Kısa cevap: Bilişim hukuku, dijital ortamdaki veri, içerik ve işlemlere ilişkin hukuki çerçeveyi kapsar. Merkezinde 6698 sayılı Kişisel Verilerin Korunması Kanunu yer alır. Temel kural nettir: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Özel nitelikli verilerin işlenmesi ise kural olarak yasaktır. Veri ihlalinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır.
Kişisel Veri İşlemenin Temel İlkeleri
Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
Kanun beş ilkeye uyulmasını zorunlu tutar:
Hukuka ve dürüstlük kurallarına uygun olma. Doğru ve gerektiğinde güncel olma. Belirli, açık ve meşru amaçlar için işlenme. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
Bu ilkeler her veri işleme faaliyeti için birlikte sağlanmalıdır. Hukuki bir işleme şartı bulunsa dahi ilkelerden birine aykırılık, işlemeyi hukuka aykırı hâle getirir. Örneğin geçerli rıza alınmış olsa bile amaçla bağlantısız veri toplamak "sınırlı ve ölçülü olma" ilkesini ihlal eder.
Beşinci ilke uygulamada en sık ihlal edilenidir: veriler, mevzuatta öngörülen veya amaç için gerekli olan süre kadar muhafaza edilebilir. Bu nedenle her veri sorumlusunun bir saklama ve imha politikası oluşturması gerekir.
İşleme Şartları: Açık Rıza ve Alternatifleri
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
Ancak açık rıza tek hukuki dayanak değildir. m.5/2 uyarınca şu hâllerde rıza aranmaz:
- Kanunlarda açıkça öngörülmesi.
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Pratik sonuç önemlidir: bir işleme faaliyeti bu şartlardan birine dayanıyorsa ayrıca rıza istenmemelidir. Gereksiz rıza talebi, rızanın geri alınabilir olması nedeniyle veri sorumlusunu daha kırılgan hâle getirir.
Özel Nitelikli (Hassas) Veriler
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
Özel nitelikli kişisel verilerin işlenmesi yasaktır.
Bu yasak mutlak değildir; 2/3/2024 tarihli ve 7499 sayılı Kanunla yeniden düzenlenen m.6/3, işlemenin mümkün olduğu hâlleri sayar: ilgili kişinin açık rızasının olması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması için zorunlu olması ve ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması gibi.
Sağlık verisi, biyometrik veri (parmak izi, yüz tanıma) ve ceza mahkûmiyeti verisi işleyen işletmeler bu ağır rejime tabidir. İşyerinde parmak izli giriş sistemi kurmak, biyometrik veri işlemek anlamına geldiğinden ayrı bir hukuki dayanak ve ölçülülük değerlendirmesi gerektirir.
Veri Güvenliği Yükümlülüğü
Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Yükümlülük yalnızca teknik değil idari tedbirleri de kapsar: politikalar, yetkilendirme matrisi, personel eğitimi, gizlilik taahhütnameleri ve tedarikçi denetimi. Veri sorumlusu, verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde bu tedbirlerin alınmasında müştereken sorumludur (m.12/2).
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar.
Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam eder.
Veri İhlali Bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.
Burada sık yapılan bir hata vardır: kanun metni "72 saat" demez, "en kısa sürede" der. 72 saatlik süre, Kişisel Verileri Koruma Kurulu'nun ihlal bildirim usul ve esaslarına ilişkin kararından kaynaklanır. Bu ayrım hukuki dayanağı doğru kurmak açısından önemlidir; yükümlülüğün kaynağı kanun, süresi ise Kurul kararıdır.
Bildirim iki yönlüdür: hem ilgili kişiye hem Kurula yapılır. Kurul, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
İlgili Kişinin Hakları
KVKK m.11 uyarınca herkes, veri sorumlusuna başvurarak kendisiyle ilgili şunları talep edebilir: kişisel veri işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme; silinmesini veya yok edilmesini isteme; bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz sonucu aleyhe bir sonuç ortaya çıkmasına itiraz etme; ve hukuka aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Sondan ikinci hak, yapay zekâ ve otomatik karar verme sistemleri açısından giderek daha kritik hâle gelmektedir. Kredi skorlama, otomatik işe alım eleme veya sigorta fiyatlama gibi tamamen algoritmik kararlar bu itiraz hakkının kapsamındadır.
Veri Sorumluları Sicili (VERBİS)
Kişisel veri işleyen gerçek ve tüzel kişiler, kural olarak veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmakla yükümlüdür. Kayıt, işlenen veri kategorilerini, işleme amaçlarını, aktarım yapılan alıcı gruplarını ve azami saklama sürelerini beyan etmeyi gerektirir. Kişisel Verileri Koruma Kurulu, işlenen verinin niteliği, sayısı, faaliyetin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi ölçütlerle bazı veri sorumlularını bu yükümlülükten muaf tutabilir. Muafiyet kapsamı ve kayıt süreleri Kurul kararlarıyla belirlendiğinden, kayıt yükümlülüğü değerlendirilirken Kurumun güncel duyuruları esas alınmalıdır.
Uyum Kontrol Listesi
- Veri envanteri çıkarın: hangi veri, hangi amaç, hangi hukuki sebep, hangi saklama süresi.
- Her işleme faaliyeti için m.5 veya m.6'daki dayanağı belirleyin; gereksiz rıza almayın.
- Aydınlatma metinlerini ve açık rıza beyanlarını ayrı belgeler olarak düzenleyin.
- Saklama ve imha politikası ile periyodik imha takvimi oluşturun.
- Veri ihlali müdahale planı hazırlayın; bildirim sorumlusunu ve iletişim akışını önceden belirleyin.
- Veri işleyenlerle (bulut, çağrı merkezi, muhasebe) yazılı sözleşme yapın.
- İlgili içerikler: siber suçlar ve savunma, fikri mülkiyet hukuku, mesafeli sözleşmede cayma hakkı.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellendiğinden Kurumun güncel duyurularını teyit ediniz.
Çevrimiçi ticaret başlığı için e-ticarette hukuki sorumluluk rehberine bakabilirsiniz.
Teknoloji girişiminin anonim şirket olarak kuruluşunu ayrı araştırmak için anonim şirket kuruluş rehberine bakabilirsiniz.
Veri güvenliği bölümünden somut bir olayın belge hazırlığına geçmek için KVKK veri ihlali bildirimi rehberini inceleyebilirsiniz. Teknik olay kaydı, öğrenme anına ilişkin belgeler ve hukukçunuza yönelteceğiniz soruları ayrı tutarak kaynağı belirsiz bir süre hesabı üretmekten kaçının.
Veri işleme araştırmasında aktarımın ülke ve alıcı boyutunu ayrıca değerlendirmek için kişisel verilerin yurt dışına aktarımı rehberini inceleyebilirsiniz. Somut olaya ilişkin değerlendirmeyi ilgili rehberin kaynakları ve kapsamıyla birlikte yapın.