Kişisel Veri
Kimliği belirli veya belirlenebilir, gerçek kişilere ait her türlü bilgidir. Tüzel kişilere ilişkin bilgiler ile hak ehliyeti sona ermiş (ölüm halinde) gerçek kişilere ilişkin bilgilerde işbu kanun uygulama alanı bulmayacaktır.
İlgili Kişi ( Hak Süjesi)
Kişisel verisi işlenen gerçek kişidir. Tacir sıfatını haiz gerçek kişilerin de bu kapsamda değerlendirileceği şüphesiz olmakla birlikte, sorumluluk ve koruma hukuku açısından kümülatif bir korumanın gündeme gelebileceği hususu tartışmalıdır.
Veri İşleyen
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.
Veri Sorumlusu
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bir diğer deyişle, veri işleyen, hangi amaçla ve hangi yöntemle, ne kapsamda verinin işleneceğine karar veren veri sorumlusunun adına hareket eden kişidir. Somut durumda, veri sorumlusu ve veri işleyen sıfatının tek kişide toplanabilmesi mümkün olduğu gibi, veri işleyenin de facto olarak verinin işlenme amacına ve/veya yöntemine karar vererek o yönde hareket etmesi halinde, veri sorumlusu sıfatını haiz olması ve bu sıfatla sorumlu olması söz konusu olabilir.
Kişisel Verilerin İşlenmesi
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da
kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir. Kanun koyucu “işleme” fiiline yer vererek, bu kapsamı geniş tutmuştur. Bu çerçevede, sadece kişisel verilerin kaydedilmesi değil; depolanması, değiştirilmesi, kullanılmasının engellenmesi, devralınması, aktarılması fiilleri de işleme olarak kabul edilecek ve bu kanun kapsamında değerlendirilecektir.
Kişisel Verilerin İşlenmesinde Temel İlkeler
Kişisel verilerin işlenmesi eyleminin;
Söz konusu verilerin saklanma süresi ile ilgili olarak, farklı hususlardaki gereklilikler dikkate alınarak, 6102 sayılı Türk Ticaret Kanunu, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, 213 sayılı Vergi Usul Kanunu sayılabilir.
İşleme Şartları
Kural olarak kişisel veriler hak süjesinin bilgilendirilmiş açık rızasının bulunması halinde işlenebilir. Hak süjesinin bilgilendirilmiş rızanın alınması da, veri sorumlusunun aydınlatma yükümlülüğü çerçevesinde, verinin hangi amaçla, hangi yöntemle ve hangi kapsamda işleneceğini hak süjesine (veri sahibine) açıklamasıyla mümkündür. Kural, hak süjesinin bilgilendirilmiş açık rızasının alınması olmakla birlikte, Kanunda sayılan şu hallerde hak süjesinin açık rızası bulunmasa dahi kişisel verilerin işlenmesi hukuka uygun kabul edilecektir;
Hassas Veri ( Özel Nitelikli Kişisel Veri)
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik verileri özel nitelikli kişisel veridir.
Hassas verilerin işlenmesi, ancak hak süjesinin söz konusu işlemeye açık rızasının bulunması halinde mümkündür.
Ancak,
hallerinde kişinin açık rızası olmaksızın işlenmesi mümkündür.
Kişisel Verilerin Transferi
Kişisel veriler kural olarak hak süjesinin bilgilendirilmiş açık rızasının alınması ile aktarılabilir. Ancak;
Kişisel verilerin yurt dışına aktarılması halinde, yukarıda sayılan şartların yanında dikkate alınması gereken diğer kriterler şu şekildedir;
Veri Sorumlusunun Yükümlülükleri
İşbu kanun çerçevesinde veri sorumlusunun aydınlatma yükümlülüğü ve veri güvenliğini sağlama olmak üzere iki temel yükümlülüğü bulunmaktadır.
(a) Aydınlatma Yükümlülüğünün Kapsamı
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ve hak süjesinin diğer hakları, konusunda bilgi vermekle yükümlüdür.
(b) Veri Güvenliğini Sağlama Yükümlülüğünün Kapsamı
Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır
Veri Süjesinin Hakları
Veri süjesi, veri sorumlusuna başvurarak kendisiyle ilgili; kişisel verisinin işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talep etme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurtiçinde veya yurtdışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme, kişisel verilerin silinmesini veya yok edilmesini isteme, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme, haklarına sahiptir.
Sorumluluk
(a) Hukuki Sorumluluk
Kişisel verilerin işlenmesinde veri sorumlusu ile veri işleyen bu faaliyetleri çerçevesinde ortaya çıkacak zararlardan müteselsilen sorumludurlar. Bu durumda 6098 sayılı Türk Borçlar Kanunu’nun kusura dayalı haksız fiil sorumluluğu hükümleri uygulama alanı bulacak olup, veri sorumlusu Türk Borçlar Kanunu’nun “Adam çalıştıranın sorumluluğu” na ilişkin 66. Maddesi çerçevesinde kusuru bulunmasa da (kurtuluş beyyinesi hali bundan müstesna olmak üzere) sorumlu olabilecektir.
Bunun yanında Türk Medeni Kanunu’nun 25. maddesinden hareketle bu kişilere karşı önleme davası ve saldırıya son verme davası açılabilmesi de mümkündür. Açılabilmesi mümkün olan bir diğer dava da vekaletsiz iş görme hükümlerince mümkün olabilir.
Gerçek kişi tacirlere ilişkin olarak, somut durumun özelliğine ilişkin olarak, 6102 sayılı Türk Ticaret Kanunu’nun m.54 ve devamında düzenlenen haksız rekabet hükümlerine dayanılabilmesi de gündeme gelebilecektir.
(b) Cezai ve İdari Sorumluluk
Kişisel verilere ilişkin suçlar bakımından işbu kanun ile yeni bir suç tipolojisi ortaya konmamış olup, 5237 sayılı Türk Ceza Kanunu’nun 135 ile 140’ıncı maddelerine atıf yapılmış; işbu kanunun 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonim hale getirmeyenler hakkında da Türk Ceza Kanunu’nun 138. maddesine göre ceza uygulanacağı öngörülmüştür.
Aydınlatma yükümlülüğünü yerine getirmeyenler, veri güvenliğine ilişkin yükümlülüğünü yerine getirmeyenler, Kurul tarafından verilen kararları yerine getirmeyenler ve veri sorumluları siciline kayıt ve bildirim yükümlülüğünü yerine getirmeyenler için muhtelif idari para cezalarının uygulanacağı hükme bağlanmıştır.
Kanun Kapsamı Dışında Kalan Haller
Bu Kanun hükümleri aşağıdaki hallerde uygulanmaz:
Yürürlük
İşbu kanun Resmi Gazete ’de yayımlanma tarihi olan 06.04.2016 tarihinde yürürlüğe girmiş olup, bazı maddeleri bakımından yürürlük tarihi Kanunun yayımı tarihinden itibaren 6 ay sonrası (07.10.2016 tarihinde) olarak kararlaştırılmıştır.
İlgili Resmi Gazete Linki: http://www.resmigazete.gov.tr/eskiler/2016/04/20160407-8.pdf