Veri sorumlusunun yükümlülükleri ve genel ilkeler

Kişisel verilerin korunmasına ilişkin uyum çalışmasının iskeleti, KVKK'nın genel ilkeler maddesine dayanır. Bu ilkeler yalnızca soyut kurallar değildir; her somut işleme faaliyetinin hukuka uygunluğu bunlarla ölçülür.

Genel ilkeler

KVKK m.4/1: kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.

m.4/2 beş ilkeyi sayar ve bunlara uyulmasını zorunlu kılar:

a) Hukuka ve dürüstlük kurallarına uygun olma. İşlemenin hem mevzuata uygun hem de dürüstlük kurallarına uygun olması gerekir. İlgili kişinin beklemediği, gizli veya yanıltıcı yöntemlerle yapılan işlemeler bu ilkeye aykırıdır.

b) Doğru ve gerektiğinde güncel olma. Veri sorumlusu, işlediği verilerin doğruluğunu sağlamakla yükümlüdür. Bu, ilgili kişinin m.11/1-d uyarınca düzeltme talep etme hakkıyla tamamlanır.

c) Belirli, açık ve meşru amaçlar için işlenme. İşleme amacı önceden ve açıkça belirlenmiş olmalıdır. "İleride gerekebilir" düşüncesiyle veri toplanması bu ilkeye aykırıdır.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. Bu, veri minimizasyonu ilkesidir. Amaç için gerekli olandan fazla veri toplanamaz. Uygulamada en sık ihlal edilen ilkedir: form ve sözleşmelerde amaçla ilgisi olmayan alanların doldurulmasının zorunlu tutulması bu kapsamdadır.

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme. Bu, saklama süresi ilkesidir ve m.7'deki silme yükümlülüğüyle doğrudan bağlantılıdır.

Bu beş ilke, bir uyum çalışmasının denetim listesini oluşturur: her işleme faaliyeti için amaç belirlenmiş mi, toplanan veri o amaçla sınırlı mı, saklama süresi tanımlanmış mı.

İşleme şartları

KVKK m.5/1: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

m.5/2, açık rıza aranmayacak hâlleri sayar. Aşağıdaki şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işleme mümkündür:

• a) Kanunlarda açıkça öngörülmesi.
• b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

Bu sayım devam eder ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olma ile veri sorumlusunun meşru menfaatleri gibi şartları da içerir.

Uygulamada en yaygın hata, her işleme için açık rıza alınmaya çalışılmasıdır. Oysa m.5/2'deki bir şart varsa açık rıza aranmaz; hatta bu durumda rıza alınması, ilgili kişide rızayı geri çekerek işlemeyi durdurabileceği yönünde yanlış bir beklenti yaratır.

Bu nedenle uyum çalışmasında her işleme faaliyeti için önce m.5/2'deki bir şartın bulunup bulunmadığı belirlenmeli; yoksa açık rıza yoluna gidilmelidir.

Özel nitelikli kişisel veriler

KVKK m.6/1 özel nitelikli verileri sayar: kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Bu sayım sınırlıdır; listede olmayan veriler özel nitelikli sayılmaz.

2/3/2024 tarihli 7499 sayılı Kanunla m.6 önemli ölçüde değiştirilmiştir: m.6/2 mülga edilmiş, m.6/3 yeniden düzenlenmiştir.

Yeni m.6/3: özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

• a) İlgili kişinin açık rızasının olması,
• b) Kanunlarda açıkça öngörülmesi,
• c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine yönelik olması

hâlinde mümkündür.

Bu düzenleme, 2024 öncesine göre kapsamlı bir genişleme getirmiştir. Özellikle (d) bir hakkın tesisi, kullanılması veya korunması ve (f) istihdam ve iş sağlığı-güvenliği bentleri, uygulamada sıkça kullanılan dayanaklardır.

Önceki düzenlemede sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler farklı rejimlere tabiydi; yeni metin bu ayrımı kaldırmış ve tek bir liste altında toplamıştır. Eski kaynaklara dayanan değerlendirmeler bu nedenle yanıltıcıdır.

m.6/4 ek bir şart getirir: özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Yani (a) ilâ (g) bentlerinden biri bulunsa dahi, yeterli önlemler ayrıca alınmalıdır.

Silme, yok etme ve anonim hâle getirme

KVKK m.7/1: bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.

Üç nokta dikkat çeker:

• Yükümlülük, veriler hukuka uygun işlenmiş olsa dahi doğar. Ölçüt, işlemeyi gerektiren sebeplerin ortadan kalkmasıdır.
• Yükümlülük resen de doğar; ilgili kişinin talebi beklenmez.
• Üç seçenek vardır: silme, yok etme veya anonim hâle getirme.

m.7/2: kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır. Bu, özel mevzuatta öngörülen saklama sürelerinin öncelikli olduğunu gösterir.

Bu madde, m.4/2-d'deki saklama süresi ilkesiyle birlikte okunmalıdır: her veri kategorisi için bir saklama süresi belirlenmeli ve süre dolduğunda resen imha işletilmelidir. Uygulamada bunun aracı, saklama ve imha politikası ile periyodik imha süreçleridir.

