KVKK Avukatı: Kişisel Verilerin Korunması ve Bilişim Hukuku

Bu sayfa kimin için: birey de, şirket de

KVKK iki ayrı kitleyi aynı anda ilgilendirir ve bu sayfa her ikisi için de yazıldı:

• Veri sorumlusu işletmeler: çalışanı olan her şirket, e-ticaret ve internet siteleri, sağlık kuruluşları, eğitim kurumları, emlak ofisleri, muhasebe ve danışmanlık büroları, site ve apartman yönetimleri — yani müşterisinin, çalışanının ya da üyesinin verisini tutan herkes.
• Kişisel verisi ihlal edilen bireyler: verisi izinsiz paylaşılan, rızası olmadan ticari ileti (SMS/e-posta) alan, eski işvereni ya da bir şirket tarafından verisi hukuka aykırı işlenen kişiler.

Eğer ilk gruptaysanız hedefiniz cezadan ve itibar kaybından korunmak; ikinci gruptaysanız hedefiniz Kurula şikâyet, verinin silinmesi ve gerektiğinde tazminat. Aşağıda iki tarafı da somut adımlarla anlatıyoruz.

KVKK nedir, hangi mevzuata dayanır?

Kişisel verilerin korunması Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir; Kanun 7 Nisan 2016'da yürürlüğe girmiştir. Anayasa'nın 20. maddesinin son fıkrası da kişisel verilerin korunmasını temel bir hak olarak güvence altına alır. Kanunu uygulayan kurum Kişisel Verileri Koruma Kurumu, karar veren organ ise Kişisel Verileri Koruma Kurulu'dur (kısaca Kurul). Günlük uygulamayı asıl şekillendiren, Kurul'un yayımladığı kararlar ve ilke kararlarıdır.

Kanun hem veri sorumlusunu (verinin işleme amaç ve araçlarını belirleyen) hem de onun adına veri işleyen veri işleyeni kapsar; Türkiye'de yerleşik birey ve kurumların verisini işleyen yurt dışı şirketler de belirli hâllerde Kanun kapsamına girer.

Kişisel veri ve özel nitelikli veri nedir?

Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir: ad-soyad, T.C. kimlik numarası, telefon, e-posta, adres, IP, konum, kamera kaydı, hatta tek başına anlam taşımasa da kişiyi tanınır kılan veri parçaları. Özel nitelikli (hassas) kişisel veri ise daha sıkı korunur: sağlık, cinsel hayat, ırk, etnik köken, din-mezhep, siyasi düşünce, sendika üyeliği, ceza mahkûmiyeti, biyometrik ve genetik veriler (KVKK m. 6).

Veri işlemenin hukuka uygunluğu: açık rıza ve diğer şartlar

Kişisel veri ancak bir hukuka uygunluk sebebine dayanılarak işlenebilir. Bu sebepler KVKK m. 5'te sayılmıştır: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması/ifası için zorunluluk, hukuki yükümlülük, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi-kullanılması-korunması ve veri sorumlusunun meşru menfaati. Bunlar yoksa açık rıza gerekir.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Önceden işaretlenmiş kutucuk, hizmet alma şartına bağlanmış "mecburi" onay ya da topluca alınan genel rıza geçerli değildir.

Aydınlatma yükümlülüğü (aydınlatma metni)

Veri sorumlusu, veriyi elde ederken ilgili kişiyi bilgilendirmek zorundadır (KVKK m. 10). Aydınlatma metni; kimliğinizi, verinin hangi amaçla ve hukuki sebeple işlendiğini, kimlere aktarılabileceğini, toplama yöntemini ve ilgili kişinin haklarını açıkça içermelidir. Açık rızadan ayrı ve ondan önce yerine getirilmesi gereken bir yükümlülüktür.

