Kişisel Verilerin Korunması Hizmetleri

Question 1

Kişisel Verilerin Korunması Kanunu Kimleri Kapsamaktadır?

Answer

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanmaktadır. Özel sektörde faaliyet gösteren kuruluşlar ile kamu kurum ve kuruluşları bakımından bir ayrım bulunmamaktadır.

Question 2

Kişisel Veri ve Özel Nitelikli Kişisel Veri Nedir?

Answer

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Kişisel veri, ilgili kişinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte, başka bir bilgiyle ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.

Özel nitelikli kişisel veriler; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi ve diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerdir.

Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikte olduklarından bu tür verilere daha fazla koruma uygulanmaktadır.

Question 3

Kişisel Verilerin İşlenmesi Ne Demektir?

Answer

Kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan (bilişim sistemleri üzerinden gerçekleştirilen) ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla (manuel olan ancak erişimi ve anlamayı kolaylaştıran) elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.

Kişisel verilerin işlenmesinde her zaman Kanun’da düzenlenen (i) hukuka ve dürüstlük kurallarına uygun olma, (ii) doğru ve gerektiğinde güncel olma, (iii) belirli, açık ve meşru amaçlar için işlenme, (iv) işleme amacıyla bağlantılı, sınırlı ve ölçülü olma, (v) ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar muhafaza edilme genel ilkelerine uygun davranılmalıdır.

Question 4

Kişisel Verilerin İşlenme Şartları Nelerdir?

Answer

Özel nitelikli olmayan kişisel verilerin hangi hallerde hukuka uygun olarak işlenebileceği Kanun’da düzenlenmiştir. Belirtilen şartlardan yalnızca bir tanesinin varlığı özel nitelikli olmayan kişisel verilerin işlenmesi için yeterlidir. Bu şartlar şunlardır: (i) ilgili kişinin açık rızasının varlığı, (ii) işlemenin kanunlarda açıkça öngörülmesi, (iii) fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için işlemenin zorunlu olması, (iv) bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verileri işlemenin gerekli olması, (v) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması, (vi) ilgili kişinin kendisi tarafından alenileştirilmiş olması, (vii) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, (viii) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, işlemenin veri sorumlusunun meşru menfaatleri için zorunlu olması.

Question 5

Özel Nitelikli Kişisel Verilerin İşlenme Şartları Nelerdir?

Answer

Özel nitelikli kişisel verilerin işlenmesinde temel şart ilgili kişinin açık rızasının alınmasıdır. Sağlık ve cinsel hayata dışındaki özel nitelikli kişisel veriler ancak kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis ve tedavi bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebilir.

Question 6

Veri Sorumlusu ve Veri İşleyen Kimdir?

Answer

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilerdir. Veri işleyen, kişisel verileri veri sorumlusu tarafından kendisine verilen talimatlar çerçevesinde veri sorumlusu adına işleyen gerçek veya tüzel kişilerdir.

Herhangi bir gerçek veya tüzel kişi yürüttüğü farklı faaliyetleri nedeniyle aynı zamanda hem veri sorumlusu hem de veri işleyen olabilir. Örneğin, bulut bilişim hizmeti sunan bir şirket kendi çalışanlarının verileri bakımından veri sorumlusuyken, müşterilerinin verileri bakımından veri işleyendir.

Veri işleme faaliyetinin bir tüzel kişilik tarafından gerçekleştirilmesi halinde, veri sorumlusu tüzel kişinin kendisidir. Bu çerçevede hukuki ve cezai sorumluluk bakımından, tüzel kişilerin sorumluluğuna ilişkin genel hükümler uygulanır.

Question 7

Veri Sorumluları Siciline Kimler Kayıt Olmalıdır?

Answer

Kişisel veri işleme faaliyetinde bulunan gerçek ve tüzel kişiler veri işlemeye başlamadan önce Veri Sorumluları Sicili Bilgi Sistemi’ne (”VERBİS”) kayıt olmakla yükümlüdür. Bu kapsamda; (i) yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan veri sorumlularının ve (ii) yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularının 31.12.2021 tarihine kadar VERBİS’e kayıt olmaları gerekmektedir.

Yurt dışında yerleşik veri sorumlularının da Türkiye’de kişisel veri işlemeleri halinde genel kural olarak VERBİS’e kayıt olmaları gerekmektedir.

Question 8

Kişisel Verilerin Yurt İçinde Aktarılmasına İlişkin Düzenlemeler Nelerdir?

