Kişisel veri, bireylerin kimliklerini belirli veya belirlenebilir kılan her türlü bilgi olup, günümüzde hukuki ve pratik açıdan büyük önem taşımaktadır. Teknolojinin hızla gelişmesi ve dijitalleşmenin hayatımızın her alanına nüfuz etmesiyle birlikte, kişisel verilerin korunması konusu daha da kritik hale gelmiştir. Bu makalede, kişisel veri kavramını, veri güvenliği önlemlerini ve kişisel verilerin korunmasının hukuki boyutlarını detaylı bir şekilde ele alacağız.
Kişisel Veri Kavramı ve Önemi
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmaktadır. Bu kapsamda, yalnızca bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi kesin teşhisini sağlayan bilgiler değil, aynı zamanda fiziki, ailevi, ekonomik, sosyal ve diğer özelliklerine ilişkin bilgiler de kişisel veri olarak kabul edilebilmektedir. Örneğin, bir kişinin telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, fotoğrafı, görüntü ve ses kayıtları, parmak izleri ve genetik bilgileri (biyometrik) gibi veriler, kişiyi doğrudan veya dolaylı olarak belirlenebilir kıldığı için kişisel veridir.
Kişisel verinin belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle kişinin tanımlanabilir hale getirilmesi anlamına gelir. Bu nedenle, verilerin kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi kayıtlarla ilişkilendirilmesi sonucu kişinin belirlenmesini sağlayan tüm haller kişisel veri kapsamındadır. Örneğin, dinamik IP adresleri veya çerezler (cookies) gibi dijital izler, tek başına kişinin kimliğini ortaya koymasa da başka verilerle birleştirildiğinde kişiyi belirlenebilir hale getirebilir.
Kişisel verilerin korunması, bireylerin özel hayatlarının gizliliğini ve temel haklarını koruma amacı taşımaktadır. Çünkü kişisel verilerin yetkisiz kişiler tarafından ele geçirilmesi, kullanılması veya ifşa edilmesi, bireylerin mahremiyetini ihlal edebilir ve onlara maddi veya manevi zararlar verebilir. Örneğin, bir kişinin finansal bilgilerinin ele geçirilmesi durumunda, o kişi dolandırıcılık faaliyetlerine maruz kalabilir veya banka hesapları boşaltılabilir. Benzer şekilde, sağlık verilerinin ifşa edilmesi, kişinin özel hayatının gizliliğini ihlal edebilir ve sosyal veya psikolojik baskılara yol açabilir. Bu nedenle, kişisel verilerin işlenmesi ve korunması konusunda ulusal ve uluslararası düzeyde çeşitli yasal düzenlemeler yapılmıştır.
Türkiye’de kişisel verilerin korunması alanındaki temel yasal düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)‘dur. KVKK, kişisel verilerin işlenmesinde uyulması gereken ilkeleri ve veri sorumlularının yükümlülüklerini belirler. Kanuna göre, kişisel veriler ancak ilgili kişinin açık rızasıyla veya kanunda belirtilen diğer hukuka uygunluk hallerinin varlığı durumunda işlenebilir.
Özel nitelikli kişisel veriler ise, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir. Bu veriler, diğer kişisel verilere göre daha sıkı koruma altındadır ve işlenmeleri daha sıkı şartlara bağlanmıştır.
Uluslararası düzeyde, Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR), kişisel verilerin korunması konusunda en kapsamlı düzenlemelerden biridir. GDPR, AB üyesi ülkelerde yaşayan bireylerin kişisel verilerinin işlenmesi ve serbest dolaşımıyla ilgili kuralları belirler ve yüksek standartlar getirir.
Kişisel verilerin korunması, sadece hukuki bir zorunluluk değil, aynı zamanda kurumlar ve işletmeler için de önemli bir sorumluluktur. Veri ihlalleri ve kişisel verilerin kötüye kullanılması, kurumların itibar kaybına uğramasına, hukuki yaptırımlara ve yüksek para cezalarına maruz kalmasına neden olabilir. Bu nedenle, kişisel verilerin işlenmesi ve korunması konusunda gerekli tüm önlemlerin alınması büyük önem taşımaktadır.
