KVKK Nedir?
KVKK, özel hayatın temel hak ve özgürlüklerini korumayı hedeflemektedir. Uyulması gereken kuralları ile kişisel verilerle, gerçek ve tüzel kişilerin yükümlülüklerini düzenlemektir. Bu kanun 07 Nisan 2016 tarihinde yürürlüğe girdi. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Resmî Gazetede yayımlanarak özel hayatın korunması sağlanmış oldu.
KVKK gerçek kişilere ve tüzel kişilere ait verilerin işlenmesi ile ilgilenir. Teknolojinin gelişmesi ve dijitalleşmenin oldukça yaygınlaşması sonucunda, fertlerin haklarının, özgürlüklerinin korunması çok önemlidir. Bunun yanında kurumlar ve şirketlerin güvenliği, yasal haklarının korunması çok önemlidir.
TBMM’de Kişisel Verilerin Korunması Kanunu düzenlenmiştir. Bu kanunla, kişisel verilerin korunmasıyla ilgili kanuni çerçeveyi, kişisel, kurumsal sorumluluklarının aynı zamanda yükümlülükleri de belirlenmiştir. Bunun sonucunda, çıkarılan kanun verilerin kim tarafından, hangi gayeye yönelik toplanacağını, nasıl kullanılacağını ve nasıl imha edileceğine ilişkin düzenlemeler yapmıştır.
AB’nin Genel Verileri Korumayı ayarlamasına (GDPR-General Data Protection Regulation) düzenlemesine kısaca; KVKK olan Kişisel Verilerin Korunması Kanununu yayınlayarak ülkemizde de kişisel verilerin toplanması, işlenmesi ve silinmesine ilişkin ayarlamak kanunlaştırıldı.
KVKK Cezası ve Yaptırımları Nelerdir?
Kişisel Verilerin Korunması Kanununun yayınlanmasıyla birlikte, kurumlara ve işletme sahiplerine idari para cezaları vermekle birlikte bazı hallerde hapis cezaları da uygulanabilmektedir. Gerçek kişilerin, ziyaretçilerin bilgileri kaydediliyorsa KVKK kapsamındadır. Kanuna bağlı olarak tüm kurum ve kuruluşlar, Kişisel Verileri Koruma Kurumu’nun (KVKK) belirlediği tarihler içerisinde kısa adı VERBİS olan “Veri Sorumluları Sicil Bilgi Sistemine kayıt yaptırma mecburiyeti vardır.
KVKK Açık Rıza Nedir?
Önemli kavramlardan birisi de “Açık Rıza” oldu. Kanunun 3. Maddesinde: “Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza” şeklindedir. Açık rıza ile kişiler, sahip olduğu verinin işlenmesine kendi rızası ile onay vermiş olmaktadır. Bununla birlikte hangi kapsamda, ne sürede ve biçimde kullanılacağının sınırlarını da belirlenmiş olmaktadır.
KVKK’ya göre açık rıza beyanının yazılı olması mecburiyeti olmadığı gibi, elektronik ortamda alınması mümkündür. Kanunun belirli bir konuya ilişkin olması, rızanın bilgilendirmeye dayanması, özgür iradeyle açıklanması zorunluluğu vardır. Açık Rıza ile ilgili bilgiyi KVKK resmî web sitesinde bulabilirsiniz.
KVKK Aydınlatma Metni
Kişisel verileri, bu verilerinin kim tarafından, hangi gayeyle ve hukuki gerekçeyle işlenebileceği, kimlere hangi sebeple aktarılabileceği konusunda bilgi edinme hakkı tanımıştır. Böylece kanun; Aydınlatma Yükümlülüğünü veri sorumlusuna getirmiştir.
Verileri yükleyen, kişisel verilerin elde edilmesi esnasında bizzat ya da yetkilendirdiği kişi vasıtasıyla; “Veri sorumlusunun veya temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, kişisel verilerin kimlere ve hangi amaçla aktarılabileceği; kişisel veri toplamanın yöntemi ve hukuki sebebi ile 11. maddede sayılan diğer hakları” kişiye sağlamakla sorumludur. Kanun; ilgili kişinin, kişisel verisinin işlendiği her durumda aydınlatılmasını mecburi hale getirmiştir.
Kişisel Verilerin Saklanma Süresi Ne Kadardır?
KVKK’ya göre, kişisel verilerin süresiz saklanması mümkün değildir. Kurumun ya da işletmenin belirlediği veri işlenme amacına uygun bir zaman tutulmalı ve daha sonra imha edilmelidir. Bu süreler, işletmelerin faaliyet gösterdiği sektörler ve bağlı bulundukları kanunlara göre değişiklik göstermektedir. Kanunlara göre kişisel verilerin işlenme süreleri, senede iki defa periyodik imha dönemi planlanmalı ve bu bilginin kurumların Kişisel Veri Saklama ve İmha Politikası belgesinde yer verilmelidir. Öte yandan, ilgili kişinin kişisel verilerinin işlenmesini istememesi ya da daha önce verdiği Açık Rıza Beyanını çekmesi durumunda periyodik imha dönemi beklenmeksizin imha edilmelidir.
KVKK Periyodik İmha Dönemi
KVKK’ya göre, saklama süresi dolan kişisel veriler, saklama süresinin bitimini takip eden ilk periyodik imha zamanında imha edilir. Süresi sona eren ve kişisel verinin saklanmasını gerektirecek başka herhangi bir veri işleme amacı mevcut olmayan kişisel verileri, saklama sürelerinin sona ermesini takiben 180 gün içerisinde anonim hale getirilir.
Ancak veri sorumlusunun meşru menfaatinin olduğu durumlarda, işlenme amacının ve ilgili kanunlarda belirtilen sürelerin de sona ermesine rağmen veri sahiplerinin temel hak ve özgürlüklerine zarar vermemek kaydıyla kişisel veriler, Borçlar Kanunu’nda düzenlenen genel zamanaşımı süresinin (on yıl) sona ermesine kadar saklanabilecektir. Bahsi geçen zamanaşımı süresinin sona ermesinin ardından kişisel veriler, politika belgesinde belirlenen prosedüre göre silinecek, yok edilecek yahut anonim hale getirilecektir.
KVKK Teknik ve İdari Tedbirler
6698 sayılı Kişisel Verilerin Korunması Kanunu, 12. Maddede getirilen düzenleme ile kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla veri sorumlularına bir takım teknik ve idari tedbirler alma zorunluluğu getirmiştir.
Kişisel Verileri Koruma Kurulu, kişisel verilerin işlenmesi sürecinde veri sorumlularının alması gereken teknik ve idari tedbirler konusunda uygulamada açıklık sağlanması ve iyi uygulama örnekleri oluşturması amacıyla Kişisel Veri Güvenliği Rehberi hazırlanmış ve resmî web sitesinde yayınlamıştır.
KVKK İhlal Bildirimi
Kişisel Verileri Koruma Kurulu, kişisel veri ihlali bildirim usul ve esaslarını belirleyerek 24 Ocak 2019 tarihinde resmî web sitesinde duyurmuştur.
Kurul, Kanun’un 12’nci maddesinin (5) numaralı fıkrasının: “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.” hükmünde yer alan “En kısa zamanda” 72 saat olarak yorumlanmasına karar vermiş ve duyurmuştur.
