Kişisel Verilerin Korunması Kanunu, kısaca KVKK olarak adlandırılan ve 6698 sayılı Kanun ile düzenlenen, Türkiye’de kişisel verilerin işlenmesine ilişkin temel hukuki çerçeveyi belirleyen kanundur. Kanun, Türkiye Büyük Millet Meclisi tarafından 24 Mart 2016 tarihinde kabul edilmiş, 7 Nisan 2016 tarihinde Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. KVKK’nın temel amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel veri işleyen gerçek veya tüzel kişilerin yükümlülükleri ile uymaları gereken usul ve esasları düzenlemektir.
KVKK, kişisel verilerin sınırsız, gelişigüzel veya amacı belirsiz şekilde işlenmesini önlemeyi hedefler. Bireyler dijital ortamda sosyal medya kullanırken, bir bankada hesap açarken, bir e-ticaret sitesinden alışveriş yaparken, sağlık kuruluşuna başvururken veya bir mobil uygulama kullanırken farklı türlerde kişisel veriler paylaşabilir. Bu verilerin hukuka aykırı, kötü niyetli veya amacı dışında kullanılmasını engellemek için veri işleme faaliyetlerinin belirli kurallara bağlanması gerekir. KVKK da bu alanda hem kişilerin haklarını hem de veri işleyen tarafların sorumluluklarını düzenler.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, telefon numarası, e-posta adresi, adres, T.C. kimlik numarası, müşteri numarası, IP adresi, konum bilgisi, finansal bilgiler, işlem geçmişi, görüntü kayıtları ve benzeri bilgiler kişisel veri kapsamında değerlendirilebilir. Burada önemli olan, verinin doğrudan veya dolaylı olarak bir gerçek kişiyle ilişkilendirilebilir olmasıdır. Tüzel kişilere ait veriler kural olarak KVKK kapsamında kişisel veri sayılmaz; ancak bu veriler bir gerçek kişiyi belirlenebilir kılıyorsa koruma kapsamında değerlendirilebilir.
KVKK’da bazı veriler özel nitelikli kişisel veri olarak ayrıca korunur. Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler bu kapsamdadır. Bu veriler, ayrımcılık veya hak ihlali riski doğurabileceği için daha sıkı koruma kurallarına tabidir. Bu nedenle özel nitelikli kişisel verilerin işlenmesinde kanunda belirtilen şartlara ve ek güvenlik tedbirlerine dikkat edilmelidir.
Kişisel verilerin işlenmesi yalnızca açık rızaya bağlı değildir. Açık rıza, KVKK’da yer alan hukuki işleme şartlarından biridir; ancak kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için gerekli olması, hukuki yükümlülüğün yerine getirilmesi, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ya da meşru menfaat gibi farklı işleme şartları da bulunabilir. Bu nedenle veri sorumluları her veri işleme faaliyeti için öncelikle doğru hukuki sebebi belirlemeli, yalnızca gerekli durumlarda açık rızaya başvurmalıdır.
KVKK kapsamında veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen gerçek veya tüzel kişidir. Veri sorumluları; kişisel verilerin hukuka uygun işlenmesini sağlamak, ilgili kişileri aydınlatmak, veri güvenliğine ilişkin gerekli teknik ve idari tedbirleri almak, gerektiğinde veri işleme envanteri oluşturmak ve mevzuatta öngörülen hallerde VERBİS yükümlülüklerini yerine getirmekle sorumludur. Ayrıca ilgili kişilerden gelen başvurulara süresi içinde yanıt verilmesi ve kişisel verilerin saklama süresi sonunda silinmesi, yok edilmesi veya anonim hale getirilmesi de önemli yükümlülükler arasındadır.
Kişisel verilerin aktarımı da KVKK’nın önemli konularından biridir. Kişisel veriler yurt içinde veya yurt dışına aktarılırken kanunda belirtilen şartlara uyulmalıdır. Özellikle yurt dışına veri aktarımı bakımından 2024 yılında yapılan değişikliklerle birlikte yeterlilik kararı, uygun güvenceler, standart sözleşmeler, bağlayıcı şirket kuralları ve istisnai aktarım halleri daha belirgin bir çerçeveye oturmuştur. Bu nedenle yurt dışına veri aktarımı yapılacaksa yalnızca açık rıza yaklaşımıyla değil, güncel kanuni aktarım mekanizmalarıyla birlikte değerlendirme yapılmalıdır.
İlgili kişiler, yani kişisel verisi işlenen gerçek kişiler, KVKK kapsamında çeşitli haklara sahiptir. Kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işleme amacını ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme, eksik veya yanlış işlenen verilerin düzeltilmesini isteme, belirli şartlarda silme veya yok etme talebinde bulunma ve hukuka aykırı işleme nedeniyle zarara uğramışsa giderim talep etme bu haklar arasında yer alır. Bu haklar, bireylerin kendi verileri üzerindeki kontrolünü güçlendirmeyi amaçlar.
Kısacası KVKK, Türkiye’de kişisel verilerin hukuka uygun, şeffaf, güvenli ve ölçülü şekilde işlenmesini sağlamayı hedefleyen temel veri koruma kanunudur. Markalar, kurumlar ve veri işleyen tüm taraflar için KVKK yalnızca hukuki bir zorunluluk değil, aynı zamanda güven yönetimi açısından da kritik bir konudur. Doğru bir KVKK uyumu için açık rıza metinleri hazırlamak tek başına yeterli değildir; veri envanteri, aydınlatma yükümlülüğü, veri güvenliği, saklama-imha süreçleri, aktarım mekanizmaları ve ilgili kişi başvuruları bütüncül şekilde yönetilmelidir.
