Kişisel Verilerin Korunması ve GDPR

Kalemci Hukuk Bürosu, İzmir’in Bayraklı ilçesinde, Folkart Towers’ta 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile bağlantılı işleri yürütmektedir. Bu sayfa; veri sorumlularının yükümlülüklerini, VERBİS kaydını, aydınlatma ve açık rızayı, veri ihlali bildirimini, yurt dışına aktarımı, GDPR’nin uygulanma alanını ve uyum sürecini genel olarak açıklar. Bilgiler genel niteliktedir; somut olaya uygulanacak hüküm, güncel mevzuat ve dosyanın incelenmesiyle belirlenir.

Av. Ertuğrul Kalemci, İzmir Barosuna kayıtlıdır. Yaşar Üniversitesinde bilişim ve teknoloji hukuku yüksek lisansı yapmış; DPO sertifikası, Certified Regulatory Compliance Manager (CRCM) sertifikası ve MASAK uyum görevlisi sertifikası bulunmaktadır. Bunlar olgusal kayıtlardır; bir sonuç vaadi değildir.

6698 sayılı Kanun kapsamındaki temel yükümlülükler

KVKK’nın 4 üncü maddesine göre kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olmalı; belirli, açık ve meşru amaçlar için, amaçla bağlantılı, sınırlı ve ölçülü işlenmeli; gerekli süre kadar muhafaza edilmelidir.

İşleme, kural olarak 5 inci maddedeki şartlardan birine dayanır: açık rıza, kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, ilgili kişinin veriyi bizzat alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat. Özel nitelikli veriler 6 ncı maddedeki daha sıkı şartlara tabidir. 7499 sayılı Kanun ile bu maddede 2024 yılında değişiklik yapılmıştır; güncel metin esas alınmalıdır.

Veri sorumlusu, 10 uncu madde uyarınca verilerin elde edilmesi sırasında ilgili kişiyi aydınlatır. Aydınlatmada en azından veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, aktarım alıcıları ve amaçları, toplama yöntemi ile hukuki sebep ve 11 inci maddedeki haklar bildirilir. Aydınlatma, açık rızanın yerine geçmez.

İlgili kişi 11 inci madde uyarınca verilerinin işlenip işlenmediğini öğrenme, bilgi ve aktarım alıcılarını talep etme, düzeltme, 7 nci madde çerçevesinde silme veya yok etmeyi isteme, otomatik analiz sonucuna itiraz etme ve kanuna aykırı işlemeden doğan zararın giderilmesini isteme haklarına sahiptir. Başvuru usulü 13 ve 14 üncü maddeler ile ilgili tebliğe tabidir.

12 nci madde, hukuka aykırı işlemeyi ve erişimi önlemek ile verilerin muhafazası için uygun teknik ve idari tedbirleri zorunlu kılar; veri işleyenler de bu tedbirlere uymakla yükümlüdür. Silme, yok etme ve anonimleştirme 7 nci maddeye tabidir. Genel bilgiler siber güvenlik ve kişisel veri koruma rehberinde ve KVKK’nın amacı yazısında; kapsam ise KVKK kimleri kapsıyor ve KVKK’ya kimler tabi yazılarındadır.

Açık rıza

3 üncü madde açık rızayı; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Rıza, ilgili kişinin neye onay verdiğini anlayabileceği şekilde belirli, sınırlı ve ispatlanabilir olmalıdır. Hizmetin sunulmasını rızaya bağlamak veya başka bir hukuki sebep varken gereksiz yere rızaya dayanmak, uygulamada sık görülen uyumsuzluk kaynaklarındandır. Rıza geri alınabilir; geri alma, sonraki işlemleri etkiler. Rızadan önce 10 uncu maddedeki aydınlatma yapılmış olmalıdır.

