KVKK Hukuku

KVKK Hukuku, dijital ekonominin merkezinde yer alan ve kişisel verilerin korunması ile özel hayatın gizliliğini güvence altına alan kapsamlı bir hukuk dalıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu esas alınarak şekillenen bu alan, veri sorumluları ile veri işleyenlere yeni yükümlülükler getirirken, ilgili kişilere güçlü haklar tanır. Amaç; veri toplama, işleme, saklama, aktarma ve imha süreçlerini hukuka uygun, şeffaf ve hesap verebilir biçimde yönetmektir. Günümüzde veri işleme kapasitesinin katlanarak artması, KVKK uyumunu yalnızca hukuki bir gereklilik olmaktan çıkarıp kurumsal itibarın ve müşteri güveninin vazgeçilmez unsuru haline getirmiştir. Ayrıca GDPR ile yapısal benzerlikler sayesinde, sınır ötesi veri akışında uluslararası uyum da sağlanabilmektedir.

KVKK Hukuku Nedir?

KVKK Hukuku, 6698 sayılı Kanun ve ikincil düzenlemeler çerçevesinde, kişisel verilerin işlenmesi, korunması ve bu süreçte doğan hak ve yükümlülükleri düzenler. Kapsam; verilerin toplanması, kayıt altına alınması, depolanması, aktarılması, silinmesi ve anonimleştirilmesi gibi tüm yaşam döngüsünü içerir. Temel amaçlar şunlardır: bireylerin mahremiyetini korumak, veri işleme standartlarını belirlemek, ilgili kişilerin haklarını güçlendirmek, veri sorumlularının sorumluluklarını netleştirmek ve uluslararası standartlara uyumu temin etmek.

Bu alanın dayandığı temel ilkeler şunlardır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli-açık-meşru amaç, sınırlı ve ölçülü işleme, saklama süresiyle sınırlılık. Bu ilkeler, uygulamada aydınlatma yükümlülüğü, açık rıza yönetimi, Veri Sorumluları Sicili’ne (VERBİS) kayıt, teknik ve idari tedbirlerin uygulanması ve ihlal bildirimi gibi somut gerekliliklere dönüşür.

KVKK Kapsamına Neler Girer?

KVKK, **“kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”**yi kişisel veri kabul eder. Bu tanım; kimlik, iletişim, lokasyon, özlük, hukuki işlem, müşteri işlem, fiziksel mekân güvenliği, işlem güvenliği, risk yönetimi, finans, mesleki deneyim, pazarlama, görsel/işitsel kayıt gibi geniş bir listeyi kapsar.

Özel nitelikli kişisel veriler (ör. sağlık, biyometrik, genetik veriler, sendika üyeliği, ceza mahkûmiyeti gibi) ise artan koruma tedbirleri gerektirir.

Veri işleme faaliyetleri; toplama, kaydetme, depolama, değiştirme, düzenleme, açıklama, aktarma, devralma, erişilebilir kılma, sınıflandırma veya kullanımı engelleme gibi tüm işlemleri içerir.

Veri sorumluları ve veri işleyenler; kamu kurumlarından özel sektör işletmelerine, gerçek kişilerden dernek ve vakıflara kadar geniş bir yelpazeyi kapsar.

İlgili kişi hakları arasında bilgi talebi, düzeltme, silme/yok etme, itiraz, zararın giderilmesi talebi gibi başlıklar yer alır.

Veri güvenliği; teknik (şifreleme, erişim kontrolü, loglama, sızma testi) ve idari (politika, prosedür, eğitim, yetki matrisi, sözleşmesel güvenlik) tedbirlerin birlikte uygulanmasını gerektirir.

Uluslararası veri aktarımı; yeterli koruma bulunan ülkelere transfer, taahhütname veya bağlayıcı şirket kuralları ile mümkündür.

Yaptırımlar; idari para cezaları, işleme durdurma, silme/imha yükümlülükleri ve gerektiğinde cezai sorumluluk süreçlerini içerebilir.

KVKK Kuralları Nelerdir?

