İçeriğe atla
Bilgi Merkezi/Makale
Makale

KVKK Nedir? 6698 Sayılı Kanun, Yükümlülükler ve Cezalar

Kişisel veri, veri sorumlusu ve açık rıza ne demek? İşleme şartlarını, ilgili kişinin haklarını, veri güvenliğini, VERBİS'i ve cezaları anlattık.

Oğuzhan Gerçek··9 dk okuma
KVKK Nedir? 6698 Sayılı Kanun, Yükümlülükler ve Cezalar

Kısa cevap: KVKK, 7 Nisan 2016'da Resmî Gazete'de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. Kimliği belirli ya da belirlenebilir bir gerçek kişiye ait her bilgi kişisel veridir ve ancak kanundaki şartlardan birine dayanılarak işlenebilir. Veri sorumlusu, yani verinin neden ve nasıl işleneceğine karar veren kişi ya da kurum, ilgili kişiyi aydınlatmak, başvurularını cevaplamak, uygun teknik ve idari tedbirleri almak ve muaf değilse VERBİS'e kaydolmak zorundadır. Aydınlatma, veri güvenliği ve sicil yükümlülüklerine aykırılık idari para cezasına bağlıdır; kişisel verilere ilişkin suçlarda ise Türk Ceza Kanunu uygulanır.

KVKK nedir? Amacı ve kapsamı

Lexpera'daki konsolide metne göre 6698 sayılı Kanun 24 Mart 2016'da kabul edildi, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlandı. Amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumak ve veriyi işleyenlerin uyacağı kuralları belirlemektir (md. 1). Kanun, bu veriyi otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen gerçek ve tüzel kişilere uygulanır (md. 2). Veri kayıt sistemi, verinin belirli kriterlere göre yapılandırılarak işlendiği sistem olduğundan (md. 3) düzenli kâğıt kayıtlar da kapsama girebilir.

Kanunu Kişisel Verileri Koruma Kurumu uygular; Kurumun karar organı Kişisel Verileri Koruma Kuruludur (md. 19). Kısa tanımı sözlüğümüzde bulabilirsiniz.

Temel kavramlar: kişisel veri, veri sorumlusu, veri işleyen

Kanunun 3. maddesindeki tanımlar, veri gizliliği konusunun ortak dilidir:

  • Kişisel veri: Kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Kanunun işleme tanımı depolamayı da kapsar; yalnızca saklamak da işlemedir.
  • Özel nitelikli kişisel veri: 6. maddede sayılan ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ya da diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
  • İlgili kişi: Kişisel verisi işlenen gerçek kişi; müşteri, çalışan ya da aday.
  • Veri sorumlusu: İşleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek ya da tüzel kişi.
  • Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek ya da tüzel kişi; bordro ya da bulut hizmeti sağlayıcısı bu tanıma girebilir. Veri sorumlusu, güvenlik tedbirlerinden onunla müştereken sorumludur (md. 12/2).
  • Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
  • Anonim hâle getirme: Verinin, başka verilerle eşleştirilse bile hiçbir surette kimliği belirli ya da belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesi. İşlenme sebebi ortadan kalkan veri silinir, yok edilir ya da anonim hâle getirilir (md. 7).

Genel ilkeler ve işleme şartları (md. 4, 5 ve 6)

Her işleme beş ilkeye uymak zorundadır (md. 4): hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve gerektiğinde güncellik; belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü olma; mevzuatın öngördüğü ya da amacın gerektirdiği süre kadar saklama.

Kanunun 5. maddesinde kural açık rızadır. Şu yedi hâlde ise açık rıza aranmaz: kanunda açıkça öngörülme, fiili imkânsızlıkta hayatın ya da beden bütünlüğünün korunması, sözleşmenin kurulması ya da ifası, hukuki yükümlülük, alenileştirme, bir hakkın tesisi, kullanılması ya da korunması ve kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat. Üçüncü kişilere aktarım da aynı şartlara bağlıdır (md. 8).