VERBİS kaydı

16 ncı madde, kişisel veri işleyen gerçek ve tüzel kişilerin, işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını öngörür. Sicil, Kişisel Verileri Koruma Kurulu gözetiminde Başkanlıkça tutulur. Başvuruda kimlik, işleme amaçları, veri kategorileri, alıcı grupları, yurt dışı aktarım, güvenlik tedbirleri ve azami saklama süreleri gibi hususlar yer alır.

Kurul, nitelik, işlenen verinin sayısı veya işleme amacı gibi ölçütlerle bazı veri sorumlularını kayıt yükümlülüğünden istisna tutabilir. İstisna kapsamı güncellenebildiği için muafiyet, başvuru tarihindeki Kurul kararlarına göre kontrol edilmelidir. Süresinde ve doğru bilgilerle kayıt yaptırmamak 18 inci madde çerçevesinde idari yaptırıma konu olabilir. Bildirilen bilgilerdeki değişikliklerin güncellenmesi de yükümlülüğün parçasıdır.

Veri ihlali bildirimi

12 nci maddenin beşinci fıkrası, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildireceğini düzenler. Kanun metninde saat cinsinden bir süre yazmaz.

Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu ifadeyi Kurula bildirim bakımından 72 saat olarak yorumlamıştır. Süre, ihlalin gerçekleştiği andan değil, veri sorumlusunun ihlali öğrendiği andan işler. Bildirim gecikmeksizin ve en geç 72 saat içinde yapılır; haklı gerekçeyle süre kaçarsa gecikmenin nedeni açıklanır. Kurulun ihlal formu kullanılır; bilgiler aynı anda tamamlanamıyorsa aşamalı iletilir.

İlgili kişilere bildirim için aynı kesin süre yoktur. Etkilenenler belirlendikten sonra makul olan en kısa sürede; adrese ulaşılabiliyorsa doğrudan, ulaşılamıyorsa internet sitesinde yayımlama gibi uygun yöntemlerle bildirim yapılır. Veri işleyen, nezdindeki ihlali gecikmeksizin veri sorumlusuna bildirir. İhlal müdahale planı ve ihlallerin kayıt altına alınması da aynı karardaki esaslardandır.

Yurt dışına aktarım (2024 değişikliği, m. 9)

Yurt dışına aktarım 9 uncu maddede düzenlenir. Madde, 7499 sayılı Kanun ile değiştirilmiş ve 1.6.2024’te yürürlüğe girmiştir. Eski maddenin birinci fıkrası (açık rızaya dayalı genel aktarım yolu), geçiş hükmü uyarınca 1.9.2024’e kadar yeni metinle birlikte uygulanmıştır. Bu tarihten sonra yeterlilik kararı veya uygun güvenceler olmaksızın yalnızca açık rızaya dayanarak genel yoldan aktarım kural olarak yapılamaz.

Yürürlükteki maddeye göre aktarım, önce 5 ve 6 ncı maddelerdeki işleme şartlarından birine bağlıdır. Ayrıca aktarımın yapılacağı ülke, o ülke içindeki sektörler veya uluslararası kuruluşlar hakkında Kurulun yeterlilik kararı varsa aktarım yapılabilir. Karar Resmî Gazete’de yayımlanır ve en geç dört yılda bir değerlendirilir.

Yeterlilik kararı yoksa aktarım, ilgili kişinin aktarım ülkesinde de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla, maddede sayılan uygun güvencelerden birinin sağlanması hâlinde mümkündür. Bu güvenceler arasında Kurulun izin verdiği kurumlar arası anlaşmalar, onaylanan bağlayıcı şirket kuralları, ilan edilen standart sözleşmeler ve izin verilen yazılı taahhütnameler yer alır. Standart sözleşmenin imzadan sonra Kurula bildirilmesi gibi usuller güncel metne tabidir.

Yeterlilik ve uygun güvence yoksa aktarım, maddede sayılan arızi (ara sıra gerçekleşen) hallerle sınırlıdır. Açık rıza artık genel dayanak değil, bu arızi rejimde gündeme gelebilir. Türkiye’nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği durumlarda aktarım, ilgili kamu kurumunun görüşü alınarak Kurulun iznine tabidir. Bulut hizmetleri için bulut bilişim ve hukuk yazısına bakılabilir.

