Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir; bu verileri işleme amaçlarını ve vasıtalarını belirleyen kişi veri sorumlusudur (6698 sayılı KVKK m. 3). Sağlık, din, sendika üyeliği, biyometrik ve genetik veriler gibi “özel nitelikli” veriler ise kural olarak işlenemez; kanunda sayılan şartlardan biri varsa ve Kurulca belirlenen yeterli önlemler alınmışsa işlenebilir (KVKK m. 6).
Bu yazı, kişisel verinin ne olduğunu, veri sorumlusu ile veri işleyen arasındaki farkı, kanunun kapsamını ve istisnalarını, işleme ilkelerini ve özel nitelikli kişisel verilerin hangi şartlarla işlenebildiğini anlatır.
Bu yazıda
- Kişisel veri ve “işleme” ne demektir?
- Veri sorumlusu, veri işleyen ve kuruluşun karar organı
- Kanunun kapsamı: kâğıt dosyalar, aile içi kullanım ve istisnalar
- Temel işleme ilkeleri: fazla veri, yanlış veri, saklama süresi
- Özel nitelikli kişisel veriler: liste ve genel yasak
- Özel nitelikli veriyi işlemeye imkân veren hâller
- Gündelik örnekler: parmak izi, sendika, sabıka, sağlık raporu
- Kaynaklar
Kişisel veri ve “işleme” ne demektir?
Kanunun tanımı geniştir: ad, soyad ve telefon numarası gibi kimliği doğrudan gösteren bilgiler kadar, başka bilgilerle birleştirildiğinde bir kişiyi belirlenebilir kılan bilgiler de kişisel veridir. Yani tek başına anlamsız görünen bir kayıt, bir araya getirildiğinde sizi tanımlıyorsa kapsama girer (KVKK m. 3).
“İşleme” de yalnızca kaydetmek anlamına gelmez. Kanuna göre verinin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde yapılan her türlü işlem, işleme sayılır. Bir müşteri listesini depolamak da, onu başka bir firmayla paylaşmak da işlemedir.
Veri sorumlusu ve veri işleyen kim?
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bir işletme, dernek ya da şirket müşteri ve çalışan verileri bakımından veri sorumlusu olabilir.
Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Amaçları ve vasıtaları belirleyen veri sorumlusudur; veri işleyen bu çerçevede onun adına hareket eder. Örneğin bordro hizmeti veren dış firma bu konumda olabilir. Uygulamada kimin hangi konumda olduğu somut yapıya bağlıdır; hastane ile doktor, şirket ile bulut sağlayıcısı gibi ikililerde bu sorunun cevabı sözleşmelere ve fiilî duruma bakılarak verilir.
Bu ayrım sorumluluk bakımından önemlidir. Veri sorumlusu, verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, güvenlik tedbirlerinin alınması konusunda bu kişilerle birlikte müştereken sorumludur (KVKK m. 12). Bu nedenle veri işleyenle yapılan sözleşmede güvenlik şartlarının açıkça yazılması önerilir.
Kurum ve Kurul: karar organı kimdir?
Kişisel Verileri Koruma Kurumunun merkezi Ankara’dadır. Kurum, Kurul ve Başkanlıktan oluşur; Kurumun karar organı Kuruldur. Kurul dokuz üyeden oluşur ve görev alanıyla ilgili hiçbir makam Kurula emir veya talimat veremez (KVKK m. 19 ve 21). Kurul; kişisel verilerin temel hak ve özgürlüklere uygun işlenmesini sağlar, ihlal iddiasıyla yapılan şikâyetleri karara bağlar, gerektiğinde geçici önlem alır, Veri Sorumluları Sicilinin tutulmasını sağlar ve kanunda öngörülen idari yaptırımlara karar verir (KVKK m. 22).
Kanunun kapsamı ve istisnaları
Kâğıt dosyadaki müşteri bilgileri de kapsama girebilir, ancak bunun için verilerin bir veri kayıt sisteminin parçası olması gerekir. Belirli ölçütlere göre düzenlenmiş bir klasör ya da fihrist sistemi varsa kâğıt kayıtlar da kanuna tabidir (KVKK m. 2 ve 3).
Kanun şu hâllerde uygulanmaz (KVKK m. 28/1):
- Gerçek kişilerin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında, verilerin üçüncü kişilere verilmemesi ve veri güvenliği yükümlülüklerine uyulması kaydıyla işlediği veriler; örneğin aile içinde tutulan telefon rehberi.
- Millî güvenlik, kamu düzeni, özel hayatın gizliliği veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla sanat, tarih, edebiyat, bilimsel amaçlarla veya ifade özgürlüğü kapsamında işlenen veriler. Bu istisna sınırsız değildir.
- Soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından yapılan işlemeler.
Kamu kurumları ise kapsamın dışında değildir: kanun, kişisel verileri işleyen gerçek ve tüzel kişiler hakkında uygulanır. Kamu kurumlarında ihlal olursa Kurulun bildirimi üzerine görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir (KVKK m. 2 ve 18).
Temel işleme ilkeleri
Kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli ve gerekli süre kadar saklanmalıdır (KVKK m. 4). Bu ilkeler pratikte şu sonuçlara varır:
- Fazla veri istenemez. Amaçla ilgisi olmayan ya da gereğinden fazla bilgi istemek ilkeye aykırılık riski doğurur; böyle bir talep karşısında verinin neden gerektiğini sorabilirsiniz.
- Yanlış bilgi düzeltilmelidir. Eksik veya yanlış işlenmiş verilerin düzeltilmesini veri sorumlusuna başvurarak isteyebilirsiniz; başvurunuzu yazılı yapıp düzeltilmesini istediğiniz bilgiyi belgeyle göstermeniz yararlı olur (KVKK m. 4 ve 11).
- Saklama sonsuz değildir. Veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. İşlenmesini gerektiren sebepler ortadan kalkarsa veriler resen veya talep üzerine silinir, yok edilir ya da anonim hâle getirilir (KVKK m. 4 ve 7).
Özel nitelikli kişisel veriler
Kanun bazı verileri, hukuka aykırı işlenmeleri hâlinde kişiyi ayrımcılık veya mağduriyet riskiyle karşı karşıya bıraktığı için ayrıca korur. Özel nitelikli sayılan veriler şunlardır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler (KVKK m. 6).
Kural olarak bu verilerin işlenmesi yasaktır. Sağlığa ilişkin veri ile biyometrik ve genetik veri kanunda ayrı ayrı sayılmış olsa da hepsi aynı yasak ve istisna rejimine tabidir. Kılık kıyafet bilgisi de listededir; dolayısıyla bu tür bilgilerin toplanması genel kişisel verilere göre daha sıkı koşullara bağlıdır.
Özel nitelikli veri hangi hâllerde işlenebilir?
Yasak mutlak değildir. Açık rıza, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunlu olma ve sağlık hizmetlerinin yürütülmesi gibi sayılan hâllerden biri varsa işleme mümkündür. Ancak her hâlde Kurulca belirlenen yeterli önlemlerin alınması şarttır (KVKK m. 6/3 ve 4). Bu önlem şartı önemlidir: açık rıza almak güvenlik önlemlerini gereksiz kılmaz.
- İstihdam ve sosyal güvenlik: İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâlinde işveren özel nitelikli verileri işleyebilir; örneğin çalışanın sağlık raporu. Yine de Kurulca belirlenen önlemler alınmak zorundadır.
- Dernek ve benzeri kuruluşlar: Siyasi, felsefi, dini veya sendikal amaçlarla kurulan kuruluşlar, mevzuata ve amaçlarına uygun, faaliyet alanıyla sınırlı olmak ve üçüncü kişilere açıklamamak kaydıyla mevcut veya eski üyelerine ilişkin verileri işleyebilir.
- Hakkın korunması: Dava yoluyla hak aranırken sağlık bilgisinin delil olarak kullanılması mümkündür; ancak zorunluluk ölçütü önemlidir ve yalnızca uyuşmazlıkla doğrudan ilgili bilgilerin dosyaya sunulması gerekir.
Gündelik örnekler
Parmak izi ve yüz tanıma: Biyometrik veri özel nitelikli sayıldığı için parmak izi ile giriş-çıkış gibi uygulamalarda dayanak şartı ve Kurulca belirlenen önlemler daha sıkı değerlendirilir.
Sendika üyeliği: İşverenin üyeliğinizi öğrenip kayda geçirmesi, açık rıza, kanunda açıkça öngörülme veya istihdama ilişkin hukuki yükümlülük gibi bir şart yoksa hukuka aykırı olabilir.
Sabıka kaydı: Ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veri de özel nitelikli olduğundan aynı yasak ve istisna sistemine tabidir.
İşyerinde kameralarla ilgili sorular için kişisel verilerin korunmasına ilişkin ihlal kararlarını da inceleyebilirsiniz.
Sık yapılan hatalar
- “Rıza aldık” diyerek güvenlik önlemlerini ihmal etmek.
- Adres veya telefon gibi bilgilerin, tek başına kimliği göstermese de birleştirildiğinde kişisel veri olduğunu unutmak.
- Veri işleyen firmayla yapılan sözleşmede güvenlik şartlarını yazmamak.
- Mahkeme dosyasına gereğinden fazla sağlık bilgisi sunmak.