KVKK Nedir ve Kime Uygulanır?

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanununun kısaltmasıdır. Türkiye'de kişisel verilerin işlenmesine ilişkin temel yasal çerçeve bu Kanun ile belirlenmektedir. Bu yazıda KVKK nedir sorusuna genel bir cevap verilerek, Kanunun kimlere uygulandığı, kapsam ve istisnalar hakkında bilgilendirme amaçlı özet sunulmaktadır. Bu metin hukuki danışmanlık yerine geçmez; somut durumlarınız için uzmana başvurmanız önerilir.

KVKK Nedir?

KVKK, 24 Mart 2016 tarihinde kabul edilmiş ve 7 Nisan 2016 tarihinde Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kanunun temel amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumaktır. Kişisel veri kavramı, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Ad, soyad, TC kimlik numarası, e-posta, adres, IP adresi, çerez verileri gibi bilgiler bu kapsamda değerlendirilebilir.

Kanun, veri işleme faaliyetlerinde veri sorumlusu ve veri işleyen kavramlarını tanımlar. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun talimatı doğrultusunda kişisel verileri işleyen gerçek veya tüzel kişidir. Örneğin bir web sitesi sahibi veri sorumlusu, hosting veya analytics hizmeti sağlayan firma veri işleyen konumunda olabilir.

KVKK Kime Uygulanır?

KVKK, kişisel verileri işleyen tüm gerçek ve tüzel kişilere uygulanır. Bu kapsamda şirketler, dernekler, kamu kurumları, serbest meslek sahipleri, küçük işletmeler ve bireysel web sitesi sahipleri de Kanun kapsamına girebilir. Veri işleme faaliyeti, verilerin toplanması, kaydedilmesi, depolanması, değiştirilmesi, aktarılması veya silinmesi gibi her türlü işlemi içerir.

Veri Sorumlusu Kimdir?

Veri sorumlusu, kişisel verilerin işlenme amacını ve araçlarını kendi kararıyla belirleyen taraftır. Web sitesi üzerinden iletişim formu ile veri toplayan, üyelik sistemi işleten veya çerez kullanan her işletme genel olarak veri sorumlusu sıfatıyla değerlendirilir. Veri sorumlusunun aydınlatma yükümlülüğü, VERBİS kayıt yükümlülüğü ve ilgili kişi taleplerine yanıt verme gibi yükümlülükleri bulunur.

Veri İşleyen Kimdir?

Veri işleyen, veri sorumlusunun talimatı doğrultusunda kişisel verileri işleyen taraftır. Hosting firması, e-posta servisi sağlayıcısı, bulut depolama hizmeti, analytics veya reklam platformları veri işleyen olarak nitelenebilir. Veri işleyen, veri sorumlusu adına hareket eder ve veri sorumlusunun belirlediği çerçevede işlem yapar. Veri sorumlusu ile veri işleyen arasında sözleşme ilişkisi kurulması ve bu sözleşmede gizlilik ve güvenlik yükümlülüklerinin belirlenmesi genel olarak önerilir.

KVKK Kapsamı ve Uygulama Alanı

Kanun, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesine uygulanır. Otomatik işleme, bilgisayar veya benzeri araçlarla gerçekleştirilen işlemleri; veri kayıt sistemine dayalı manuel işleme ise fiziksel veya dijital dosyalarda düzenli şekilde tutulan verilerin işlenmesini ifade eder. Bu nedenle hem dijital hem de kâğıt tabanlı veri işleme faaliyetleri Kanun kapsamına girebilir.

İstisnalar ve Kapsam Dışı Durumlar

KVKK madde 28 ve 29 kapsamında belirli istisnalar öngörülmektedir. Bu istisnalar arasında kişisel verilerin işlenmesinin suç işlenmesinin önlenmesi veya soruşturulması, adli soruşturma, milli güvenlik, istatistik ve bilimsel amaçlar, sanat, edebiyat veya bilim kapsamında işleme gibi haller sayılabilir. Ayrıca kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması veya zorunlu olarak açıklanması gereken veriler de belirli koşullarda istisna kapsamında değerlendirilebilir. Bu istisnaların somut durumunuza uygulanıp uygulanmayacağı hukuk danışmanı ile netleştirilmelidir.

Temel İlkeler

KVKK madde 4, kişisel verilerin işlenmesinde uyulması gereken temel ilkeleri düzenlemektedir:

Hukuka ve dürüstlük kurallarına uygunluk: Veri işleme faaliyeti mevzuata ve dürüstlük ilkelerine uygun olmalıdır.
Doğru ve gerektiğinde güncel olma: İşlenen veriler doğru olmalı ve gerektiğinde güncellenmelidir.
Belirli, açık ve meşru amaçlar için işleme: Veriler belirli ve meşru amaçlar için işlenmeli, bu amaçlar açıkça belirtilmelidir.
Sınırlı ve ölçülü olma: İşleme, amaçla sınırlı ve ölçülü olmalıdır.
Belirlenen amaç için gerekli olan süre kadar muhafaza: Veriler, amaç ortadan kalktığında silinmeli veya anonim hale getirilmelidir.

Özel Nitelikli Kişisel Veriler

KVKK madde 6’da özel nitelikli kişisel veriler düzenlenmiştir. Irk, etnik köken, siyasi düşünce, dini inanç, felsefi inanç, dernek vakıf üyeliği, sağlık verileri, cinsel hayat ve ceza mahkûmiyeti gibi veriler özel nitelikli sayılır. Bu verilerin işlenmesi, Kanunda öngörülen istisnalar dışında açık rıza şartına bağlıdır. Sağlık verileri bazı durumlarda açık rıza olmadan da işlenebilir; bu konuda detaylı bilgi için sağlık verisi rehberimizi inceleyebilirsiniz.

Web Sitesi Sahipleri İçin Genel Çerçeve

Web sitesi üzerinden veri toplayan işletmeler için KVKK kapsamında aydınlatma metni hazırlanması, veri toplama noktalarında bilgilendirme yapılması ve gerekli hallerde açık rıza alınması genel çerçevede önerilir. Çerez, analytics veya reklam araçları kullanan sitelerde bu araçların da aydınlatma metninde yer alması tavsiye edilir. VERBİS kayıt zorunluluğunun olup olmadığının kontrol edilmesi de önem taşır. Detaylı bilgi için VERBİS kayıt zorunluluğu rehberimizi okuyabilirsiniz.

Sonuç

KVKK nedir sorusuna özetle, Türkiye’de kişisel verilerin korunmasına ilişkin temel kanun ve bu kanunun kişisel veri işleyen gerçek ve tüzel kişilere uygulandığı cevabı verilebilir. Veri sorumlusu ve veri işleyen ayrımı, kapsam ve istisnaların doğru belirlenmesi uyum süreci açısından kritik önem taşır. Her işletmenin faaliyet alanı farklı olduğundan, somut durumunuza uygun değerlendirme için hukuk danışmanına başvurmanız önerilir.