Türk Hukukunda KVKK Uygulamaları ve Hukuki Koruma Yolları

Bilişim teknolojilerindeki hızlı gelişmeler, bireylere ait verilerin toplanmasını ve işlenmesini kolaylaştırmış, bu durum kişisel verilerin korunması ihtiyacını hukuki bir zorunluluk haline getirmiştir. Türk hukukunda uzun süre genel kanunlarla korunan bu alan, 2010 yılında yapılan Anayasa değişikliği ile temel bir anayasal hak statüsü kazanmış ve nihayetinde 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile özel bir yasal zemine kavuşmuştur. Kanunun asıl amacı, verilerin gelişigüzel işlenmesini ve yetkisiz kişilerin eline geçmesini engelleyerek bireylerin özel hayatının gizliliğini korumaktır. Kanun kapsamında, kişisel verileri işlenen gerçek kişiler ile bu verileri otomatik olan veya otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler denetim altına alınmıştır. Bu doğrultuda veri sorumluları için veri güvenliğinden aydınlatma yükümlülüğüne kadar geniş bir yelpazede hukuki sorumluluklar belirlenmiştir.

6698 Sayılı Kanun Kapsamında Veri Sorumlusunun Yükümlülükleri

Kanun kapsamında veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişilere veri sorumlusu denilmektedir. Hukuki süreçlerde herhangi bir ihlalin doğmaması adına veri sorumlularının en temel görevlerinden biri aydınlatma yükümlülüğü olup, bu kapsamda ilgili kişilere verilerin hangi amaçla işlendiği ve kimlere aktarılabileceği şeffaf biçimde açıklanmalıdır. Aynı zamanda, toplanan verilerin yetkisiz erişime, sızıntılara veya hukuka aykırı işlemlere karşı korunması amacıyla gerekli tüm teknik ve idari tedbirlerin alınmasını kapsayan veri güvenliği yükümlülüğü büyük bir önem taşımaktadır. Herhangi bir sızıntı veya ihlal yaşanması durumunda, veri sorumlusunun Kişisel Verileri Koruma Kuruluna (KVK Kurulu) ihlali en geç 72 saat içinde bildirme mecburiyeti bulunmaktadır. Ayrıca kanunda belirtilen istisnalar dışında kalan tüm veri sorumlularının faaliyete başlamadan önce Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) kayıt olmaları hukuki bir zorunluluk olarak düzenlenmiştir.

Türk Hukukunda Kişisel Verilerin Korunması Yolları

Kişisel verileri hukuka aykırı olarak işlenen veya kanundan doğan haklarını kullanmak isteyen bireyler için bir kademeli başvuru sistemi öngörülmüştür. İlgili kişi, öncelikle hak ihlaline ilişkin taleplerini yazılı olarak veya kurulun belirlediği elektronik yöntemlerle bizzat veri sorumlusuna başvuru yoluyla iletmek zorundadır. Veri sorumlusu bu talebi en geç otuz gün içerisinde ücretsiz olarak sonuçlandırmalıdır. Talebin reddedilmesi, verilen cevabın yetersiz bulunması veya yasal süre içinde hiç cevap verilmemesi hallerinde, ilgili kişinin cevabı öğrendiği tarihten itibaren otuz ve herhalde başvuru tarihinden itibaren altmış gün içinde Kurula şikayet hakkı doğar. Doğrudan KVK Kuruluna şikayette bulunulması kanunen mümkün olmayıp, bu aşamalı sistem sayesinde uyuşmazlıkların öncelikle veri sorumlusu nezdinde çözülmesi ve kurulun iş yükünün hafifletilmesi hedeflenmiştir.

İdari ve Cezai Yaptırımlar

KVK Kuruluna yapılan şikayetler veya kurulun resen yürüttüğü incelemeler neticesinde kanuna aykırılık tespit edilirse, ihlalin boyutuna ve veri sorumlusunun niteliğine göre ciddi yaptırımlar devreye girmektedir. İdari yaptırımlar kapsamında aydınlatma, veri güvenliği veya VERBİS'e kayıt yükümlülüklerine aykırı hareket eden veri sorumlularına yüksek miktarlarda idari para cezası kesilmektedir. Öte yandan, ihlalin bir adım öteye giderek suç teşkil etmesi durumunda Türk Ceza Kanunu (TCK) hükümleri uygulanır. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir başkasına verilmesi, yayılması, ele geçirilmesi veya yasal sürelerin dolmasına rağmen yok edilmemesi hallerinde veri işleyenler hakkında TCK'nın ilgili maddeleri uyarınca hapis cezası yaptırımı uygulanmaktadır.

Genel Hukuk Hükümleri Çerçevesinde Dava Yolları

İlgili kanunlar kişisel verileri aynı zamanda kişilik hakkının ayrılmaz bir parçası olarak gördüğünden, saldırıya uğrayan mağdurların Türk Medeni Kanunu (TMK) ve Türk Borçlar Kanunu (TBK) kapsamında çeşitli hukuk davaları açma hakkı bulunmaktadır. Bu doğrultuda mağdurlar, henüz gerçekleşmemiş ancak ufukta görünen bir ihlale karşı önleme davası, halihazırda devam eden hukuka aykırı veri işleme faaliyetinin sona erdirilmesi için ise durdurma davası açabilmektedir. Ayrıca zarar doğması ve belirli şartların sağlanması durumunda hukuk mahkemelerinde talep edilebilecek diğer dava yolları şunlardır:

• Mevcut haksızlığın tespiti için tespit davası
• Hukuka aykırı veri kullanımı ile elde edilen haksız kazancın iadesini sağlamak amacıyla sebepsiz zenginleşme davası
• Saldırıda bulunanın rızasız elde ettiği gelirin mağdura verilmesi için vekaletsiz iş görme davası
• Malvarlığında meydana gelen eksilmenin tazmini için maddi tazminat davası
• Duyulan acı ve üzüntünün giderilmesi için manevi tazminat davası