12 Mart 2024'te yayımlanan 7499 sayılı Kanun, özel nitelikli veriyi açık rıza olmaksızın işlemeyi yasaklayan fıkrayı kaldırıp 6. maddedeki şartları yeniden yazdı; değişiklik 1 Haziran 2024'te yürürlüğe girdi. Bugün bu veriyi işlemek yasak, ama açık rıza, kanunda açıkça öngörülme, sır saklama yükümlülüğü altındakilerin sağlık hizmeti amacıyla işlemesi ve istihdam alanındaki hukuki yükümlülükler gibi sekiz hâlde mümkün; Kurulun belirlediği yeterli önlemleri almak da şart (md. 6). Aynı kanun, yurt dışına aktarımı düzenleyen 9. maddeyi baştan değiştirdi; aktarım yollarını yurt dışına aktarım yazımızda anlattık.

Aydınlatma yükümlülüğü ve ilgili kişinin hakları (md. 10, 11 ve 13)

Veri sorumlusu, veriyi elde ederken ilgili kişiye kimliğini, işleme amacını, verinin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini, hukuki sebebini ve kişinin haklarını bildirir (md. 10). Aydınlatma tebliğine göre bu yükümlülük talebe bağlı değil; açık rıza da alınıyorsa ondan ayrı yerine getirilmeli.

Kanunun 11. maddesine göre ilgili kişinin hakları şunlar:

  • Verinin işlenip işlenmediğini, işleme amacını ve aktarıldığı üçüncü kişileri öğrenme
  • Eksik ya da yanlış verinin düzeltilmesini, 7. maddedeki şartlarla silinmesini ya da yok edilmesini ve bunun aktarılan taraflara bildirilmesini isteme
  • Yalnızca otomatik analizle aleyhine çıkan sonuca itiraz etme
  • Hukuka aykırı işleme yüzünden uğradığı zararın giderilmesini isteme

Veri sorumlusu başvuruyu en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırır (md. 13). Başvurusu reddedilen, cevabı yetersiz bulan ya da cevap alamayan kişi, başvuru yolunu tükettikten sonra Kurula şikâyette bulunabilir (md. 14).

Veri güvenliği yükümlülüğü: teknik ve idari tedbirler (md. 12)

Kanunun 12. maddesi veri sorumlusundan, verinin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almasını ister; kanunun kurum içinde uygulanmasını denetlemesini ya da denetletmesini de bekler (md. 12/3).

Kanun tedbirleri tek tek saymaz. Kurulun özel nitelikli veriler için aldığı 2018/10 sayılı karar ise somut önlemler sıralar: kriptografik saklama, bütün işlemlerin loglanması, uzaktan erişimde en az iki kademeli kimlik doğrulama, sunucular arası aktarımda VPN ya da sFTP ve işten ayrılanın yetkisinin derhal kaldırılması. Bu başlıklar 12. madde için de başlangıç listesi olarak kullanılabilir:

  • Envanter: Sicil yönetmeliği, sicile kayıtla yükümlülerden amaçları, veri kategorilerini, saklama sürelerini ve tedbirleri gösteren bir kişisel veri işleme envanteri ister (md. 5/1-ç).
  • Erişim yetkisi: Kimin hangi veriye, ne kapsamda ve ne kadar süre eriştiği tanımlı olmalı; ayrıntısı IAM yazımızda, ikinci faktör MFA yazımızda.
  • Şifreleme ve kayıt: Veri şifreli saklanır, işlemler loglanır; kaydın ne kadar tutulacağı log saklama süreleri yazımızın konusu.
  • Veri kaybı önleme ve yedek: Verinin dışarı çıkışını denetleyen katmanı DLP yazımızda, yedekten beklentiyi yedekleme yazımızda anlattık.

Veri kanuni olmayan yollarla başkalarının eline geçerse veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir (md. 12/5). Bildirim hazırlığını veri ihlali bildirimi yazımızda, teknik tarafı Veri Güvenliği ve DLP sayfamızda ele alıyoruz.

VERBİS ve Veri Sorumluları Sicili (md. 16)

Sicil, Kurulun gözetiminde Başkanlık tarafından kamuya açık olarak tutulur. Kişisel veri işleyen gerçek ve tüzel kişiler işlemeye başlamadan önce kaydolmak zorundadır; Kurul ise verinin niteliği ve sayısı, işlemenin kanundan kaynaklanması ya da üçüncü kişilere aktarılması gibi objektif kriterlere bakarak istisna getirebilir (md. 16/2). Muafiyeti güncel Kurul kararlarından kontrol etmek gerekir.

