Kişisel Verilerin Korunması ve Bilişim Suçları
1. Kişisel Veri Nedir?
Kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgidir.
Bir bilginin kişisel veri sayılabilmesi için:
- Gerçek bir kişiye ait olması,
- O kişiyi doğrudan veya dolaylı olarak tanımlayabilir nitelikte bulunması gerekir.
Ad, soyad, T.C. kimlik numarası, e-posta adresi, IP bilgisi, konum verisi, ses veya görüntü kaydı gibi tüm veriler bu kapsamdadır.
2. KVKK Nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), özel hayatın gizliliğini güvence altına alan ve kişisel verilerin işlenmesine ilişkin esasları belirleyen temel kanundur.
Kanun, kişisel verileri işleyen gerçek ve tüzel kişilere (şirketler, kamu kurumları vb.) veri güvenliği ve hukuka uygunluk yükümlülükleri getirir.
Yürürlük tarihi: 7 Nisan 2016
Yayımlandığı Resmî Gazete: 29677 sayılı, 24 Mart 2016 tarihli TBMM kabulüyle.
3. KVKK’nın Amacı
Dijitalleşme ve veri paylaşımının hızla arttığı günümüzde, KVKK’nın temel amacı;
- Kişisel verilerin hukuka uygun, ölçülü ve güvenli biçimde işlenmesi,
- Yetkisiz erişim, paylaşım veya kötüye kullanımı önlemek,
- Bireylerin veri üzerindeki hak ve kontrolünü güçlendirmek,
- Kurumlar için şeffaf ve hesap verebilir bir veri işleme yapısı oluşturmaktır.
4. Kapsam
KVKK; kişisel verileri otomatik yollarla (örneğin veri tabanları, CRM sistemleri) veya veri kayıt sisteminin bir parçası olarak manuel yollarla işleyen tüm kişi ve kurumlara uygulanır.
Bu kapsamda:
- Gerçek kişiler,
- Özel sektör kuruluşları,
- Kamu kurumları,
aynı yükümlülüklere tabidir.
5. Açık Rıza
Açık rıza, ilgili kişinin belirli bir konuda bilgilendirilerek, kendi özgür iradesiyle kişisel verilerinin işlenmesine onay vermesidir.
Açık rıza geçerli olabilmesi için:
- Belirli bir konuya ilişkin olmalı,
- Bilgilendirmeye dayalı olmalı,
- Kişinin özgür iradesiyle verilmelidir.
Rızanın alınmaması gereken durumlar (örneğin kanuni zorunluluk, sözleşme gerekliliği, kamu sağlığı vb.) KVKK madde 5/2 ve 6/3’te belirtilmiştir.
6. Aydınlatma Metni
Aydınlatma metni, veri sorumlusunun kişisel verileri işlerken, veri sahibini şu konularda bilgilendirdiği belgedir:
- İşlenen verilerin türü,
- İşlenme amacı,
- Aktarılacağı kişi/kurumlar,
- Saklama süresi,
- İlgili kişinin KVKK kapsamındaki hakları.
Bu metin sade, açık ve anlaşılır bir dilde hazırlanmalı; veri sorumlusunun aydınlatma yükümlülüğünü ispat etmesini sağlamalıdır.
7. Veri Sorumlusu Kimdir?
Veri sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen,
veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi veya kuruluştur.
Veri sorumlusu:
- Hangi verilerin toplanacağını,
- Hangi amaçla kullanılacağını,
- Kimlerle paylaşılacağını,
- Ne kadar süre saklanacağını,
- İlgili kişilerin haklarını nasıl kullanabileceğini belirler.
8. Veri Sorumlusunun Yükümlülükleri
KVKK madde 12’ye göre veri sorumlusu;
- Verilerin hukuka aykırı işlenmesini önlemek,
- Verilere hukuka aykırı erişimi engellemek,
- Verilerin güvenliğini ve gizliliğini sağlamak
ile yükümlüdür.
Bu kapsamda, teknik ve idari tedbirler alınmalıdır:
- Güçlü şifreleme ve erişim kontrolü,
- Yetki yönetimi, loglama, yedekleme,
- Veri imhası ve anonimleştirme süreçleri,
- Çalışan gizlilik sözleşmeleri,
- Kişisel Verilerin Korunması Politikası hazırlanması.
Ayrıca, belirli kriterleri sağlayan kurum ve kuruluşların VERBİS sistemine kayıt olması zorunludur.
9. Bilişim Suçlarıyla İlişki
Kişisel verilerin korunması, aynı zamanda bilişim suçlarıyla mücadele alanına da girer.
Türk Ceza Kanunu (TCK) madde 243–246’ya göre:
- Bilişim sistemine izinsiz girme,
- Sistemdeki verileri bozma, silme veya değiştirme,
- Kişisel verileri hukuka aykırı olarak kaydetme, ele geçirme veya yayma
fiilleri suç teşkil eder ve cezai yaptırıma tabidir.
Bu fiiller, hem KVKK ihlali hem de TCK kapsamında suç olarak değerlendirilebilir.
10. Güncel Uygulama Notları
- KVKK Kurulu kararları emsal niteliğindedir; veri işleyen kuruluşlar için rehberlik eder.
- Aydınlatma metni ve açık rıza metinleri birbirinden farklıdır; birbirinin yerine geçmez.
- Veri ihlali yaşanması durumunda, 72 saat içinde Kişisel Verileri Koruma Kurumu’na bildirim yapılmalıdır.
- Veri sahipleri, haklarını kullanmak için veri sorumlusuna başvurabilir; talep reddedilirse Kurum’a şikayet yoluna gidebilir.
11. Sonuç
Kişisel verilerin korunması, yalnızca yasal bir zorunluluk değil, kurumsal itibar ve güvenin temelidir.
KVKK, bireylerin veri üzerindeki kontrolünü güçlendirirken, kurumlara da veri güvenliği, şeffaflık ve sorumluluk bilinci kazandırmayı amaçlar.
Bilişim suçlarına karşı alınacak her önlem, hem hukuki riskleri azaltır hem de siber güvenlik kültürünü güçlendirir.