KVKK Temel Esasları ve Kişisel Veri İşleme İlkeleri

Günümüzde dijitalleşme ve teknolojik ilerlemelerle birlikte, kişisel verilerin korunması konusu önemli bir hukuki tartışma ve düzenleme alanı hâline gelmiştir. Bireylerin verilerinin haksız ve izinsiz kullanımından kaynaklanan riskleri minimize etmeyi amaçlayan 6698 sayılı Kişisel Verilerin Korunması Kanunu, veri işleme süreçlerini katı kurallara bağlamaktadır. Verilerin toplanması, işlenmesi, saklanması ve paylaşılması, bireylerin mahremiyeti ve temel hakları açısından büyük bir önem arz etmektedir. Hukuk sistemimiz, yalnızca gerçek kişilere ait verileri koruma altına alırken, tüzel kişilere ait verileri ticari sır kapsamında değerlendirmektedir. Veri güvenliği, açıklık, adil işlenme, amaç sınırlılığı ve veri minimizasyonu gibi ilkeler, veri sorumlularının uyması gereken yasal birer zorunluluktur. Bu makalede, veri sorumlularının ve veri işleyenlerin yükümlülüklerini belirleyen temel hukuki prensipler, şeffaflık ve hesap verilebilirlik ekseninde, uzman bir hukuki bakış açısıyla ele alınacaktır.

Kişisel Verilerin İşlenmesine Hâkim Olan Genel İlkeler

Kanun koyucu, kişisel verilerin işlenmesi sürecinin her aşamasında uyulması gereken emredici ilkeleri ilgili mevzuatta özel olarak düzenlemiştir. Veri işleme faaliyetinin temelini oluşturan hukuka ve dürüstlük kuralına uygunluk ilkesi, veri işleme faaliyetinin herhangi bir mevzuata aykırı olmaksızın yürütülmesini ve ilgili kişinin haklarına dürüstlük kuralı çerçevesinde zarar verilmemesini emreder. Kişisel verilerin işlenmesi için mutlaka hukuki bir dayanak bulunmalı ve işlemler şeffaflık prensibiyle yürütülmelidir. Veri sorumlusu, ilgili kişiye veri işleme sürecinin nasıl işlediği, kimlerle paylaşıldığı ve hangi amaçlar güdüldüğü konusunda açık, anlaşılır ve şeffaf bir aydınlatma yapmak zorundadır. Bu ilkenin ihlali, veri sorumlusu açısından idari yaptırımları doğurabilecek niteliktedir.

Belirli, Açık ve Meşru Amaçlar İçin Sınırlı

Kişisel veriler, yalnızca belirli, açık ve meşru amaçlar doğrultusunda toplanabilir. Veri işleyenler, faaliyete başlamadan önce bu amaçları net bir şekilde tanımlamalı ve sadece bu sınırlar içinde kalmalıdır. Yasaya uygun olsa dahi meşru bir amaç taşımayan veri işleme faaliyeti hukuka aykırılık teşkil eder. Bununla bağlantılı olarak, toplanan verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerekliliği, veri minimizasyonu ilkesinin bir sonucudur. Veri sorumlusu, amacı gerçekleştirmeye yönelik yeterli veriyi temin etmeli ve gereksiz veya aşırı veri toplamaktan kaçınmalıdır. Aksi takdirde, bireylerin mahremiyet hakları zedelenmiş ve hukuki anlamda ölçülülük ilkesi ihlal edilmiş olur.

Doğruluk, Güncellik ve Muhafaza Süresi

İşlenen verilerin hatalı veya güncel olmaması, veri işleme faaliyetini sekteye uğratabileceği gibi, kişilerin haklarını da doğrudan zedeleme potansiyeline sahiptir. Bu sebeple kişisel verilerin doğru ve gerektiğinde güncel olarak tutulması, veri sorumlusunun aktif bir özen yükümlülüğüdür. Ayrıca, veriler yalnızca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilebilir. Amaç ortadan kalktığında veya yasal saklama süreleri dolduğunda, verilerin resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hâle getirilmesi yasal bir zorunluluktur. Bu durum, veri sorumlularının keyfi veri depolamasının önüne geçen en önemli yasal güvencelerden biridir.

Veri Sorumlusunun Temel Hukuki Yükümlülükleri

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilere veri sorumlusu denilmektedir. Hukukumuzda veri sorumluları, sadece veriyi toplayan taraf değil, aynı zamanda verinin yaşam döngüsü boyunca güvenliğini sağlamakla görevli ana aktörlerdir. Veri sorumlusunun, veri koruma görevini yerine getirecek şekilde yönetim ve organizasyon yapılarını oluşturması şarttır. Veri sorumlusunun idari, cezai ve hukuki anlamda pek çok ağır yükümlülüğü bulunmaktadır. Kanuna aykırı davranışlar, ciddi idari para cezalarına ve haksız fiil veya sözleşmeye aykırılık temelli maddi ve manevi tazminat davalarına konu olabilmektedir. Hesap verilebilirlik ilkesi gereği, veri işleme faaliyetlerinin yasal ve etik sınırlar içinde yürütüldüğünün ispatı idare veya yargı mercileri önünde veri sorumlusuna aittir.

• Aydınlatma yükümlülüğünün veri elde edilirken usulüne uygun olarak yerine getirilmesi.
• Veri güvenliğini sağlamak amacıyla gerekli tüm teknik ve idari tedbirlerin alınması.
• İlgili kişinin bilgi talep etme, düzeltme ve silme gibi yasal başvurularının yanıtlanması.
• Kanuni olmayan yollarla oluşan veri ihlallerinin yetkili kurumlara ve ilgilisine bildirilmesi.