KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemeyi amaçlar.
Bu rehberde KVKK'nın ne olduğunu, temel kavramlarını, veri işlemenin şartlarını ve şirketlerin yükümlülüklerini resmi kaynaklara dayanarak açıklıyoruz.
KVKK Nedir?
KVKK, 7 Nisan 2016 tarihinde Resmî Gazete'de yayımlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur. Kanun; kişisel verilerin işlenme şartlarını, veri sorumlusunun yükümlülüklerini, ilgili kişinin haklarını ve Kişisel Verileri Koruma Kurumu ile Kurulu'nun görev ve yetkilerini düzenler. Kanun, Anayasa'nın 20. maddesinde güvence altına alınan kişisel verilerin korunması hakkının somut çerçevesini çizer.
Kişisel Veri Nedir?
Kanun'un 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad-soyad, T.C. kimlik numarası, telefon, e-posta, adres, IP adresi, konum ve fotoğraf kişisel veriye örnektir. Sağlık, biyometrik, genetik veriler, din, etnik köken, ceza mahkûmiyeti gibi veriler ise özel nitelikli kişisel veri sayılır ve daha sıkı korunur.
KVKK'nın Temel İlkeleri Nelerdir?
Kanun'un 4. maddesi, kişisel verilerin işlenmesinde uyulması zorunlu genel ilkeleri sayar:
- Hukuka ve dürüstlük kurallarına uygun olma,
- Doğru ve gerektiğinde güncel olma,
- Belirli, açık ve meşru amaçlar için işlenme,
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilme.
Kişisel Veri Hangi Şartlarda İşlenebilir?
Kişisel veriler kural olarak ilgili kişinin açık rızası ile işlenir. Ancak Kanun'un 5. maddesinde sayılan hâllerde (kanunlarda açıkça öngörülme, bir sözleşmenin ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin kendisi tarafından alenileştirilmesi, bir hakkın tesisi/kullanılması, meşru menfaat vb.) açık rıza aranmaksızın da işleme yapılabilir. Özel nitelikli verilerde ise şartlar 6. maddede ayrıca ve daha dar biçimde düzenlenmiştir.
Şirketlerin KVKK Yükümlülükleri Nelerdir?
Veri sorumlusu sıfatındaki şirketlerin başlıca yükümlülükleri şunlardır: aydınlatma yükümlülüğünü yerine getirmek (Md. 10), veri güvenliğine ilişkin teknik ve idari tedbirleri almak (Md. 12), gerekiyorsa VERBİS'e kayıt olmak (Md. 16) ve ilgili kişilerin başvurularını Kanun'un 13. maddesindeki sürelerde yanıtlamak.
Sıkça Sorulan Sorular
KVKK kimleri kapsar?
Kişisel veri işleyen tüm gerçek kişileri ve özel/kamu tüzel kişilerini kapsar. Küçük işletmeler dâhil, müşteri veya çalışan verisi işleyen herkes Kanun'a tabidir.
KVKK ile GDPR aynı mı?
Benzer ilkelere dayanır ancak aynı değildir. KVKK Türkiye'nin ulusal düzenlemesidir; AB'de yerleşik veri işleyenler için GDPR ayrıca geçerli olabilir.
KVKK'ya uyum için nereden başlanır?
Veri envanteri çıkarmak, aydınlatma metinlerini hazırlamak, açık rıza süreçlerini kurmak, teknik/idari tedbirleri almak ve gerekiyorsa VERBİS kaydını tamamlamakla başlanır.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).