GDPR’nin uygulanma alanı (m. 3)

GDPR m. 3, Tüzüğün yer bakımından uygulanmasını düzenler. Birlik içinde yerleşim yeri (establishment) bulunan veri sorumlusu veya veri işleyenin, bu yerleşim yerinin faaliyetleri kapsamında yürüttüğü işleme — faaliyet Birlik dışında olsa bile — Tüzüğe tabi olabilir. Yerleşim yeri yoksa Tüzük; Birlik içindeki ilgili kişilere mal veya hizmet sunulması (bedel karşılığı olsun olmasın) veya bu kişilerin Birlik içindeki davranışlarının izlenmesi hâlinde de uygulanabilir. Bu durumda 27 nci madde uyarınca Birlik içinde temsilci atanması gündeme gelebilir. İzmir veya Türkiye’de yerleşik olup Avrupa Birliği’ndeki kişilere hizmet sunan, onların davranışını izleyen veya Birlik içinde istikrarlı bir faaliyet örgütlenmesi bulunan şirketler bakımından KVKK ile GDPR birlikte değerlendirilebilir.

KVKK ile GDPR arasındaki başlıca farklar

İki rejim benzer ilkelere dayanmakla birlikte aynı değildir:

• Hukuki sebepler. Her iki metinde rıza ve diğer sebepler vardır. Rıza, başka bir hukuki sebep varken her işlem için zorunlu değildir.
• DPO. GDPR m. 37 belirli hâllerde atamayı zorunlu kılar. KVKK’da aynı kapsamda genel bir yükümlülük yoktur. VERBİS iletişim kişisi DPO ile özdeş değildir.
• Yurt dışına aktarım. 2024 değişikliğinden sonra KVKK m. 9, yeterlilik, uygun güvence ve arızi haller kurgusuyla GDPR’nin V. bölümüne yaklaşmıştır; Kurulun araç ve usulleri kendi rejimidir.
• İhlal bildirimi. GDPR m. 33 kural olarak 72 saat içinde otoriteye bildirimi, m. 34 ilgili kişiye bildirimi düzenler. KVKK m. 12/5 “en kısa sürede” der; 72 saat 2019/10 sayılı karardandır. İlgili kişiye bildirimde “makul olan en kısa süre” esastır.
• Haklar ve yaptırımlar. Erişim, düzeltme, silme ve itiraz her iki rejimde de vardır. Unutulma hakkı GDPR m. 17’de açıkça düzenlenmiştir; Türk hukukundaki çerçeve unutulma hakkı yazısındadır. İdari yaptırımların hesabı farklıdır.

Veri koruma görevlisi (DPO)

GDPR m. 37 uyarınca kamu otoriteleri ve kuruluşları (mahkemelerin adli görevi hariç); temel faaliyetler ilgili kişilerin düzenli ve sistematik olarak geniş ölçekte gözetlenmesini gerektiriyorsa veya özel nitelikli veriler ile ceza mahkûmiyeti verilerinin geniş ölçekte işlenmesinden oluşuyorsa DPO atanır. Görev ve konum 37–39 uncu maddelerdedir. KVKK’da buna denk genel bir atama zorunluluğu yoktur. Gönüllü atanan sorumlu, VERBİS iletişim kişisiyle karıştırılmamalıdır. GDPR m. 3 kapsamına giren faaliyetlerde DPO veya 27 nci madde temsilcisi ayrıca incelenir.

