6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Kapsamında Kişisel Verilerin İşlenmesi ve Korunması

A. KVKK Kapsamında Temel Terimler

I. Kişisel Veri Nedir?

KVKK kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. 

Kişisel Veri Gerçek Kişiye Ait Olmalıdır: Kişisel veri, gerçek kişiye ait olup tüzel kişilere ait veriler kişisel veri tanımının dışında tutulmakta olup kişisel veri olarak kabul edilmemektedir.

Kişisel Veriler Kişiyi Belirli veya Belirlenebilir Kılmalıdır: Kişisel veri, ilgili kişinin doğrudan kimliğini tespit etmeye yarayabileceği gibi ilgili kişinin kimliğini direkt tespit edecek nitelikte bulunmasa dahi herhangi bir kayıtla ilişkilendirilmek suretiyle ilgili kişinin belirli hale getirilmesini sağlayan tüm bilgilerdir. 

Kişilerin adı, soyadı, doğum tarihi ve doğum yeri, kişinin fiziki, ailevi, ekonomik ve sair özelliklerine ilişkin bilgiler, isim, telefon numarası, sosyal güvenlik numarası, pasaport numarası gibi veriler kişisel veridir. Kununi düzenleme uyarınca, kişisel verinin, kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir nitelik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayacak nitelikte olması gerekir. Bu nitelikleri haiz olmayan verilerin kanun kapsamında değerlendirilmesi mümkün değildir.

II. Özel Nitelikli Kişisel Veri Nedir?

Özel Nitelikli(Hassas) Kişisel Veriler, üçüncü kişiler tarafından öğrenilmesi halinde ilgili kişinin mağduriyetine veya ayrımcılığa maruz kalmasına sebebiyet verebilecek nitelikte risk taşıyan verilerdir. Kişilerin etnik kökeni, ırkı, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir.

KVKK kapsamında özel nitelikli kişisel veriler, sınırlı sayma yoluyla belirlenmiştir. Bu nedenle özel nitelikteki kişisel verilerin kıyas yoluyla genişletilmesi mümkün değildir. 

III. Kişisel Verilerin İşlenmesi Nedir?

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınırlandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.

IV. Veri Sorumlusu Kimdir?

Kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdikleri faaliyetler kapsamında bizatihi kendileri “veri sorumlusu” olup, ilgili düzenlemelerde belirtilen hukuki sorumluluk tüzel kişinin şahsında doğacaktır.

V. Veri İşleyen Kimdir?

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen, veri sorumlusunun organizasyonu dışındaki gerçek veya tüzel kişilerdir. Bu kişiler, kişisel verileri kendisine verilen talimatlar doğrultusunda işleyen, veri sorumlusunun kişisel verilerin işlenmesine yönelik olarak yetkilendirdiği gerçek veya tüzel kişiyi ifade etmektedir. 

Her olayın özelinde yapılacak değerlendirme ile herhangi bir gerçek veya tüzel kişi hem veri sorumlusu hem de veri işleyen sıfatını haiz olabilir. 

VI. Veri Kayıt Sistemi Nedir?

Veri kayıt sistemi, kişisel verilerin kanunda belirlenmiş olan kriterler doğrultusunda düzenlenerek işlendiği kayıt sistemidir. Bu kayıt sistemleri elektronik ortamda oluşturulabileceği gibi duruma göre fiziki ortamda da oluşturulabilir. 

B. KVKK Kapsamında Kişisel Verilerin İşlenme Şartları

Kişisel Verilerin Korunması Kanunu 4. Maddesi uyarınca kişisel verilerin işlenmesi sırasında;

1. Hukuka ve dürüstlük kurallarına uygun olma. 
2. Doğru ve gerektiğinde güncel olma. 
3. Belirli, açık ve meşru amaçlar için işlenme. 
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. 
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Şartlarına uygun hareket edilmesi gerektiği düzenlenmiştir. Kişisel verilerin işlenmesi sırasında kanunun aradığı bu şartlara riayet edilmemesi halinde hukuka aykırılık oluşacaktır.

Kural olarak kişisel verilerin işlenebilmesi için ilgili kişinin açık rızasının alınmış olması gerekmektedir. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir. Açık rıza, hem özel nitelikli kişisel veriler hem de özel nitelikli olmayan kişisel verilerin işlenmesi bakımından kanunen hukuka uygunluk sebeplerinden bir tanesidir. Açık rıza bakımından ispat yükümlülüğü ise veri sorumlusuna aittir. İlgili kişi tarafından verilen açık rıza herhangi bir şekil şartına tabi değildir. Açık rızanın yazılı olması ispat açısında önemlidir. 

Açık rıza özgür irade ile açıklanması gerektiğinden herhangi bir şarta bağlı olamaz. Örneğin; Üyelik sözleşmesi kurulurken ilgili kişinin anne kızlık soyadının zorunlu kılınması şartı ile alınan açık rıza geçerli bir açık rıza olarak değerlendirilemeyecektir. Şarta tabi olarak alınan açık rıza özgür irade ile açık rıza verilmesi ve ölçülülük ilkesine aykırılık oluşturacaktır.  

Ancak kanun bazı hallerin varlığı halinde ilgili kişinin açık rızası bulunmasa dahi kişisel verilerin veri sorumluları tarafından işlenebileceğini düzenlemektedir. Bu haller sırasıyla; 

1. Kanunlarda açıkça öngörülmesi.(Örneğin; İşveren tarafından özlük dosyasında bulundurulmak üzere ilgili işçiye ait kimlik bilgilerinin işlenmesi)
2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
3. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.(Örneğin; işverenin çalışanın maaşını ödemesi için işçiye ait banka hesap bilgilerini elinde bulundurması)
4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.(Örneğin; işverenin vergi yükümlülüğü sebebiyle çalışanlara ait maaş, prim vd. bilgilerini işlemesi)
5. İlgili kişinin kendisi tarafından alenileştirilmiş olması.(Örneğin; İkici el konut veya araç satışı için ilgili sitelerde yayınlanmış olan ilanda yer alan iletişim bilgileri) 
6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. 
7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Şeklinde olup sınırlı sayıda belirtilmiştir. Kanunun düzenlediği bu haller kıyas yoluyla genişletilemez. Kanunda belirtilen bu hallerin mevcut olması halinde ilgili kişi tarafından açık rıza verilmemiş olsa dahi bu kişilere ait kişisel veriler, veri sorumlusu tarafından işlenebilecektir.

C. KVKK Kapsamında Özel Nitelikli(Hassas) Kişisel Verilerin İşlenme Şartları

KVKK uyarınca özel nitelikli kişisel verilerin işlenmesi yasaklanmıştır. Ancak KVKK 6/3. Maddesinde sayılan şartların varlığı halinde özel nitelikteki kişisel verilerin işlenmesi mümkün hale getirilmiştir. Bu şartlar KVKK 6/3. Fıkrası uyarınca;

1. İlgili kişinin açık rızasının olması, 
2. Kanunlarda açıkça öngörülmesi,
3. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, 
4. İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, 
5. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, 
6. Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, 
7. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, 
8. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.

Şeklinde düzenlenmiş olup, kanun koyucu tarafından düzenlenen şartların var olması halinde özel nitelikli(hassas) kişisel veriler veri sorumluları tarafından işlenebilecektir.