Önce veri sorumlusuna başvuru zorunludur
Verilerinizin hukuka aykırı işlendiğini düşünüyorsanız doğrudan Kurula şikayet edemezsiniz; önce veri sorumlusuna başvurmanız gerekir (Kişisel Verilerin Korunması Kanunu m. 14/2). Veri sorumlusu 30 gün içinde cevap vermezse veya cevap yetersizse, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her halde başvurudan itibaren 60 gün içinde Kurula şikayette bulunabilirsiniz.
KVKK avukatı hangi işlere bakar?
Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir: ad, kimlik numarası, telefon, adres, kamera görüntüsü, sağlık kaydı, konum bilgisi. 6698 sayılı Kişisel Verilerin Korunması Kanunu, bu verileri işleyen herkese (şirketler, sağlık kuruluşları, siteler, dernekler, serbest meslek sahipleri) yükümlülükler getirir ve verisi işlenen kişilere haklar tanır.
KVKK avukatı işletmeler bakımından uyum sürecinin kurulması, metinlerin hazırlanması, VERBİS kaydı, veri ihlali bildirimi, Kurul incelemelerinde savunma ve idari para cezalarına karşı dava; bireyler bakımından ise başvuru, şikayet ve tazminat taleplerinde hukuki yardımda bulunur.
Kişisel veri hangi şartlarla işlenebilir?
Her veri işleme faaliyeti Kanun'daki genel ilkelere uygun olmalıdır: hukuka ve dürüstlük kurallarına uygunluk; verinin doğru ve güncel olması; belirli, açık ve meşru amaçlarla işlenmesi; amaçla bağlantılı, sınırlı ve ölçülü olması; gerekli olan süre kadar saklanması (m. 4). Kural olarak kişisel veri, ilgili kişinin açık rızası olmadan işlenemez. Ancak şu hallerden biri varsa açık rıza aranmaz (m. 5):
- Kanunlarda açıkça öngörülmesi
- Fiili imkansızlık nedeniyle rızasını açıklayamayacak kişinin hayatının veya beden bütünlüğünün korunması için zorunlu olması
- Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- Verinin ilgili kişi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması
Uygulamadaki en yaygın hata, bu şartlardan biri zaten varken ayrıca açık rıza alınması veya hizmetin açık rıza şartına bağlanmasıdır. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır; toplu ve genel ifadelerle alınan rıza geçerli sayılmayabilir.
Sağlık verisi gibi özel nitelikli veriler nasıl işlenir?
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir (m. 6/1). Bu verilerin işlenmesi kural olarak yasaktır.
2 Mart 2024 tarihli değişiklikle işleme şartları yeniden düzenlenmiştir (m. 6/3). Açık rıza dışında; kanunlarda açıkça öngörülme, bir hakkın tesisi veya korunması için zorunluluk, sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi gibi hallerde de bu veriler işlenebilir. Her durumda Kurul'un belirlediği yeterli önlemlerin alınması şarttır (m. 6/4).
KVKK işletmelere hangi yükümlülükleri getirir?
Aydınlatma yükümlülüğü · m. 10
Veri elde edilirken ilgili kişiye; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile sahip olduğu haklar bildirilmelidir. Aydınlatma, açık rızadan ayrı bir yükümlülüktür ve her veri işleme faaliyetinde yerine getirilir.
Veri güvenliği · m. 12
Veri sorumlusu; verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır. Veriler başka bir kişi tarafından işleniyorsa (muhasebe, bulut hizmeti, çağrı merkezi gibi) veri sorumlusu bu kişiyle birlikte müştereken sorumludur.
VERBİS kaydı · m. 16
Kişisel veri işleyenler, veri işlemeye başlamadan önce Veri Sorumluları Sicili'ne kaydolmak zorundadır. Kurul, çalışan sayısı ve mali bilanço gibi ölçütlere göre bazı veri sorumlularını bu yükümlülükten istisna tutmuştur; ancak özel nitelikli veri işleyenlerde istisna dar uygulanır. Kayıttan muaf olmak, Kanun'un diğer yükümlülüklerinden muaf olmak anlamına gelmez.
