Kişisel Verilerin Korunması Kanunu (KVKK) Hakkında Bilinmesi Gerekenler
Kişisel Verilerin Korunması Kanunu'nun temel amacı, kişisel verilerin işlenmesini disiplin altına almak ve başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumaktır. Kanun, verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler (kamu ve özel hukuk tüzel kişileri dahil) hakkında uygulanır. Tüzel kişilere ilişkin bilgiler kişisel veri tanımına girmediğinden Kanun kapsamı dışındadır.
Bilinmesi Gereken Temel Kavramlar :
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Sadece ad-soyad değil; kişinin fiziki, ailevi, ekonomik ve sosyal özelliklerine ilişkin bilgiler de bu kapsamdadır.
- Kişisel Verilerin İşlenmesi: Verilerin elde edilmesinden silinmesine kadar geçen süreçte veriler üzerinde gerçekleştirilen her türlü işlemdir.
- Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay beyanıdır.
- Veri Sorumlusu: Verilerin işleme amaçlarını ve vasıtalarını belirleyen, kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
Kişisel Veriler İşlenirken Gözetilmesi Gereken İlkeler:
- Hukuka ve dürüstlük kurallarına uygun olma.
- Doğru ve gerektiğinde güncel olma.
- Belirli, açık ve meşru amaçlar için işlenme.
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
Veri İşleme Şartları ve İstisnalar:
Kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Ancak aşağıdaki hallerde açık rıza aranmaz:
- Kanunlarda verilerin işlenmesinin açıkça öngörülmesi.
- Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda olanların hayatının veya beden bütünlüğünün korunması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olması.
Özel Nitelikli (Hassas) Kişisel Veriler:
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, dini, sağlığı, cinsel hayatı, ceza mahkûmiyeti, biyometrik ve genetik verileri gibi bilgiler özel nitelikli kişisel veri kapsamındadır. Bu verilerin işlenmesi kural olarak yasaktır; ancak ilgilinin açık rızası veya kanunda belirtilen sınırlı durumlar (örneğin kamu sağlığının korunması için sağlık verilerinin işlenmesi) halinde işlenebilir. Ayrıca bu verilerin işlenmesinde KVK Kurul'u tarafından belirlenen yeterli önlemlerin alınması gerekmektedir.
İlgili Kişinin Hakları:
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
- Verilerinin işlenip işlenmediğini öğrenme.
- İşlenmişse buna ilişkin bilgi talep etme.
- Eksik veya yanlış işlenmişse düzeltilmesini isteme.
- Verilerin silinmesini veya yok edilmesini talep etme.
- Kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Yükümlülükler ve Yaptırımlar:
- Veri Güvenliği: Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için her türlü teknik ve idari tedbiri almak zorundadır.
- Veri İhlal Bildirimi: Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, bu durumun en kısa sürede (72 saat içinde) ilgilisine ve KVK Kurulu'na bildirilmesi gerekir.
- İdari Para Cezaları: Aydınlatma, veri güvenliği, Kurul kararlarını yerine getirme ve Sicile (VERBİS) kayıt yükümlülüklerine aykırı davranılması durumunda yüksek miktarlarda idari para cezaları uygulanmaktadır. 2026 yılında bazı kabahatler için öngörülen idari para cezası üst sınırı 17.092.242,00 TL'ye kadar ulaşabilmektedir.