Neticede, kişisel veri kavramı, bireylerin temel hak ve özgürlüklerinin korunması açısından kritik bir öneme sahiptir. Kişisel verilerin korunması ve veri güvenliğinin sağlanması, hem bireylerin özel hayatlarının gizliliğinin sağlanması hem de kurumların hukuki sorumluluklarını yerine getirmesi açısından vazgeçilmezdir. En önemlisi, kişisel verilerin korunması, toplumsal güvenin ve dijital dünyanın sürdürülebilirliğinin temelini oluşturur.
Kişisel Verilerin İşlenmesi ve Yasal Dayanaklar
Kişisel verilerin işlenmesi, KVKK’nın 5. maddesinde belirtilen belirli şartlara ve yasal dayanaklara bağlıdır. Kişisel verilerin işlenmesi, verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması ve yok edilmesi gibi her türlü işlemi kapsamaktadır. Kanuna göre, kişisel veriler aşağıdaki durumlarda işlenebilir:
İlgili kişinin açık rızasının varlığı: Kişisel verilerin işlenmesi için en temel şart, ilgili kişinin belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verdiği onaydır. Örneğin, bir internet sitesine üye olurken, kişisel verilerin işlenmesine ilişkin aydınlatma metnini okuyup onay veren bir kişi, açık rızasını vermiş olur.
Kanunlarda açıkça öngörülmesi: Bazı durumlarda, kanunlar kişisel verilerin işlenmesini zorunlu kılabilir. Örneğin, bir işverenin çalışanlarının kimlik bilgilerini Sosyal Güvenlik Kurumu’na bildirmesi yasal bir yükümlülüktür ve bu durumda açık rıza aranmaksızın veriler işlenebilir.
Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması: Acil tıbbi müdahale gerektiren durumlarda, hastanın kişisel verilerinin işlenmesi gerekebilir. Örneğin, bilinçsiz halde hastaneye getirilen bir kazazedenin tıbbi geçmişinin incelenmesi bu kapsamdadır.
Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması: Bir hizmet sözleşmesi kapsamında, müşterinin adres ve iletişim bilgilerinin alınması ve kullanılması bu kapsamdadır.
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması: Vergi kanunları gereği, işletmelerin mali kayıt tutması ve belirli bilgileri saklaması gerekmektedir. Bu durumda, kişisel verilerin işlenmesi hukuki bir yükümlülüktür.
İlgili kişinin kendisi tarafından alenileştirilmiş olması: Kişi tarafından kamuya açık hale getirilen veriler, sadece alenileştirme amacıyla sınırlı kalmak üzere işlenebilir. Örneğin, sosyal medya hesaplarında paylaşılan bilgiler bu kapsama girebilir.
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması: Hukuki bir dava veya icra takibi sırasında, ilgili kişilerin verilerinin işlenmesi gerekebilir.
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması: İşletmelerin faaliyetlerini sürdürürken, belirli kişisel verileri işlemeleri gerekebilir. Ancak bu durumda, veri işleme faaliyetinin ilgili kişinin hak ve özgürlüklerine zarar vermemesi gerekmektedir.
Kişisel verilerin işlenmesi sırasında, veri sorumlularının dikkat etmesi gereken önemli hususlar bulunmaktadır. Öncelikle, verilerin işlenme amacı belirli, açık ve meşru olmalıdır. Veriler, belirtilen amaç dışında kullanılamaz ve amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Ayrıca, verilerin doğru ve güncel tutulması esastır.
Örnek: Bir sigorta şirketi, müşterilerine daha iyi hizmet sunmak amacıyla onların sağlık verilerini işlemek isteyebilir. Bu durumda, müşterilerin açık rızasının alınması ve verilerin sadece belirtilen amaç için kullanılması gerekmektedir. Verilerin üçüncü taraflarla paylaşılması veya farklı amaçlarla kullanılması hukuka aykırı olacaktır.
Kişisel Verilerin İşlenmesinde Temel İlkeler
Veri sorumlularının, kişisel verileri işlerken KVKK’nın temel ilkelerine uygun hareket etmeleri gerekmektedir. Bu ilkeler şunlardır:
Hukuka ve dürüstlük kurallarına uygun olma
Doğru ve gerektiğinde güncel olma
Belirli, açık ve meşru amaçlar için işlenme
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
Kişisel verilerin işlenmesi sırasında bu ilkelere uyulmaması durumunda, veri sorumluları hukuki ve idari yaptırımlarla karşılaşabilir. Ayrıca, veri ihlali durumunda ilgili kişilerin maddi ve manevi tazminat talepleri de söz konusu olabilir.