İnternet sitesi gizlilik politikası, işe alım formu, müşteri sözleşmesi, kamera kaydı bilgilendirmesi — hepsi ayrı ayrı aydınlatma gerektirir. Eksik veya genel-geçer kopyala-yapıştır metinler Kurul denetiminde ilk takılınan noktadır. Doğru aydınlatma altyapısını ve sözleşmelerinizdeki veri işleme hükümlerini birlikte kurgularız.

VERBİS kaydı: kim, ne zaman kayıt olmalı?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), KVKK m. 16 uyarınca tutulan kamuya açık bir sicildir. Kapsamdaki veri sorumluları, veri işlemeye başlamadan önce VERBİS'e kaydolmak ve Kişisel Veri İşleme Envanteri hazırlamak zorundadır. Kayıt yükümlülüğünün kapsamı ve istisnaları; yıllık çalışan sayısı ve yıllık mali bilanço gibi ölçütlere göre Kurul kararlarıyla belirlenir — bu eşikler değişebildiği için güncel durumun teyidi gerekir.

İlgili kişinin hakları ve başvuru-cevap süreleri

KVKK m. 11 herkese kendi verisi üzerinde haklar tanır: verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, düzeltilmesini, silinmesini veya yok edilmesini isteme, üçüncü kişilere bildirilmesini talep etme ve işlemenin sonucuna itiraz etme.

İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu talebi en geç 30 gün içinde ücretsiz olarak (Kurul'un belirlediği hâllerde ücret alınabilir) sonuçlandırmak zorundadır (m. 13). Başvuru reddedilir, yetersiz yanıtlanır ya da süresinde cevaplanmazsa, ilgili kişi Kurula şikâyet yoluna gidebilir (m. 14). Şirket tarafındaysanız başvuru-cevap iş akışını ve şablonlarını kurarız; birey tarafındaysanız başvuru ve şikâyet dilekçelerinizi biz hazırlarız.

Veri ihlali ve 72 saat kuralı

Kişisel verilerin hukuka aykırı olarak başkaları tarafından ele geçirilmesi (siber saldırı, fidye yazılımı, çalınan dizüstü, yanlış e-posta gönderimi, yetkisiz erişim) hâlinde veri sorumlusu bunu en kısa sürede Kurula bildirmek zorundadır (KVKK m. 12/5). Kurul'un 24.01.2019 tarihli 2019/10 sayılı kararı bu süreyi, ihlalin öğrenilmesinden itibaren kural olarak 72 saat olarak yorumlar; ayrıca etkilenen ilgili kişilere de makul sürede bildirim yapılması gerekir.

Kişisel verilerin yurt dışına aktarımı (2024 değişikliği)

Verinin yurt dışına gönderilmesi (yurt dışı sunucu, bulut hizmeti, yurt dışındaki ana şirket ya da grup sistemi) ayrı ve sıkı kurallara tabidir. Bu rejim 7499 sayılı Kanun'la 12.03.2024'te ve buna bağlı 10.07.2024 tarihli Yurt Dışına Aktarım Yönetmeliği ile köklü biçimde değişti. Eski "taahhütname + Kurul izni" yaklaşımı yerine, kademeli bir yapı geldi:

Soruşturma, idari para cezası ve suç boyutu

Yaptırım iki koldan gelir. Birincisi, Kurul'un KVKK m. 18 uyarınca verdiği idari para cezalarıdır: aydınlatma yükümlülüğüne aykırılık, veri güvenliği tedbirlerinin alınmaması (m. 12), VERBİS kaydının yapılmaması ve Kurul kararlarına uymama gibi hâllerde uygulanır. Tutarlar her yıl yeniden değerleme oranında artırıldığı için gerçek risk sürekli yükselir; bu nedenle tarihi geçecek bir rakam vermek yerine her dosyada o yılın güncel tutarı üzerinden değerlendirme yaparız.

Bir şikâyet ya da resen soruşturma açıldığında Kurul nezdinde savunmanızı hazırlar, sürecinizi yönetir ve gerektiğinde Kurul kararına karşı idari yargıda iptal davası yolunu kullanırız.

