Türkiye'de Kişisel Verilerin Korunması (KVKK)

Kanun, tanıdık bir tanımlar bütününe dayanır:

• Veri sorumlusu: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. Veri Sorumluları Sicili Hakkında Yönetmelik, Türkiye’de yerleşik olmayan veri sorumlularını da açıkça düzenler.
• Veri işleyen: veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
• İşleme: verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması ve aktarılması gibi, kişisel veriler üzerinde gerçekleştirilen hemen hemen her işlem.

Pratikte kimi bağlar

Türk tüketicilere satış yapıyor, Türkiye’de personel çalıştırıyor ya da ülkedeki kullanıcılardan veri toplayan bir internet sitesi veya uygulama işletiyorsanız, sunucularınız ve merkeziniz yurt dışında olsa bile, neredeyse kesinlikle KVKK anlamında veri sorumlususunuz. Uygulamada ilk uyum sorusu nadiren “Kanun bize uygulanır mı?” olur; asıl mesele “Boşluklarımız nerede ve riskimiz ne kadar?” sorusudur.

KVKK ardından, rıza aranmaksızın işlemenin hukuka uygun sayıldığı belirli istisnaları düzenler; örneğin işleme:

• kanunlarda açıkça öngörülmüşse;
• bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait verilerin işlenmesi gerekliyse;
• veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluysa;
• fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunluysa; ya da
• ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunluysa.

Özel nitelikli kişisel veriler (m. 6/1: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler) kural olarak işlenemez; 1 Haziran 2024’te yürürlüğe giren değişik m. 6/3, bunları yalnız sayılan hâllerde işlemeye izin verir: örneğin ilgili kişinin açık rızası, kanunlarda açıkça öngörülme, ilgili kişinin alenileştirme iradesine uygun işleme, bir hakkın tesisi, kullanılması veya korunması, sır saklama yükümlülüğü altındaki kişilerce sağlık hizmeti amaçları ya da istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülükler. Kurul’un belirlediği yeterli önlemlerin alınması da şarttır (m. 6/4). Eşik daha yüksek olduğundan (örneğin özlük dosyalarında veya sağlık hizmetlerinde) bu verilerin işlenmesi özel bir dikkat ister.

Sık yapılan ve pahalıya patlayan bir hata, açık rızayı her derde deva bir çözüm gibi kullanmaktır. Bir sözleşmenin içine gömülü veya hizmetin ön koşulu hâline getirilmiş rıza, özgür irade şartıyla bağdaşmakta zorlanır; o rıza geçersiz sayılırsa, yalnız ona dayanan işleme faaliyetinin hukuki dayanağı kalmaz.

• kişisel verilerinin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme;
• işlenme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenme;
• verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
• eksik veya yanlış işlenmiş verilerin düzeltilmesini ve işlenme sebepleri ortadan kalkmışsa silinmesini veya yok edilmesini isteme;
• düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme;
• işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine çıkan sonuca itiraz etme; ve
• kanuna aykırı işleme sebebiyle uğradığı zararın giderilmesini talep etme haklarına sahiptir.

Veri sorumlusu bu talepleri en kısa sürede ve en geç otuz gün içinde sonuçlandırır (m. 13/2). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunabilir; veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m. 14). Uygulamada bu, ilk talep gelmeden önce işleyen bir başvuru mekanizması kurmanız gerektiği anlamına gelir: izlenen bir iletişim kanalı, hazır bir cevap şablonu ve bu süreçten sorumlu bir iç birim.

Türkiye’de yerleşik olmayan yabancı veri sorumluları için ek bir adım vardır: Yönetmelik m. 5/1-b uyarınca bunlar, veri işlemeye başlamadan önce Türkiye’de yerleşik bir tüzel kişi ya da Türk vatandaşı gerçek kişi olan veri sorumlusu temsilcisi aracılığıyla Sicile kaydolmak zorundadır. Sicil kamuya açık tutulduğundan (m. 16/1) eksik kayıt kolay tespit edilir; Sicile kayıt ve bildirim yükümlülüğüne aykırılığın ayrı bir idari para cezası vardır (m. 18/1-ç).

• aktarım yapılacak ülke, ülke içindeki sektörler veya uluslararası kuruluş hakkında Kurul tarafından verilmiş bir yeterlilik kararı;
• Kurul’un ilan ettiği standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları veya Kurulun aktarıma izin verdiği yazılı taahhütname gibi uygun güvenceler (ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunması kaydıyla); ya da
• muhtemel riskler hakkında bilgilendirilen ilgili kişinin açık rızası dâhil, yalnız arızi aktarımlar için öngörülen belirli istisnai hâller.

