Dijital çağda, kişisel verilerimiz (kimlik bilgilerimiz, iletişim bilgilerimiz, sağlık verilerimiz, finansal bilgilerimiz vb.) şirketler, kamu kurumları ve diğer kuruluşlar tarafından sürekli olarak toplanmakta, işlenmekte ve depolanmaktadır. Bu durum, kişisel verilerin kötüye kullanılması, yetkisiz kişilerle paylaşılması veya siber saldırılara maruz kalması gibi ciddi riskleri de beraberinde getirmektedir. Türkiye’de, bireylerin temel hak ve özgürlüklerini korumak amacıyla kişisel verilerin işlenmesini düzenleyen temel kanun, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). Bu kanun, bireylere kişisel verileri üzerinde kontrol sahibi olma hakkı tanır ve veri işleyen kuruluşlara (veri sorumluları) önemli yükümlülükler getirir.
Yasal Çerçeve: KVKK’nın Amacı ve Temel Kavramlar
KVKK’nın temel amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve bu verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (ad, soyad, TC kimlik numarası, telefon, e-posta, IP adresi, fotoğraf vb.).
- Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bu veriler, daha sıkı koruma altındadır.
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi (örneğin, bir şirket, bir hastane, bir e-ticaret sitesi).
- İlgili Kişi: Kişisel verisi işlenen gerçek kişi (yani, bizler).
KVKK Kapsamında İlgili Kişinin (Bireylerin) Hakları
KVKK’nın 11. maddesi, kişisel verisi işlenen herkesin sahip olduğu hakları açıkça saymıştır. Herkes, veri sorumlusuna başvurarak kendisiyle ilgili şu hakları kullanabilir:
- Bilgi Edinme Hakkı:
- Kişisel verilerinin işlenip işlenmediğini öğrenme.
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.
- Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
- Veri Aktarımı Hakkında Bilgi Alma Hakkı:
- Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme.
- Verilerin Düzeltilmesini, Silinmesini veya Yok Edilmesini İsteme Hakkı:
- Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.
- KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinin silinmesini veya yok edilmesini isteme.
- Bu düzeltme, silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
- İtiraz Hakkı:
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
- Zararın Giderilmesini Talep Etme Hakkı:
- Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Veri Sorumlusunun Yükümlülükleri
KVKK, veri sorumlularına da önemli yükümlülükler getirmiştir:
- Aydınlatma Yükümlülüğü: Veri sorumlusu, kişisel verileri toplarken ilgili kişiyi; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmek zorundadır.
- Açık Rıza Alma Yükümlülüğü: Kural olarak, kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması gibi kanunda sayılan istisnai durumlarda açık rıza aranmaz.
- Veri Güvenliğini Sağlama Yükümlülüğü: Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini, erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.
- Kişisel Verileri Koruma Kurumu’na Bildirim Yükümlülüğü: Veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kaydolmak ve veri işleme faaliyetleriyle ilgili bilgileri bildirmekle yükümlüdür.
Hakların Kullanılması ve Başvuru Süreci
KVKK kapsamındaki haklarını kullanmak isteyen bir kişi, öncelikle ilgili veri sorumlusuna yazılı olarak veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle başvurmalıdır. Veri sorumlusu, bu talebi en geç 30 gün içinde ücretsiz olarak sonuçlandırmak zorundadır.
Eğer veri sorumlusu talebi reddeder, cevabı yetersiz bulur veya süresinde cevap vermezse, ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikayette bulunabilir. Kurul, şikayet üzerine gerekli incelemeyi yapar ve veri sorumlusuna talimatlar verebilir veya idari para cezası uygulayabilir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bireylere kişisel verileri üzerinde önemli haklar ve kontrol mekanizmaları sunmaktadır. Bilgi edinme, verilerin düzeltilmesini veya silinmesini isteme, veri aktarımını sorgulama ve zararın giderilmesini talep etme gibi haklar, kişisel verilerimizin güvenliğini sağlamak için en önemli araçlardır. Veri işleyen kuruluşların ise aydınlatma, açık rıza alma ve veri güvenliğini sağlama gibi ciddi yükümlülükleri bulunmaktadır. Kişisel verilerinin ihlal edildiğini düşünen bireylerin, öncelikle veri sorumlusuna başvurması, sonuç alamaması halinde ise Kişisel Verileri Koruma Kurulu’na şikayette bulunması gerekmektedir. Bu süreçte bir bilişim veya KVKK hukuku avukatından destek almak, hakların etkin bir şekilde korunmasını sağlayacaktır.