KVKK Ve GDPR Arasındaki Farklılıklar

ADMD Mavioğlu & Alkan Avukatlık Bürosu
Eda Özkapu & Feyza Türkekul

 I. KİŞİSEL VERİ TANIMI

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 3. maddesi uyarınca; kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır. Tanım, Türk hukukunda bu şekilde ifade edilmekle birlikte farklı hukuk sistemleri farklı yaklaşımlar benimsemektedir. Konuyla ilgili genel düzenleme olan AB Genel Veri Koruma Tüzüğü'nde (General Data Protection Regulation- “GDPR”) ise kişisel veri "kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilgili herhangi bir bilgi" olarak tanımlanmaktadır. Bu tanımdan yola çıkarak AB mevzuatında kişisel verilerin "gerçek kişilere" özgü bir değer olarak nitelendirildiği söylenebilir. Bununla birlikte Anglo-Amerikan hukuku kişisel verileri kişilik değeri olarak değil, ekonomik değeri olan bir mülkiyet unsuru olarak kabul etmektedir. Bu yaklaşım, kişisel verileri korunmasından daha ziyade sözleşme ve haksız fiil hukuku çerçevesinde ele almaktadır.

II. KİŞİSEL VERİLERİN KORUNMASININ GEREKLİLİĞİ

Günümüz gelişen teknolojisi ışığında veri toplama, işleme ve saklama alanındaki değişme ve gelişmeler özel hayatın gizliliği ve temel ve hak özgürlüklerin korunması gibi konulara daha da çok dikkat ve özen gösterilmesini gerekli kılmakta, kişisel verilerin gizliliğini koruma amacıyla yasal düzenlemeler yapma ihtiyacı doğurmaktadır. Kişisel veriler gerek kamu kuruluşları gerek özel sektör aktörleri tarafından bilişim sistemleri aracılığıyla sıklıkla ve otomatik yollarla yoğun şekilde işlenmektedir. Bu durum birey ve hizmet sağlayıcılar arasında etkileşimi kolaylaştırarak çeşitli operasyonel avantajlar sağlasa da beraberinde veri güvenliği ve kişinin özel bilgilerinin ihlali gibi ciddi riskler barındırmaktadır. Dolayısıyla dijital hizmetlerin etkin sunumu ile kişinin temel hak ve özgürlükleri arasında meşru ve sürdürülebilir bir denge gözetilmelidir. Bu ihtiyacın sonucu olarak KVKK ile GDPR, bireylerin mahremiyetini korumayı amaçlayan ve kişisel verilere ilişkin hakları düzenleyen yasal düzenlemeler olarak öne çıkmaktadır.

 III. TÜRK HUKUKUNDA KİŞİSEL VERİ

Anayasanın ikinci kısmında düzenlenen temel hak ödevler kapsamında, bireylerin özel hayatının gizliliği temel bir hak olarak kabul edilmiştir. Anayasa’nın 20. maddesinde “Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz” ifadesine yer verilmek suretiyle ilgili hak anayasal koruma altına alınmıştır. Bu genel düzenlemenin yanında 2010 yılında çıkarılan 5982 sayılı Türkiye Cumhuriyeti Anayasasının Bazı Maddelerinde Değişiklik Yapılması Hakkında Kanun ile maddeye ek fıkra eklenerek herkesin kişisel verisinin korunmasını isteme hakkına sahip olduğu düzenlenmiştir. Ek fıkrayla birlikte kişinin verileri üzerindeki hakları genişletilmiş, verilere ilişkin bilgilendirme, erişim, silme ve işlenme amaçlarının meşru ve belirli kullanılmasını isteme ve denetleme hakkı bireylere açıkça tanınmıştır. Ayrıca ilgili düzenlemeyle kamu ve özel sektör ayrımı gözetilmeksizin, kişisel veri işleyen tüm kurum ve kuruluşlar bakımından uygulanması ve verilerin korunması amaçlanmaktadır. Kanun kapsamında “veri kayıt sistemi” ise kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği her türlü kayıt sistemi olarak tanımlanmaktadır. Bu çerçevede, kişisel verilerin işlenmesine ilişkin yükümlülüklerin belirlenmesinde, KVKK m.2’deki kapsam ve m.28’deki istisnalar saklı kalmak üzere veri sorumlusunun kamu veya özel hukuk tüzel kişisi olmasından ziyade, kişisel verilerin işlenmesi faaliyetinin niteliği ve kapsamı esas alınmaktadır.

