6698 Sayılı Kişisel Verilerin Korunması Kanunu Çerçevesinde Veri İşleme Faaliyetlerinin Hukuki Analizi

6698 Sayılı Kanun’un Temel Amacı ve Hukuki Dayanakları

Türkiye Cumhuriyeti Anayasası’nın 20. maddesinde düzenlenen özel hayatın gizliliği ilkesinin bir tezahürü olarak 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı amaçlamaktadır. Mevzuat uyarınca kişisel verilerin işlenmesi süreci, belirli disiplinlere ve hukuki normlara tabi kılınmıştır. Kanun koyucu, bu düzenleme ile kontrolsüz veri işleme faaliyetlerinin önüne geçilmesini ve veri öznelerinin hukuki koruma altına alınmasını hedeflemiştir.

Kişisel Verilerin İşlenmesinde Rehberlik Eden Temel İlkeler

Veri işleme faaliyetlerinin hukuka uygunluk denetiminde ilk derece rücu edilecek olan kıstaslar, kanunun 4. maddesinde tadat edilen temel ilkelerdir. Bu ilkeler, tüm veri işleme süreçlerinin temelini teşkil eder ve herhangi bir ihlal durumunda hukuki sorumluluğun tayininde esas alınır. Belirtilen ilkeler şunlardır:

• Hukuka ve dürüstlük kurallarına uygun olma.

• Doğru ve gerektiğinde güncel olma.

• Belirli, açık ve meşru amaçlar için işlenme.

• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Veri Sorumlusunun Aydınlatma ve Veri Güvenliği Yükümlülüğü

Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişilere; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile kanunun 11. maddesinde sayılan diğer hakları konusunda bilgi vermekle yükümlüdür. Bu aydınlatma yükümlülüğü, ilgili kişinin açık rızasından bağımsız olarak yerine getirilmesi gereken bir borçtur. Ayrıca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirleri almak zorundadır. Bu kapsamda Kişisel Verileri Koruma Kurulu tarafından yayımlanan rehberler ve güncel içtihatlar, alınması gereken önlemlerin çerçevesini belirlemektedir.

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) ve Envanter Hazırlığı

Yıllık çalışan sayısı veya yıllık mali bilanço toplamı gibi belirli kriterleri sağlayan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmakla mükelleftir. Bu kayıt süreci sadece teknik bir prosedür olmayıp, kurumun veri işleme haritasının çıkarılması ve kişisel veri işleme envanterinin oluşturulması aşamalarını da kapsamaktadır. İlgili mevzuata uygun bir envanterin hazırlanmaması, idari yaptırımların uygulanmasına sebebiyet verebilmektedir. Veri sorumlularının, müvekkil portföyü veya çalışan verileri gibi tüm veri gruplarını bu envanterde titizlikle tasnif etmesi elzemdir.

Aykırılık Halinde Öngörülen İdari ve Cezai Müeyyideler

KVKK kapsamında belirlenen yükümlülüklerin ihlal edilmesi durumunda, ihlalin niteliğine göre ciddi miktarlarda idari para cezaları öngörülmüştür. Aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin ihlali veya Kişisel Verileri Koruma Kurulu kararlarının uygulanmaması gibi hallerde yüksek tutarlı müeyyideler tatbik edilmektedir. Bunun yanı sıra, kişisel verilerin hukuka aykırı olarak kaydedilmesi, yayılması veya ele geçirilmesi fiilleri, Türk Ceza Kanunu kapsamında hürriyeti bağlayıcı cezaların uygulanmasına yol açabilmektedir. Bu nedenle, tüm iş süreçlerinin mevzuatla uyumlu hale getirilmesi, hukuki ihtilafların önlenmesi noktasında kritik önem arz etmektedir.