KVKK, veri işleme faaliyetlerini yöneten bağlayıcı kurallar öngörür:

• Hukuka ve dürüstlük kurallarına uygunluk: Süreçler şeffaf ve hesap verebilir olmalıdır.
• Doğruluk ve güncellik: Veriler düzenli aralıklarla kontrol edilmeli, güncellenmelidir.
• Belirli, açık ve meşru amaç: Amaç, veri toplama öncesinde net biçimde açıklanmalıdır.
• Sınırlı ve ölçülü işleme: Yalnızca gerekli veriler işlenmeli, aşırı veri toplanmamalıdır.
• Saklama süresi: Yasal veya amaçla sınırlı muhafaza süresi tanımlanmalı, süresi dolan veriler imha/anonimleştirme ile yönetilmelidir.
• Veri güvenliği: Teknik ve idari tedbirler uygulanmalı; ihlallara karşı önleme ve müdahale mekanizmaları kurulmalıdır.
• İlgili kişi hakları: Bilgilendirme, erişim, düzeltme, silme, itiraz mekanizmaları işletilmelidir.
• Açık rıza: İstisnalar dışında özgür iradeyle, belirli konuya ilişkin, aydınlatmaya dayalı rıza alınmalıdır.
• Aydınlatma yükümlülüğü: Veri toplama anında veya en kısa sürede aydınlatma metni ile bilgilendirme yapılmalıdır.
• VERBİS: İstisnalar hariç Veri Sorumluları Sicili’ne kayıt ve güncel tutma zorunludur.
• Yurtdışı aktarım: Yeterli koruma, taahhüt veya kurul onayı şartlarına tabidir.
• İhlal bildirimi: Veri ihlali halinde en kısa sürede Kurula ve ilgili kişilere bildirim yapılmalıdır.

KVKK Hukuka Uygunluk Sebepleri

KVKK, veri işlemenin hukuki dayanağını netleştiren hukuka uygunluk sebepleri belirler:

• Açık rıza: Özgür irade ile, aydınlatılmış ve geri alınabilir onay.
• Kanunda öngörülme: Veri işlemenin yasal hükme dayanması.
• Fiili imkânsızlık: Hayatın/beden bütünlüğünün korunması için zorunluluk.
• Sözleşme: Sözleşmenin kurulması/ifası için zorunlu işleme.
• Hukuki yükümlülük: Veri sorumlusunun kanuni yükümlülüklerini yerine getirmesi.
• Alenileştirme: İlgili kişinin verilerini kamuya açıklaması.
• Hak tesisi/kullanımı/korunması: Hukuki talep ve savunma için zorunluluk.
• Meşru menfaat: Veri sorumlusunun meşru menfaati ile ilgili kişinin temel hak ve özgürlükleri arasındaki denge testinin olumlu çıkması.

Her bir faaliyet için uygun hukuki nedenin belirlenmesi, dokümante edilmesi ve periyodik gözden geçirme yapılması uyumun esasıdır.

KVKK Uyum Süreci ve Yol Haritası

Etkili bir KVKK uyum programı, tek seferlik bir proje değil, sürekli iyileştirme gerektiren bir yönetişim sistemidir. Kurumlar aşağıdaki yol haritasıyla sürdürülebilir uyumu sağlayabilir:

1. Boşluk analizi (gap analysis): Mevcut durumun mevzuata göre ölçülmesi ve risklerin tespiti.
2. Veri envanteri ve süreç haritalama: Veri kategorileri, işleme amaçları, hukuki sebepler, alıcı grupları, saklama süreleri ve imha yöntemlerinin kayıt altına alınması.
3. Politika ve prosedürler: Aydınlatma metni, açık rıza metni, çerez politikası, erişim/başvuru prosedürü, ihlal müdahale planı, imha politikası, bilgi güvenliği politikalarının oluşturulması.
4. Teknik ve idari tedbirler: Erişim kontrolü, loglama, şifreleme, yama yönetimi, yedekleme, rol tabanlı yetkilendirme, tedarikçi yönetimi, gizlilik taahhütleri ve eğitim.
5. VERBİS kaydı ve kayıtların güncellenmesi: Envantere paralel sicil bilgilerinin doğru tutulması.
6. İlgili kişi başvuruları yönetimi: Süreler, format, kimlik doğrulama, yanıt standartları ve itiraz süreçleri.
7. Denetim ve test: İç denetim, sızma testleri, tatbikatlar ve kayıtların düzenli gözden geçirilmesi.
8. Süreklilik: Periyodik raporlama, farkındalık eğitimleri ve yönetim gözetimi ile sistemin canlı tutulması.

