Kişisel Verileri Koruma Hukuku

Kişisel Veri, 6698 sayılı Kişisel Verileri Koruma Kanun’unun 3’ncü maddesinin 1’nci fıkrasının d bendi gereğince kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bizleri belirlenebilir kılan isim soyisim, telefon numarası, e-posta adresi, IP adresi, ev/işyeri adresi, biyometrik veri(Parmak izi, yüz, retina vs.), yaş,  siyasi görüş, sağlık verisi, felsefi görüş, dini inanış, işyeri giriş şifresi gibi bizleri tanımlayan tüm veriler kişisel verilerimizi oluşturmakta ve kanun kapsamında korunmaktadır. 

Kişisel Verilerin Tarihsel Gelişimi;

Kişisel verilerin korunmasına ilişkin Avrupa’da 1950’li yıllarda faaliyetler yürütülme başlanmış, ülkemiz de “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi” 1 Ekim 1985 tarihinde imzalamıştır.

Bilinenin aksine kişisel veri kavramı ilk olarak Türk Ceza Kanunu ile hukukumuza girmiştir. Hala yürürlükte olan TCK m. 136 vd. maddeleri uyarınca kişisel verilerin hukuka aykırı olarak verilme veyahut ele geçirilmesi, kaydedilmesi ve kanun belirlenen sürelerden sonra yok edilmemesi cezai yaptırıma bağlanmıştır. Fakat, o yıllarda ülkemizde internete erişim çok sınırlı olması sebebiyle kişisel verilere ilişkin ne toplumda ne de yargıda bir bilinç oluşmamıştır. Bu nedenle de TCK hükümleri istisnalar haricinde uygulama bulamamış ve öneminin anlaşılabilmesi için teknolojinin olgunlaşması gerekmiştir.

Ardından 7/5/2010 tarihli anayasa değişikliği ile Anayasamızın “Özel hayatın gizliliği” başlıklı 20’nci maddesi ile;

“Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”

kişisel verilere ilişkin koruma kapsamı anayasal boyuta alınmıştır.

2015 yılına gelindiğinde “Ticari İletişim Ve Ticari Elektronik İletiler Hakkında Yönetmelik” ile ticari iletiler önce Gümrük ve Ticaret Bakanlığı, sonrasında şu an Cumhurbaşkanlığı’na bağlı Bilgi Teknolojileri Kurumu denetimine alınmıştır.

Nihayetinde 2016 yılında Türkiye’nin taraf olduğu 1981 tarihli anlaşma ve GDPR anlaşma Kişisel Verileri Koruma Kanunu kapsamında iç hukuka uygulanmıştır. Kanun ile kanunda sayılan haller dışında kişisel veri kullanımını veri sahiplerinin açık rızasına bağlanması, aşağıda  açıklayacağımız kıstastaki kişiler açısından KVKK’ya ilişkin düzenlemelerin yapılmasının zorunlu tutulması, kişisel veri konusunda Kişisel Verileri Koruma Kurumu adında denetleyici kurumun faaliyete geçirilmesi, bu kuruma kişisel veri ihlallerinin büyüklüğüne göre milyon TL’leri bulan idari para cezaları verme yetkisi verilmesi, verilen bu yüklü cezalar ile uluslararası çapta kişisel veri ihlallerinin hukuki açıklamaları ile birlikte basında uzun süre yer alması ile toplum içerisinde de kişisel veri bilinci zannımızca büyük oranda oluşmuştur.

Son olarak ise vatandaşların telefon ve maillerine ilişkin ticari ileti izinlerini yönetebileceği İleti Yönetim Sistemi Eylül 2020 tarihi itibariyle vatandaş girişine açılmış ve bu sistemin denetimi Gümrük ve Ticaret Bakanlığı’na bağlanmıştır.

Görülmektedir ki Avrupa Birliği’ndeki düzenlemeler ile ihtiyaç öncesi hukukumuza giren ve bu nedenle uzun bir süre atıl kalan kişisel veri kavramı, günümüzde insan hakkı olarak sayılan ve birçok hukuki ihtilafa konu olan bir konu haline gelmiştir. 

Kişisel Verileri Koruma Kanunu’na kapsamında VERBİS kayıt yükümlülüğü olan şirketler;

Kişisel Verileri Koruma Kurumu’nun 2018/32 karar numaralı ve 02/04/2018 karar tarihli "Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları" başlıklı kararı doğrultusunda;

“a) Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler,

b) 18/01/1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler,

c) Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar (2020/315 K., 22/04/2020 T.)

ç) 22/04/1983 tarihli ve 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş siyasi partiler,

d) 19/03/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar,

e) 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri (2018/68 K., 28/06/2018 T.)

f) Arabulucular, (2018/75 K., 05/07/2018 T.

g) 01/06/1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren Serbest Muhasebeci Mali Müşavirler ve Yeminli Mali Müşavirler,

ğ)Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar,”

istisna kapsamında tutulmuştur.

