6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU HAKKINDA DOĞRU BİLİNEN YANLIŞLAR
1) 6698 sayılı Kişisel Verilerin Korunması Kanununa (6698 sayılı Kanun) göre tüzel kişilerin verileri de korunmakta mıdır?
6698 sayılı Kanun tüzel kişilerin verilerini korumamaktadır. 6698 sayılı Kanunun 2. maddesinde, Kanun hükümlerinin kişisel verileri işlenen gerçek kişiler hakkında uygulanacağı ifade edilmiştir. Buna göre Kanun, kural olarak sadece gerçek kişilerin verilerini koruma kapsamına almış olup verileri işlenen tüzel kişiler bu Kanunun kapsamı dışında tutulmuştur.
2) Bir kâğıt parçası üzerine gelişigüzel yazılan ad, soyad ve telefon numaraları Kanun kapsamında sayılabilir mi?
Bir kâğıt parçası üzerine gelişigüzel yazılan ad, soyad ve telefon numaraları Kanun kapsamında değildir. Kişisel veri işlemenin Kanun kapsamında sayılabilmesi için işlenen kişisel verilerin bir veri kayıt sisteminin parçası olması yani belirli bir takım kriterlere göre yapılandırılarak işlenmesi gerekmektedir. Ad, soyad ve telefon numarası gibi veriler bir indeks, fihrist vb. bir veri kayıt sistemi dâhilinde yazılmışsa, söz konusu veri işleme faaliyeti Kanuna tâbi olacaktır. Manuel yolla ve gelişigüzel bir biçimde bir kâğıt parçası üzerine yazılan kişisel veriler Kanun kapsamında olmayacaktır. Bununla birlikte, bir veri kayıt sisteminin parçası olmadan işlenen kişisel verilerin 6698 sayılı Kanuna tâbi olmaması durumu, bu verilerin keyfi bir biçimde kullanılabilecekleri anlamına gelmemektedir. Zira konusu suç teşkil eden durumlar 5237 sayılı Türk Ceza Kanunu kapsamında ele alınmaktadır.
3) Bir veri kayıt sistemi aracılığıyla işlenen kişisel veriler Kanun kapsamında mıdır?
Bir veri kayıt sistemine bağlı olarak işlenen kişisel veriler, 6698 sayılı Kanun kapsamındadır. Kanunda “veri kayıt sistemi”; kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi şeklinde tanımlanmıştır. Dolayısıyla kişisel veriler; fihrist, numara, ad - soyad, alfabe, kategori, sıralama gibi belirli kriterlere göre işleniyorsa Kanun kapsamında olacaktır.
4) Otomatik olmayan yollarla kişisel veri işleyenler Kanundan istisna mıdır?
Kanun, otomatik olmayan yollarla kişisel veri işlenmesini tamamen Kanun kapsamı dışında tutmamaktadır. Otomatik olmayan yolla veri işleme eğer bir veri kayıt sisteminin parçası olarak gerçekleştiriliyorsa bu durumda söz konusu veri işleme faaliyeti de Kanun kapsamında kabul edilmektedir. Dolayısıyla otomatik olmayan yolla işlenen kişisel veriler, bir veri kayıt sisteminin parçası ise Kanun kapsamında olacaktır.
5) Bilgisayarda bazı kişisel veriler sadece depolama amacıyla dosya halinde tutulmakta ise, bu durumda kişisel veri işlenmiş sayılır mı?
Sadece depolama amacıyla dosya halinde bilgisayarda kişisel verilerin tutulması da kişisel veri işleme kapsamındadır. 6698 sayılı Kanunun 3. maddesinde kişisel verilerin işlenmesi; “kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem” olarak tanımlanmıştır. Buna göre, kişisel veriler sadece depolama amacıyla dosya halinde tutulsa ve üzerinde başkaca bir işlem yapılmasa bile kişisel verilerin işlenmesi olarak değerlendirilecek ve bu faaliyet de Kanun kapsamında kabul edilecektir.
6) Kişisel Verileri Koruma Kurumu (“Kurum”) bünyesinde vatandaşların kişisel verileri saklanıyor mu?
Kurum bünyesinde, vatandaşların kişisel verileri saklanmamaktadır. Ayrıca Kurumun, Türkiye’de işlenen tüm kişisel verileri kaydetmek ve bunları Kurum içerisinde muhafaza etmek gibi bir yetkisi ve görevi de bulunmamaktadır. Kişisel veriler, Kanunda belirtilen işleme şartlarının mevcut olması halinde veri sorumluları tarafından işlenmektedir. İşlenen kişisel verilerin kendisi veya bir kopyasının Kuruma iletilmesi gibi bir durum da söz konusu değildir.
7) Veri sorumlusu, Kanun ile verilen görevleri yerine getirmek üzere atanan bir gerçek kişi midir?
