6698 sayılı Kişisel Veriler Kanunu 7 nisan 2016’da Resmi Gazete’de yayınlanarak yürürlüğe girdi[1]. Şimdi bireyler ve kurumlar, eski alınmış verilere ne olacağını soruyorlar. Gerçi kanunun daha önce çeşitli yazılarımızda belirttiğimiz eksiklikleri ya da beğenilmeyen yönleri var[2]. Bunlardan en önemlisi, üyelik sürecinde olduğumuz AB’nin 15 nisan 2016 tarihinde onayladığı [3] yeni Kişisel Veriler Regülasyonundan önce ve 1995 çerçevesine göre çıkarılmış durumda. Bu nedenle de CHP tarafından Anayasa Mahkemesine götürüleceğine dair bir takım duyumlarımız var. Ama biz yine de, mevcut haliyle hukukçulara sorduk; “ŞİMDİ NE OLACAK?”.
Aşağıda cevapları okuyacaksınız. Biz bu cevaplardan önemli bir konuyu dikkat çekmek için buraya alalım; daha önceki yazılarımızdan hatırlayacaksınız, bu kanunda “açık rıza” tanımlı değil demiştik[2]. Bundan sonrası için hala sorun olduğunu halen düşünüyoruz ama şu anda bir şans var; bugüne kadar verilerinizi almış firmalar ya da bankalar varsa, bunlara başvurup “rızam” yok diye kayıt altına alabilirsiniz. Tabi “acaba hangi verilerim, hangi firmalarda var, nereden bileyim?” demeniz de çok olası. Çünkü malum neredeyse 10 yıla yakın zamandır verilerimiz ortalarda dolaşıyor, üstelik en son yabancı bir sitede yayınlandı da. Ama turk-internet.com olarak yine de biz üzerimize düşeni yapalım ve bu konudaki bilgileri iletelim, kamuoyunu aydınlatalım.
Diğer konuları aşağıda okuyabilirsiniz. Bu konuda hukukçuların hazırlamakta olduğu ve özellikle firmalara yönelik eğitimlerin yolda ([email protected]’a mail atarak bilgi alabilirsiniz) olduğunu da hatırlatalım.
turk-internet.com : Yeni kişisel veriler kanunu tarafından baktığımızda, önceden kişisel veriler toplamış olan bankalar ya da pazarlama firmaları bu eski verilerini kullanmaya devam edebilecekler mi? Ya da bu konuya nasıl yaklaşmaları lazım?
Hukukçular : Öncelikle, Kanun’un geçiş hükümlerine yer verdiğini belirtelim. Bununla birlikte, ikili bir geçiş rejiminin öngörüldüğünün de altını çizmek lazım. Aslında, Kanun Anayasa komisyonunda görüşüldüğü sırada ikili bir sistem ortada yoktu lakin TBMM Genel Kurul görüşmeleri esnasında, Kanun’un son maddeleri oylanırken hükûmetin verdiği bir önergeyle ikinci bir geçiş rejimi de benimsenmiş oldu.
Belirtmek gerekir ki, söz konusu sistem tedrici bir geçiş öngörmekte. Kanun’un geçici 1. maddesinin 3. fırkası şöyle:
“Bu Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, yayımı tarihinden itibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilir. Bu Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir. Ancak bu Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, bu Kanuna uygun kabul edilir.”
Yukarıdaki hükümleri şu şekilde ifade etmek de mümkün:
- 7 Nisan 2016 öncesinde,
- varsa, sektörel mevzuatına (elektronik haberleşme sektörü gibi) uyarak alınan rızalar,
- alındıkları amaç kapsamında (yani teknik yardım sunulması amacıyla alınan veriler pazarlama amacıyla kullanılamayacaktır),
geçerli olacak. Ancak rıza veren kişiler, 7 Nisan 2017 tarihine kadar rızalarının geçerliliğini ortadan kaldırabilecekler.