Kayıt, sicil yönetmeliğinin tanımladığı VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) üzerinden yapılır; bildirim, güvenlik tedbirlerini ve azami saklama süresini de içerir (md. 16/3). Kayıtla yükümlü olanlar, silme yönetmeliği gereği bir saklama ve imha politikası da hazırlar; periyodik imhanın aralığı altı ayı geçemez. Envanter ve politika tarafını Yönetişim, Risk ve Uyum (GRC), uyumun bütününü KVKK / GDPR sayfamızda anlatıyoruz.

KVKK cezaları: idari para cezaları ve suçlar (md. 17 ve 18)

Kanunun 18. maddesi şu yükümlülüklere aykırılığı idari para cezasına bağlar: aydınlatma (md. 10), veri güvenliği (md. 12), Kurul kararlarına uyma (md. 15), sicile kayıt ve bildirim (md. 16) ve 2024'te eklenen standart sözleşme bildirimi (md. 9/5). Cezalar veri sorumlusu olan gerçek kişilere ve özel hukuk tüzel kişilerine uygulanır; standart sözleşme bildiriminde veri işleyen de muhatap olabilir (md. 18/2). Kamu kurumlarında görevliler hakkında disiplin hükümleri işler (md. 18/4). 2024'ten bu yana bu cezalara karşı idare mahkemesinde dava açılabiliyor (md. 18/3).

Tutarlar kanunda TL aralıkları olarak yazılı, ama Kabahatler Kanunu gereği her takvim yılı başında yeniden değerleme oranında artırılır (md. 17/7). Bu yüzden burada tutar vermiyoruz.

Suçlarda 17. madde Türk Ceza Kanunu'nun 135-140. maddelerine yollar; işlenme sebebi ortadan kalkan veriyi silmeyen ya da anonim hâle getirmeyen TCK'nın 138. maddesine göre cezalandırılır. Veri güvenliği yükümlülüğünün bir fidye yazılımı vakasında nasıl cezaya dönüştüğünü KVKK cezası yazımızda inceledik.

KVKK ile GDPR arasındaki farklar

AB'nin 27 Nisan 2016 tarihli Genel Veri Koruma Tüzüğü (GDPR) KVKK'dan birkaç somut noktada ayrılır:

  • Hukuki dayanak: Tüzükte rıza, meşru menfaatin de bulunduğu altı dayanaktan biridir (md. 6). KVKK'da açık rıza kural, diğer şartlar istisnadır.
  • Sicil: Tüzük, 95/46/EC sayılı direktifteki genel bildirim yükümlülüğünü kaldırdı (89. gerekçe); veri sorumlusu bazı istisnalar dışında işleme kaydı tutar ve istenirse denetim makamına sunar (md. 30). KVKK ise kamuya açık sicile kayıt ister.
  • Özel nitelikli veri: KVKK'nın saydığı kılık ve kıyafet, dernek ve vakıf üyeliği ile ceza mahkûmiyeti Tüzüğün 9. maddesinde yok; ceza mahkûmiyetine ilişkin veriyi Tüzüğün 10. maddesi düzenler.
  • Para cezası: Avrupa Komisyonuna göre GDPR cezası 20 milyon euroya ya da yıllık küresel cironun %4'üne kadar çıkabilir; KVKK'da tutarlar ciroya bağlı değil.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır, hukuki görüş değildir.

Sık sorulan sorular

KVKK ne demek? 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. Kanun, kişisel verinin hangi şartlarla işlenebileceğini ve işleyenin yükümlülüklerini belirler.

Veri sorumlusu nedir? İşleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminden sorumlu gerçek ya da tüzel kişidir. Veriyi onun adına işleyen taraf ise veri işleyendir.

Açık rıza her zaman gerekli mi? Hayır. Sözleşmenin ifası, hukuki yükümlülük ya da meşru menfaat gibi 5. maddedeki şartlardan biri varsa açık rıza aranmaz.

KVKK cezaları nelerdir? Aydınlatma, veri güvenliği, Kurul kararları, sicil ve standart sözleşme bildirimi yükümlülüklerine aykırılık idari para cezasına bağlıdır; tutarlar her yıl yeniden değerlenir. Kişisel veri suçlarında Türk Ceza Kanunu uygulanır.

VERBİS kaydı herkes için zorunlu mu? Kural olarak evet; ancak Kurul objektif kriterlere göre kayıt zorunluluğuna istisna getirebilir.

KVKK ile GDPR arasındaki fark nedir? Hukuki dayanakların kurgusu, sicil kaydı, özel nitelikli veri listesi ve ceza sistemi farklıdır.

Kaynaklar