Genel anlamda bu konuda sorumluları ifade etmek gerekirse yılın 6 ayını aşan sürede yıllık çalışan sayısı 50 ya da daha fazla olan, yıllık mali bilançosu 25 milyon TL’yi aşan veyahut ana faaliyet alanı özel nitelikli kişisel veri işleme olanlar kişiler VERBİS kayıt yükümlülüğüne tabidir.

KVKK gereğince VERBİS kayıt yükümlülüğü veri sorumlusunu Kişisel Verileri Koruma Kurulu’nun olağan denetimine tabi tutmakta, verilen ceza miktarları da nazara alındığında şirket içi KVKK entegrasyonunun tamamlanması şirketin hukuki güvenliğinin sağlanması açısından asli önem arz eden bir noktaya taşınmaktadır. Ve bu entegrasyon yalnız tek seferlik bir kayıt sorumluluğunu değil, oluşturulan ve denetlenen bir şirket bilincini zorunlu kılmaktadır.

KVKK entegrasyonu; şirket kişisel veriye ilişkin faaliyetlerinin asgariye indirilmesi, alınan ve aktarılan verilerin sözleşme, yönerge gibi yazılı metinlere aktarılması, çalışanların hangi kişisel verileri hangi amaçlarla, hangi şartlarla edinebileceğine ve kullanabileceğine ilişkin bilgilendirilmesi ile oluşturulacak ekip ile şirketin  denetim mekanizmasının oluşturulması sürecini kapsamaktadır. Dolayısıyla KVKK yalnız tek seferlik bir kayıt sorumluluğu yüklememekte, kişisel verilere ilişkin bir şirket bilincinin ve denetiminin oluşması zorunlu tutulmaktadır.

Bu doğrultuda Şayan Hukuk Bürosu tarafından verilen hizmetler;

- Şirket üst yönetiminin Kişisel Verileri Koruma Kanunu, Kişisel Verileri Koruma Kurumu, VERBİS, bu kapsamda yapılması gerekenler ve alınması gereken önlemlere ilişkin bilgilendirilmesi,

- Şirket içi KVKK faaliyetleri yürütecek kişi veyahut ekibin bilgilendirilmesi,

- Şirketin veri sorumlusu, veri işleyen, irtibat sorumlusunun seçilmesi,

- Şirket tarafından temin edilen kişisel verilerin, çalışanlar dahil olmak üzere kimlere bu verilerin aktarıldığının tespiti ile buna ilişkin alınabilecek önlemler hakkında bilgilendirme,

- Pazarlama, finans, insan kaynakları ve IT departmanları ile kişisel veri işleyen diğer şirket birimleri ortak çalışılarak veri envanterinin oluşturulması, 

- Oluşturulan envanterdeki bilgiler ve şirketin veri işlediği aksiyonlar da dikkate alınarak şirkete KVKK kapsamında hukuka uygunluk hususunda öneri ve rapor sunumu ile nihai envanter üzerinden VERBİS’e kayıt işleminin tamamlanması için danışmanlık verilmesi, 

Şirketin KVKK Entegrasyonu sürecinde ise;

- Hazırlanacak envanter üzerinden işlenen veya saklanan verilerin niteliklerine göre ayrımlara tabi tutulması,

- KVKK ile ilgili olarak şirket çalışanlarının ve özellikle veri işleyen personelin eğitime tabi tutulması 

- Verilerin tutulması ve saklanmasının şirket menfaatleri, KVKK müfredatı ve hukuk nazarında işlenmesinin, saklanmasının sonuçları hakkında hukuki rapor sunumu, 

- Her bir veri nezdinde açık rıza şartının alınıp alınmasının gerekmediğinin incelenmesi ve her bir veri yönünden ayrıca rıza metinlerinin oluşturulması, 

- Şirketin aydınlatma yükümlülüğü kapsamında yükümlülüklerine ilişkin bilgilendirme ve aydınlatma metinlerinin hazırlanması, 

- Şirkete ait özellikle Web sitesi, Facebook, Twitter, İnstagram gibi sosyal paylaşım sitelerinin yasaya uygun şekilde güncellenmesi için danışmanlık yapılması, 

- Danışmanlık verilecek süre ile sınırlı olmak üzere şirkete ait Kişisel Verileri Koruma Kanunu dahilinde her türlü hukuk metninin (sözleşme, talep yazısı vs.) incelenmesi,

- Şirket menfaatleri ve müfredat kapsamında imha politikasının hazırlanması ve kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi sürecine ilişkin hukuki danışmanlık verilmesi, 

- Şirketlerin bu hususta özel yetkili atayarak yetki ve yükümlülüklerinin iç yönergeye taşınması,