6698 sayılı Kişisel Verilerin Korunması Kanununun uygulanıp uygulanmayacağını belirlerken ilk soru açık rıza değildir. Önce ortada kişisel veri bulunup bulunmadığı, bu verinin Kanun anlamında işlenip işlenmediği, faaliyetin kim tarafından hangi amaç ve araçlarla yürütüldüğü ve kapsam dışı bir durumun bulunup bulunmadığı tespit edilmelidir. Ancak bundan sonra veri işleme şartı, aydınlatma, saklama, aktarım ve güvenlik yükümlülüklerine geçilir.
Kişisel veri nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. İsim, telefon ve kimlik numarasının yanında IP adresi, konum, müşteri numarası, ses kaydı, fotoğraf, cihaz kimliği, iş performans kaydı veya belirli bir kişiye bağlanabilen işlem geçmişi de şartlarına göre kişisel veri olabilir. Kanun gerçek kişilerin verisini korur. Tüzel kişiye ait salt ticari bilgi kişisel veri değildir, ancak kurumsal kayıttaki belirli gerçek kişiye ait imza, telefon veya e-posta tekrar kişisel veri alanına girer.
Veri işleme yalnız veri toplamak mıdır?
Hayır. Verinin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, açıklanması, aktarılması, erişilebilir hale getirilmesi, sınıflandırılması veya kullanımının engellenmesi gibi işlemler veri işleme kapsamındadır. Kullanılmayan fakat arşivde tutulan veri de işlenmeye devam eder.
Otomatik olmayan kayıtlar da kapsama girer mi?
Tamamen veya kısmen otomatik yollarla işlenen veriler Kanun kapsamındadır. Otomatik olmayan işlemlerde ise verinin bir veri kayıt sisteminin parçası olup olmadığı önemlidir. Alfabetik, sicil numarasına göre veya belirli kriterlerle erişilebilir biçimde düzenlenen fiziksel personel dosyaları kapsama girebilir. Kâğıtta olduğu için KVKK dışıdır yaklaşımı doğru değildir.
Veri sorumlusu ile veri işleyen nasıl ayrılır?
Veri sorumlusu işleme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işler. Sözleşmede bir tarafa veri işleyen yazılması tek başına rolü belirlemez. Fiilen amaç ve araçları kimin belirlediğine bakılır. Bir bordro hizmet sağlayıcısı yalnız işveren talimatıyla işlem yapıyorsa veri işleyen olabilir, veriyi kendi bağımsız amacı için kullanmaya başlarsa o faaliyet bakımından rol yeniden değerlendirilir.
Şirketlerde hangi süreçler tipik olarak KVKK kapsamındadır?
- İşe alım, özlük, bordro ve performans kayıtları
- Müşteri sipariş, teslimat, fatura ve destek kayıtları
- Web üyelikleri, çerezler ve analitik ölçümler
- Kamera, giriş kartı ve ziyaretçi sistemleri
- Pazarlama listeleri ve çağrı kayıtları
- Tedarikçi ve bayi yetkililerine ilişkin kayıtlar
Aynı kişinin verileri farklı amaçlarla işlendiğinde hukuki dayanak, saklama süresi, erişim yetkisi ve aktarım alıcısı da değişebilir.
Açık rıza her işlemin zorunlu dayanağı mıdır?
Hayır. Kanunda açık rıza dışında kanunda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi kullanılması veya korunması, ilgili kişinin alenileştirmesi veya temel haklara zarar vermemek kaydıyla meşru menfaat gibi işleme şartları bulunur. Herkesten rıza alalım yaklaşımı doğru hukuki sebep analizinin yerini tutmaz.
Kanunun tamamen kapsam dışında bıraktığı haller
KVKK m.28 bazı faaliyetleri koşullarıyla birlikte tamamen kapsam dışında bırakır. Gerçek kişilerin üçüncü kişilere vermemek ve veri güvenliğine uymak kaydıyla tamamen kendisi veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri, anonim hale getirilmiş araştırma ve resmi istatistik faaliyetleri ve maddede sayılan belirli kamusal faaliyetler bunlar arasındadır. İstisnalar dar yorumlanmalıdır.
Kısmi istisna ile tam istisna aynı değildir
Bazı faaliyetlerde Kanunun yalnız belirli hükümleri uygulanmaz. Bu durumda KVKK hiç uygulanmaz sonucu çıkarılamaz. Hangi yükümlülüklerin devam ettiği ayrıca kontrol edilmelidir.
Pratik kapsam testi nasıl yapılır?
İlk olarak veri öğesinin belirlenebilir gerçek kişiye bağlanıp bağlanmadığı belirlenir. İkinci olarak veri üzerinde yapılan işlem tespit edilir. Üçüncü adımda amaç ve araçları belirleyen veri sorumlusu saptanır. Dördüncü adımda m.28 istisnaları kontrol edilir. Faaliyet kapsamdaysa temel ilkeler, m.5 veya m.6 işleme şartı, m.10 aydınlatma, m.11 ilgili kişi hakları, m.12 güvenlik ve gerekiyorsa aktarım kuralları değerlendirilir.
KVKK uyumu metin kopyalama işi değil, veri akışını hukuken sınıflandırma işidir. Aynı veri farklı amaçla kullanıldığında yeni bir hukuki değerlendirme gerekebilir.
Sık Sorulan Sorular
Kâğıt dosyalar KVKK dışında mıdır?
Hayır. Bir veri kayıt sisteminin parçasıysa Kanun kapsamına girebilir.
Açık rıza varsa her veri işlenebilir mi?
Hayır. Temel ilkeler, amaçla sınırlılık, ölçülülük ve saklama yükümlülükleri devam eder.
Şirket bilgileri KVKK kapsamında mıdır?
Tüzel kişiye ait salt bilgi değil, belirlenebilir gerçek kişiye bağlanan bilgiler kişisel veri olabilir.