KVKK Nedir? Kişisel Verilerinizi Korumak İçin Bilmeniz Gerekenler

KVKK neyi düzenler, neden önemlidir?

KVKK, 2016’da yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumak ve veri işleyen kişi ve kuruluşların uyacağı kuralları belirlemektir. Anayasa’nın 20. maddesinde güvence altına alınan “kişisel verilerin korunmasını isteme hakkı”nın günlük hayattaki karşılığı bu kanundur.

Pratikte KVKK; bir mağazanın sadakat kartı için sizden hangi bilgiyi isteyebileceğinden, eski işvereninizin özlük dosyanızı ne kadar saklayabileceğine, bir uygulamanın rehberinize neden eriştiğini size açıklamak zorunda olmasına kadar geniş bir alanı kapsar. Bu yazıda kanunun temel kavramlarını, vatandaş olarak haklarınızı ve bu hakları nasıl kullanacağınızı anlatıyoruz. Yazı bilgilendirme amaçlıdır; somut bir uyuşmazlıkta hukuki danışmanlık yerine geçmez.

Kişisel veri nedir, ne değildir?

Kanuna göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tanımdaki iki ifade belirleyicidir:

• “Gerçek kişi”: Koruma insanlara yöneliktir. Bir şirketin ticaret unvanı ya da vergi numarası kişisel veri değildir; ancak şirket yetkilisinin adı ve cep telefonu kişisel veridir.
• “Belirlenebilir”: Bilginin tek başına adınızı içermesi gerekmez. Başka bilgilerle birleştirildiğinde sizi işaret ediyorsa kişisel veridir. Araç plakası, IP adresi, müşteri numarası, konum geçmişi, ses kaydı ve kamera görüntüsü bu yüzden kapsama girer.

Buna karşılık, geri döndürülemeyecek biçimde anonim hâle getirilmiş veriler (örneğin “bu ay mağazayı 4.200 kişi ziyaret etti” gibi istatistikler) kişisel veri sayılmaz.

Özel nitelikli kişisel veriler

Kanun bazı verileri, açığa çıktığında ayrımcılığa veya ciddi mağduriyete yol açabileceği için ayrı bir kategoriye koyar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bu liste sınırlıdır; kanunda sayılmayan bir veri türü yorumla bu kategoriye eklenemez. Özel nitelikli verilerin işlenmesi daha dar koşullara ve ek güvenlik önlemlerine bağlıdır.

Oyunun tarafları: ilgili kişi, veri sorumlusu, veri işleyen

Bu ayrım pratikte önemlidir: haklarınızı kullanırken muhatabınız veri işleyen değil, veri sorumlusudur. Şirketin anlaştığı çağrı merkezi bilgilerinizi yanlış kullandıysa, sorumluluk çoğu durumda hizmeti aldığınız şirkete kadar uzanır. Bir tarafın veri işleyen mi yoksa ayrı bir veri sorumlusu mu olduğu somut ilişkiye göre değişebilir; örneğin kendi amaçları için de veri işleyen bir kargo şirketi ayrıca veri sorumlusu sayılabilir.

Veri hangi şartlarla işlenebilir? Açık rıza tek yol değildir

Yaygın bir yanılgı, her veri işleme faaliyetinin rızanıza bağlı olduğudur. Kanun aslında birden fazla hukuki sebep sayar ve açık rıza bunlardan yalnızca biridir. Aşağıdaki hâllerde rızanız aranmadan veri işlenebilir:

• Kanunlarda açıkça öngörülmesi (işverenin SGK bildirimi için kimlik bilgilerinizi işlemesi gibi)
• Bir sözleşmenin kurulması veya ifası için gerekli olması (siparişinizin teslimi için adresiniz)
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (fatura düzenleme ve saklama)
• Fiili imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatının veya beden bütünlüğünün korunması
• Verinin ilgili kişi tarafından alenileştirilmiş olması, alenileştirme amacıyla sınırlı olmak üzere
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Temel hak ve özgürlüklere zarar vermemek kaydıyla veri sorumlusunun meşru menfaati

Geçerli bir açık rıza nasıl olur?