Şirketlerde uyum süreci

Uyum, tek bir formun doldurulması değildir. Uygulamada süreç genellikle şu adımlarla ele alınır:

1. Envanter ve rol. Hangi verilerin hangi amaç ve hukuki sebeple işlendiği; şirketin veri sorumlusu, veri işleyen veya her iki sıfatı birden taşıyıp taşımadığı belirlenir.
2. Hukuki sebep ve aydınlatma. Faaliyetler 5, 6 ve 10 uncu maddeler yönünden gözden geçirilir; gereksiz rıza pratikleri sadeleştirilir.
3. VERBİS ve iç kurallar. Kayıt yükümlülüğü varsa sicil kurulur. Saklama, silme, ilgili kişi başvurusu ve veri işleyen sözleşmeleri yazılı hâle getirilir.
4. Aktarım ve tedarikçiler. Yurt içi ve yurt dışı aktarımlar 8 ve 9 uncu maddeler ile 2024 sonrası araçlar yönünden incelenir.
5. Güvenlik ve ihlal hazırlığı. 12 nci maddedeki tedbirler ve ihlal müdahale planı somutlaştırılır.
6. Gözden geçirme. Amaç, ürün veya yurt dışı muhatap değiştikçe envanter, aydınlatma ve sicil güncellenir.

Kapsam, şirketin büyüklüğüne, verinin niteliğine ve faaliyetin coğrafyasına göre değişir. Bu sayfada sabit bir süre yer almaz. Kişisel veriler bilişim hukuku alanındaki uyuşmazlıklarla da kesişebilir.

Sıkça sorulan sorular

KVKK her şirketi kapsar mı?
Kural olarak kişisel veri işleyen gerçek ve tüzel kişileri kapsar. Bazı istisnalar 28 inci maddede, VERBİS kayıt istisnaları Kurul kararlarındadır.

Aydınlatma metni ile açık rıza aynı şey midir?
Değildir. Aydınlatma 10 uncu maddedeki bilgi verme yükümlülüğüdür. Açık rıza, hukuki sebebin rıza olduğu hallerde ayrıca alınır.

Veri ihlalini 72 saat içinde kime bildirmek gerekir?
Kurula bildirim, 2019/10 sayılı karar uyarınca ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır. İlgili kişilere bildirim, etkilenenler belirlendikten sonra makul olan en kısa sürede yapılır.

Yurt dışındaki bir yazılıma müşteri verisi yüklemek aktarım sayılır mı?
Verinin Türkiye dışındaki bir sistemde saklanması, işlenmesi veya oradan erişilebilir hâle getirilmesi, kural olarak 9 uncu madde anlamında aktarımdır. Hukuki sebep ve aktarım aracı ayrıca bakılır.

GDPR yalnızca Avrupa’da yerleşik şirketleri mi bağlar?
Hayır. m. 3, Birlik içindeki bir yerleşim yerinin faaliyetleri kapsamındaki işlemenin yanı sıra, belirli şartlarla Birlik içindeki kişilere mal veya hizmet sunulmasını ve davranışın izlenmesini de kapsayabilir.

KVKK’da DPO atamak zorunlu mudur?
Hayır. GDPR m. 37’deki gibi genel bir zorunluluk yoktur. GDPR’nin uygulanma alanına giren faaliyetlerde Tüzükteki şartlar ayrıca değerlendirilir. VERBİS iletişim kişisi DPO demek değildir.

İlgili kişi başvurusuna ne kadar sürede cevap verilir?
13 üncü maddeye göre talepler, niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır. Kural olarak ilgili kişiden bir bedel alınmaz; işlemin ayrıca maliyet gerektirmesi hâlinde ilgili tebliğ uygulanabilir.

VERBİS’e kayıt yaptırmak tek başına uyum sağlar mı?
Sağlamaz. Sicile kayıt 16 ncı maddedeki yükümlülüklerden yalnızca biridir; aydınlatma, hukuki sebep, güvenlik, aktarım ve ilgili kişi başvuruları ayrıca yerine getirilir.

İletişim bilgileri

Kalemci Hukuk Bürosu
Manas Blv. Folkart Towers No:39 B Blok Kat:27 D:2711
35530 Bayraklı / İzmir
Tel: +90 506 592 66 72

Büro hakkında genel bilgi Hakkımızda sayfasında, başvuru kanalı İletişim sayfasındadır.