Güvenlik yükümlülükleri

KVKK m.12/1: veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

m.12/2: veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

m.12/3: veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

m.12/4: veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

m.12/5: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

Sicile kayıt

KVKK m.16/1: Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.

m.16/2: kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınarak kayıt zorunluluğuna istisna getirilebilir.

Kayıt veri işlemeye başlamadan önce yapılmalıdır. Kurulca belirlenen istisnalar kapsamına girilip girilmediği ayrıca değerlendirilir.

m.16/3 kayıt başvurusunun içeriğini sayar: veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, işleme amacı, veri konusu kişi grupları ve veri kategorileri, aktarılabileceği alıcı veya alıcı grupları ve devamındaki hususlar.

Uyum çalışmasının iskeleti

Bu maddeler birlikte, bir uyum çalışmasının adımlarını verir:

1. Envanter. Hangi veri, hangi amaçla, hangi hukuki sebeple işleniyor? (m.4, m.5, m.6)
2. Hukuki sebep eşleştirmesi. Her işleme için m.5/2 veya m.6/3'teki hangi şartın uygulandığı belirlenir; yoksa açık rıza yoluna gidilir.
3. Aydınlatma. İlgili kişilere yapılacak bilgilendirme metinleri hazırlanır.
4. Saklama ve imha politikası. m.4/2-d ve m.7 uyarınca süreler belirlenir ve periyodik imha işletilir.
5. Teknik ve idari tedbirler. m.12/1 uyarınca yetkilendirme, log, eğitim, gizlilik taahhütnamesi.
6. Veri işleyen sözleşmeleri. m.12/2'deki müşterek sorumluluk gözetilerek düzenlenir.
7. Denetim. m.12/3 uyarınca periyodik denetim yapılır ve belgelenir.
8. İhlal müdahale planı. m.12/5'teki bildirim yükümlülüğü için hazırlık.
9. Sicile kayıt. m.16 uyarınca, istisna kapsamında değilse kayıt yapılır.
10. Başvuru süreci. m.13 uyarınca gelen taleplerin otuz gün içinde sonuçlandırılması için süreç kurulur.

Örnek senaryo

Bir şirket, işe alım sürecinde adaylardan özgeçmiş, sağlık raporu ve adli sicil belgesi talep etmekte; bu belgeleri süresiz saklamaktadır.

Değerlendirme:

1. Özel nitelikli veri. Sağlık ve ceza mahkûmiyeti verileri m.6/1 uyarınca özel nitelikli kişisel veridir.
2. İşleme şartı. m.6/3 uyarınca bir şart aranır. (f) istihdam, iş sağlığı ve güvenliği alanındaki hukuki yükümlülükler için zorunluluk veya (b) kanunlarda açıkça öngörülme dayanak olabilir. Bu dayanağın somut olarak gösterilmesi gerekir.
3. Ölçülülük. m.4/2-ç uyarınca veriler amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Her pozisyon için adli sicil belgesi istenmesi, o pozisyonun gerektirdiği hukuki yükümlülükle bağlantılı değilse bu ilkeye aykırıdır.
4. Yeterli önlemler. m.6/4 uyarınca özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
5. Saklama süresi. m.4/2-d ve m.7 uyarınca süresiz saklama hukuka aykırıdır. İşe alınmayan adayların verileri, işlemeyi gerektiren sebep ortadan kalktığında resen silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
6. Aydınlatma. Adaylara, hangi verilerin hangi amaçla işlendiği ve saklama süresi bildirilmelidir.
7. Güvenlik. m.12/1 uyarınca bu belgelere erişim yetkilendirmeyle sınırlandırılmalı ve erişim kayıtları tutulmalıdır.
8. Sicil. m.16/2 uyarınca kayıt zorunluluğu kapsamında olup olmadığı değerlendirilir.

Sık yapılan hatalar

• Her işleme için açık rıza alınmaya çalışılması. m.5/2'deki bir şart varsa açık rıza aranmaz ve alınması yanıltıcı olur.
• Özel nitelikli verilerde eski rejime dayanılması. m.6, 7499 sayılı Kanunla yeniden düzenlenmiştir; m.6/2 mülgadır.
• m.6/4'teki yeterli önlemlerin atlanması. Şartlardan biri bulunsa dahi ek önlem zorunludur.
• Saklama süresi belirlenmemesi. m.4/2-d ve m.7 uyarınca süresiz saklama aykırıdır.
• Resen imha yükümlülüğünün göz ardı edilmesi. m.7/1, talebi beklemez.
• Ölçülülük ilkesinin ihmali. Amaçla bağlantısız veri toplanması m.4/2-ç'ye aykırıdır.
• Veri işleyenle sözleşme yapılmaması. m.12/2 müşterek sorumluluk getirir.
• Sicile kaydın işlemeye başladıktan sonra yapılması. m.16/2 kaydın işlemeye başlamadan önce yapılmasını arar.