Kanun açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. Bu üç unsur şu anlama gelir:

1. Belirli konu: “Tüm verilerimin her amaçla işlenmesine izin veriyorum” gibi battaniye rızalar geçersizdir. Rıza hangi veri ve hangi amaç için verildiğini göstermelidir.
2. Bilgilendirme: Neye onay verdiğinizi anlamış olmanız gerekir. Bilgilendirme rızadan önce ve anlaşılır bir dille yapılmalıdır.
3. Özgür irade: Rıza kural olarak bir hizmetin ön koşulu hâline getirilemez. Mağaza üyeliği için pazarlama iznini zorunlu tutmak veya kutucuğu önceden işaretli sunmak bu ilkeye aykırıdır.

Verdiğiniz rızayı dilediğiniz zaman geri alabilirsiniz; geri alma ileriye dönük sonuç doğurur. Ayrıca aydınlatma metni ile açık rıza farklı şeylerdir: aydınlatma, veri sorumlusunun size bilgi verme yükümlülüğüdür ve hangi hukuki sebebe dayanılırsa dayanılsın yapılmak zorundadır. “Aydınlatma metnini okudum, onaylıyorum” biçiminde ikisini tek kutucukta birleştirmek hatalı bir uygulamadır.

İşlemenin genel ilkeleri

Hukuki sebep ne olursa olsun, her veri işleme faaliyeti şu ilkelere uymak zorundadır: hukuka ve dürüstlük kurallarına uygunluk; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işleme; amaçla bağlantılı, sınırlı ve ölçülü olma; mevzuatta öngörülen veya amaç için gerekli olan süre kadar saklama. “Ölçülülük” günlük hayatta en çok ihlal edilen ilkedir: bir kafenin Wi-Fi şifresi için kimlik numarası istemesi ya da bir bina girişinde kimlik kartının fotokopisinin alınması, amaca göre fazla veri toplamanın tipik örnekleridir.

Vatandaş olarak haklarınız

Kanunun 11. maddesi, ilgili kişi olarak veri sorumlusuna başvurarak şunları yapabileceğinizi düzenler:

• Kişisel verinizin işlenip işlenmediğini öğrenmek
• İşlenmişse buna ilişkin bilgi talep etmek
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek
• Yurt içinde veya yurt dışında verinin aktarıldığı üçüncü kişileri bilmek
• Eksik veya yanlış işlenmiş verinin düzeltilmesini istemek
• İşleme sebepleri ortadan kalktığında verinin silinmesini veya yok edilmesini istemek
• Düzeltme ve silme işlemlerinin, verinin aktarıldığı üçüncü kişilere bildirilmesini istemek
• Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıkmasına itiraz etmek
• Hukuka aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini talep etmek

Haklarınızı nasıl kullanırsınız? Adım adım başvuru

1. Veri sorumlusunu belirleyin. Şirketin internet sitesindeki aydınlatma metninde veya KVKK başvuru formunda unvan ve başvuru kanalları yazar.
2. Yazılı başvurun. Başvuru; ıslak imzalı dilekçe, noter, kayıtlı elektronik posta (KEP), güvenli elektronik imza ya da veri sorumlusunun sisteminde kayıtlı e-posta adresiniz üzerinden yapılabilir. Adınız, kimlik numaranız, tebligat adresiniz ve talebiniz açıkça yer almalıdır.
3. Talebinizi somutlaştırın. “Verilerimi silin” yerine “şu tarihte verdiğim pazarlama iznini geri alıyorum, telefon numaramın pazarlama listelerinden silinmesini ve sonucun bildirilmesini istiyorum” gibi net ifadeler kullanın.
4. Cevap süresini bekleyin. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırmak zorundadır. Başvuru kural olarak ücretsizdir; yalnızca işlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarifeye göre ücret istenebilir.
5. Gerekirse Kurula şikâyet edin. Başvurunuz reddedilir, cevap yetersiz kalır veya süresinde yanıt verilmezse; cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. Önce veri sorumlusuna başvurmadan doğrudan Kurula gitmek mümkün değildir.