Anayasa ile çizilen genel çerçeve akabinde KVKK ile bu alana ilişkin özel koruma mekanizmaları düzenlenmiştir. KVKK’nın 3. Maddesinde yer alan genel kişisel veri tanımından yola çıkarak Türk hukukunda kişisel veri kavramının 4 unsuru olduğu kabul edilmektedir. Bu koşullar detaylıca incelendiğinde;

1) Kimliği belirli veya belirlenebilir: Kimliği belirlenebilir ifadesinden yola çıkarak kişinin kimliğinin belirlenmiş olmasına gerek olmadığı sonucuna varılır. Kişinin ayırt edilebilir olması yeterlidir. Kişinin ayırt edilebilir olma durumu incelenirken veri sorumlusu veya üçüncü kişilerin dürüstlük kuralları çerçevesinde kişinin kimliğini belirlemek adına gerekli dikkat ve özeni göstermesi gerekir.

2) Gerçek kişi: Bu bakımdan Türk hukuku kişisel veriyi sadece gerçek kişilere özgülemiş olup tüzel kişileri kanun kapsamına almamıştır.

3) İlişkili olma durumu: Bir bilginin kişisel veri olarak kabul edilebilmesi için o kişinin kimliğiyle bağ kurabiliyor olması gerekir. Öğretide bu bağın var olup olmadığının kabulü için üç etmen göz önünde tutulmuştur. Bunlar: içerik, amaç ve sonuçtur.

¾    İçerik ölçütü: bilginin doğrudan doğruya kişiye ait olması durumudur.

¾    Amaç ölçütü: bilginin bir kişiyi değerlendirmek, onun davranışlarını yönlendirmek veya belli bir şekilde ele almak için kullanılmasına dayanmasıdır.

¾    Sonuç ölçütü: bilginin kullanımı ve işlenmesinin kişinin hakları ve menfaatlerini etkilemesidir.

Bu etmenlerden yola çıkarak her bir ölçütün farklı kişiler tarafından da söz konusu olabileceği dolayısıyla aynı bilginin birden çok kişinin kişisel verisi olabileceği de önem taşıyan hususlardandır.

4) Her türlü bilgi: Kanun koyucunun bu ifadesinden kişisel veri kavramının sınırlarını olabildiğince geniş çizmek amacıyla hareket ettiği sonucuna varılabilir. Bu noktada kişinin her türlü objektif ve subjektif bilgisi tanımın içine girer. Bu geniş çerçevede bilginin “doğru ve kesinleşmiş” olması da gerekmez.

Kanun koyucu kişisel veri kavramını bu şekilde tanımladıktan sonra KVKK’nın 6.maddesi ile özel nitelikli kişisel verileri tanımlamıştır. İlgili madde uyarınca “kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler” kişinin özel nitelikli kişisel verileri olarak tanımlanmaktadır. KVKK, özel nitelikli kişisel verileri tanımlarken sınırlı sayı (numerus clausus) yoluna gitmiştir. Özel nitelikli kişisel verinin önemli ayırt edici yanı başkaları tarafından öğrenildiği takdirde kişiye mağduriyet yaşatacak ve ayrımcılığa uğramasına sebep olacak bilgiler olmasıdır. Bu nedenle özel nitelikli kişisel veriler daha çok koruma alanına ihtiyaç duyulan veriler olarak da tanımlanabilir. Bu açıdan kanun maddesinin içeriğinin kıyas yoluyla genişletilmesi mümkün değildir. 

Bununla birlikte, 6698 sayılı Kanun’un 28. maddesinde, Kanun hükümlerinin uygulanmayacağı bazı haller ayrıca düzenlenmiştir. Buna göre, kişisel verilerin; üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla, gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi Kanun kapsamı dışında bırakılmıştır. Bunun yanı sıra, kişisel verilerin resmi istatistik amacıyla işlenmesi veya araştırma, planlama ve istatistik gibi amaçlarla anonim hâle getirilmek suretiyle işlenmesi de Kanun hükümlerine tabi değildir.

Ayrıca, kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi de 6698 sayılı Kanun’un kapsamı dışında tutulmuştur. Bununla birlikte, kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak, kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi hâlinde de Kanun hükümleri uygulanmamaktadır. Bu istisnalar, kişisel verilerin işlenmesine ilişkin faaliyetlerin niteliği ve kamu yararı gözetilerek Kanun’un uygulama alanının sınırlarını belirlemekte olup, ilgili faaliyetlerin 6698 sayılı Kanun bakımından hangi hâllerde kapsam dışında değerlendirileceğini açıkça ortaya koymaktadır.

