KVKK (Kişisel Verilerin Korunması Kanunu), Türkiye'de kişisel verilerin korunması amacıyla 7 Nisan 2016 tarihinde yürürlüğe giren bir yasadır. KVKK, kişisel verilerin işlenmesini, saklanmasını, paylaşılmasını ve güvenliğini düzenleyen önemli bir düzenlemedir. Bu yasa, hem veri sahiplerini (yani bireyleri) korur hem de veri işleyen kuruluşların yükümlülüklerini belirler.

İşte KVKK hakkında bilmeniz gereken temel noktalar:

1. Kişisel Veri Nedir?

Kişisel veri, bir kişiyi doğrudan ya da dolaylı olarak tanımlayan her türlü bilgidir. Buna örnek olarak şunlar verilebilir:

Ad, soyad, e-posta adresi, telefon numarası,
Kimlik numarası, adres, doğum tarihi,
Sağlık bilgileri, biyometrik veriler, finansal bilgiler.

2. Kişisel Verilerin İşlenmesi

KVKK'ya göre, kişisel veriler yalnızca belirli, açık ve yasal amaçlarla işlenebilir. Verilerin işlenmesi, aşağıdaki durumlarda geçerli olabilir:

Veri sahibinin açık rızası: Veri sahibi, verilerinin işlenmesini onaylamalıdır.
Sözleşmenin ifası: Bir sözleşmenin yerine getirilmesi için veri işlenebilir.
Yasal yükümlülük: Yasaların veri işlenmesini gerektirmesi durumunda.
Hayati çıkarlar: Bireyin hayatını koruma amacıyla veri işlenmesi.

3. Veri Sorumlusu ve Veri İşleyen

KVKK'da iki ana terim bulunur:

Veri Sorumlusu: Kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren kişi veya kuruluştur. Örneğin, bir şirket veya organizasyon veri sorumlusudur.
Veri İşleyen: Veri sorumlusunun belirlediği amaçlar doğrultusunda kişisel verileri işleyen kişidir. Bu, bir hizmet sağlayıcı veya üçüncü bir kuruluş olabilir.

4. Veri Sahibinin Hakları

KVKK, kişisel verileri işlenen bireylerin (veri sahiplerinin) çeşitli haklara sahip olmasını sağlar:

Erişim Hakkı: Kişisel verilerinizi görmek, hangi verilerinizin işlendiğini öğrenmek hakkınız vardır.
Düzeltme Hakkı: Yanlış veya eksik verilerin düzeltilmesini talep etme hakkınız vardır.
Silme (Unutulma) Hakkı: Verilerinizin silinmesini talep edebilirsiniz, ancak bu, hukuki bir yükümlülük veya işleme amacına dayanarak sınırlı olabilir.
Veri Taşınabilirliği Hakkı: Kişisel verilerinizin başka bir veri sorumlusuna aktarılmasını talep edebilirsiniz.
İtiraz Etme Hakkı: Verilerinizin işlenmesine itiraz edebilirsiniz, örneğin, doğrudan pazarlama amacıyla verileriniz işleniyorsa.
Otomatik Karar Verme Hakkı: Verilerinizin yalnızca otomatik işlem algoritmalarına dayalı kararlar için kullanılmasını istemeyebilirsiniz.

5. Açık Rıza

KVKK, kişisel verilerin işlenmesi için genellikle veri sahibinin açık rızasını gerektirir. Bu, kişisel verilerin toplama ve işleme amacı hakkında bilgi verilmesi ve bireyin özgür iradesiyle onay vermesi anlamına gelir. Ancak, bazı durumlarda rıza alınması gerekmez; örneğin, yasal yükümlülükler veya sözleşme gerekliliği durumunda.

6. Veri Güvenliği

Veri sorumluları, kişisel verileri yetkisiz erişim, kayıp veya değişiklik gibi durumlara karşı korumak için gerekli güvenlik önlemlerini almak zorundadır. Bu, teknik ve idari tedbirleri içerir:

Şifreleme, güvenli sunucular, veri erişim kontrolleri gibi önlemler.
Veri koruma eğitimi ve yönetimsel önlemler.

7. Veri İhlali Bildirimi

Veri sorumlusu, kişisel verilerin ihlal edilmesi durumunda, bu durumu 72 saat içinde Kişisel Verileri Koruma Kurumu’na bildirmek zorundadır. Ayrıca, bireylerin haklarının ihlal edilmesi durumunda onlara bildirim yapılmalıdır.

8. Kişisel Verilerin Yurtdışına Aktarılması

KVKK, kişisel verilerin yurtdışına aktarılmasını belirli şartlarla sınırlandırmaktadır. Kişisel veriler yalnızca yeterli seviyede veri koruma bulunan bir ülkeye aktarılabilir ya da açık rıza alınarak aktarılabilir. Ayrıca, Türkiye'de yerleşik bir veri işleyen tarafından yurtdışına veri aktarılabilir, ancak burada da çeşitli güvenceler sağlanmalıdır.

9. Veri Saklama Süresi

KVKK'ya göre, kişisel veriler sadece işlenme amaçlarına uygun olarak ve yasal gereklilikler doğrultusunda saklanabilir. Verilerin saklama süresi sona erdiğinde, veriler imha edilmelidir.

10. Kişisel Verilerin İhlali Durumunda Yaptırımlar

KVKK'ya aykırı davranan veri sorumluları, idari para cezaları ile karşılaşabilir. Cezalar, ihlal edilen verinin türüne, ihlalin büyüklüğüne ve sorumlu kuruluşun davranışına göre değişir.

Para cezaları, 1 milyon TL'ye kadar çıkabilir.
Önemli ihlallerde, şirketin faaliyetleri durdurulabilir veya yasa dışı veri işlemleri sona erdirilebilir.

11. Kişisel Verilerin Korunması Kurumu (KVKK Kurumu)

Türkiye'de Kişisel Verilerin Korunması Kurumu (KVKK Kurumu), KVKK'nın uygulanmasını denetler ve veri sorumlularına rehberlik eder. Ayrıca, bireylerin şikayetlerini dinler ve kararlar alır.