- Ortada herhangi, bir rıza olmaksızın elde bulundurulan verileri ise, 7 Nisan 2018 tarihine kadar Kanun’a uyumlu hale getirilecek. Yani,
- Herhangi bir istisna kapsamında değilse söz konusu verilerin işlenmesi için açık rıza alınması ve ilgilisinin bilgilendirilmesi gerekecek. Bir başka ifadeyle bir önceki paragrafın kapsamına girmeyen veriler için uyumluluk süresi işleyecektir.
- Sonuç olarak, açık rıza ile hukuka uygun hale getirilmeyen ya da Kanun’da sayılan rıza istisnalarından birinin kapsamında yer almayan kişisel verilerin, 2 yıllık süre sonunda yani 7 Nisan 2018 itibariyle silinmesi, yok edilmesi veya anonim hale getirilmesi gerekmektedir.
turk-internet.com : Tersine sorarsak, bireylerin bu kanun yürürlüğe girdikten sonra yapacakları ya da bakmaları gereken bir şeyler var mıdır?
Hukukçular : Vatandaşlar, mevcut müşterilik ilişkilerinin sürdüğü, bir şekilde verilerini elinde bulunduran ya da aboneliklerinin devam ettikleri şirketler nezdinde rızalarının geçersizliğini 7 Nisan 2017 tarihine kadar ileri sürebilirler.
turk-internet.com : Kişisel verileri kullanan banka ya da firmaların bundan sonra bir veri sorumlusu ataması gerekecek. Bu konuyu nasıl yapacaklar? Veri sorumlusu nasıl bir kişidir? Hukukçu mu? Teknik insan mı? Sorumlulukları nelerdir? Yerine eksik getirir ya da getirmezse ne olur?
Hukukçular : Aslında bu soru yanıtlanırken çoğunluk tarafından yapılan bir yanlış anlaşılmayı da düzeltme imkânımız olacağını umuyorum. Kanun metni hazırlanırken, maalesef kafa karışıklığı yaratacak bir çeviri tercihi yapılmıştır ve İngilizce “Data Controller” teriminin çevirisi, Veri Sorumlusu olarak yapılmıştır. Sorumlu kelimesi ise akla kişisel verilerin korunmasından sorumlu bir görevli ya da personel atanması gerektiğini getirmektedir.
Oysa çokça anlaşıldığının aksine atanması ya da seçilmesi gereken bir personel veya danışman Veri Sorumlusu söz konusu değildir.
Hem veri Sorumlusu hem de veri işleyen, Kanun tarafından oluşturulmuş iki ayrı statüdür. Kanun, AB direktifi ile tamamen paralel olarak, hak ve yükümlülükleri ayrıştırmak amacıyla iki farazi statü yaratmıştır. Bunlardan bir tanesi Veri Sorumlusu diğeri ise Veri İşleyendir (“Data Processor”).
Veri Sorumlusu (“Data Controller”), Kanun karşındaki birincil sorumludur. Kanun tüm yükümlülükleri temelde Veri Sorumlusuna yüklemektedir. Zira kişilerin, verilerini teslim ederken, kime teslim ettiklerini bildikleri ve birincil olarak sorumlu kabul ettikleri kişiler veri sorumlularıdır.
Örnek vermek gerekirse, bir iş başvurusu gerçekleştirdiğinizi varsayalım. Eğer başvurunuzu bir kâğıt formda doldurup ya da doğrudan mail yoluyla, iş başvurusu gerçekleştirdiğiniz şirkete teslim ediyorsanız. O şirket, sizin için veri sorumlusu sıfatına sahiptir. Öte yandan, iş başvurunuzu işverenlerin topluca yer aldıkları bir platforma veridinizi varsayalım. Bu durumda, veri sorumlusu, söz konusu platformu işleten şirket olacaktır.
Veri İşleyen statüsü ise, veri sorumlusunun sevk ve idaresi altında ve yine veri sorumlusu adına veri işleyenler açısından geçerli bir durumdur. Yani diyebiliriz ki, veri işleyenler çok büyük oranda, dış Kaynak (“Out Source”) kullanımı durumunda söz konusu olacaktır.