Veri Korumada Yasal Dayanaklar
Kişisel verilerin korunmasının hukuki dayanakları, ulusal ve uluslararası düzeyde çeşitli yasal düzenlemelerle belirlenmiştir. Türkiye’de bu alandaki temel düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)‘dur. KVKK, kişisel verilerin işlenmesi, saklanması ve aktarılmasıyla ilgili usul ve esasları düzenler ve veri sorumlularına önemli yükümlülükler getirir.
KVKK’nın amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere bireylerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin uyacakları usul ve esasları belirlemektir. Kanun, kişisel verilerin işlenmesinde uyulması gereken genel ilkeleri ve veri işleme şartlarını açıkça belirtmiştir. Buna göre, kişisel veriler ancak ilgili kişinin açık rızası veya kanunda öngörülen diğer hukuka uygunluk hallerinin varlığı durumunda işlenebilir.
KVKK kapsamında, Kişisel Verileri Koruma Kurumu ve Kurulu oluşturulmuştur. Kurul, kişisel verilerin korunması alanında düzenleyici ve denetleyici görevler üstlenir. Veri sorumlularının yükümlülüklerini yerine getirip getirmediğini denetler, ihlaller durumunda idari para cezaları ve diğer yaptırımları uygular.
Anayasal düzeyde, Türkiye Cumhuriyeti Anayasası’nın 20. maddesinde yapılan düzenlemeyle, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu ve bu hakkın ancak kanunla sınırlanabileceği hüküm altına alınmıştır. Bu düzenleme, kişisel verilerin korunması hakkını anayasal bir hak olarak tanımlar.
Uluslararası düzeyde, Türkiye’nin de bazılarına taraf olduğu birçok sözleşme ve düzenleme bulunmaktadır. Özellikle, Avrupa Konseyi’nin 108 sayılı Sözleşmesi, kişisel verilerin otomatik işleme tabi tutulması sırasında bireylerin korunmasını amaçlar. Ayrıca, Avrupa İnsan Hakları Sözleşmesi (AİHS)‘nin 8. maddesi, özel hayatın ve aile hayatının korunmasını düzenler ve kişisel verilerin korunmasına ilişkin hakların da bu kapsamda değerlendirilmesine olanak tanır.
Avrupa Birliği’nin Genel Veri Koruma Tüzüğü (GDPR), kişisel verilerin korunması konusunda dünya genelinde standartları belirleyen en kapsamlı düzenlemelerden biridir. GDPR, AB vatandaşlarının kişisel verilerinin işlenmesi ve serbest dolaşımıyla ilgili kuralları belirler ve yüksek koruma standartları getirir. Türkiye, AB’ye aday ülke olması nedeniyle, GDPR’a uyum çalışmalarını sürdürmekte ve KVKK’yı bu doğrultuda güncellemektedir. Bu doğrultuda 2025-2027 yıllarını kapsayan Orta Vadeli Program 05/09/2024 tarihli ve 32653 sayılı 1. mükerrer Resmî Gazete‘de yayımlanmıştır. Bu program uyarınca; mal ve hizmet ihracatını etkileyen yönleriyle AB dijital ekonomi düzenlemeleri doğrultusunda, Kişisel Verilerin Korunması Kanunu (KVKK)’nun Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) başta olmak üzere AB müktesebatına uyum süreci tamamlanacaktır.
Veri Güvenliği ve Alınması Gereken Önlemler
Veri güvenliği, kişisel verilerin yetkisiz erişim, değişiklik, ifşa, kaybolma veya imha edilmesine karşı korunmasını ifade eder. KVKK’nın 12. maddesi, veri sorumlularına veri güvenliğinin sağlanması konusunda önemli yükümlülükler getirmektedir. Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere yetkisiz erişimi engellemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Teknolojinin hızla gelişmesi ve dijitalleşmenin artmasıyla birlikte, kişisel verilerin toplanması, işlenmesi ve saklanması süreçleri daha da kolaylaşmıştır. İnternetin yaygınlaşması, sosyal medya platformlarının kullanımı, mobil uygulamalar ve e-ticaret siteleri gibi dijital hizmetler, kişisel verilerin toplanması için geniş bir alan yaratmıştır. Bu durum, veri güvenliği risklerini artırmış ve veri ihlalleri gibi sorunların ortaya çıkmasına neden olmuştur.
