KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu için kullanılan kısaltmadır. Bu kanun, kişisel verilerin işlenmesinde, başta özel hayatın gizliliği olmak üzere, temel hak ve özgürlüklerin korunmasını amaçlamaktadır.
Kanunun Amacı ve Kapsamı
KVKK, kişisel verileri işleyen gerçek ve tüzel kişilerin uyacakları kuralları düzenler. Kanun, veri güvenliğini sağlama ve kişisel verilere yetkisiz erişimi önleme gibi yükümlülükleri içerir.
Bu kanunla birlikte idari ve mali özerkliğe sahip Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu da düzenlenmiştir.
Kişisel Veri Nedir?
KVKK nedir sorusu kişisel veri nedir sorusunu da beraberinde getirir. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bunlar arasında aşağıdaki gibi kişiyi tanımlayan veriler yer alır:
- İsim, soy isim.
- Doğum tarihi.
- Adres bilgileri.
- E-posta adresi.
- Telefon numarası.
- Pasaport numarası.
- Kredi kartı bilgileri.
- Fotoğraf ve video.
Özel nitelikli kişisel veriler nelerdir?
Özel nitelikli kişisel veriler ise daha hassas bilgilerdir:
- Kişilerin ırkı.
- Etnik kökeni.
- Siyasi düşüncesi.
- Dini inançları.
- Sağlık bilgileri.
- Cinsel hayatı.
- Biyometrik veriler.
Bu verilerin işlenmesi, kişinin açık rızası olmadan yasaktır. Kanundaki son değişikliklerle özel nitelikli verilerin işlenmesi için istihdam, iş sağlığı/güvenliği, sosyal güvenlik ve savunma hakkı gibi ek hukuki sebepler getirilmiştir.
KVKK Ne Zaman Yürürlüğe Girdi?
KVKK, 24 Mart 2016 tarihinde kanunlaşmış ve 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiştir.
KVKK Kimler İçin Zorunlu?
KVKK, kişisel verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla işleyen gerçek ve tüzel kişiler için zorunludur.
Veri Sorumlusu Kimdir?
Veri sorumlusu, kişisel verilerin işleme amacını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
KVKK Kapsamında Yapılması Gerekenler
Veri sorumlularının yükümlülükleri:
- İlgililerin aydınlatmak.
- Veri güvenliğinin sağlanması için tedbirler almak.
- Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) kayıt olmak.
- İlgililerin başvurularını yanıtlamak.
- İşlenme sebebi ortadan kalkan verileri silmek.
- Kurul kararlarını yerine getirmek.
VERBİS kayıt muafiyeti için belirli kriterler vardır. Bu kriterlerde yıllık mali bilanço sınırı ve çalışan sayısına göre değişiklikler yapılmaktadır.
Diğer yandan, son düzenlemelerle yurtdışına veri aktarımı için standart sözleşmeler kullanılabilir hale gelmiş ve Kurul kararlarına itiraz yolu değiştirilerek idare mahkemelerinde dava açılması sağlanmıştır. Özel nitelikli verilerin işlenmesi için ek hukuki sebepler getirilmiştir.
KVKK Cezaları ve Yaptırımlar
Kanuna aykırı davrananlar çeşitli cezalarla karşılaşabilir. Bunların arasında kişisel verileri hukuka aykırı kaydedenlere, verileri hukuka aykırı yayanlara ve silme yükümlülüğüne uymayanlara hapis cezası uygulanabilir.
Ayrıca aydınlatma yükümlülüğüne uymayanlar, veri güvenliği tedbirlerini almayanlar ve VERBİS'e kayıt yükümlülüğünü ihlal edenlere idari para cezaları da uygulanır.
İdari para cezaları her yıl yeniden değerleme oranına göre artırılmaktadır.
KVKK ve GDPR Farkları
KVKK ile AB'nin Genel Veri Koruma Tüzüğü GDPR arasında bazı farklar bulunur:
- GDPR'da veri işleyenler de sorumlu tutulurken, KVKK'da idari para cezaları genellikle veri sorumlularına uygulanır
- "Unutulma hakkı" GDPR'da açıkça düzenlenmiş, KVKK'da yargı kararlarıyla şekillenmektedir
- GDPR'daki cezalar daha yüksektir
- "Veri taşınabilirliği", "veri koruma görevlisi" gibi GDPR'daki bazı kurumlar KVKK'da düzenlenmemiştir