Yukarıdaki örneği şöyle devam ettirmek mümkün: CV’nizi doğrudan şirketin mail adresine gönderdiniz. Ancak, şirket insan kaynakları konusunda uzman bir firmadan danışmanlık hizmeti alıyor. Bu durumda, söz konusu danışmanlık firması, verinin ilk olarak teslim edildiği Veri Sorumlusu olan şirketin sevk ve idaresi altında ve şirket adına veri işlemesi gerçekleştirecektir. Yani “Veri İşleyen” sıfatına sahip olacaktır.
Veri Sorumlusu ve Veri İşleyen örneklerini şöyle sürdürmek mümkün:
- Bir işyerini ele alalım, çalışanların verileri bakımından, işyeri Veri Sorumlusudur. Bu şirket, bir mali denetime girdiğinde, çalışan verilerini işleyen mali müşavirlik firması ise aynı veriler bakımından veri işleyendir.
- Bir firma müşterilerine ait verileri kendi bünyesindeki sunucular yerine buluta taşımak istediğinde, söz konusu veriler üçüncü bir firmanın veri merkezlerinde barındırmaya başlanacaktır. Bu durumda, bulut sistemlerini işleten veri merkezi işleticisi, veri işleyen sıfatına sahip olacaktır.
Buna ek olarak, Veri Sorumlusunun bir tüzel kişi olduğu durumlarda, söz konusu tüzel kişilik bünyesinde çalışan gerçek kişiler ve/veya departmanların ayrıca veri sorumlusu ya da veri işleyen olarak sorumlulukları bulunmamaktadır. Buna göre, şirket içerisinde farklı departmanlar arasında veri transferi gerçekleştirilmesi üçüncü kişilerle veri transferi yapılması şeklinde değerlendirilmemektedir. Ayrıca, Kanun’a aykırılık durumlarında sorumluluk söz konusu tüzel kişilik nezdinde ortaya çıkmaktadır.
Bununla birlikte, özellikle AB ülkelerinde yaygın olarak görülen “Privacy Offİcer” uygulaması, kişisel verilerin korunması mevzuatı ile uyumluluk sağlanması bakımından gerekli aksiyonların alınmasını sağlayan bir personel olarak şekillenmiştir. Dahası, AB’de bu yıl içerisinde kabul edilmesi beklenen Genel Veri Koruması Regülasyonu, birçok kurum için bir “Privacy Officer” atanmasını zorunlu kılmaktadır. Bununla birlikte, tekrar hatırlatmak isteriz ki, günümüz itibariyle ülkemizde böyle bir yükümlülük bulunmamaktır.
turk-internet.com : Bankalar ya da firmalar sorumluluklarını yerlerine getirmezse ne olur?
Hukukçular : Kanun oldukça sert yaptırımlar öngörmektedir. Yaptırımları ikiye ayırmak mümkün:
- Cezai Yaptırımlar:
- Kişisel verilerin kaydedilmesi (TCK)
TCK Madde 135
«Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.» « Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.» - Verileri hukuka aykırı olarak verme veya ele geçirme
TCK Madde 136
«Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.» - Verileri yok etmeme
TCK Madde 138
“Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.»
KVK 17/2: Silinmeme ve Anonim Hale Getirmeme
Kişisel verilerin silinmemesi veya anonim hale getirilmemesi halinde TCK 138’e göre bir yıldan iki yıla kadar hapis cezası verilir
- Kişisel verilerin kaydedilmesi (TCK)
- İdari Yaptırımlar:
- Aydınlatma Yükümlülüğüne Aykırılık: 5.000 Türk lirasından 100.000 Türk lirasına kadar
- Veri Güvenliğine İlişkin Yükümlülüklere Aykırılık: 15.000 Türk lirasından 1.000.000 Türk lirasına kadar
- Kurul Kararlarına Uymama: 25.000 Türk lirasından 1.000.000 Türk lirasına kadar
- Sicil Kayıt Yükümlülüğü: 20.000 Türk lirasından 1.000.000 Türk lirasına kadar
turk-internet.com : Veri koruma kurulunun bu şemada yeri nedir? Firmalarla ya da bireylerle ilişkisi nasıl olacak?
Hukukçular : Kişisel Verilerin Korunması Kurumu, hayatımıza dâhil olan yeni bir bağımsız düzenleyici kuruluştur. Kanun uyarınca, 7 Nisan 2016 tarihini takip eden 6 ay içerisinde bu kurumun kurulması gerekmektedir.
