Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek ve tüzel kişilerin uyacağı kuralları belirlemek amacıyla çıkarılan 6698 sayılı Kanundur. Kanun 7 Nisan 2016 tarihli Resmî Gazete'de yayımlandı ve 2024'te 7499 sayılı Kanunla önemli değişiklikler geçirdi.
Kişisel veri nedir?
Kanuna göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (KVKK md. 3). Ad soyad, T.C. kimlik numarası, telefon numarası, e-posta ve ev adresi, fotoğraf, ses kaydı, konum bilgisi, banka hesap bilgisi ve alışveriş geçmişi, bir kişiyle ilişkilendirilebildiği sürece kişisel veridir. Kanun yalnız gerçek kişileri korur; bir şirketin unvanı veya ticari bilgileri kişisel veri sayılmaz.
Özel nitelikli kişisel veri nedir?
Bazı veriler öğrenildiğinde kişinin ayrımcılığa uğramasına yol açabileceği için daha sıkı korunur. KVKK'nın 6. maddesine göre şunlar özel nitelikli kişisel veridir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
Bu liste sınırlıdır. Örneğin göz rengi, boy, aile bilgileri veya üye olunan bir spor kulübü kişisel veridir, ama listede yer almadıkları için özel nitelikli değildir.
1 Haziran 2024'ten itibaren özel nitelikli verilerin işlenme şartları değişti. Bu veriler kural olarak işlenemez; ancak açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, ilgili kişinin alenileştirmesi, bir hakkın tesisi veya korunması için zorunluluk, sağlık hizmetleri, istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler ile vakıf ve dernek gibi kâr amacı gütmeyen kuruluşların üyelerine yönelik işlemleri gibi hâllerde işlenebilir.
Kanun şirketlere ne getiriyor?
- Veri toplarken ilgili kişiyi aydınlatmak (md. 10)
- Her veri işlemeyi kanundaki bir hukuki sebebe dayandırmak (md. 5 ve 6)
- Gerekli teknik ve idari güvenlik tedbirlerini almak, veri ihlalini öğrenildiği andan itibaren en geç 72 saat içinde Kurula bildirmek (md. 12 ve Kurulun 2019/10 sayılı Kararı)
- İlgili kişilerin başvurularını en geç 30 gün içinde sonuçlandırmak (md. 13)
- İşlenme sebebi ortadan kalkan verileri silmek, yok etmek veya anonim hâle getirmek (md. 7)
- Yurt dışına veri aktarırken yeterlilik kararı, standart sözleşme gibi 9. maddedeki güvencelerden birine dayanmak
- Kayıt yükümlüsüyse VERBİS'e kaydolmak (md. 16)
VERBİS'e kimler kaydolmalı?
Kişisel Verileri Koruma Kurulunun kararlarına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli veri işleme olmayan veri sorumluları VERBİS kaydından istisnadır. Ana faaliyeti özel nitelikli veri işleme olanlarda istisna sınırı 10 çalışan ve 10 milyon TL'dir. Bu sınırları aşan veri sorumluları, yükümlülüğün doğmasından itibaren 30 gün içinde kaydolmalıdır.
Uyulmazsa ne olur?
KVKK'nın 18. maddesindeki idari para cezaları her yıl yeniden değerleme oranıyla artırılır. 2026'da örneğin veri güvenliği yükümlülüğüne aykırılık için 256.357 TL ile 17.092.242 TL, VERBİS yükümlülüğüne aykırılık için 341.809 TL ile 17.092.242 TL, aydınlatma yükümlülüğüne aykırılık için 85.437 TL ile 1.709.200 TL arasında ceza uygulanır. Kişisel verilere ilişkin suçlarda ayrıca Türk Ceza Kanunu'nun 135 ile 140. maddeleri uygulanır.
Nereden başlamalı?
Uyum çalışması, şirkette hangi kişisel verilerin hangi amaçla işlendiğini ve kimlere aktarıldığını gösteren bir kişisel veri envanteriyle başlar. Ardından aydınlatma metinleri, gerekiyorsa açık rıza metinleri, saklama ve imha politikası, veri işleyenlerle yapılacak sözleşmeler ve çalışan eğitimleri gelir. Tüm Grup, KVKK uyum danışmanlığı kapsamında bu adımları sizinle birlikte yürütür.
