Gerçek Veri

İşletmeler ve kamu kurumları, bilgisayar tabanlı bilişim sistemlerini kullanmak suretiyle milyonlarca kişiye ait kimlik, iletişim, dini inanç, siyasi görüş gibi birçok bilgiyi toplayabilmektedir. Ancak, elde edilmiş olunan bu verilerin bireylerin haklarını ihlal edip onlara zarar verecek şekilde kullanılması mümkündür. Bu bağlamda; kime ait olduğu bilinen bilgiler, sahibinin rızası olmaksızın kolayca işlenebilmekte veya üçüncü kişilere aktarılabilmektedir. Böylece, kişilerin en başta özel hayatın gizliliği hakkı (Avrupa İnsan Hakları Sözleşmesi md. 8) ihlal edilmiş olmaktadır.

Bu durum karşısında, “kişisel veri” olarak adlandırılan birçok bilginin korunması ihtiyacı gündeme gelmiştir.

Kişisel verilerin korunması konusunda ilk temel çalışma Avrupa Konseyi tarafından yapılan ve 1 Ekim 1985 tarihinde yürürlüğe giren 108 sayılı “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi”dir.

1995 yılında ise Avrupa Parlamentosu ve Avrupa Konseyi tarafından 95/46/EC sayılı “Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Direktif”inin kabul edildiğini görmekteyiz. Avrupa Parlamentosu, Avrupa Konseyi ve Avrupa Komisyonu tarafından kabul edilen 2016/679 sayılı “Avrupa Birliği Genel Veri Koruma Tüzüğü” (GDPR) 25 Mayıs 2018 tarihinde yürürlüğe girerek 95/46/EC sayılı Direktif ilga edilmiştir.

Yönetmelikler

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

Veri Sorumluları Sicili Hakkında Yönetmelik

Kişisel Verileri Koruma Kurulu Çalışma Usul ve Esaslarına Dair Yönetmelik

Tebliğler

Tebliğler

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ

Kararlar

Kararlar

Kişisel Verileri Koruma Kurulu tarafından çeşitli kararlar

KİŞİSEL VERİ

Kişisel veri

Bilgidir.

• Kimliği belirli veya belirlenebilir
• Gerçek kişiye ait
• Her türlü

KİŞİSEL VERİLERİN İŞLENMESİ

Kişisel verilerin tamamen veya kısmen bilişim sistemleri üzerinden otomatik ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla

Elde edilmesi veya kaydedilmesi

Kişisel verilerin işlenmesi

Depolanması veya muhafaza edilmesi

Sınıflandırılması ya da kullanılmasının engellenmesi

Değiştirilmesi veya yeniden düzenlenmesi

Açıklanması, aktarılması veya devralınması

Elde edilebilir hâle getirilmesi

VERİ SORUMLUSU

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Kamu ve özel hukuk tüzel kişileri, verileri işleyen olarak “veri sorumlusu” sıfatına sahiptirler. Veri sorumlusu, tüzel kişinin kendisidir. Dolayısıyla, KVKK kapsamındaki yükümlülüklere aykırı davranılarak veri güvenliği ihlal edildiği zaman her türlü hukuki sorumluluk tüzel kişiye ait olacaktır.

Veri Sorumlusu

VERİYİ ANONİM HÂLE GETİRME

Veriyi anonim hale getirme

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

AÇIK RIZA

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır.

Rızanın açık olması, veri sahibinin hangi konuya ilişkin ve hangi konu ile sınırlı bilgilerinin işlenmesini onayladığını gösteren beyanının varlığına bağlıdır.

Açık rıza

VERİ İŞLEYEN

Veri işleyen

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Veri işleyen, tüzel kişi adına verileri işlerken sözleşmedeki talimatlar çerçevesinde hareket etmek zorundadır. Kişisel verilerin hangi gerekçe ve amaçlar doğrultusunda nasıl işlenmesi gerektiğine veri sorumlusu karar verir. Kime ait verilerin toplanacağı, hangi verilerin toplanacağı, kişisel verilerin toplanmasında izlenecek yöntem, toplanan verilerin kullanım amacı ve paylaşımı, verileri saklama süresi gibi hususlara sadece veri sorumlusu karar verebilir.

İRTİBAT KİŞİSİ

İrtibat Kişisi

Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişiyi ifade eder.

KVKK MADDE 2

KVKK MADDE 2

Kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır

TÜZEL KİŞİLER

TÜZEL KİŞİLER

Tüzel kişiler hakkında özel ayrım yapılmamıştır. Tüm kamu idareleri ve kurumları ile özel hukuk kurallarına göre kurulmuş tüzel kişiler, Kanun kapsamında birçok yükümlülüğe ve sorumluluğa sahiptirler.

