KİŞİSEL VERİLERİN KORUNMASI KANUNU
26-04-2016
KİŞİSEL VERİLERİN
KORUNMASI KANUNU
KİŞİSEL VERİ KAVRAMI
Kişisel veri, genel olarak belirli veya kimliği
belirlenebilir gerçek veya tüzel kişilere ilişkin bilgilerin tamamı olarak
nitelendirilmiştir.
Gerçek kişi ?Özellikle bir kimlik numarası referans alınarak
doğrudan ya da dolaylı olarak belirlenebilen ya da fiziksel, psikolojik, akli,
ekonomik, kültürel veya sosyal kimliğine özgü bir veya birden çok
faktörle tanımlanabilen kişidir.?(1)
TARİHİ GELİŞİMİ
Tarihi olarak gelişimine bakıldığında, gelişmekte olan
teknoloji nedeniyle önceleri kağıtlara basılan ve saklanan kişisel veriler,
1980?lerden itibaren elektronik ortama aktarılmaya başlanmıştır ve buna bağlı
olarak muhafaza şekilleri de değişiklik göstermiştir. Bu değişiklik neticesinde
bu verilere ulaşım yolları da kolaylaşmıştır. Bu verilerin hukuka aykırı
kaydedilmesi veya rıza ile alınmış olsa da iyi muhafaza edilmemesi yahut
kanunlarda öngörülen sürelere rağmen ?anonimleştirilmemesi, yok edilmemesi?
nedeniyle kişilik haklarının ihlal edileceği aşikârdır. Bu tehlikeleri önleme
amacıyla 1980? li yıllarda çeşitli çalışmalar yapılmış ve 1981? de Avrupa Konseyi
tarafından ?Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında
Bireylerin Korunmasına İlişkin Sözleşme? hazırlanmıştır. Bu sözleşme ile
ihtiyaç duyulan konularda çeşitli düzenlemeler yapılmış ve elektronik ortama
aktarılan ve dolaşıma giren bilgilerin korunması amaçlanmıştır. Bu sözleşmenin
en önemli özelliği, koruma sağlanamadığı takdirde ?sorumlulara? gidilebilecek
olmasıdır.
Türkiye imza atan devletlerden biri olsa da uzun yıllar
boyunca bu konu hakkında somut bir düzenlemeyi bir bütün halinde yapmamıştır.
Ancak, geçtiğimiz 20 yıl içinde yaşanan teknolojik gelişmeler ve verilerin
ekonomik değer ifade eder hale gelmesi, bu reformu kaçınılmaz kılmıştır.
Hatırlanacağı üzere, birkaç yıl önce sosyal medya devi
Facebook, 19 milyar dolar vererek bugün son derece yaygın kullanım ağına sahip
olan Whatsapp uygulamasını satın almıştır. Whatsapp uygulaması basit bir
yazılımdan oluşsa da teknik açıdan değil, milyonlarca kullanıcının ?rıza
göstererek? uygulamanın kullanımına sunduğu kişisel veriler sebebiyle bu denli
yüksek rakamla Facebook tarafından satın alınmıştır. (2)
Ayrıca Avrupa Birliği? ne üyelik sürecinde de kişisel
verilerin korunması konusu, kişilik hakları açısından önemli bir yere sahiptir.
Bu sebeplerledir ki, 24/03/ 2016 tarihinde, Adalet Bakanlığı
tarafından hazırlanan ve Türkiye Büyük Millet Meclisi Genel Kurul?unda
görüşülerek kabul edilen ? Kişisel Verilerin Korunması Kanunu?
Cumhurbaşkanı?nın onayının ardından Resmi Gazete? de yayımlanarak yürürlüğe
girmiştir.
KİŞİSEL VERİLERİN KORUNMASI KANUNU
Bu kanuna göre kişisel veriler ancak usul ve esaslara uygun
olarak işlenebilecektir. Kişisel verilerin işlenmesinde; “hukuka ve
dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma,
belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla
bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya
işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkelerine
uyulması zorunlu olacaktır.
Düzenlemeye göre kişisel veriler ilgili kişinin açık rızası
olmaksızın işlenemez.
Ancak aşağıdaki şartlardan birinin varlığı halinde, ilgili
kişinin açık rızası aranmaksızın kişisel verilerin işlenmesi mümkündür;
- a)
Kanunlarda açıkça öngörülmesi,
- b)
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya
rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir
başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- c)
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması
kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin
gerekli olması,
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine
getirebilmesi için zorunlu olması,
- d)
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- e)
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu
olması,
- f)
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri
sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
ÖZEL NİTELİKLİ KİŞİSEL VERİ
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi
inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya
da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik
tedbirleriyle ilgili verileri ile biyometrik verileri özel nitelikli kişisel
veridir.
Özel nitelikli kişisel veriler, Kurul tarafından belirlenen
yeterli önlemler alınmaksızın hiçbir şekilde işlenemez. Özel nitelikli kişisel
veriler ilgili kişinin açık rızası olmaksızın işlenemez.
Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel
veriler, kanunlarda öngörülen hallerde ilgilinin açık rızası olmaksızın
işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu
sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım
hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve
finansmanı amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya
yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın
işlenebilir.
