KVKK, açık rıza onay süreçleri, VERBİS, veri güvenliği konuları ile ilgili sık sorulan sorular.
Satın alınan paket üzerindeki kaynaklardan hiç kullanım yapılmamış ise 10 içerisinde gün iade hakkı tanınır. (Lütfen detay sayfasını okuyunuz.)
Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.
Veri Sorumluları Siciline kayıt başvurusu belirli hususları içeren bir bildirimle yapılır.
Kanunun 16. maddesi gereğince Kişisel Verileri Koruma Kurulu’nun gözetiminde, Başkanlık tarafından kamuya açık olarak “Veri Sorumluları Sicili” tutulur.
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; ilgili kişi (veri sahibi), veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikayette bulunabilir.
Veri sorumlusuna başvuru konusunda, uyulması gereken usul ve esaslar Kanunun 13. maddesinde belirtilmiştir.
Veri güvenliğinin sağlanması konusunda veri sorumlusuna düşen yükümlülükler Kanunun 12. maddesinde belirtilmiştir.
Katmanlı bilgilendirme, amaca ilişkin bilgilendirilme yapılırken, önce kısa ve kolay anlaşılır bir metin sunup, metin vasıtasıyla, daha ayrıntılı açıklama talep edenlere yönelik detaylı açıklamalara işaret edilmesi durumudur.
Aydınlatma yükümlülüğünün yerine getirilmesi konusunda bir şekil şartı bulunmamaktadır. Aydınlatma yükümlülüğünün yerine getirilmesi ilgi kişinin (veri sahibinin) onayına tabi değildir.
Kişisel veri elde edilen her aşamada aydınlatma yapmak gereklidir. Kişisel verilerin toplanmasının yöntemi ve hukuki sebebi kişisel verilerin elde edildiği aşamaya göre değiştikçe aydınlatma metni de ona göre değişmelidir.
Kişisel veri işleme faaliyetinde bulunan herkes Kanunun 4. maddesi gereğince belirli ilkelere uygun hareket etmek zorundadır.
Kanunun 9. maddesinin 1. fıkrasında kişisel verilerin ilgilinin açık rızası olmaksızın yurt dışına aktarılamayacağı düzenlenirken, maddenin 2. fıkrasında bu hükme istisna getirilmiştir.
Kişisel verilerin yalnızca gerçek kişilere ait veriler olabilmesinin aksine, “veri sorumlusu” ve “veri işleyen” hem gerçek hem de tüzel kişi olabilmektedir.
Verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
Yok etme, bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesidir.
Kişisel verilerin silinmesi; söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kanunun 13. maddesi gereğince, veri sorumluları, veri sahiplerinin taleplerini en kısa sürede ve en geç otuz gün içinde incelemelidir. İnceleme sonucuna göre talebi kabul etmeli veya gerekçesini açıklayarak reddetmeli, ayrıca cevabını ilgili kişiye bildirmelidir.
Kanunun 13. maddesi gereğince, veri sorumluları tarafından veri sahiplerinin talepleri ücretsiz olarak karşılanmalıdır. Ancak işlemin ayrıca bir maliyeti gerektirmesi halinde, veri sorumlularınca Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifeye göre ücret alınabilecektir.
Anayasanın 20. maddesi gereğince, herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Bu doğrultuda herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına da sahiptir.
Gerek Kanunda gerekse Direktif’de kişisel verilerin üçüncü kişilere aktarımı, bir veri işleme biçimidir. Bu bağlamda aynı koruma şartlarına tabi tutulmaları kabul edilmiştir.
Kişisel sağlık verisi işleme faaliyetinde bulunanlar, kişisel sağlık verilerini ancak aşağıda sıralanan şartlardan birinin varlığı halinde işleyebilecektir.
İlgili kişinin açık rızası bulunmaksızın özel nitelikli kişisel verilerin işlenmesi kural olarak yasaklanmıştır. Ancak Kanunun 6. maddesinde istisnai koşullar düzenlenmektedir.
Kanunun 5. maddesinde kişisel verilerin hangi hallerde hukuka uygun olarak işlenebileceğine ilişkin veri işleme şartları düzenlenmiştir.
Kişisel verilerin işlenmesinde “amaçların detaylandırılması”, kişisel verilerin işleneceği amaçların bildirilmesi bakımından ne seviyede bir detay beklendiğinin her bir olay özelinde ayrı ayrı ele alınmasıdır.
