6698 sayılı Kanun 2024’te köklü biçimde değişti: özel nitelikli verilerin işlenme şartları genişledi, yurt dışına aktarım yeniden kuruldu ve Kurul kararlarına karşı yargı yolu değişti. Güncel çerçeve, ilgili kişinin hakları ve ölen kişinin kişilik hakları.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, telefon, kimlik numarası, e-posta ve konum bunlara dahildir.
7499 sayılı Kanunla yapılan ve 1 Haziran 2024’te yürürlüğe giren değişiklikle özel nitelikli verilerin işlenme şartları genişletildi, yurt dışına aktarım açık rıza dışındaki mekanizmalara bağlandı.
İlgili kişi önce veri sorumlusuna başvurur; otuz gün içinde cevap alamaz ya da cevabı yetersiz bulursa Kurula şikâyette bulunabilir.
§ 1Kişisel veri nedir?
6698 sayılı Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Tanım geniştir: ad ve soyad, doğum tarihi, kimlik numarası, e-posta adresi, telefon numarası, IP adresi, konum bilgisi, ses ve görüntü kayıtları bu kapsamdadır.
Belirleyici ölçüt, verinin tek başına ya da başka verilerle birleştirildiğinde bir kişiyi işaret edip etmediğidir. Tek başına anlamsız görünen bir kayıt, başka bir kayıtla eşleştirildiğinde kişisel veri hâline gelebilir.
Kanun yalnızca gerçek kişileri korur; şirketlere ait bilgiler kişisel veri değildir. Buna karşılık bir şirket çalışanının adı ve iletişim bilgisi, o çalışana ait kişisel veridir.
§ 2İşleme şartları ve açık rızanın yeri
Yaygın bir yanılgı, her veri işleme faaliyeti için açık rıza alınması gerektiğidir. Kanun bunun tersini söyler: açık rıza, işleme şartlarından yalnızca biridir. Kanunda sayılan diğer şartlardan biri varsa ayrıca rıza aranmaz; hatta rıza almak hatalı olur.
Açık rıza dışındaki başlıca şartlar: kanunlarda açıkça öngörülmesi; sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Hizmetin alınmasını rıza vermeye bağlayan uygulamalarda irade özgür sayılmaz; bu tür rızalar geçersizdir.
§ 3Özel nitelikli veriler: 2024 değişikliği
Sağlık, cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek, vakıf ve sendika üyeliği, ceza mahkûmiyeti, güvenlik tedbirleri ve biyometrik ve genetik veriler özel nitelikli kişisel veridir.
7499 sayılı Kanunla değiştirilen ve 1 Haziran 2024’te yürürlüğe giren düzenleme, önceki dönemin en çok eleştirilen ayrımını kaldırdı: sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler arasındaki farklı rejim sona erdi ve tüm özel nitelikli veriler için ortak bir şartlar listesi getirildi.
| Özel nitelikli veri hangi hâllerde işlenebilir |
|---|
| İlgili kişinin açık rızası bulunması |
| Kanunlarda açıkça öngörülmesi |
| Fiili imkânsızlık nedeniyle rıza alınamayan kişinin hayatı veya beden bütünlüğünün korunması |
| İlgili kişinin alenileştirdiği verilerin, alenileştirme iradesine uygun olması |
| Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması |
| Sır saklama yükümlülüğü altındaki kişi veya kurumlarca kamu sağlığı, tıbbî teşhis, tedavi ve bakım hizmetleri, sağlık hizmetlerinin planlanması ve finansmanı amacıyla işlenmesi |
| İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik yükümlülüklerinin yerine getirilmesi için zorunlu olması |
| Siyasi, felsefi, dinî veya sendikal amaçlı kuruluşların, mevzuata uygun faaliyetleri kapsamında üye ve mensuplarına ilişkin verileri, üçüncü kişilere açıklanmamak kaydıyla işlemesi |
§ 4Yurt dışına aktarım: yeni sistem
Aynı değişiklikle yurt dışına veri aktarımı da yeniden kuruldu. Eski dönemde uygulamada neredeyse tek yol hâline gelen açık rıza, artık istisnai bir dayanaktır. Yeni sistem üç kademelidir:
- Yeterlilik kararı. Kurul, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermişse aktarım serbesttir.
- Uygun güvenceler. Yeterlilik kararı yoksa; kamu kurumları arasındaki anlaşmalar, Kurul onaylı bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme ya da Kurul izinli yazılı taahhütname ile aktarım yapılabilir.
- Arızi hâller. Yukarıdakiler yoksa, kanunda sayılan istisnai durumlarda arızi olarak aktarım mümkündür.
Standart sözleşmeye dayalı aktarımlarda, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirim yapılması gerekir. Bu, uygulamada en çok atlanan yükümlülüklerden biridir.
§ 5Veri sorumlusunun yükümlülükleri
| Yükümlülük | İçerik |
|---|---|
| Aydınlatma | Verinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiği ve kimlere aktarılacağı, veri elde edilirken bildirilir |
| Veri güvenliği | Hukuka aykırı erişimi ve işlemeyi önlemek, muhafazayı sağlamak için idari ve teknik tedbirler almak |
| VERBİS kaydı | Kanunda öngörülen hâllerde Veri Sorumluları Siciline kayıt |
| İhlal bildirimi | Verilerin hukuka aykırı olarak ele geçirilmesi hâlinde ilgili kişiye ve Kurula bildirim |
| Başvuruya cevap | İlgili kişinin başvurusunu en geç otuz gün içinde sonuçlandırmak |
Yükümlülükler yalnızca büyük şirketleri değil, kişisel veri işleyen her gerçek ve tüzel kişiyi bağlar. Bir muhasebe bürosu, bir spor salonu ya da bir site yönetimi de veri sorumlusu olabilir.