Bilişim suçları: mağdur ve şüpheli tarafında destek

Bilişim hukuku yalnızca uyumdan ibaret değildir. Sıklıkla karşılaştığımız uyuşmazlıklar şunlardır: hesap ele geçirme (hacklenme), kimlik avı (phishing) ve dolandırıcılık, fidye yazılımı saldırıları, izinsiz çekilen/yayılan fotoğraf ve videolar, sosyal medyada hakaret ve iftira, sahte hesaplar, izinsiz ticari elektronik ileti (spam), telif ve veri ihlalleri.

• Mağdursanız: suç duyurusu ve şikâyet dilekçesi, içeriğin erişime engellenmesi / yayından kaldırılması (5651 sayılı İnternet Kanunu kapsamında sulh ceza hâkimliğine başvuru), delillerin usulüne uygun tespiti ve tazminat talebinde yanınızdayız.
• Hakkınızda işlem varsa: ifade ve savunma sürecinizde, soruşturma ve kovuşturma aşamasında ceza hukuku ekibimizle birlikte hukuki desteğinizi sağlarız.

Yurt dışından da uyum mümkün

Türkiye'de ofisinizin olması şart değil. Türkiye'deki kişilerin verisini işleyen yurt dışı şirketler, Türkiye'de bir temsilci atayarak VERBİS'e kaydolur ve KVKK yükümlülüklerini yerine getirir. Vekâletname ile (yurt dışında düzenlenip apostil şerhi konularak ve tercüme edilerek ya da Türk konsolosluğunda imzalanarak) VERBİS kaydınızı yapar, Türk hukukuna uygun politika ve metinlerinizi hazırlar, aktarım mekanizmalarınızı kurar ve Kurul önünde sizi temsil ederiz. Bu hizmet, şirketler hukuku ve ticari faaliyetinizin diğer ayaklarıyla doğal biçimde bağlanır.

Şirketlerin en sık yaptığı KVKK hataları

Denetimde en çok karşılaşılan eksikler kısa bir listede toplanır: VERBİS kaydının hiç yapılmaması veya güncellenmemesi; her şeyin doğru hukuki sebep yerine açık rızaya dayandırılması; aydınlatma metninin olmaması ya da kopyala-yapıştır olması; veri güvenliği tedbirlerinin (erişim yetkileri, log kayıtları, şifreleme, sözleşmeli veri işleyen denetimi) alınmaması; yurt dışı aktarımın hukuki dayanak ve 5 günlük standart sözleşme bildirimi olmadan yapılması; 72 saatlik ihlal bildirim penceresinin kaçırılması; ve saklama-imha politikası bulunmaması.

Bu eksiklerin her biri denetimden önce ucuza, denetimden sonra pahalıya kapanır. İş hukuku tarafında çalışan verisi, özlük dosyası ve kamera kayıtları da aynı disipline tabidir; iki alanı birlikte değerlendiririz.

Neden KVKK ve bilişim hukuku avukatıyla çalışmalısınız?

KVKK, metni okunarak değil; Kurul'un sürekli artan kararları ve ilke kararları okunarak uygulanan bir alandır. 2024 aktarım reformu hâlâ yerleşmekte, idari para cezaları her yıl güncellenmekte, bilişim suçlarında ise hız ve usule uygun delil tespiti dosyanın kaderini belirlemektedir. Bir avukatla çalışmak; Kurul'un bir VERBİS kaydından ya da ihlal bildiriminden ne beklediğini bilerek hareket etmek, soruşturma açıldığında savunmayı doğru kurmak ve mağdursanız haklarınızı zamanında kullanmak demektir. Sorularınız varsa durumunuzu bize anlatın; doğru adımı birlikte belirleyelim.

KVKK uyum ve uyuşmazlık sürecini nasıl yürütüyoruz

KVKK ve bilişim hukuku — sık sorulan sorular