Answer

Kişisel verileri işleme şartlarından en az birinin bulunması halinde; özel nitelikli kişisel veriler açısından ise yeterli önlemler alınmak kaydıyla işleme şartlarından en az birinin bulunması halinde ilgili kişinin açık rızası aranmaksızın kişisel verilerin aktarılması mümkündür. Diğer hallerde, kişisel veriler ilgili kişinin açık rızası olması koşuluyla üçüncü kişilere aktarılabilir.

Question 9

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Düzenlemeler Nelerdir?

Answer

İlgili kişinin açık rızasının bulunması veya kişisel verilere ve özel nitelikli kişisel verilere ilişkin işleme şartlarından birinin bulunması ve verinin aktarılacağı ülkede yeterli korumanın bulunması veya yeterli korumanın bulunmaması durumunda veri sorumlularının yazılı olarak yeterli koruma taahhüt etmeleri ve Kişisel Verileri Koruma Kurulu’nun izninin bulunması koşuluyla kişisel verilerin yurt dışına aktarılması mümkündür.

Yeterli korumanın bulunduğu ülkeler Kurul tarafından belirlenecek olup, henüz ilan edilmemiştir. Bu kapsamda, ilgili kişinin açık rızasının mevcut olmadığı hallerde, veri aktarımına ilişkin taahhüt akdedilerek Kişisel Verileri Koruma Kurulu’ndan izin alınmalıdır.

Kişisel Verileri Koruma Kurulu’nun güncel kararlarına istinaden veri sorumlularının vereceği taahhüt onaylanana kadar kişisel verilerin yurt dışına aktarılmasına dair ilgili kişinin açık rızasının alınması gerektiği unutulmamalıdır.

Question 10

Açık Rıza Nedir ve Herhangi Bir Şekil Şartına Tabi midir?

Answer

Açık rıza, ilgili kişinin, kişisel verilerinin işlenmesine özgürce, konu hakkında yeterli bilgi sahibi olarak ve sadece o işlemle sınırlı kalmak kaydıyla verdiği onay beyanıdır. Kanun’da açık rızanın verilmesi bir şekil şartına bağlanmamıştır. Açık rıza sözlü, yazılı, elektronik ortam aracılılığıyla veya başka yöntemlerle alınabilir. Ancak açık rızanın alındığı konusundaki ispat yükü veri sorumlusuna ait olduğu unutulmamalıdır.

Açık rıza, belirli bir konuya yönelik olmalı, açık rıza alınacak süreç için ilgili kişi önceden aydınlatılmalı ve özgür iradeye dayanmalıdır. Aksi halde hukuken geçerli bir açık rızadan söz edilemeyecektir.

Question 11

Açık Rıza Geri Alınabilir mi? Açık Rıza Geri Alınırsa Ne Olur?

Answer

İlgili kişiler verdikleri açık rızayı her zaman geri alabilirler. Veri sorumlusu, açık rızaya dayalı olarak gerçekleştirilen tüm faaliyetleri, geri alma beyanının ulaştığı andan itibaren durdurmalıdır. Ancak söz konusu kişisel verilerin saklanmasını gerektiren başka bir hukuki sebep olması halinde, veri sorumlusu bu kişisel verileri sadece bu amaçla sınırlı olmak üzere saklayabilir.

Question 12

Aydınlatma Yükümlülüğünün Kapsamı Nedir?

Answer

Veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi anında, ilgili kişisele veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel verileri toplama yöntemi ve hukuki sebebi ve ilgili kişinin hakları konusunda bilgi vermekle yükümlüdür.

Aydınlatma yükümlülüğünün yerine getirilmesi ilgili kişinin onayına tabi değildir.

Question 13

Kişisel Verilerin Saklama Süreleri Nasıl Belirlenir?

Answer

Kişisel verilerin işlendikleri amaç için saklanacağı azami süre, kanun koyucu tarafından ilgili mevzuatta belirlenmiş olabilir. Eğer ilgili mevzuatlarında herhangi bir azami saklama süresi belirlenmemişse, işlendikleri saklama süresinin belirlenmesi sorumluluğu, ilgili kişisel veriyi işleyen veri sorumlusuna aittir.

Question 14

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Ne Demektir?

Answer

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir. Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir. Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Question 15

Kişisel Veriler Hangi Hallerde Silinmeli, Yok Edilmeli veya Anonim Hale Getirilmelidir?

Answer

Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Question 16

İlgili Kişinin Hakları Nelerdir? İlgili Kişi Haklarını Kullanırsa Ne Olacak?