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilir (m. 9/5); bildirmemenin ayrı bir idari para cezası vardır (m. 18/1-d). Bu değişiklik, çok uluslu gruplara Türk hukukunda daha önce bulunmayan, GDPR tarzı ve uygulanabilir mekanizmalar kazandırmıştır; ancak bu mekanizmalar yalnızca evrak fiilen hazır ve zamanında dosyalanmışsa sizi korur.

Grubunuz Türk çalışan veya müşteri verisini bir ana şirkete, bulut sağlayıcısına ya da yurt dışındaki ortak hizmet merkezine taşıyorsa, bu aktarımın KVKK kapsamında belgelenmiş bir hukuki dayanağı olmalıdır. Bunu yalnızca küresel bir GDPR politikasına güvenerek yapmak yeterli değildir.

Pratik sonuç: GDPR’a uyumlu bir grubun genellikle programını baştan kurması değil, odaklı bir yerel katman eklemesi gerekir: Türkçe aydınlatma metinleri, VERBİS ve dosyalanmış aktarım belgeleri.

Ayrı olarak 5237 sayılı Türk Ceza Kanunu m. 135-140 (KVKK m. 17 yollamasıyla), kişisel verilerin hukuka aykırı kaydedilmesini (m. 135), hukuka aykırı olarak başkasına verilmesini, yayılmasını veya ele geçirilmesini (m. 136) ve kanunların belirlediği süreler geçtiği hâlde yok edilmemesini (m. 138) suç olarak düzenler. KVKK m. 17/2’ye göre m. 7’ye aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler de TCK m. 138’e göre cezalandırılır. Bu suçların soruşturulması şikâyete bağlı değildir (TCK m. 139); şirket içindeki gerçek kişiler bireysel cezai sorumlulukla karşılaşabilir, tüzel kişi hakkında da güvenlik tedbirine hükmolunur (TCK m. 140). Kişilik hakları ihlal edilenler ayrıca genel hükümlere göre (KVKK m. 14/3; 6098 sayılı Türk Borçlar Kanunu) maddi ve manevi tazminat davası açabilir.

Kurul kararlarının çoğu yayımlandığından, ciddi bir ihlalin pratikteki bedeli çoğu kez ilan edilen ceza tutarını aşar: muhtemel iş ortakları, yatırımcılar ve müşteriler bu kararı görebilir.

Kurul şikâyet üzerine ya da ihlal iddiasını öğrenince resen bir inceleme başlatırsa (m. 15/1), yazılı savunmanızın kalitesi büyük önem taşır. Veri sorumlusu, Kurul’un istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır (m. 15/3). Cevabın geç, eksik ya da destekleyici kayıtlar (rıza kayıtları, aydınlatma metinleri, güvenlik politikaları) olmadan verilmesi dosyayı zayıflatır. Herhangi bir olaydan önce hazırlanmanın en doğrudan karşılığını verdiği alanlardan biri tam da budur.

Müvekkillerimize sürecin tümünde destek veriyoruz: boşluk analizi ve politika hazırlığından VERBİS bildirimlerine, aktarım sözleşmelerine, ihlal bildirimlerine ve Kurul önünde temsile kadar. Sık yapılan bir varsayım, GDPR’a genel olarak uyumlu bir şirketin bu nedenle Türkiye’de de uyumlu olduğudur; oysa çoğu zaman değildir, çünkü VERBİS, açık rızanın asıl sebep oluşu ve yerel bildirim kuralları devreye girer. Erken ve yapılandırılmış uyum, iş işten geçtikten sonra bir soruşturmaya yanıt vermekten çok daha az maliyetlidir.

• Gayrimenkul Hukuku: Yabancılar için taşınmaz edinimi, tapu iptal ve tescil davaları ve kira uyuşmazlıkları.
• Fikri Mülkiyet ve Marka Hukuku: TÜRKPATENT tescilleri, marka hükümsüzlük ve tecavüz davaları (FSHHM).
• Kişisel Verilerin Korunması (KVKK): VERBİS kaydı, veri envanteri ve sınır ötesi veri aktarım uyumu.
• İstanbul’da Yabancı Müvekkil ve Şirketler İçin Dava ve İşlem Rehberi: İstanbul adliyelerinde mülkiyet, marka ve ticari dava yönetimi.