KVKK nedir? Kişisel verileriniz üzerindeki haklar ve başvuru

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır; kimliği belirli veya belirlenebilir bir kişiye ait her bilginin nasıl toplanıp kullanılacağını düzenler. Kanun size, verinizi işleyen şirkete veya kuruma başvurarak ne yapıldığını öğrenme, düzeltme, silme ve zarar varsa tazmin isteme hakları tanır.

Aynı kısaltma günlük dilde iki şey için kullanılır: kanunun kendisi ve onu uygulayan Kişisel Verileri Koruma Kurumu. Kurumun karar organı Kişisel Verileri Koruma Kuruludur; şikâyetleri inceleyen ve yaptırım kararı veren yapı budur.

KVKK hangi kavramlarla çalışır?

KVKK, birkaç temel rolün ve kavramın üzerine kuruludur; haklarınızı kullanırken bu kavramları doğru eşleştirmek işinizi kolaylaştırır.

Kişisel veri nedir, nerede başlar?

Kişisel veri, tek başına ya da başka bilgilerle birleştirildiğinde sizi tanımlamaya yarayan bilgidir. Yalnızca ad-soyad değil, bir müşteri numarası veya konum kaydı da sizinle eşleştirilebiliyorsa bu kapsama girer. Kimseyle eşleştirilemeyecek biçimde anonim hâle getirilmiş veri ise kişisel veri sayılmaz.

KVKK nasıl işler?

KVKK, veriyi kullanan tarafa üç temel yük getirerek işler: bir hukuki sebebe dayanmak, ilgili kişiyi bilgilendirmek ve veriyi güvende tutmak.

1. Hukuki sebep: Veri ya açık rızaya ya da kanunun saydığı başka bir sebebe (sözleşmenin kurulması veya ifası, yasal yükümlülük, bir hakkın korunması, meşru menfaat gibi) dayanarak işlenir.
2. Aydınlatma: Veri toplanırken size kimin veri topladığı, hangi amaçla, kime aktarılabileceği, hangi yöntemle ve hangi hukuki sebeple toplandığı ve haklarınız anlatılır. Buna aydınlatma yükümlülüğü denir.
3. Genel ilkeler: Veri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli ve meşru amaçlar için, amaçla bağlantılı ve ölçülü biçimde işlenir; gerekli olan süreden fazla tutulmaz.
4. Güvenlik: Veri sorumlusu, verinin yetkisiz erişime ve kayba karşı korunması için teknik ve idari tedbir almakla yükümlüdür.

Açık rıza nedir, ne zaman gerekir?

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanunun saydığı diğer hukuki sebeplerden hiçbiri yoksa aranır. Bir hizmetin temel şartına bağlanmış, "hepsini kabul et" biçiminde toplu alınmış onayların özgür irade şartını taşıyıp taşımadığı tartışmalıdır; kendi durumunuzu değerlendirirken bu ayrıma dikkat edin.

Kişisel veri sahibi olarak hangi haklarınız var?

Kanun, ilgili kişiye veri sorumlusuna karşı kullanabileceği bir dizi hak tanır. Aşağıdaki örnekler kurgusaldır ve hakkın ne işe yaradığını göstermek içindir.

1. Verinizin işlenip işlenmediğini öğrenme. Kurgusal örnek: Ayşe Hanım, hiç üye olmadığı bir siteden mesaj alıyor; siteye başvurup kendisine ait veri tutulup tutulmadığını soruyor.
2. İşlenmişse buna ilişkin bilgi isteme. Hangi verilerinizin, hangi kayıtlarda tutulduğunu sorabilirsiniz.
3. İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme. Kargo teslimi için verdiğiniz adresin başka amaçla kullanılıp kullanılmadığını sorgulamak bu hakka girer.
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme. Verinizin hangi iş ortaklarıyla paylaşıldığını öğrenebilirsiniz.
5. Eksik veya yanlış işlenmişse düzeltilmesini isteme. Kurgusal örnek: Bir aboneliğe ait faturalar eski adresinize gidiyorsa adresin düzeltilmesini talep edersiniz.
6. Silinmesini veya yok edilmesini isteme. İşleme sebebi ortadan kalktıysa, örneğin üyeliğinizi sonlandırdığınız bir platformdaki pazarlama kayıtları için bu hakkı kullanırsınız.
7. Düzeltme ve silmenin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme. Böylece düzeltme yalnızca tek bir sistemde kalmaz.
8. Yalnızca otomatik sistemlerle yapılan analiz sonucu aleyhinize çıkan sonuca itiraz etme. Tamamen otomatik bir puanlama sonucunda olumsuz bir karar çıktığında bu hak gündeme gelir.
9. Kanuna aykırı işleme nedeniyle zarara uğradıysanız zararın giderilmesini talep etme. Tazminat talebi için genellikle yargı yolu da gerekir; bu noktada bir avukata danışmanız yerinde olur.

Veri sorumlusuna başvuru nasıl yapılır?

Veri sorumlusuna başvuru, haklarınızı kullanmanın ilk ve zorunlu adımıdır; Kurula şikâyet yolu genellikle bu başvurudan sonra açılır.