Kişisel Veriler

Hukuka ve dürüstlük kurallarına uygun

Genel Nitelikli Kişisel Veriler

Genel Nitelikli Kişisel Veriler

ÖZEL NİTELİKLİ KİŞİSEL VERİLER

Irk ve etnik köken

Özel Nitelikli Kişisel Veriler

Kişinin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı

ANAYASA MD. 20

Kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme hakkı

Anayasa md. 20

Kişinin kendisiyle ilgili kişisel verilere erişmeyi, bunların düzeltilmesini veya silinmesini talep etmesi ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmesi hakkı

KVKK MD. 11

KVKK md. 11

VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

Veri Sorumlusunun Yükümlülükleri

VERİ İŞLEYENİN YÜKÜMLÜLÜKLERİ

Veri İşleyenin Yükümlülükleri

Açık Rıza Şartı

Her türlü kişisel veri, kişinin açık rızasıyla işlenebilir ve üçüncü kişilere aktarılabilir.

Kişisel Verilerin İşlenme Şartı

Veri sahibinin açık rızası olmasa da verinin işlenmesini ve aktarılabilmesini sağlayan bazı özel haller vardır. Bu haller şu şekilde sayılmıştır:

• Kanunda kişisel verilerin işlenmesine izin verilmiş olması
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişiye ait verinin bu kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için işlenmesi zorunluluğu bulunması
• Sözleşmenin kurulmasının ve ifasının taraflara ait kişisel verilerin işlenmesine bağlı olması
• Veri sorumlusunun hukuki yükümlülüğü gereğince veriyi işlemek zorunda olması
• Verinin sahibi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Özel Nitelikli Verilerin İşlenme Şartı

• Veri sahibinin açık rızasının alınması

• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerin açık rıza aranmaksızın işlenebilmesi için kanunlarda açıkça öngörülmüş olması

• Sağlık ve cinsel hayata ilişkin kişisel veriler bakımından, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacının bulunması

Kişisel Verilerin Aktarılması Şartları

"Kişisel verilerin aktarılması;

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.

Kişisel veriler;

a) 5 inci maddenin ikinci fıkrasında,

b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır."

Kişisel Verilerin Yurt Dışına Aktarılması Şartları

• Veri sahibinin açık rızasının alınması

• Veri sahibinin açık rızası yoksa verinin yurt dışındaki bir kişiye aktarılabilmesi için verinin aktarılacağı yabancı ülkede;

• Yeterli korumanın bulunması

• Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması gerekir.

İstisnalar Madde 28

Kişisel Verilerin Korunması mevzuatı kapsamında, kurumların elindeki ve ileride elde edeceği kişisel verileri işleme süreci hakkında yerine getirmesi gereken yükümlülükler (aydınlatma, veri güvenliğini sağlama, veri sorumluları siciline kayıt gibi) ve alması gereken aksiyonları tespit edebilmek amacıyla hukuki bir analiz yapılması gerekmektedir. Zira mevzuata aykırı hallerin tespiti ve kurumun mevzuata uyumlu hale getirilmesi sağlanmaz ise hem kurum hem de veri sorumlusu veya temsilcisi idari ve cezai müeyyideler ile karşılaşabilecektir.

Raporun Amacı ve Kapsamı

İşbu bağlamda, kurumların faaliyetlerine göre veri kategorilerinin değerlendirilmesine ve bunların işlenmesi, kaydedilmesi, ele geçirilmesi, başkasına verilmesi ve aktarılması, anonim hale getirilmesi, korunması, silinmesi ve yok edilmesi gibi konularda mevcut ve potansiyel risklerin ortaya konulmasına yönelik detaylı çalışmalar yapılması öngörülmüştür. Bu çalışmalar yapılırken belirli bir plan takip edilmekte ve Kişisel Verilerin Korunması mevzuatı çerçevesinde kurumlar için durum tespiti gerçekleştirilmektedir. Kurumların mevzuata aykırı taraflarını ortaya koymak amacıyla hazırlanan “Hukuki Analiz Raporu”nda, kurumların her bir departmanında işleyen süreçlerin mevzuata uyumunun sağlanması bakımından yapılması gereken işlemler öneri mahiyetinde belirlenmektedir.

• Özel sektör şirketleri ve kamu kurumları özelinde kişisel veri işleme envanterinin oluşturulması

• Kurum ve kuruluşların ilgili birimlerinin tespiti ve bu birimlerin yöneticileri ve personelleri ile toplanarak veri güvenliğine yönelik çalışmanın yapılması

Rapor Hazırlama Planı

• Veri güvenliğinin sağlanması ve korunması hakkında Hukuki Analiz Raporu hazırlanması