Kişisel Verilerin Korunması Kurumu, 195 kişilik personeli ile AB’nin en büyük veri koruması olmaya aday. Kurum’un karar organı ise 9 kişiden oluşacak olan Kişisel Verileri Koruma Kurulu. Kurul’un 5 üyesi TBMM diğer üyeleri ise Bakanlar Kurulu ve Cumhurbaşkanlığı tarafından seçilecek. Kurul 1 milyon Türk lirasına varan idari para cezaları verme yetkisine sahip. Ayrıca, veri işleme faaliyetleri açısında sektörel ya da genel ilke kararları alma yetkisi de Kurul’a ait olacak
Firmalar üzerinden tıpkı Rekabet Kurumu’nun sahip olduğu türden bir yetkiye sahip olacaktır. Yani herhangi bir sektör farkı gözetmeksizin re’sen ya da şikâyet üzerine şirketler üzerinde denetim hakkına sahip olacaktır. Bu denetimler, soru cevap şeklinde ya da doğrudan yerinde olabilecektir. Yani kısacası, Kurum’un teşkil edilmesiyle birlikte, küçük, orta ölçekli ya da büyük holdingler dâhil olma üzere, tüm şirketler bakımından yeni bir uyumluluk meselesi ortaya çıkmış olacaktır.
turk-internet.com : Hangi açılardan bekleme halindeyiz? Yani hangi konularda 2cil düzenleme gerekiyor?
Hukukçular : Kanun’un yürürlük tarihini düzenleyen 32. maddesi uyarınca,
- Kişisel verilerin üçüncü kişilere ve yurt dışına aktarımını düzenleyen 8 ve 9. maddelerin,
- Kişilerin, kendilerine ait
- verileri hakkında bilgi alma,
- verilerinin paylaşıldığı üçüncü kişileri öğrenme,
- verilerinin düzeltilmesini, güncellenmesini, anonimleştirilmesini ya da silinmesini talep etme haklarını düzenleyen 11. maddenin,
- Veri Sorumlusuna ve Kurul’a başvuru usullerinin düzenlendiği, 13. ve 14. maddelerin,
- Kurul’un şikâyet üzerine ya da kendiliğinde inceleme prosedürlerini düzenleyen 15. maddenin,
- Veri Sorumluları Sicilini düzenleyen 16. maddenin ve
- Suçlar ve kabahatlere ilişkin yaptırımları düzenleyen 17 ve 18. maddelerin,
7 Nisan 2016 tarihini takiben, 6 ay sonra yürürlüğe gireceğini hatırlatırız. Bunun dışındaki tüm maddeler Kanun’un Resmi Gazete’de yayımlandığı bugün itibariyle yürürlük kazanmıştır.
Ayrıca, Kanun uyarınca yürürlüğe konulması gereken yönetmeliklerin de Kanun yürürlüğe girdikten sonraki bir yıl içerisinde hazırlanması gerektiğini ifade etmektedir. Kanun uyarınca yönetmelikle düzenlenmesi gereken hususlara aşağıdaki gibidir:
- Madde 6: Hassa verilerin işlenmesi için gerekli görülen güvenlik önlemlerinin neler olduğu da kurum tarafından belirlenecektir. Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
- Madde 7: Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar,
- Madde 16: Veri Sorumluları Siciline ilişkin diğer usul ve esaslar,
- Madde 23: Kurulun çalışma usul ve esasları ile kararların yazımı ve diğer hususlar yönetmelikle düzenlenir.
- Madde 25: (Kurum’un) Hizmet birimleri ile bu birimlerin çalışma usul ve esasları, Kanunda belirtilen faaliyet alanı, görev ve yetkilere uygun olarak Kurumun teklifi üzerine Bakanlar Kurulu kararıyla yürürlüğe konulan yönetmelikle belirlenir.
[1] Kişisel Verilerin Korunması (KVK) Kanunu Yürürlüğe Girdi
[3] Avrupa Birliği Kişisel Veriler Regülasyonu Onay Aldı
Kaynak : 