1. Veri sorumlusunu belirleyin. Aydınlatma metninde veri sorumlusunun unvanı ve iletişim bilgileri yazar; başvuruyu bu tüzel kişiye yöneltin.
2. Talebinizi tek tek yazın. "Hangi verilerim tutuluyor, kimlerle paylaşıldı, pazarlama izinlerim silinsin" gibi net maddeler, dağınık bir şikâyet metninden daha hızlı sonuç verir.
3. Kimliğinizi doğrulayacak bilgileri ekleyin. Ad-soyad, kimlik bilgisi, tebligata esas adres veya e-posta ve sizi müşteri olarak tanımlayan bilgi (üyelik e-postası gibi) gerekir.
4. Kurulun kabul ettiği bir yöntemle gönderin. Yazılı başvuru, kayıtlı elektronik posta, güvenli elektronik imza veya veri sorumlusunun sistemine önceden kaydettiğiniz e-posta adresi gibi yöntemler kullanılır; kabul edilen yöntemlerin güncel listesini Kurumun sitesinden kontrol edin.
5. Gönderim kanıtını saklayın. Gönderim tarihi, şikâyet aşamasında sürenin başladığı anı gösterir.

Cevap alamazsanız ne yaparsınız?

Başvurunuz reddedilirse, verilen cevabı yetersiz bulursanız ya da süresinde cevap gelmezse Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. Şikâyette veri sorumlusuna başvurduğunuzu gösteren belgeyi ve aldığınız cevabı eklemeniz beklenir. Kurul, inceleme sonunda ihlal tespit ederse veri sorumlusuna düzeltme talimatı verebilir ve idari yaptırım uygulayabilir.

Kurul şikâyeti tazminat yolunun yerini tutmaz. Zararınızın giderilmesini istiyorsanız bu, genel hükümlere göre yargı yoluyla yürür. Kamu kurumlarının işlemlerine yönelik başvuru kanallarının genel mantığını kamu kurumlarına şikâyet ve başvuru yolları rehberinde bulabilirsiniz. Haberlerde geçen "suç duyurusu", "ihtiyati tedbir" gibi terimlerin kısa tanımları ise hukuk sözlüğünde yer alır.

KVKK ile sık karıştırılan kavramlar hangileri?

KVKK konusundaki karışıklıkların çoğu, birbirine yakın görünen ama farklı hukuki sonuç doğuran kavram çiftlerinden kaynaklanır.

Kişisel veri koruması, telif koruması ile de karıştırılır. Bir fotoğrafta yüzünüzün görünmesi kişisel veri meselesidir; fotoğrafın kime ait olduğu ve izinsiz kullanılıp kullanılamayacağı ise telif hakkı ve eser sahibinin hakları konusudur.

KVKK haberde nasıl geçer?

Haberlerde KVKK çoğunlukla bir veri sızıntısı, bir Kurul kararı veya bir uygulamanın izin istemesi bağlamında geçer. Kurgusal bir haber cümlesi: "Kişisel Verileri Koruma Kurulu, müşteri verilerini yeterli güvenlik önlemi almadan sakladığı belirlenen bir şirkete idari para cezası verdi." Bu cümle şunu anlatır: Kurul, veri güvenliği yükümlülüğünün ihlal edildiğine karar vermiştir. Cümle, tek tek müşterilere tazminat ödeneceği anlamına gelmez; tazminat ayrı bir yoldur.

Bir veri sızıntısı haberini okuduğunuzda yapabileceğiniz en somut şey hesap güvenliğinizi gözden geçirmektir. Sızan e-posta ve telefon bilgileri çoğu zaman sahte mesajlarla kullanılır; oltalama mesajlarını nasıl ayırt edeceğinizi ve iki adımlı doğrulamanın hesabınızı nasıl koruduğunu bilmek, sızıntının etkisini azaltır.

Aydınlatma metnini okurken neye bakmalısınız?

Aydınlatma metni, bir hizmete kaydolurken verilerinizin kaderini önceden görebileceğiniz tek belgedir; aşağıdaki kontrol listesi metni birkaç dakikada taramanızı sağlar.

• Veri sorumlusunun tam unvanı ve iletişim adresi yazıyor mu?
• Hangi veri türlerinin toplandığı tek tek sayılmış mı?
• Her amaç için hangi hukuki sebebe dayanıldığı belirtilmiş mi?
• Verinin kimlere ve hangi amaçla aktarılabileceği açıklanmış mı?
• Yurt dışına aktarım yapılıp yapılmadığı yazıyor mu?
• Pazarlama iletişimi için ayrı ve isteğe bağlı bir onay kutusu var mı?
• Başvuru yöntemi ve haklarınız anlaşılır biçimde yazılmış mı?

Bu sorulardan birinin cevabını bulamıyorsanız, kaydı tamamlamadan önce veri sorumlusuna sorun ya da yalnızca hizmet için zorunlu olan bilgileri paylaşın. Kamu hizmetlerinde kişisel verilerinize ait kayıtların bir kısmını e-Devlet üzerinden görüntüleyebileceğinizi de hatırlatalım.