Yurt dışına veri aktarımı · m. 9
Yurt dışına aktarım kuralları 2 Mart 2024 tarihli değişiklikle yeniden düzenlenmiştir. Aktarım; ilgili ülke hakkında yeterlilik kararı bulunmasına, bu yoksa Kanun'da sayılan uygun güvencelerin sağlanmasına bağlıdır. Sunucusu yurt dışında bulunan e-posta, bulut ve yazılım hizmetlerinin kullanımı da aktarım sayılabilir.
Uyum çalışması genellikle şu adımlarla yürütülür: işlenen verilerin ve işleme amaçlarının envanterinin çıkarılması, her faaliyet için hukuki sebebin belirlenmesi, aydınlatma ve açık rıza metinlerinin hazırlanması, saklama ve imha politikasının oluşturulması, çalışan ve tedarikçi sözleşmelerine gizlilik hükümlerinin eklenmesi, teknik tedbirlerin gözden geçirilmesi ve başvuru yanıtlama usulünün belirlenmesi.
Verisi işlenen kişinin hakları nelerdir, nasıl kullanılır?
Herkes veri sorumlusuna başvurarak; kendisiyle ilgili veri işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve verilerin aktarıldığı üçüncü kişileri öğrenme, eksik veya yanlış verilerin düzeltilmesini, şartları varsa silinmesini veya yok edilmesini isteme ve verilerin kanuna aykırı işlenmesi nedeniyle uğradığı zararın giderilmesini talep etme haklarına sahiptir (m. 11).
Veri sorumlusuna başvuru
Talep, veri sorumlusuna yazılı olarak veya Kurul'un belirlediği diğer yöntemlerle iletilir. Veri sorumlusu talebi en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırır; talebi kabul eder veya gerekçesini açıklayarak reddeder (m. 13).
Kurula şikayet
Başvuru reddedilirse, cevap yetersiz bulunursa veya süresinde cevap verilmezse; cevabın öğrenildiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunulabilir (m. 14). Kurul 60 gün içinde cevap vermezse talep reddedilmiş sayılır (m. 15/4).
Tazminat ve ceza şikayeti
Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat isteme hakkı saklıdır (m. 14/3). Verilerin hukuka aykırı kaydedilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi ayrıca Türk Ceza Kanunu'nun 135 ila 140. maddelerinde suç olarak düzenlenmiştir (m. 17); bu fiiller için Cumhuriyet başsavcılığına şikayette bulunulabilir.
Veri ihlali yaşandığında ne yapılmalıdır?
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde (siber saldırı, yanlış kişiye e-posta gönderimi, kayıp veya çalınan cihaz, yetkisiz çalışan erişimi gibi) veri sorumlusu bu durumu en kısa sürede ilgili kişilere ve Kurul'a bildirmek zorundadır (m. 12/5). Kurul uygulamasında Kurul'a bildirimin, ihlalin öğrenilmesinden itibaren 72 saat içinde yapılması beklenir.
- İhlalin kapsamı belirlenir: hangi veriler, kaç kişi, hangi tarih aralığı.
- İhlalin sürmesini önleyecek teknik tedbirler alınır ve kayıt altına alınır.
- Kurul'a ihlal bildirim formu ile bildirim yapılır; etkilenen kişilere makul sürede bilgi verilir.
- İhlalin nedeni ve alınan önlemler belgelenir; Kurul'un isteyeceği bilgi ve belgeler 15 gün içinde gönderilir (m. 15/3).
KVKK idari para cezaları hangi hallerde verilir, nasıl itiraz edilir?