§ 6İlgili kişinin hakları
Kanun, verisi işlenen kişiye somut haklar tanır: verilerinin işlenip işlenmediğini öğrenme; işlenmişse bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; silinmesini veya yok edilmesini isteme; bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhe bir sonuç doğmasına itiraz etme; zarara uğraması hâlinde giderilmesini talep etme.
Başvuru yolu
Yol iki aşamalıdır ve sırası atlanamaz. Önce veri sorumlusuna yazılı olarak ya da Kurulun belirlediği yöntemlerle başvurulur. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz kalır veya süresinde cevap verilmezse; ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.
§ 7Silme ve unutulma hakkı
İşlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Bu üç işlem farklıdır: silme veriyi erişilemez kılar, yok etme geri döndürülemez biçimde ortadan kaldırır, anonimleştirme ise veriyi kimliği belirlenemez hâle getirir.
İnternette yer alan içerikler bakımından ayrıca unutulma hakkı gündeme gelir. Bu hak iki ayrı taleple kullanılabilir: içeriğin bulunduğu siteden kaldırılması ve arama motorlarında ad-soyad sorgusu sonuçlarından çıkarılması. İkisi bağımsızdır; içerik kaynakta kalsa bile arama sonuçlarından çıkarılması istenebilir.
Değerlendirmede içeriğin güncelliği, doğruluğu, kamu yararı taşıyıp taşımadığı, kişinin kamusal rol üstlenip üstlenmediği ve içeriğin kişi üzerindeki etkisi birlikte tartılır. Kişisel Verileri Koruma Kurulu bu konuda ölçütler belirlemiş, arama motorlarına yapılacak başvurunun usulünü ortaya koymuştur.
§ 8Ölen kişinin şeref ve haysiyeti
Kişilik hakları kişiye sıkı sıkıya bağlıdır ve ölümle sona erer. Bu klasik kabul, uzun süre ölen kişinin hatırasına yönelen saldırılarda yakınlarının tazminat taleplerinin reddedilmesine yol açtı.
Hukuk Genel Kurulu, ölen kişinin şeref ve haysiyetine yönelen saldırıların, onun yakınlarının kişilik haklarına saldırı teşkil ettiğine ve tazminata konu olabileceğine hükmetmiştir.
Karar, önceki uygulamayı değiştirmiş; yakınların kendi kişilik hakları üzerinden dava açabilmesinin önünü açmıştır.
Bu içtihat, dijital ortamda ölen kişi hakkında yapılan paylaşımlar bakımından da önemlidir. Yakınlar hem içeriğin kaldırılmasını hem de manevi tazminat talep edebilir.
§ 9Yaptırımlar ve yargı yolu
Kanuna aykırılık hâlinde idari para cezaları uygulanır. Ceza tutarları her yıl yeniden değerleme oranında güncellendiğinden güncel tarifeye bakılmalıdır. Ayrıca kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, ele geçirilmesi ve yok edilmemesi Türk Ceza Kanunu kapsamında ayrıca suç oluşturur.
7499 sayılı Kanunla yapılan değişiklikten önce Kurulun idari para cezalarına karşı sulh ceza hâkimliğine itiraz ediliyordu. Yeni düzenlemeyle bu kararlara karşı idare mahkemesinde dava açılır. Yanlış mercie yapılan başvuru süre kaybına yol açar.
§ 10Sık sorulan sorular
Her veri işleme için açık rıza almam gerekir mi?
Hayır. Açık rıza işleme şartlarından yalnızca biridir. Kanunda sayılan diğer şartlardan biri varsa ayrıca rıza aranmaz. Hatta dayanak varken rıza almak, rızanın geri alınmasıyla işlemenin dayanaksız kalması riskini doğurur.
İnternetteki bir haberin kaldırılmasını nasıl isterim?
İki ayrı yol vardır: içeriğin bulunduğu siteye başvurarak kaldırılmasını istemek ve arama motoruna başvurarak ad-soyad sorgusu sonuçlarından çıkarılmasını istemek. Sonuç alınamazsa Kurula şikâyet ve yargı yolu açıktır.
Veri sorumlusu başvuruma cevap vermezse ne yaparım?
Otuz gün içinde cevap verilmezse ya da cevap yetersizse, cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilirsiniz.
Verilerimi yurt dışındaki bir hizmete aktaran şirket ne yapmalı?
1 Haziran 2024’ten itibaren aktarım öncelikle Kurulun yeterlilik kararına dayanmalıdır. Yeterlilik kararı yoksa bağlayıcı şirket kuralları, standart sözleşme veya Kurul izinli taahhütname gibi uygun güvencelerden biri gerekir. Standart sözleşmede beş iş günü içinde Kuruma bildirim zorunludur.
Vefat eden yakınım hakkındaki hakaret içerikli paylaşım için dava açabilir miyim?
Evet. Yargıtay Hukuk Genel Kurulunun 08.07.2020 tarihli kararına göre ölen kişinin şeref ve haysiyetine yönelen saldırılar, yakınlarının kişilik haklarına saldırı teşkil eder ve tazminata konu olur.
KVKK cezasına nereye itiraz edilir?
7499 sayılı Kanunla yapılan değişiklikten sonra Kurulun idari para cezalarına karşı idare mahkemesinde dava açılır. Önceki dönemde geçerli olan sulh ceza hâkimliğine itiraz yolu değişmiştir.
Yasal uyarı. Bu metin genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık ya da vekâlet ilişkisi doğurmaz. Kişisel veri uyuşmazlıkları somut olayın koşullarına göre değişir. Mevzuat, ceza tutarları, Kurul kararları ve içtihat değişebileceğinden, işlem yapmadan önce güncel metinlerin kontrol edilmesi ve bir avukata danışılması gerekir.