Geçen ekim ayında yürürlüğe giren ve kısa süre önce de ‘Kurul’u oluşturulan Kişisel Verilerin Korunması Kanunu, sade vatandaştan şirketlere kadar herkesi ilgilendiriyor. Özellikle kişisel verileri işleyen şirketlerin uyum sürecine dikkat etmesi gerekecek.
Son günlerde herkes, internet sitesine girdiği bankasının ya da mal aldığı perakende şirketinin önemli uyarısıyla karşılaşıyor: Kişisel Verilerin Korunması Kanunu (KVKK). Çünkü 7 Ekim 2016’da yürürlüğe giren yasa bir dizi uyum süreci öngörüyor. KVKK’nın amacı, “Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek” olarak açıklandı. Dijital dünyanın hayatın her alanına nüfuz ettiği günümüzde yasanın getirdiklerini öğrenmek şart.
Kimleri ilgilendiriyor?
Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen (toplayan, saklayan, düzenleyen, değiştiren, sınıfl andıran, yurtiçine ya da yurtdışına aktaran, açıklayan) gerçek ve tüzel kişiler hakkında uygulanacak.
Kişisel veri ve özel nitelikli kişisel veri nedir?
Gerçek kişiyi belirli ve belirlenebilir yapan her tür veriye kişisel veri deniyor. Örneğin isim, adres, kimlik ve telefon numarası bu kapsama giriyor. Kanun, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayıyor.
Kişisel veriler hangi şartlara bağlı olarak işlenebilecek?
Veriler, KVKK’da istisna olarak sayılan haller dışında ilgili kişinin ‘açık rıza’sı olmaksızın işlenemeyecek, işlenenler yok edilecek. “Kanunlarda açıkça öngörülmesi”, “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması”, “Kişi tarafından alenileştirilmesi” gibi şartlarda ise bu rıza aranmayacak. Örneğin iş arayanların özgeçmişlerini sosyal medyada bu amaçla kurulan mecralara yüklemeleri bu alenileştirmeye giriyor. Özel nitelikli kişisel verilerin ise açık rıza olmaksızın işlenmesi yasak. Ancak sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlıkla ilgili kişisel veriler ise ancak kamu sağlığının korunması, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık finansmanının planlanması gibi nedenlerle açık rızası aranmaksızın işlenebilecek. Ayrıca bu verilerin işlenmesinde Kişisel Verileri Koruma Kurulu’nca belirlenen önlemlerin alınması şart. Yine KVKK’ya göre açık rızanın, ilgili kişinin işleme hakkında aydınlatılmasını takiben, verinin işlenme amacına uygun olarak verilmesi de gerekiyor.
Veri sorumlusu kimdir?
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiye veri sorumlusu deniyor. Örneğin her şirket en azından çalışanlarına ait kişisel verileri işlemesi nedeniyle veri sorumlusu olarak niteleniyor. Tüm veri sorumlularının Veri Sorumluları Sicili’ne kaydolması gerekecek. Bu kayıt işlemi için örneğin şirketlerin hangi verileri ne amaçla ve ne kadar süreyle işleyeceklerini belirlemeleri, Sicil’e bildirmeleri gerekiyor. Veri sorumluları özellikle kişisel verileri işlenen kişilerin yapacakları bilgi edinme başvurularını, verilerin düzeltilmesi, silinmesi veya yok edilmesi taleplerini 30 gün içinde karşılamak zorunda. Bunları karşılamayan veri sorumluları, Kurul’na şikayet edilebilecek.
Kişisel veriler yurtdışına aktarılabilecek mi?
Kişisel verilerin yurtdışına aktarılması için, istisna halleri dışında ilgili kişinin açık rızasının alınması ve gönderilecek ülkenin yeterli kişisel veri korumasına sahip olması gerekiyor. Yeterli korumaya sahip ülkeler, Kurul tarafından liste halinde yayınlanacak.
Kişisel Verileri Koruma Kurulu’na kimler seçildi?
Kişisel verilerin korunması için özerk bir kurul ve kurum oluşturuldu. Kişisel Verileri Koruma Kurulu 12 Ocak 2017’de yemin ederek göreve başladı. Kurul, TBMM seçimi ile Cabir Bilirgen, Cengiz Paşaoğlu, Turan Arık, İhsan Ezel Büyüksekban ve Kurulu seçimi ile Murat Karakaya ile Hasan Aydın’dan oluşuyor.
Ne tür cezalar öngörüldü?
Kişisel verileri hukuka aykırı (TCK) olarak kaydedenler 1 yıldan 3 yıla kadar, hukuka aykırı olarak veren veya ele geçirenler 2 yıldan 4 yıla kadar, verileri yok etmeleri gerektiği halde yok etmeyenler 1 yıldan 2 yıla kadar hapis cezasıyla karşı karşıya kalacak. Ayrıca KVKK’da veri sorumlusuna yüklenen belirli yükümlülükleri yerine getirmeyenlere Kurul tarafından 5 bin-1 milyon lira idari para cezası verilebilecek.
KVKK’nın uygulanmayacağı istisnalar neler?
KVKK belli tip veri işlemede uygulanmayacak. Bunlar arasında “Kişisel verilerin resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi”, “Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi” var.
Kaynak: Diyarbakır Söz