” kâğıt üzerinde kalır.

SSS

Aydınlatma metni ile açık rıza aynı şey midir?

Hayır. Aydınlatma metni, kişiye hangi verinin hangi amaçla işlendiğini ve haklarını bildirir. Açık rıza ise belirli bir veri işleme faaliyetine, bilgilendirme sonrasında özgür iradeyle verilen onaydır. Aydınlatma, çoğu durumda zorunlu bir yükümlülüktür; açık rıza ise ancak gerekli hallerde hukuki dayanak olarak devreye girer.

“Veri sorumlusu” kimdir, her zaman şirket sahibi midir?

Veri sorumlusu, kişisel verilerin işlenme amaç ve araçlarını belirleyen kişidir. Bu, şirket sahibi olabileceği gibi, şirket tüzel kişiliği veya süreç üzerinde karar alan başka bir yapı da olabilir. Önemli olan, fiilen karar alma yetkisinin kimde olduğudur.

Kamera kaydı almak her durumda serbest midir?

Kamera kaydı, kişisel veri işlemeye yol açabileceği için ölçülülük ve amaçla sınırlılık ilkelerine uygun kurulmalıdır. Kör noktalar, gereksiz alanların çekilmesi, uzun süreli saklama ve sınırsız erişim yetkisi gibi uygulamalar hukuka uygunluk tartışması doğurabilir. Ayrıca bilgilendirme yükümlülüğü de unutulmamalıdır.

Kişisel veri ihlali yaşandığında ilk yapılması gereken nedir?

Öncelikle ihlalin kapsamı tespit edilmeli, erişim kanalları kapatılmalı ve olay kayıtları korunmalıdır. Logların silinmesi veya panikle sistemin değiştirilmesi, tespit ve değerlendirme sürecini zorlaştırır. Ardından, kurum içi ihlal prosedürleri işletilerek hukuki yükümlülükler açısından süreç yönetilmelidir.

Kişisel verilerin üçüncü kişilere aktarımı için her zaman açık rıza gerekir mi?

Her durumda gerekmez. Aktarımın hukuki dayanağı, aktarımın amacı ve veri kategorisi önemlidir. Bazı hallerde açık rıza dışındaki işleme şartları geçerli olabilir; ancak aktarımın kapsamı ve güvenlik önlemleri ayrıca değerlendirilmelidir. Özellikle yurt dışı bağlantılı hizmetlerde veri akışının nereden geçtiği netleştirilmeden işlem yapılması ciddi risk doğurur.