KVKK - BUTA GRUP

1 - KİŞİSEL VERİLERİN KORUNMASI KANUNU

KVKK, gerçek kişilere ait kişisel verilerin diğer gerçek kişiler veya tüzel kişiler tarafından kaydedilmesini, işlenmesini ve korunmasını düzenleyen bir kanundur.
6698 sayılı Kişisel Verilerin Korunması Kanunu 24 Mart 2016 tarihinde kabul edilmiş ve 7 Nisan 2016 tarihinde Resmi Gazetede yayımlanmıştır.
Kanun’un amacı kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir. Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır.

2 - KİŞİSEL VERİ

Bir bireyin etnik kökeni, politik düşünceleri, dini inançları, ticari ilişkileri ve üyelikleri, biyometrik datayı da kapsayan genetik verileri, sağlık bilgileri gibi tanımlanmasına katkı sağlayan önemli bilgiler kişisel veri olarak tanımlanmaktadır. Bu bağlamda sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veri sayılmaktadır. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.
(Kişisel Verilerin Korunması Kanunu Tasarısı (1/541) ve Adalet Komisyonu Raporu)

3 - AYDINLATMA YÜKÜMLÜLÜĞÜ

Veri sorumlusu veya yetkilendirdiği kişi, kişisel verilerin elde  edilmesi sırasında ilgili kişilere;
a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
d) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
e) Kanunda sayılan diğer haklarını bildirmek ile yükümlüdür.

4 - KVKK’YA İHTİYAÇ DUYULMA SEBEBİ NEDİR?

6698 sayılı Kişisel Verilerin Korunması Kanunu(KVKK) 7 Nisan 2016 tarih ve 29677 sayılı karar ile yürürlüğe girmiştir. Bu kanun ile kişisel verilerin işlenmesi, sınırları belirlenmiş ölçüde ve uluslararası standartlara tabi olacak şekilde düzenlenmiştir. Kişisel verilerin korunması ise Anayasa Mahkemesi’nin “Kişisel verilerin korunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı […]” amaçladığı ve kişisel verilerin korunmasının kişilerin en temel hakkı olduğu belirtilerek ele alınmıştır.

5 - YASAL SORUMLULUKLAR ve TEMEL İLKELER

Kişisel verilerin korunması ile ilgili ihmal ve ihlaller işletmelere ağır hukuki ve cezai yasal sorumluluklar yükler. 2020 yılı itibariyle aydınlatma yükümlülüğüne aykırılık halinde 180.000 TL'ye kadar; veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırılık halinde 1.800.000 TL'ye kadar yaptırım uygulanır. Kişisel verilerin, belirlenen süre içinde imha edilmemesi halinde 2 yıla kadar; hukuka aykırı işlem halinde ise 4 yıla kadar hapis cezasına hükmedilir.

Kişisel verilerin işlenmesine ilişkin temel ilkeler:
a) Hukuka, dürüstlük kurallarına uygun olma
b) Doğru ve güncel olma
c) Belirli, açık ve meşru amaçlar için işlenme
d) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
e) Gereken en az miktarda veri saklama
f) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

6 - KVKK İHLALİ DURUMUNDA YAPTIRIMLAR ve CEZALAR

a) Aydınlatma yükümlülüğüne aykırılık halinde;
   2016 (Kanundaki tutar) : 5.000 ₺ - 100.000 ₺
   2020 (Güncel tutar) : 9.013 ₺ - 180.264 ₺
b) Kurul tarafından verilen kararlara aykırılık halinde;
   2016 (Kanundaki tutar) : 25.000 ₺ - 1.000.000 ₺
   2020 (Güncel tutar) : 45.066 ₺ - 1.802.641 ₺
c) Veri güvenliliğine ilişkin yükümlülüklere aykırılık halinde;
   2016 (Kanundaki tutar) : 15.000 ₺ - 1.000.000 ₺
   2020 (Güncel tutar) : 27.040 ₺ - 1.802.641 ₺
ç) Veri Sorumlularına Siciline kayıt ve bildirim yükümlülüğüne aykırılık halinde;
   2016 (Kanundaki tutar) : 20.000 ₺ - 1.000.000 ₺
   2020 (Güncel tutar) : 36.053 ₺ - 1.802.641 ₺
2) Türk Ceza Kanunu’ndan ötürü ortaya çıkan yaptırımlar:
a) Kişisel verilerin hukuka aykırı olarak işlenmesi:
   1 - 3 yıl hapis cezası, özel nitelikli veriler için ceza yarı oranda arttırılır
b) Verileri hukuka aykırı biçimde verme veya ele geçirme:
   2 - 4 yıl hapis cezası
c) Kişisel verilerin kanunca belirlenen süre içinde silinmemesi:
   1 - 2 yıl hapis cezası

7 - UYUM SÜRECİ

a) Mevcut Durum Analizi (GAP) ve Stratejik Planlama
b) Farkındalık eğitimleri
c) Veri envanteri hazırlanması, VERBİS kaydı ve sorumlulukların belirlenmesi
d) Politika ve prosedürlerin gözden geçirilmesi ve geliştirilmesi
e) Uyum raporunun sunulması
f) Yönetişim, izleme, denetim ve güncellemeler

8 - YURTDIŞINA AKTARIM

Kişisel verinin yurt dışına aktarılabilmesi için 6698 sayılı Kişisel Verilerin Korunması Kanununun 9. maddesine göre aşağıdaki durumlardan birinin varlığı gerekir:
a) İlgili kişinin açık rızasının bulunması,
b) Yeterli korumanın bulunduğu ülkelere kişisel veri aktarımında, aktarılacak kişisel verinin niteliğine göre 6698 sayılı Kanunun 5. maddesinin 2. fıkrası veya 6. maddesinin 3. fıkrasında belirtilen işleme şartlarının mevcut olması,
c) Yeterli korumanın bulunmadığı ülkelere kişisel veri aktarımında, aktarılacak kişisel verinin niteliğine göre 6698 sayılı Kanunun 5. maddesinin 2. fıkrası veya 6. maddesinin 3. fıkrasında belirtilen işleme şartlarının mevcut olması, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması

Tanımlar