Answer

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili (i) kişisel verilerin işlenip işlenmediğini öğrenme, (ii) kişisel verileri işlenmişse buna ilişkin bilgi talep etme, (iii) kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, (iv) yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, (v) kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme, (vi) kişisel verilerin silinmesini veya yok edilmesini isteme, (vii) düzeltme, silme ve yok etme talepleri doğrultusunda yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, (vii) işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, (viii) kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

İlgili kişinin talebi, niteliğine göre en kısa sürede ve en çok otuz gün içinde, yazılı veya elektronik ortamda cevaplanmalıdır.

Veri sorumlusuna yapılan başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya başvuruya süresinde cevap verilmemesi hallerinde, ilgili kişi, Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir. Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakları vardır. İlgili kişiler bu kapsamda yargı yoluna da gidebilirler.

Question 17

Veri İhlali Nedir? Veri İhlali Olduğunda Ne Yapılmalıdır?

Answer

Kanun uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hali veri ihlali olarak tanımlanmıştır. Veri ihlali gerçekleştiğinde veri sorumlusu hem Kişisel Verileri Koruma Kurulu’nu hem de ilgili kişileri bilgilendirmelidir. Kişisel Verileri Koruma Kurulu’na yapılacak olan bildirim veri ihlalinin öğrenildiği andan itibaren en geç 72 saat içinde gerçekleştirilmelidir.

Question 18

Kişisel Verileri Koruma Kurulu Veri Sorumlularından Bilgi Talep Edebilir mi?

Answer

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi halinde resen, görev alanına giren konularda gerekli incelemeyi yapabilir ve bu kapsamda veri sorumlusu şirketlerden bilgi talep edebilir. Veri sorumluları, devlet sırrı niteliğindeki bilgi ve belgeler hariç, talep edilen bilgi ve belgeleri Kurul’a on beş gün içinde göndermek veya gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır.

Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde, Kurul’un veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verme yetkisi vardır.

Question 19

Veri Sorumlusunun Yükümlülüklere Uymaması Halinde Uygulanacak Yaptırımlar Nelerdir?

Answer

Kanun’un 18. maddesi Kabahatler başlığını düzenlemekte olup, ilgili maddelerde belirtilen yükümlülüklerini yerine getirmeyen veri sorumlusu gerçek ve tüzel kişilere Kurul tarafından idari para cezaları verilebilir. Yayınlanan yeniden değerleme oranı uyarınca, idari para cezalarının 2021 yılı değerleri şu şekildedir:

Aydınlatma yükümlülüğünü yerine getirmeyen veri sorumluları hakkında 9.834 Türk Lirasından 196.686 Türk Lirasına kadar.
Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen veri sorumluları hakkında 29.503 Türk Lirasından 1.966.822 Türk Lirasına kadar.
Kişisel Verileri Koruma Kurulu tarafından verilen kararlara aykırılık halinde 49.172 Türk Lirasından 1.966.862 Türk Lirasına kadar.
VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılık halinde 39.337 Türk Lirasından 1.966.862 Türk Lirasına kadar.

Kişisel Verileri Koruma Kurulu tarafından belirlenecek olan ceza bedeli kabahatin haksız içeriği, failin kurusu ve ekonomik durumu dikkate alınarak belirlenmektedir.

Question 20

Kişisel Verilerin Korunmasına İlişkin Suçlar Nelerdir?

Answer

Türk Ceza Kanunu uyarınca kişisel verilerin hukuka aykırı olarak kaydedilmesi, kişisel verilerin hukuka aykırı olarak başkasına verilmesi, yayılması, ele geçirilmesi ve kanuni sürelerin geçmiş olmasına rağmen verilerin yok edilmemesi fiilleri suç olarak düzenlenmiştir. Bu suçları işledikleri sabit olanlar hakkında, aşağıda belirtilen aralıklardaki sürelerle hapis cezasına hükmedilmesi riski bulunmaktadır.

Kişisel verileri hukuka aykırı olarak kaydeden kimseye 1 yıldan 3 yıla kadar hapis cezası verileceği ve bu kişisel verilerin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda verilecek cezanın yarı oranında artırılacağı düzenlenmiştir.
Kişisel verileri hukuka aykırı olarak başkasına veren, yayan veya ele geçiren kimseye 2 yıldan 4 yıla kadar hapis cezası verileceği düzenlenmiştir.
Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olan ancak görevini yerine getirmeyen kimseye 1 yıldan 2 yıla kadar hapis cezası verileceği düzenlenmiştir.

Belirtilen suçların soruşturulması ve kovuşturulması şikâyete bağlı değildir. Savcılıklar, herhangi bir şikâyete gerek olmaksızın, resen soruşturma başlatma hakkına sahiptir.