Bu verilerin işlenmesinde, ayrıca Kurul tarafından
belirlenen yeterli önlemlerin alınması şarttır.
KİŞİSEL VERİLERİN AKTARIMI, SİLİNMESİ, YOK EDİLMESİ
VE ANONİM HALE GETİRİLMESİ
Kişisel veriler, ilgili kişinin açık rızası olmaksızın
aktarılamayacak, ancak belirtilen şartlardan birinin bulunması halinde
aktarılabilecektir.
Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt
dışına aktarılamayacaktır. Kişisel veriler ancak kişisel verinin aktarılacağı
yabancı ülkede yeterli korumanın bulunması, yeterli koruma yoksa Türkiye ve
yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt
etmeleri ve Kurul?un izninin bulunması şartıyla yurt dışına aktarılabilecektir.
Kişisel veriler, uluslar arası sözleşme hükümleri saklı
kalmak üzere, Türkiye?nin veya ilgili kişinin menfaatinin ciddi bir şekilde
zarar göreceği durumlarda, ancak ilgili kamu kurum ve kuruluşunun görüşü
alınarak Kurul?un izniyle yurtdışına aktarılabilecektir.
Kanunlara uygun olarak işlenmiş olmasına rağmen, işlenmesini
gerektiren sebeplerin ortadan kalkması halinde kişisel veriler re?sen veya
ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.
İLGİLİ KİŞİNİN HAKLARI
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
- a)
Kişisel veri işlenip işlenmediğini öğrenme,
- b)
Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- c)
Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp
kullanılmadığını öğrenme,
ç) Yurtiçinde veya yurtdışında kişisel verilerin aktarıldığı
üçüncü kişileri bilme,
- d)
Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların
düzeltilmesini isteme,
- e)
7? nci maddede öngörülen şartlar çerçevesinde kişisel verilerin
silinmesini veya yok edilmesini isteme,
- f)
(d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin
aktarıldığı üçüncü kişilere bildirilmesini isteme,
- g)
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz
edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına
itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi
sebebiyle zarara uğraması halinde zararın giderilmesini talep etme, haklarına
sahiptir.
VERİ SORUMLUSUNUN YÜKÜMLÜLÜĞÜ
Veri sorumlusunun aydınlatma yükümlülüğü vardır. Ayrıca veri
sorumlusu, verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı
olarak erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak için uygun
güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari
tedbirleri almakla yükümlü tutulmaktadır.
VERİ SORUMLUSUNA BAŞVURU İMKÂNI
İlgili kişiler, Kanun?un 11. maddesinde sayılan haklarıyla
ilgili taleplerini öncelikle veri sorumlusuna iletmelidir. Bu yol tüketilmeden
şikâyet yoluna gidilemez.
Talebi alan veri sorumlusu ücretsiz veya işlem ayrıca
maliyet gerektiriyorsa belirlenen tarifeye göre alacağı ücret ile en kısa
sürede ve en geç 30 gün içinde inceleyerek, talebi kabul etmek veya gerekçesini
açıklayarak reddetmek, ayrıca cevabını ilgili kişiye yazılı olarak veya
elektronik ortamda bildirmek zorundadır.
ŞİKÂYET İMKÂNI
İlgili kişinin veri sorumlusuna yaptığı başvurunun reddi
halinde verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap
verilmemesi hallerinde, veri sorumlusunun cevabını öğrendiği tarihten itibaren
30 ve her halde başvuru tarihinden itibaren 60 gün içinde ilgili kişi Kurul? a
şikâyette bulunabilecektir.
Kurul, şikâyet üzerine yapacağı inceleme sonunda cevap
vermelidir. Ancak şikâyet tarihinden itibaren 60 gün içinde cevap verilmezse
talep reddedilmiş sayılır.
Şikayet tarihinden itibaren 60 günlük sürenin geçmesiyle
idari yargıda dava açma süresi başlayacaktır. Kurul şikayet sonucu bu Kanun
hükümlerinin ihlal edildiğine kanaat ederse tespit ettiği hukuka aykırılıkların
ilgili veri sorumlusu tarafından giderilmesine karar verir, kararı ilgililere
tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç 30 gün içinde
yerine getirilir.
İDARİ VE CEZAİ YAPTIRIMLAR
Kişisel verilere ilişkin suçlar ve ceza yaptırımı bakımından
5237 sayılı TCK? nın ilgili hükümlerine atıf yapılmaktadır. Ayrıca kanunda
öngörülen bazı yükümlülüklerin yerine getirilmemesi kabahat olarak nitelenmekte
ve idari yaptırıma bağlanmaktadır. İdari yaptırımlara Kurul tarafından karar
verileceği de hükme bağlanmıştır.
(1) Avrupa Birliği?nin 24 Ekim 1995 Tarihli Kişisel
Verilerin İşlenmesi İle İlgili Bireylerin Korunması ve Bu Tür Verilerin Serbest
Dolaşımına İlişkin 95/46/AB Sayılı Direktifi md.2/a
(2) Av. Oğuz Kaan Pehlivan
Özcan Hukuk Bürosu –
Av. Muzaffer ÖZCAN
