Kişisel Verilerin Korunması Hukukunda Temel Kavramlar ve Veri İşleme Şartları

Günümüzde bilimsel ve teknik alandaki gelişmeler, bilgi paylaşımını ve hızını büyük ölçüde artırmış, bu durum kişisel verilerin korunması ve mahremiyet endişelerini beraberinde getirmiştir. Türk hukuk sisteminde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bireylerin özel hayatının gizliliğini ve temel haklarını güvence altına alan en önemli hukuki düzenlemedir. Anayasa'nın 20. maddesinde güvence altına alınan bu hak, kişisel verilerin işlenmesi süreçlerinde uyulması gereken katı kurallar ve ilkeler ihdas etmiştir. KVKK'nın temel amacı, verilerin işlenmesi sürecinde bireylerin temel hak ve özgürlüklerini güvence altına almak ve veri işleyen ile veri sorumlusu sıfatını haiz kişilerin yükümlülüklerini net bir biçimde ortaya koymaktır. Hukuki uygulamalarda, veri koruma mevzuatına uyum sağlamak sadece idari yaptırımlardan kaçınmak için değil, aynı zamanda anayasal hakların ihlalini engellemek için de mutlak bir zorunluluktur. Bu makalede, kanunun temel prensipleri ve verilerin hukuka uygun şekilde işlenebilmesi için aranan şartlar ele alınacaktır.

Temel Kavramlar

Hukukumuzda kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır. Bu kavram, yalnızca bireyin doğrudan kimliğini ifşa eden bilgilerle sınırlı kalmayıp, dolaylı yollardan bir kişinin tanımlanmasına olanak sağlayan geniş bir yelpazeyi kapsar. Bilginin formatı veya tutulduğu ortam fark etmeksizin, kişinin adı, iletişim bilgileri, özgeçmişi veya görüntü kayıtları bu kapsamda değerlendirilir. Bununla birlikte, bireyin mahremiyetine en yüksek düzeyde etki edebilecek ve ayrımcılığa yol açma riski taşıyan bilgiler özel nitelikli kişisel veriler olarak adlandırılmaktadır. Irk, etnik köken, siyasi düşünce, felsefi inanç, dini inanç, sağlık bilgileri, kılık kıyafet, ceza mahkûmiyeti, biyometrik ve genetik veriler bu kategoride yer alır. Bu tür hassas verilerin işlenmesi, kanun koyucu tarafından çok daha sıkı koruma rejimine ve istisnai hukuka uygunluk şartlarına bağlanmıştır.

Kanun kapsamında hakları korunan ve kişisel verisi işlenen gerçek hak öznesi ilgili kişi olarak tanımlanmaktadır. Tüzel kişilere ait veriler KVKK korumasından yararlanamaz; koruma yalnızca yaşayan gerçek kişilere özgülenmiştir. Veri işleme süreçlerinin karar alıcı mekanizmasında ise veri sorumlusu bulunur. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden hukuken sorumlu olan gerçek veya tüzel kişidir. Kamu kurumları veya özel şirketler bu sıfatı taşıyabilir. Öte yandan, veri sorumlusunun verdiği yetkiye dayanarak onun adına verileri işleyen, daha çok sürecin teknik yönlerini üstlenen kişi ise veri işleyen olarak adlandırılır. Hukuki sorumluluk noktasında, veri sorumlusu ve veri işleyen, veri güvenliğinin sağlanması bakımından Kanun'un 12. maddesi uyarınca müteselsil sorumluluk altındadır. Bu aktörlerin tanımlanması, uyuşmazlıklarda muhatabın belirlenmesi açısından elzemdir.

Kişisel Verilerin İşlenmesinde Uyulacak Genel İlkeler

Kanunun 4. maddesi uyarınca, tüm veri işleme faaliyetleri istisnasız olarak belirli genel ilkelere uygun yürütülmek zorundadır. Bu ilkeler veri işleme sürecinin her aşamasında gözetilmelidir:

• Hukuka ve dürüstlük kurallarına uygun olma: Veri işlemenin mevzuata ve şeffaflık ile adiliyet esaslarına uygun olmasını gerektirir.
• Doğru ve güncel olma: İşlenen verilerin gerçek durumu yansıtması ve yanlış kayıtların derhal düzeltilmesini ifade eder.
• Belirli, açık ve meşru amaçlar için işlenme: Veri toplama amacının baştan net, anlaşılır ve hukuken geçerli bir temele dayanması şartıdır.
• Amacıyla bağlantılı, sınırlı ve ölçülü olma: Veri minimizasyonu ilkesi gereği, sadece amaca ulaşmak için zorunlu olan asgari miktardaki verinin işlenmesi kuralıdır.
• Gerekli olan süre kadar muhafaza edilme: Amacın ortadan kalkması veya yasal saklama sürelerinin dolması halinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi zorunluluğudur.

Kişisel Verilerin İşlenmesinde Hukuka Uygunluk Sebepleri

Kural olarak kişisel verilerin işlenmesi, ilgili kişinin açık rızası bulunmadığı sürece yasaktır. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve bireyin özgür iradesiyle açıkladığı onaydır. Ancak Kanun'un 5. maddesi, pratik hukuki ve ticari hayatın devamlılığını sağlamak amacıyla açık rıza aranmaksızın veri işlenebilecek istisnai hukuka uygunluk sebepleri öngörmüştür. Bunlar arasında; kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin hayatının korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması gibi haller bulunur. Ayrıca, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi, verinin bizzat ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olması durumları yasal işleme şartları olarak düzenlenmiştir.