Başvurunuzun ve gelen cevabın birer kopyasını tarih kayıtlarıyla saklayın; güncel usul için Kurumun resmi sitesine bakın.

Verilerinizi korumak için pratik öneriler

• Kimlik fotokopisini gelişigüzel vermeyin. Vermek zorundaysanız üzerine tarih ve “yalnızca … işlemi için verilmiştir” notu düşün.
• Ticari ileti izinlerinizi yönetin. İleti Yönetim Sistemi (İYS) üzerinden hangi markaya arama, SMS ve e-posta izni verdiğinizi görebilir ve toplu olarak kaldırabilirsiniz.
• Uygulama izinlerini sorgulayın. Bir el feneri uygulamasının rehbere, bir oyunun konuma ihtiyacı yoktur.
• Sosyal medyada alenileştirdiğiniz bilgiyi düşünün. Doğum tarihi, anne kızlık soyadı, çocuğunuzun okulu gibi bilgiler güvenlik sorularının ve dolandırıcılık senaryolarının hammaddesidir.
• Başkasının verisi için de aynı özeni gösterin. Bir kişinin kimlik numarasını, adresini ya da telefonunu rızası dışında ele geçirmeye veya yaymaya çalışmak yalnızca KVKK’ya aykırı değildir; Türk Ceza Kanunu’nda hapis cezası öngörülen bir suçtur. “Kimlik numarasından kişi bulma” vaat eden siteler ve gruplar hem hukuka aykırıdır hem de çoğunlukla dolandırıcılık amaçlıdır.

Sorgulaa’daki araçlar da bu çerçeveye göre tasarlanmıştır: örneğin T.C. kimlik numarası doğrulama aracı yalnızca numaranın algoritmik olarak geçerli bir yapıda olup olmadığını kontrol eder; numaranın kime ait olduğunu sorgulamaz ve gösteremez.

Sık yapılan hatalar ve özet

• “Rıza vermediysem verim işlenemez” sanmak: Sözleşme, kanuni yükümlülük ve meşru menfaat gibi başka hukuki sebepler vardır. Tersine, başka bir hukuki sebebe dayanılabilecekken ayrıca rıza istenmesi de Kurul kararlarında yanıltıcı bir uygulama olarak değerlendirilmektedir.
• Aydınlatma metnini onay sanmak: Metni okumuş olmanız, veri işlemeye izin verdiğiniz anlamına gelmez.
• Doğrudan Kurula gitmek: Önce veri sorumlusuna başvuru zorunludur; atlanırsa şikâyet incelenmez.
• Süreleri kaçırmak: Otuz ve altmış günlük süreler geçirildiğinde Kurula şikâyet yolu kapanabilir; genel mahkemelere başvuru imkânı ise ayrıca değerlendirilir.
• KVKK’yı yalnızca şirketlerin meselesi görmek: Apartman yöneticisinin borçlu listesini asması, bir veli grubunda öğrenci bilgilerinin paylaşılması gibi gündelik durumlar da kanunun konusu olabilir. Tamamen kişisel veya aynı konutta yaşayan aile bireylerine ilişkin, üçüncü kişilere verilmeyen faaliyetler ise kapsam dışındadır.

Özetle KVKK, verinizin sahibi olduğunuzu ve onu işleyen herkesin size hesap vermek zorunda olduğunu söyler. Hangi verinin neden toplandığını sormak, gereğinden fazlasını vermemek ve gerektiğinde yazılı başvuru hakkınızı kullanmak, kanunun size tanıdığı korumayı gerçek hayata taşımanın yoludur. Güncel mevzuat, Kurul kararları ve başvuru usulleri için Kişisel Verileri Koruma Kurumunun resmi yayınları esas alınmalıdır.