KVKK Nedir? 6698 Sayılı Kanun Kapsamı
6698 sayılı KVKK’nın amacı, kapsamı, istisnaları ve veri sorumlusunun yükümlülükleri; kimlerin uyum sağlaması gerektiği net biçimde.
KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır ve 7 Nisan 2016 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanun'un amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir. Özetle KVKK, bir kişi hakkındaki her türlü bilginin kim tarafından ve hangi şartlarda toplanıp işlenebileceğini kurala bağlayan temel veri koruma düzenlemesidir.
Kanun'un konu bakımından kapsamı geniştir. KVKK; kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Buradaki kritik nokta, korunanın yalnızca gerçek kişiler olmasıdır. Şirketlere, derneklere veya diğer tüzel kişilere ait bilgiler Kanun anlamında kişisel veri sayılmaz. Ancak bir şirket, çalışanının, müşterisinin veya tedarikçisinin verisini işlediği anda veri sorumlusu sıfatıyla Kanun'a tabi olur.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad soyad, T.C. kimlik numarası, telefon, e-posta, adres, IP adresi, konum, fotoğraf ve ses kaydı bu kapsama girer. Kanun ayrıca özel nitelikli (hassas) kişisel verileri daha yüksek bir koruma rejimine tabi tutar. Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler bu gruptadır. 12 Mart 2024'te yayımlanan ve 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun ile yapılan değişiklik sonrasında, sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler arasındaki işleme şartı ayrımı kaldırılmış, tüm özel nitelikli veriler aynı işleme şartlarına tabi hale getirilmiştir.
Kanun'un temel kavramları uyum çalışmasının çatısını oluşturur. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır; örneğin bir bulut hizmeti sağlayıcısı ya da bordro firması. İlgili kişi, verisi işlenen gerçek kişidir. Kişisel verilerin işlenmesi ise verilerin toplanması, kaydedilmesi, saklanması, değiştirilmesi, aktarılması veya silinmesi gibi her türlü işlemi kapsar.
KVKK'nın istisnaları 28. maddede düzenlenmiştir ve iki gruba ayrılır. Kanun'un tümüyle uygulanmadığı haller arasında; kişisel verilerin üçüncü kişilere verilmemek koşuluyla gerçek kişilerce tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi, resmî istatistik amacıyla anonim hale getirilerek işlenmesi, millî savunma, millî güvenlik, kamu düzeni ve kamu güvenliği amaçlı işleme, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamındaki işlemeler ile soruşturma, kovuşturma ve yargısal faaliyetlere ilişkin işlemeler yer alır. Maddenin ikinci fıkrasında ise suç işlenmesinin önlenmesi veya bütçe, vergi ve mali konulara ilişkin denetim gibi hallerde bazı yükümlülüklerin kısmen uygulanmadığı sınırlı istisnalar bulunur.
Veri sorumlusunun yükümlülükleri Kanun uyumunun pratik omurgasıdır. Bunların başında aydınlatma yükümlülüğü gelir: veri sorumlusu, veri toplarken ilgili kişiyi kimliği, işleme amacı, aktarılacağı taraflar ve hukuki sebep gibi konularda bilgilendirmek zorundadır. Kişisel veriler ancak Kanun'un 5. ve 6. maddelerinde sayılan işleme şartlarından birine dayanılarak işlenebilir; bu şartlar yoksa açık rıza aranır. Veri sorumlusu ayrıca verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile bunların muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bir veri ihlali gerçekleştiğinde durumun en kısa sürede Kurul'a bildirilmesi gerekir; Kurul'un 2019/10 sayılı kararına göre bu bildirim, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmalıdır.
İlgili kişinin başvurularını yönetmek de veri sorumlusunun görevidir. İlgili kişi; verisinin işlenip işlenmediğini öğrenme, düzeltilmesini, silinmesini veya yok edilmesini isteme, işlemenin kanuna aykırı olması halinde zararının giderilmesini talep etme gibi haklara sahiptir. Veri sorumlusu bu başvuruları en geç 30 gün içinde sonuçlandırmak zorundadır. Bunun yanında, aksi kararlaştırılmadıkça, kişisel veri işlemeye başlamadan önce Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü bulunur.
VERBİS kaydı herkes için zorunlu değildir. Kurul; işlenen verinin niteliği, sayısı, faaliyetin mevzuattan kaynaklanması veya üçüncü kişilere aktarılması gibi ölçütlere göre bazı veri sorumlularına istisna tanımıştır. Örneğin yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı belirlenen eşiğin altında olup ana faaliyet konusu özel nitelikli veri işleme olmayan gerçek ve tüzel kişiler, noterler, dernek ve vakıflar ile serbest avukatlar ve mali müşavirler gibi gruplar VERBİS kaydından muaftır. Bu muafiyet yalnızca sicil kaydını kaldırır; Kanun'un diğer tüm yükümlülükleri bu kişiler için de aynen geçerlidir.
Peki KVKK kimler için geçerlidir? Türkiye'de kişisel veri işleyen hemen her kurum ve kişi Kanun kapsamındadır: çalışanı olan tüm işletmeler, e-ticaret siteleri, hastane ve klinikler, okullar, oteller, siteler ve apartman yönetimleri, kamu kurumları, dernek ve vakıflar, serbest meslek erbabı ve müşteri ya da üye verisi tutan tüm organizasyonlar. Ölçek fark etmeksizin, bir müşterinin telefonunu kaydeden küçük bir esnaftan binlerce kullanıcı verisini işleyen bir teknoloji şirketine kadar geniş bir kesim veri sorumlusu sıfatını taşır. Yurtdışına veri aktaran kuruluşlar için ise 1 Eylül 2024'te yürürlüğe giren yeni rejim ve 10 Temmuz 2024'te yayımlanan yönetmelik uyarınca yeterlilik kararı, uygun güvenceler ve arızi haller sıralamasına dayalı yeni bir çerçeve geçerlidir.
KVKK'ya uyumsuzluğun yaptırımı yüksektir. Aydınlatma yükümlülüğünün ihlalinden veri güvenliği tedbirlerinin alınmamasına ve VERBİS kaydının yapılmamasına kadar birçok başlıkta idari para cezaları uygulanır ve bu cezalar her yıl yeniden değerleme oranıyla artar. Bu nedenle uyum çalışması bir defalık iş değil, sürekli yürütülmesi gereken bir süreçtir.
Kurumunuzun 6698 sayılı KVKK kapsamına girip girmediğini, VERBİS kaydı gerekip gerekmediğini ve mevcut süreçlerinizdeki eksikleri netleştirmek istiyorsanız KVKK Danışman'ın ücretsiz ön değerlendirmesinden yararlanabilirsiniz. Verilerinizi hangi hukuki sebeple işlediğinizi, aydınlatma ve açık rıza metinlerinizi ve veri güvenliği tedbirlerinizi birlikte gözden geçirip size özel bir yol haritası çıkaralım.