Kurul; aydınlatma yükümlülüğünü yerine getirmeyenlere, veri güvenliğine ilişkin yükümlülüklere aykırı davrananlara, Kurul kararlarını yerine getirmeyenlere, VERBİS kayıt ve bildirim yükümlülüğüne uymayanlara ve yurt dışına aktarıma ilişkin bildirim yükümlülüğünü yerine getirmeyenlere idari para cezası verebilir (m. 18). Ceza tutarları her yıl yeniden değerleme oranında artırıldığından güncel alt ve üst sınırlar Kurul'un duyurularından takip edilmelidir.
2 Mart 2024 tarihli değişiklikle, Kurul'ca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceği düzenlenmiştir (m. 18/3). İdari yargıda dava açma süresi kural olarak 60 gündür; süreler ve yürütmenin durdurulması için idare hukuku sayfasına bakabilirsiniz. İhlal tespit edildiğinde Kurul ayrıca hukuka aykırılığın giderilmesine karar verir; bu karar en geç 30 gün içinde yerine getirilmelidir (m. 15/5).
Uygulamada en sık hangi KVKK sorunları yaşanır?
- Kamera kayıtları: İşyeri, site ve apartmanlarda kamera kullanımı güvenlik amacıyla sınırlı olmalı, izlenen alan ölçülü belirlenmeli ve aydınlatma yapılmalıdır.
- Çalışan verileri: Özlük dosyası, sağlık raporu, parmak izi ve yüz tanıma gibi veriler iş ilişkisinin en sık uyuşmazlık konusudur; biyometrik veri özel niteliklidir. İş ilişkisine dair haklar için iş hukuku sayfasına bakabilirsiniz.
- İzinsiz ticari ileti: Rıza alınmadan gönderilen SMS ve e-postalar hem KVKK hem elektronik ticaret mevzuatı bakımından şikayete konu olabilir.
- Sağlık kuruluşları: Hasta kayıtları özel nitelikli veridir; erişim yetkileri ve saklama süreleri ayrıca düzenlenmelidir. Bu konuda sağlık hukuku sayfasına bakabilirsiniz.
- İnternet siteleri: Çerez kullanımı, iletişim formları ve üyelik kayıtları için aydınlatma metni ve gerektiğinde açık rıza mekanizması bulunmalıdır.
KVKK başvuruları ve davaları nerede görülür?
Şikayetler Ankara'daki Kişisel Verileri Koruma Kurulu'na yazılı olarak veya Kurum'un çevrim içi şikayet modülü üzerinden yapılır; bu nedenle başvuranın bulunduğu şehir önem taşımaz. Tazminat davaları genel mahkemelerde, kişisel verilere ilişkin suçlara dair şikayetler Cumhuriyet başsavcılıklarında, Kurul'un idari para cezalarına karşı davalar idare mahkemelerinde görülür.
Büromuz Karabük merkezdedir. Uyum çalışmaları işletmenin veri envanteri üzerinden yürütüldüğü için başka şehirlerdeki işletmelerle de online danışmanlık yoluyla görüşme yapılabilir.
KVKK başvurularında avukat zorunlu mudur, ücret nasıl belirlenir?
Veri sorumlusuna başvuru ve Kurul'a şikayet için avukatla temsil zorunlu değildir. İşletmeler bakımından uyum süreci; hukuki sebeplerin doğru belirlenmesi ve metinlerin işletmenin gerçek veri akışına göre hazırlanması gerektiğinden hazır şablonlarla yürütüldüğünde Kurul incelemesinde yetersiz kalabilir.
Avukatlık ücreti, işin kapsamına göre avukatla yapılan yazılı sözleşmeyle belirlenir; Türkiye Barolar Birliği'nin her yıl yayımladığı Avukatlık Asgari Ücret Tarifesi'nin altında ücret kararlaştırılamaz. Danışma görüşmesinin süresi, ücreti ve işleyişi online danışmanlık sayfasında yazılıdır.
