GİRAY DUDA
Kişisel Verilerin Korunması Kanunu, online iletişim ve temasın çok fazla arttığı pandemi döneminde daha da önem kazandı. Henüz tam olarak bilinmeyen Kanun ve uygulamalarını Avukat Gizem Tan ile konuştuk.
– Sayın Gizem Tan, içinde bulunduğumuz dönemde en çok üstünde durulan, tartışılan konulardan birisi Kişisel Verilerin Korunması Kanunu ve uygulamaları. Bu kanun nedir ve kimleri kapsamaktadır?
– Kişisel Verilerin Korunması Hakkında Kanun, kişisel verilerin çağın standartlarına uygun işlenmesi ve koruma altına alınması için 7 Nisan 2016 tarihinde yürürlüğe girmiş olan 6698 sayılı kanundur. Kişisel verilerin işlenme aşamalarından, işleyen gerçek ve tüzel kişilerin uyacakları usul ve esaslara ait tüm gereksinimler bu kanunda belirlenmiştir.
Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Yani, KVKK, hak ehliyeti bulunan tüm gerçek ve tüzel kişileri kapsar. Kamu kurumları dahil olmak üzere her vatandaş, kanunun usul ve esaslarına uymakla yükümlüdür.
KİŞİYE AİT HER TÜRLÜ BİLGİ
– Kişisel verinin tanımı nasıl yapılıyor? Hangi bilgiler kişisel veri sayılmaktadır?
– Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. Buna göre; isim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.
VERİ SORUMLUSUNDAN BİLGİ İSTEME
– İnternet üzerinden satış yapan şirketler doğal olarak veri satışı yapmaktadır. Bunların sorumlulukları ve yapılması gerekenler nelerdir?
– Bu şirketler veri sorumlusu olarak kabul edilir. Veri sorumlusunun aydınlatma yükümlülüğü kanunun 10. maddesinde düzenlenmiştir. Buna göre, (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.
Herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talep etme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, kişisel verilerin silinmesini veya yok edilmesini isteme, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
ONLINE EĞİTİMLER VERİLİYOR
– KVKK hakkında, şirketlerin veri sorumluları yanı sıra anlaşıldığı kadarıyla tüm personelin bilgilendirilmesi gerekiyor. Bu tür eğitim ve bilgilendirme çalışmaları yürütülüyor mu?
– Evet yürütülüyor. Pandemi sürecinde online dersler de açıldı. Bu eğitimlerde, veri sorumlusu nezdinde çalışan herkesin hangi konumda çalıştığına bakılmaksızın kişisel veri güvenliğine ilişkin rol ve sorumlulukları, görev tanımlarında belirlenerek, kişisel veri güvenliğinin sağlanması bakımından, kişisel verilerin hukuka aykırı olarak açıklanmaması ve paylaşılmaması gibi konular hakkında çalışanlara eğitim verilmesi, farkındalık çalışmaları yapılması ve güvenlik risklerinin belirlenebildiği bir ortam oluşturulması sağlanıyor.
VERBİS’E KAYIT ZORUNLU
– Verbis’e kayıt zorunluluğu tarihi pandemi koşullarında ötelendi. Kimler, hangi bilgileri Verbis’e kayıt ettirmek zorunda?
– KVKK’nın 16. Maddesine göre VERBİS’e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt zorunluluğu var. Yasa, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan VERBİS sistemine gerçek ve tüzel kişilerin veri işleme faaliyetine başlamadan önce kayıt zorunluluğu getiriyor.
Veri sorumluları sicili hakkındaki yönetmeliği madde 15′ e göre kayıt zorunluluğunun ve bildirme yükümlülüğünün istisnaları şu şekilde:
a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
b) İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.
VERİ SORUMLUSU BİLGİ VERMELİ
– Aydınlatma Metni yayınlamak zorunda olanlar kimlerdir? Aydınlatma metninde ne gibi bilgi ve açıklamalar olmalı?
– Kişisel verilerin elde edilmesi sırasında veri sorumlusu (yani kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi) veya yetkilendirdiği kişi, ilgili kişilere, veri sorumlusunun ve varsa temsilcisinin kimliğini, kişisel verilerin hangi amaçla işleneceğini, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceğini, kişisel veri toplamanın yöntemi ve hukuki sebebini açıklamakla yükümlüdür
TEMSİLCİLİK AÇMALARI OLUMLU
– Büyük sosyal medya platformlarının Türkiye’de temsilcilik açmaları, bu platformlarda işlenen suçlara karşı hareket edilebilmesini kolaylaştırdı mı?
– Kolaylaştırdı elbette. Ancak uygulamanın daha da yaygınlaşması gerekmekte.
TAZMİNAT HAKLARI VAR
– Türkiye’de kısa süre önce bir banka ile online yemek servisi yapan şirketin on binlerce müşterisinin bilgilerinin çalındığı kendileri tarafından açıklandı. Böyle durumlarda kişilerin yapmaları gerekenler nelerdir?
– Mağdur olan kişiler yukarıda belirttiğim üzere, kurula şikayet etme ve tazminat haklarını kullanabilirler.
ÖZEL MAHEMELER KURULMALI
– Bilişim suçlarının yaygınlığı sanıyorum bu suçlara bakan yargı kurumlarının da yükünü aşırı artırmış durumda. Sizin izlenimleriniz nelerdir? İşlemleri hızlandırmak ve davaları uygun zamanda tamamlayabilmek için neler yapılabilir?
– Bu konuya iki yönden bakabiliriz. Birincisi mahkemeler açısından. Dosyaların daha hızlı çözüme kavuşturulabilmesi amacıyla bu uyuşmazlıklar için özel mahkemeler kurulmalıdır. İkincisi ise veri sorumluları kanunda belirtilen yükümlülüklerine ne kadar çok uyarlarsa, uyuşmazlıklar da o derece azalacaktır. Bilindiği üzere mahkemelerin iş yükü bir hayli fazladır, yığınla dosyalar karar beklemektedir.
KURULA AKSETTİRİLMELİ
– Bankalar, Telekom şirketleri gibi çok büyük kuruluşların çağrı merkezlerindeki bilgilerin koruma altında tutulmasına ilişkin bir mevzuat var mı? Türkiye’nin değişik kentlerinde açılan çağrı merkezlerindeki kişilerin ulaştığı bilgilerimizin kötü niyetli kişilerin eline geçmeyeceğinden nasıl emin olacağız?
– Bankalar ve Telekom Şirketleri de yukarıda belirttiğim kanun ve yönetmeliğe tabiidir. Öyle bir durumda, ihlali Kurul, resen ya da şikayet üzerine öğrenmesi üzerine kişisel verilerin kanuna uygun olarak işlenip işlenmediğini araştırmak ve geçici önlemler alabileceğinden, kötü niyetli kişileri engellemenin en doğru yolu Kurula konuyu aksettirmek ve TCK kapsamında kötü niyetli kişilere cezai yaptırım uygulattırmak olacaktır.
YAPTIRIMLAR UYGULANMALI
– Benzer şekil, pandemi döneminde neredeyse her türlü alışverişimizi çevrimiçi yaparken kurye ve kargo elemanlarının TC vatandaşlık numarası olmak üzere olmak üzere her türlü kişisel verilerimizi bizden almasının yarattığı tedirginlik ve başka türlü kaldırılabilir?
– Türk Ceza Kanununda düzenlenmiş cezai yaptırımların arttırılarak uygulanması kötüye kullanımın önünü kesmede etkili olabilecektir.
Global Sanayici