Kural olarak veri işleyen gerçek ve tüzel kişiler Kanun kapsamında bulunmaktadır. Dolayısıyla sadece kendi çalışanlarına ilişkin kişisel veri işleyen bir şirket de Kanun kapsamında değerlendirilecektir.
Kanun’da, kişisel veri işleme faaliyetlerine ilişkin hukuki yükümlülüklerin yerine getirilmesinde veri sorumlusunun yükümlü olduğu bir sorumluluk rejimi benimsenmiştir.
Veri işleyen, veri sorumlusu adına verileri işleyen gerçek veya tüzel kişilerdir. Bu kişiler, veri sorumlusunun kişisel veri işlemek üzere yetkilendirdiği ayrı bir gerçek veya tüzel kişi de olabilir.
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
Açık rızanın açıklanması herhangi bir şekil şartına tabi değildir. Açık rızanın alındığı konusundaki ispat yükü veri sorumlusuna aittir.
Belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızalar “Şemsiye rızalar” hukuken geçersizdir.
Açık rızanın özgür irade ile açıklanması gerektiğinden, herhangi bir ürün ve/veya hizmetin sunumu (ya da herhangi bir üründen ve/veya hizmetten yararlandırılması) ilgili kişi tarafından açık rıza verilmesi şartına bağlanmamalıdır.
Açık rızayı ilgili kişi (veri sahibi) geri aldığı takdirde veri sorumlusunun hukuki yükümlülüğü gereği (örneğin yasal saklama süreleri, aradaki sözleşme ilişkisinin devam etmesi gibi) halen ilgili kişinin kişisel verisinin işlenmesi gerekiyorsa ne yapılmalıdır?
Kanunun 3. maddesinin (a) bendinde yer verilen tanım gereğince, açık rızanın; belirli bir konuya ilişkin, bilgilendirilmeye dayalı ve özgür iradeyle açıklanması gerekmektedir.
Kanunun 5. maddesi uyarınca açık rıza Kanundaki kişisel veri işleme şartlarından biridir ve diğer kişisel veri işleme şartlarına göre karşılaştırmalı bir üstünlüğü bulunmamaktadır. Açık rıza veri işleme faaliyetine hukukilik kazandıran yegane unsur değildir.
İlgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanıdır.
Kişisel sağlık verisi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü sağlık verisini ifade eder.
Özel nitelikli kişisel veriler, işlenmeleri halinde sahipleri hakkında ayrımcılık yapılmasına neden olma riski taşıyan verilerdir. Bu nedenle, diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir.
IP adresi, yaygın olarak kullanılan ve sıkça karşılaşılabilecek ad-soyad gibi veriler başka kaynaklardan bilgi almadıkça bir kişiyi tanımlayacak veya ilişkilendirebilecek düzeyde değildir.
Kişisel veriler Kanunda sınırlı olarak sayılmamıştır. Kanunun 3. maddesinin (d) bendi uyarınca, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi “kişisel veri”dir. Bu anlamda, rapor veya analiz yolu ile ilgili kişinin kimliğine ulaşılabiliyorsa, söz konusu belgeler de kişisel veridir.
Kimliği belirli ya da belirlenebilir nitelikteki gerçek bir kişiye ilişkin her türlü bilgidir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.
Veri kavramı, bilgi (knowledge) ve enformasyon (information) kelimeleriyle birçok kaynakta aynı anlamda kullanılmakta fakat bunların hepsinin ayrı anlamları ifade ettiği göz ardı edilebilmektedir.
Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin (kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi) parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.
Uluslararası belgeler, mukayeseli hukuk uygulamaları ve ülkemiz ihtiyaçları göz önüne alınmak suretiyle hazırlanan Kanun ile, kişisel verilerin çağdaş standartlarda işlenmesi ve koruma altına alınması amaçlanmaktadır.
Kişisel Verilerin Korunması Kanunu Tasarısı ülkemizde ilk defa 2007 yılında Avrupa Birliği ile uyum kapsamında hazırlanmıştır.
Kişisel verilerin işlenmesinin disiplin altına alınması ve bu bağlamda Anayasada öngörülen başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunmasıdır. Verilerin korunması, temelde verilerin değil, bu verilerin ilişkili olduğu kişilerin korunmasını hedef alır.