Kanunun Amacı ve Hukuk Sistemindeki Yeri
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 24 Mart 2016 tarihinde kabul edilmiş ve 7 Nisan 2016 tarihli, 29677 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Kanun; kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla hazırlanmıştır.
Anayasa m. 20/3’te güvence altına alınan kişisel verilerin korunmasını isteme hakkının yasal çerçevesini oluşturan kanun; kişisel verileri işlenen gerçek kişileri ("ilgili kişi") ve kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişileri ("veri sorumlusu") kapsar. Tüzel kişilere ait veriler ise kanun kapsamı dışındadır.
Kanunda kişisel verilerin ve özel nitelikli kişisel verilerin işlenme şartları (m. 5-6), silinmesi, yok edilmesi veya anonim hâle getirilmesi (m. 7), yurt içine ve yurt dışına aktarılması (m. 8-9), veri sorumlusunun aydınlatma ve veri güvenliği yükümlülükleri (m. 10, 12), ilgili kişinin hakları ve başvuru/şikâyet usulleri (m. 11, 13-14), Veri Sorumluları Sicili (VERBİS - m. 16) ile suçlar ve kabahatler (m. 17-18) hükme bağlanmıştır.
Görevli Mahkeme ve Temel Usul Kuralları
Kanunun Sistematiği ve Bölüm Yapısı
Birinci ve İkinci Bölüm: Amaç, Kapsam, Tanımlar ve Kişisel Verilerin İşlenmesi
Kanunun amacı, kapsamı, açık rıza, ilgili kişi ve veri sorumlusu tanımları (m. 1-3); genel ilkeler (m. 4), kişisel verilerin ve özel nitelikli kişisel verilerin işlenme şartları (m. 5-6), verilerin silinmesi/yok edilmesi (m. 7) ve yurt içine/yurt dışına aktarılması (m. 8-9) kurallarını içerir.
Üçüncü Bölüm: Haklar ve Yükümlülükler
Veri sorumlusunun aydınlatma yükümlülüğü (m. 10), ilgili kişinin hakları (m. 11) ve veri güvenliğine ilişkin teknik ve idari tedbir alma ile veri ihlali bildirim yükümlülüklerini (m. 12) kapsar.
Dördüncü Bölüm: Başvuru, Şikâyet ve Veri Sorumluları Sicili
Veri sorumlusuna başvuru (m. 13), Kişisel Verileri Koruma Kuruluna şikâyet (m. 14), inceleme usul ve esasları (m. 15) ile Veri Sorumluları Sicili (VERBİS - m. 16) hükümlerini düzenler.
Beşinci ve Altıncı Bölüm: Suçlar, Kabahatler ve Kurum Teşkilatı
TCK m. 135-140’a yapılan suç atfı (m. 17), idari para cezası gerektiren kabahatler (m. 18), Kişisel Verileri Koruma Kurumu ve Kurulunun görev ve yetkileri ile istisnaları (m. 28) içerir.
Uygulamada Sık Başvurulan Kritik Maddeler
Genel İlkeler
Kişisel verilerin işlenmesinde; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyulması zorunludur.
Kişisel Verilerin İşlenme Şartları
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak kanunlarda açıkça öngörülmesi, fiili imkânsızlık, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması hâllerinde açık rıza aranmaksızın işlenebilir.
Özel Nitelikli Kişisel Verilerin İşlenme Şartları
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Bu verilerin işlenmesi, KVKK m. 6/3’te sayılan sıkı kanuni işleme şartlarından birinin varlığına bağlıdır.
Kişisel Verilerin Yurt Dışına Aktarılması
Kişisel veriler, m. 5 ve 6’da belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke veya uluslararası kuruluş hakkında Kurulca verilmiş yeterlilik kararı bulunması, yeterlilik kararı bulunmaması hâlinde ise uygun güvencelerden (standart sözleşme, bağlayıcı şirket kuralları vb.) birinin sağlanması veya arızi aktarım hallerinden birinin mevcut olması durumunda yurt dışına aktarılabilir.
Veri Sorumlusunun Aydınlatma Yükümlülüğü
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile m. 11’de sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.
İlgili Kişinin Hakları
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; kişisel veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını öğrenme, eksik veya yanlış işlenmişse düzeltilmesini isteme, m. 7 çerçevesinde silinmesini veya yok edilmesini isteme ve kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Veri Güvenliğine İlişkin Yükümlülükler ve İhlal Bildirimi
Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.
Suçlar ve Kabahatler
Kişisel verilere ilişkin suçlar bakımından 5237 sayılı Türk Ceza Kanunu’nun 135 ila 140. maddeleri uygulanır (m. 17). Aydınlatma yükümlülüğünü, veri güvenliği yükümlülüklerini, Kurul kararlarını veya VERBİS kayıt ve bildirim yükümlülüğünü yerine getirmeyenler hakkında ise Kurulca idari para cezası uygulanır (m. 18).
Sık Sorulan Sorular (KVKK)
Kişisel verilerin işlenmesi için her durumda açık rıza alınması zorunlu mudur?
Hayır. KVKK m. 5/2 uyarınca kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ya da veri sorumlusunun meşru menfaati gibi kanuni işleme şartlarından birinin varlığı hâlinde ilgili kişinin açık rızası aranmaksızın kişisel verileri işlenebilir. Ancak açık rıza aranmayan hâllerde dahi KVKK m. 10 uyarınca aydınlatma yükümlülüğü devam eder.
İlgili kişi doğrudan Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir mi?
KVKK m. 13 ve 14 uyarınca doğrudan Kurula şikâyette bulunulamaz; öncelikle veri sorumlusuna başvurularak başvuru yolunun tüketilmesi zorunludur. Veri sorumlusunun başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya 30 gün içinde cevap vermemesi hâlinde, cevabın öğrenildiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunulabilir.
Hangi veriler özel nitelikli kişisel veri sayılır?
KVKK m. 6/1 uyarınca kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir ve kanunda sınırlı sayıda (numerus clausus) sayılmıştır.
Kişisel verilerin hukuka aykırı olarak kaydedilmesi veya yayılması suç teşkil eder mi?
Evet. KVKK m. 17 atfıyla 5237 sayılı Türk Ceza Kanunu’nun 135 ila 140. maddeleri uygulanır. Bu kapsamda hukuka aykırı olarak kişisel verileri kaydeden (TCK m. 135), kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren (TCK m. 136) ya da kanunların belirlediği sürelerin geçmiş olmasına rağmen verileri sistem içinde yok etmekle yükümlü olduğu hâlde görevini yerine getirmeyen (TCK m. 138) kişiler hakkında hapis cezası öngörülmüştür.
KVKK İle İlgili Bağlantılı Hukuk Rehberleri
İlgili Çalışma Alanları
İlgili Emsal İçtihatlar (İBK)
Bu sayfada yer alan kanun özetleri ve madde açıklamaları genel bilgilendirme amacıyla derlenmiştir. Güncel kanun değişiklikleri için Cumhurbaşkanlığı Mevzuat Bilgi Sistemi (mevzuat.gov.tr) esas alınmalıdır.