KVKK İhlallerinde Başvuru ve İtiraz Yolları

Bir veri ihlali veya hak ihlali şüphesinde ilgili kişi, önce veri sorumlusuna başvurur. Başvuruya süresi içinde yanıt verilmemesi ya da yanıtın yetersiz bulunması halinde Kişisel Verileri Koruma Kurulu’na şikâyet yoluna gidilebilir. Süreçte dikkat edilmesi gerekenler:

• Başvuru usulü: Belirlenen formata uygun, somut olay ve taleplerin açıklandığı, mümkünse kanıtla desteklenen başvuru.
• Süreler: Başvuru ve şikâyet sürelerinin kaçırılmaması; kayıtların saklanması.
• İhlal bildirimi: Veri sorumluları, tespit ettikleri ihlalleri en kısa sürede Kurul’a ve ilgili kişilere bildirmeli; etki analizi yapmalı ve düzeltici/önleyici faaliyetleri başlatmalıdır.
• Çözüm yolları: Verinin düzeltilmesi, silinmesi/yok edilmesi, erişimin sınırlandırılması, zararın giderilmesi ve gerektiğinde yargısal başvuru seçenekleri.

Aydınlatma Metni ve Açık Rıza Yönetimi

Aydınlatma metni, veri toplama anında veya en kısa sürede işleme amacını, hukuki sebebi, aktarımları, toplama yöntemini ve hakları açıkça sunmalıdır. Şeffaflık ve erişilebilirlik esastır. Açık rıza ise zorunlu olmayan işlemler için, özgür irade ile, spesifik ve aydınlatılmış olarak alınmalı; ayırt edilebilir şekilde kayıt altına alınmalı ve kolayca geri alınabilir olmalıdır. Rızaya dayalı pazarlama ve çerez teknolojileri gibi alanlarda ayırt edici tercih mekanizmaları (örn. açık/kapalı anahtarlar) önemlidir.

Veri Güvenliği Tedbirleri ve Saklama-İmha Politikası

Veri güvenliği, yalnızca teknoloji değil, organizasyonel kültür meselesidir. Bu kapsamda:

• Teknik tedbirler: Şifreleme, anonimleştirme, pseudonimleştirme, ağ segmentasyonu, çok faktörlü kimlik doğrulama, güncel antivirüs/EDR, log ve alarm yönetimi.
• İdari tedbirler: Yetki matrisi, görevler ayrılığı, eğitim, tedarikçi sözleşmeleri, gizlilik taahhütleri, ziyaretçi prosedürü.
• Saklama ve imha: Saklama süreleri amaçla ve mevzuatla uyumlu biçimde tanımlanmalı; süresi dolan veriler güvenli imha (fiziksel yok etme, yazılımsal silme, anonimleştirme) ile yönetilmelidir. İmha kayıtları düzenli tutulmalıdır.

Sonuç:

KVKK uyumu, yalnızca idari para cezalarından kaçınmak için değil; müşteri güveni, iş sürekliliği ve kurumsal itibar için stratejik bir yatırımdır. Hukuka uygunluk sebeplerinin doğru seçilmesi, aydınlatma ve rıza süreçlerinin düzgün tasarlanması, teknik-idari güvenlik tedbirlerinin uygulanması ve süreç yönetiminin kurumsallaştırılması; sürdürülebilir uyumun temelidir. Kurumlar, veri envanterini güncel tutarak, denetim ve test faaliyetleriyle sistemi diri tutmalı; ilgili kişi başvurularını etkin, şeffaf ve zamanında yönetmelidir. Böylece KVKK Hukukunun hedeflediği mahremiyet koruması ile veri temelli iş değerinin dengesi kurulur ve dijital çağda rekabet avantajı elde edilir.