6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) 7 Nisan 2016 tarihinde ResmiGazete ’de yayımlanarak yürürlüğe girmiştir. Kanun, veri işlerken uyulması gereken genel ilkeler, kişisel veri işleme şartları, veri sorumlusunun aydınlatma yükümlülüğü ve veri sahibinin hakları gibi birçok konuyu düzenlemekte; şirketlerin ve çalışanlarının dikkat etmesi gereken düzenlemeler getirmektedir.
Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.
Kişinin; ismi, adresi, telefon numarası, doğum tarihi, T.C. Kimlik No.vb. kişisel veri olarak nitelendirilir.
Özel Nitelikli Kişisel Veri Ne Demektir?
Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikteki verilerdir. Kanun’da, hangi kişisel verilerin özel nitelikli kişisel veri olduğu tek tek belirtilmiş olup, bu sayılanlar dışındakiler özel nitelikli kişisel veri olarak kabul edilemez. Bu bakımdan, özel nitelikli kişisel verilerin sınırlı olarak sayıldığı kabul edilir.
Kişinin; ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini veya mezhebi veya diğer inançları, Kılık ve kıyafeti, Dernek, vakıf ya da sendika üyeliği, Sağlık kayıtları, Cinsel yönelimi, Ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri, Biyometrik ve genetik verileri özel nitelikli kişisel veri olarak nitelendirilir.
Kişisel Verinin Kaydedilmesi (İşlenmesi) suçu nedir ve nasıl oluşur?
Kişisel verilerin kaydedilmesi suçu, kimliği belli veya belirlenebilir bir kişiye ait kişisel veri niteliğinde herhangi bir bilginin hukuka aykırı bir şekilde kaydedilmesi ile meydana gelir.
Hukuka aykırı bir şekilde işlenen kişisel verinin sır olması şart değildir. Kişisel verilerin işlenmesi kişinin, yetkilendirilmemiş üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı, herkes tarafından bilinmeyen veya kolaylıkla ulaşılması ve bilinmesi mümkün olmayan, kişinin kimliğini belirleyen veya belirlenebilir kılan tüm verilerin “hukuka aykırı” olarak kaydedilmesidir.
Kişisel Verilerin İşlenmesi Ne Demektir?
Kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.
Veri Sorumlusu ve Veri İşleyen Kimdir?
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Bu kişiler, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir.
Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen, veri sorumlusunun organizasyonu dışındaki gerçek veya tüzel kişiler olarak tanımlanmaktadır.
Kişisel Verilerin İşlenme Şartları Nelerdir?
Kişisel verilerin hukuka uygun olarak işlenebilmesi için genel ilkelere uyulmasının yanı sıra Kanun’da sayılan veri işleme şartlarından en az birinin mevcut olması gerekmektedir. Bu şartlar şöyle sıralanabilir:
- İlgili kişinin açık rızasının varlığı,
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
- İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel Nitelikli Kişisel Verilerin İşlenme Şartları Nelerdir?
Kanun’da özel nitelikli kişisel verilerin açık rıza halinde işlenebileceği belirtilmiştir. Ayrıca özel nitelikli kişisel verilerin, ilgili kişinin açık rızası dışında;
- Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, ancak kanunlarda öngörülen hallerde,
- Sağlık ve cinsel hayata ilişkin kişisel veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi mümkündür.
Açık Rıza Nedir?
Açık rıza, belirli bir konuya ilişkin bilgilendirilmeye dayanan ve özgür irade ile açıklanan rızadır.
Açık Rızanın Verilmesi Herhangi Bir Şekle Tabi Midir?
Kanunda açık rızanın verilmesi hususunda herhangi bir şekil şartı öngörülmemiştir. Dolayısıyla, açık rıza sözlü, yazılı, elektronik ortam vb. yöntemlerle verilebilir. Açık rızanın alındığı konusundaki ispat yükü veri sorumlusuna aittir.
Veri Sorumlusunun Aydınlatma Yükümlülüğü Nedir?
Kanun’a göre; veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde edilmesi sırasında veri sahiplerini aşağıdaki konularda bilgilendirmekle yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- Kanun’da sayılan veri sahibinin diğer hakları.
Veri Sahibinin Hakları Nelerdir?
Kanun’a göre veri sahipleri, veri sorumlusuna yazılı olarak başvurarak;
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- Kanun’da öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
- Düzeltilme, silinme veya yok edilme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