Kanunda veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır. Buna göre veri sorumlusu ifadesi ile, kişisel veri işleme faaliyetini gerçekleştiren bir görevli, çalışan, yönetici veya bu faaliyetten sorumlu olan bir gerçek kişi kastedilmemektedir. Kişisel veri işleme faaliyetinin, tanımdaki kriterleri taşıyan bir tüzel kişi (örneğin bir şirket) nezdinde gerçekleştirilmesi halinde veri sorumlusu, tüzel kişinin bizzat kendisidir. Benzer şekilde, kişisel veri işleme faaliyetinin, tanımdaki kriterleri taşıyan bir gerçek kişi (örneğin eczane) adına işlenmesi halinde de bu gerçek kişi veri sorumlusudur.
8) Bir şirket, veri sorumlusu olarak kimi belirlemelidir?
Bir tüzel kişinin (örneğin şirket) bir “veri sorumlusu” belirlemesi gibi bir durum söz konusu değildir. Zira tüzel kişilikte veri sorumlusu, tüzel kişiliğin bizzat kendisidir. Kanunda veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır. Ayrıca Veri Sorumluları Sicili Hakkında Yönetmeliğin 11. maddesinde tüzel kişilerde veri sorumlusunun, tüzel kişiliğin kendisi olduğu, tüzel kişiliğin Kanunun uygulanması bakımından bir veya birden fazla kişiyi görevlendirebileceği, bu görevlendirmenin tüzel kişiliğin sorumluluğunu ortadan kaldırmayacağı belirtilmiştir.
9) Kişisel veriler sadece ilgili kişilerden açık rıza alınması halinde mi işlenebilir?
Açık rıza, Kanundaki kişisel veri işleme şartlarından biri olmakla birlikte veri işleme faaliyetine hukukilik kazandıran tek unsur değildir. Kanunun 5. ve 6. maddelerinde kişisel veri işleme faaliyeti için açık rıza dışında da şartlar öngörülmüş olup bu şartlardan birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür. Buna göre, herhangi bir kişisel veri işleme faaliyeti söz konusu olduğunda öncelikle bu maddelerde belirtilen diğer işleme şartlarına bakılmalı, bu şartların bulunmadığı durumlarda açık rıza yoluna başvurulmalıdır.
10) Açık rıza dışındaki kişisel veri işleme şartlarından birine dayalı olarak kişisel veri işlenmesi halinde ayrıca ilgili kişiden açık rıza da almak mümkün müdür?
Açık rıza dışındaki kişisel veri işleme şartlarından birine dayalı olarak kişisel veri işlenmesi halinde ilgili kişiden ayrıca açık rıza alınmamalıdır.
Kanunun 5. ve 6. maddelerinde sayılan açık rıza dışındaki kişisel veri işleme şartlarından herhangi birinin bulunması halinde de kişisel verilerin işlenmesi mümkündür. Söz konusu işleme şartlarından herhangi birinin bulunması kişisel veri işleme faaliyeti için tek başına yeterli olduğundan ilgili kişiden ayrıca açık rıza alınmamalıdır. Örneğin 4857 sayılı İş Kanununun 75. maddesi gereği özlük dosyası oluşturulması amacıyla çalışanın kimlik bilgileri, “kanunlarda açıkça öngörülmesi” işleme şartına dayanarak işlenmektedir. Bu durumda çalışandan ayrıca açık rıza alınmamalıdır. Zira açık rıza, her zaman için geri alınabilmektedir. Açık rıza haricindeki diğer işleme şartlarından herhangi biri mevcut olmasına rağmen ilgili kişiden açık rıza alma yoluna gidilmesi ilgili kişilerin yanıltılması olarak değerlendirilebilir. Bu durumda da Kanunun 4. maddesindeki temel ilkelerden “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılıktan bahsedebiliriz.
11) Açık rızanın alınması herhangi bir şekle tabi midir?
Kanunda açık rızanın alınması hususunda herhangi bir şekil şartı öngörülmemiştir. Önemli olan açık rızanın Kanundaki unsurları taşıması ve ispatlanabilir olmasıdır. Dolayısıyla, açık rıza sözlü, yazılı, elektronik ortam vb. yöntemlerle alınabilir. Açık rızanın alındığı konusundaki ispat yükümlülüğü de veri sorumlusuna aittir.
12) Bir alışveriş sırasında “kişisel verilerimin işlenmesini ve paylaşılmasını kabul ediyorum” şeklinde rıza alınarak kişisel verilerin işlenmesi Kanuna uygun mudur?
Bir alışveriş sırasında “kişisel verilerimin işlenmesini ve paylaşılmasını kabul ediyorum” şeklinde rıza alınarak kişisel verilerin işlenmesi Kanuna uygun değildir.
