KVKK'nın amacı
6698 sayılı Kişisel Verilerin Korunması Kanunu, 2016 yılında yürürlüğe girmiştir. Amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemektir. Kanun'un uygulanmasını Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler.
Temel tanımlar
| Kavram | Kanun'daki anlamı (özet) |
|---|---|
| Kişisel veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi |
| İlgili kişi | Kişisel verisi işlenen gerçek kişi |
| Veri işleme | Verinin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması, sınıflandırılması, silinmesi gibi her türlü işlem |
| Veri sorumlusu | İşleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi |
| Veri işleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi |
| Anonim hâle getirme | Verinin başka verilerle eşleştirilse bile kişiyle ilişkilendirilemez hâle getirilmesi |
"Belirlenebilir" ne demek?
Bir bilgi tek başına kimseyi göstermese bile, başka bilgilerle birleştirildiğinde bir kişiyi belirlemeye yarıyorsa kişisel veridir. Bu nedenle ad-soyad ve T.C. kimlik numarasının yanında şunlar da kişisel veri olabilir:
- E-posta adresi, telefon numarası, adres,
- IP adresi, cihaz kimlikleri, çerez kimlikleri,
- Kamera kayıtları, ses kayıtları,
- Konum verisi, müşteri numarası, plaka.
Kanun yalnızca gerçek kişilerin verilerini korur; bir şirketin unvanı veya vergi numarası tek başına kişisel veri değildir. Ancak şahıs şirketlerinde veya bir çalışanın iş e-postasında durum farklıdır.
Özel nitelikli kişisel veriler
Kanun'un 6. maddesi bazı verileri, ifşa edildiğinde ayrımcılığa veya ciddi zarara yol açabileceği için özel olarak korur:
- Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar,
- Kılık ve kıyafet,
- Dernek, vakıf ya da sendika üyeliği,
- Sağlık ve cinsel hayat,
- Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler,
- Biyometrik ve genetik veriler.
Bu verilerin işlenme şartları daha sıkıdır ve Kurul bu veriler için yeterli önlemlerin alınmasını ayrıca düzenlemiştir. 6. madde 2024 yılında yapılan Kanun değişikliğiyle güncellenmiştir; güncel işleme şartlarını mevzuat metninden kontrol edin.
Veri sorumlusu mu, veri işleyen mi?
Bu ayrım, kimin hangi yükümlülükten sorumlu olduğunu belirler.
Örnek senaryo: "Örnek Mobilya A.Ş." müşteri kayıtlarını bir bulut tabanlı CRM hizmetinde tutuyor. Hangi verinin hangi amaçla işleneceğine şirket karar verdiği için veri sorumlusu şirkettir. CRM sağlayıcısı, şirketin talimatıyla veriyi barındırdığı için veri işleyendir.
Veri sorumlusu, veri işleyenin de güvenlik önlemlerini almasından onunla birlikte sorumludur (m.12/2). Bu nedenle tedarikçilerle yapılan sözleşmelerde veri güvenliği yükümlülükleri açıkça yer almalıdır.
Genel ilkeler (m.4)
Kişisel veriler işlenirken şu ilkelere uyulmalıdır:
- Hukuka ve dürüstlük kurallarına uygun olma,
- Doğru ve gerektiğinde güncel olma,
- Belirli, açık ve meşru amaçlar için işlenme,
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
- İlgili mevzuatta öngörülen veya amaç için gerekli olan süre kadar muhafaza edilme.
Dördüncü ilke, bilgi güvenliğindeki veri minimizasyonu yaklaşımının hukuki karşılığıdır.
Kaynaklar
- KVKK: https://www.kvkk.gov.tr/
- 6698 sayılı Kanun: https://www.mevzuat.gov.tr/