KVKK alanındaki hizmetler
- Aydınlatma ve Açık Rıza Metinleri
- VERBİS Kaydı
- Kişisel Veri İşleme Envanteri
- Veri İhlali Bildirimi
- İlgili Kişi Başvurularının Yanıtlanması
- Kişisel Verileri Koruma Kuruluna Şikayet
- İdari Para Cezalarına İtiraz
- Hukuka Aykırı Veri İşleme Nedeniyle Tazminat
İlgili sayfalar
İlgili çalışma alanları
Tüm yazılar: makaleler
Kişisel Verilerin Korunması Hukuku alanında çalışan avukatlar
Av. Yusuf ÇOLAK
Yönetici Ortak & Avukat
Sık sorulan sorular
Kişisel verilerim izinsiz kullanılıyor, ne yapabilirim?
Önce veri sorumlusuna yazılı olarak başvurun ve verilerinizin silinmesini veya işlemenin durdurulmasını isteyin. 30 gün içinde cevap verilmezse veya cevap yetersizse Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsiniz. Ayrıca tazminat davası açma ve fiil suç oluşturuyorsa savcılığa şikayet hakkınız vardır.
Kurula şikayet süresi ne kadardır?
Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren 30 gün ve her halde veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde şikayet edilmelidir. Veri sorumlusuna başvurmadan doğrudan Kurula şikayet edilemez.
Her işletme VERBİS'e kaydolmak zorunda mı?
Kural olarak evet; ancak Kurul, çalışan sayısı ve yıllık mali bilanço gibi ölçütlere göre bazı işletmeleri kayıt yükümlülüğünden istisna tutmuştur. İstisna kapsamında olmak aydınlatma, veri güvenliği ve başvuruları yanıtlama yükümlülüklerini kaldırmaz.
Açık rıza her durumda gerekli midir?
Hayır. Veri işleme bir sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi Kanun'daki şartlardan birine dayanıyorsa açık rıza aranmaz. Bu hallerde gereksiz yere açık rıza alınması Kurul tarafından hukuka aykırı bulunabilmektedir.
Aydınlatma metni ile açık rıza metni aynı şey midir?
Hayır. Aydınlatma, verinin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiğinin bildirilmesidir ve her durumda yapılır. Açık rıza ise yalnızca diğer işleme şartları bulunmadığında alınır. İki metnin ayrı düzenlenmesi gerekir.
Veri ihlali Kurula ne kadar sürede bildirilmelidir?
Kanun bildirimin en kısa sürede yapılmasını öngörür. Kurul uygulamasında bu süre, ihlalin öğrenilmesinden itibaren 72 saat olarak kabul edilmektedir. Etkilenen kişilere de makul sürede bilgi verilmelidir.
KVKK idari para cezasına nereye itiraz edilir?
Kurulca verilen idari para cezalarına karşı idare mahkemesinde dava açılır. Dava açma süresi kural olarak kararın tebliğinden itibaren 60 gündür.
İşyerinde kamera ile izleme hukuka uygun mudur?
Güvenlik amacıyla, ölçülü biçimde ve çalışanlar bilgilendirilerek yapılan izleme hukuka uygun olabilir. Soyunma odası ve tuvalet gibi mahremiyet alanlarının izlenmesi, ses kaydı alınması ve kayıtların amacı dışında kullanılması hukuka aykırıdır.
Verilerimin silinmesini isteyebilir miyim?
İşlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini veya yok edilmesini isteyebilirsiniz. Veri sorumlusunun kanundan doğan saklama yükümlülüğü devam ediyorsa (örneğin fatura ve muhasebe kayıtları) talep bu süre sonuna kadar reddedilebilir.
Kişisel verilerin ihlali suç mudur?
Kişisel verilerin hukuka aykırı kaydedilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi ile süresi geçtiği halde verilerin yok edilmemesi Türk Ceza Kanunu'nda suç olarak düzenlenmiştir. Bu fiiller için savcılığa şikayette bulunulabilir.