Veri İhlalleri
Veri ihlalleri, kişisel verilerin yetkisiz kişiler tarafından erişilmesi, ifşa edilmesi, değiştirilmesi veya imha edilmesi durumlarını ifade eder. Veri ihlalleri, bireylerin hak ve özgürlüklerini ciddi şekilde ihlal eder ve kurumlar için de önemli hukuki ve finansal sonuçlar doğurur.
Veri İhlallerinin Bazı Nedenleri
Siber Saldırılar: Bilgisayar korsanları tarafından gerçekleştirilen saldırılar, veri ihlallerinin en yaygın nedenlerinden biridir.
İç Tehditler: Kurum içindeki çalışanların kasıtlı veya hatalı davranışları sonucu verilerin sızdırılması veya zarar görmesi.
Teknik Hatalar: Sistemlerdeki yazılım veya donanım hataları nedeniyle verilerin kaybolması veya yetkisiz kişilere açılması.
Fiziksel Güvenlik Zafiyetleri: Sunucuların veya depolama cihazlarının çalınması veya zarar görmesi.
KVKK’ya göre, veri ihlali durumunda veri sorumlusu, bu durumu en kısa sürede Kişisel Verileri Koruma Kurumu’na (KVKK) ve ilgili kişilere bildirmekle yükümlüdür. Bildirimde, ihlalin niteliği, etkilenen kişisel veri kategorileri ve sayısı, ihlalin olası sonuçları ve alınan veya alınması önerilen önlemler belirtilmelidir
Teknik tedbirler arasında, güçlü şifreleme yöntemlerinin kullanılması, güvenlik duvarları ve antivirüs yazılımlarının güncel tutulması, düzenli sızma testlerinin yapılması ve veri yedeklemelerinin gerçekleştirilmesi gibi uygulamalar yer alır. İdari tedbirler ise, çalışanların veri güvenliği konusunda eğitilmesi, erişim yetkilerinin düzenlenmesi ve veri koruma politikalarının oluşturulması gibi önlemleri içerir.
Veri güvenliği ihlallerinin önlenmesi için, kurumların siber güvenlik tehditlerine karşı sürekli tetikte olması ve risk değerlendirmeleri yapması gerekmektedir. Örneğin, bir e-ticaret sitesinin müşterilerinin ödeme bilgilerini korumak için PCI DSS (Payment Card Industry Data Security Standard) uyumlu güvenlik önlemleri alması zorunludur.
Bu nedenle, veri ihlallerinin önlenmesi sadece teknik bir konu değil, aynı zamanda kurumsal bir kültür ve strateji meselesidir. Çalışanların bilinçlendirilmesi, üst yönetimin desteği ve sürekli iyileştirme süreçleri, veri güvenliğinin sağlanmasında kritik öneme sahiptir.
Veri ihlali durumunda, veri sorumluları KVKK’ya göre en kısa sürede Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirim yapmak zorundadır. Bu bildirim, zararın en aza indirilmesi ve gerekli önlemlerin alınabilmesi için önemlidir. Aksi takdirde, kurumlar hem idari para cezalarıyla karşılaşabilir hem de itibar kaybı yaşayabilir.
Örnek: Bir sağlık kuruluşu, hastaların tıbbi verilerini dijital ortamda saklarken, bu verilere yalnızca yetkili sağlık personelinin erişebilmesini sağlamalıdır. Bunun için, güçlü parolalar, çift faktörlü kimlik doğrulama ve erişim loglarının tutulması gibi teknik önlemler alınabilir. Ayrıca, çalışanlara veri güvenliği konusunda eğitimler verilmeli ve hastaların verilerinin gizliliği konusunda farkındalık artırılmalıdır.
Veri güvenliğinin sağlanması, sadece yasal bir zorunluluk değil, aynı zamanda kurumların itibarını korumak ve müşteri güvenini kazanmak için de kritiktir. Veri ihlallerinin yaşanması durumunda, kurumlar ciddi maddi ve manevi kayıplarla karşılaşabilir. Bu nedenle, proaktif önlemlerin alınması ve sürekli olarak güncellenmesi gerekmektedir.