 IV. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUKUKİ SORUMLULUK

Kanun, kişisel verilerin işlenmesi sırasında gerçek ve tüzel kişilerin uyması gereken usul ve esasları belirlerken, bu düzenlemelere aykırılık halinde doğacak hukuki sonuç ve yaptırımları da kapsamına almaktadır. Bu yükümlülükler şunlardır:

1. Kişisel verilerin, hukuk düzenine ve dürüstlük kurallarına uygun, güncel, belirli, açık ve meşru amaçla, ölçülü ve sınırlı olarak kullanımı; kullanıldığı amacın gerekliliği kadar muhafazası ve bu amaçla sınırlı şekilde işlenmesi,
2. Kişisel veri işleme faaliyetinin Kanun’da öngörülen hukuki işleme şartlarından birine dayanması; açık rızaya dayanıldığı hâllerde açık rızanın hukuka uygun şekilde alınması,
3. Kişisel verinin toplanma yöntemi ve hukuki sebebinin uygunluğu,
4. Veri sahibinin aydınlatılması,
5. Muhafaza edilen verilerin hukuka aykırı kullanılmasını önleme,
6. Kişisel verilerin muhafazası amacıyla gerekli güvenlik şartlarını sağlamaya yönelik her türlü teknik ve idari tedbirlerin alınması

gibi bazı yükümlülükler getirmiştir.

Veri sorumlusunun aydınlatma yükümlülüğü kapsamında işleme araçları belirli, açık ve meşru olmalıdır. Dolayısıyla bu kriterlere aykırılıkta KVKK uyarınca, kanun hükümlerine aykırılık teşkil eden fiillerin yaptırımları, “Suçlar ve Kabahatler” başlıklı beşinci bölümde, 17. ve 18. maddeler çerçevesinde düzenlenmiştir. Kanun koyucu, aykırılık durumlarını iki ayrı kategoride ele almıştır. Suç teşkil eden fiiller bakımından, KVKK 17.madde hükmü, doğrudan 5237 sayılı Türk Ceza Kanunu’nun (“TCK”) 135 ila 140. maddelerine atıf yapmaktadır. Buna göre:

1. TCK m.135 uyarınca kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir yıldan üç yıla kadar hapis cezasıyla düzenlenmiş; ayrıca verilerin niteliğine bağlı olarak cezanın artırılacağı öngörülmüştür.
2. TCK m.136 ise kişisel verilerin hukuka aykırı biçimde başkalarına verilmesi, yayılması veya ele geçirilmesini düzenlemekte ve iki yıldan dört yıla kadar hapis cezası öngörmektedir.
3. TCK m.137, söz konusu suçların kamu görevlileri tarafından görevin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek/sanatın sağladığı kolaylıktan yararlanılarak işlenmesi halinde cezaların yarı oranında artırılacağını hükme bağlamaktadır.
4. TCK m.138 kapsamında verileri yok etmekle yükümlü olanların bu yükümlülüğü yerine getirmemeleri, bir yıldan iki yıla kadar hapis cezasıyla cezalandırılacakları düzenlenmiştir.
5. TCK m.139, kişisel verilere ilişkin suçların soruşturma ve kovuşturmasının şikâyete bağlı olmadığını, savcılıklarca re’sen soruşturma yapılacağını düzenlemektedir.
6. TCK m.140 ise tüzel kişiler açısından uygulanacak güvenlik tedbirlerine (TCK m.60) atıf yapmaktadır. Burada özellikle özel hukuk tüzel kişileri yararına işlenen suçlarda, faaliyetin izninin iptali veya müsadere gibi tedbirler öngörülmüştür.

Bu hükümler ışığında, KVKK’ya aykırılık fiillerinin suç teşkil ettiği haller esas itibarıyla kişisel verilerin hukuka aykırı kaydedilmesi, yayılması, üçüncü kişilere aktarılması veya silinmemesi şeklinde somutlaşmaktadır. Sayılan fiiller bakımından soruşturma ve kovuşturma şikayete tabi değildir; savcılıklar re’sen harekete geçmekle yükümlüdür. Bu suçlar, Asliye Ceza Mahkemelerinin görev alanına girmektedir.

KVKK’nın 18. maddesi ise, kanuna aykırı davranışların kabahat niteliği taşıyan kısmını düzenlemektedir. Burada, suç teşkil etmemekle birlikte idari para cezasına tabi ihlaller söz konusudur. Buna göre, veri sorumlusu sıfatını haiz gerçek ve tüzel kişiler tarafından aşağıda belirtilen yükümlülüklerin ihlali halinde, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından KVKK’da öngörülen sınırlar dahilinde idari para cezaları uygulanabilecektir:

1-      Aydınlatma yükümlülüğünün (m. 10) ihlali hâlinde, 85.437 TL’den 1.709.200 TL’ye kadar,

2-      Veri güvenliğine ilişkin yükümlülüklerin (m. 12) ihlali hâlinde, 256.357 TL’den 17.092.242 TL’ye kadar,

3-      Kurul tarafından verilen kararların (m. 15) yerine getirilmemesi hâlinde, 427.263 TL’den 17.092.242 TL’ye kadar,

4-      Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüğüne (m. 16) aykırı hareket edilmesi hâlinde, 341.809 TL’den 17.092.242 TL’ye kadar,

5-      Yurt dışına kişisel veri aktarımında standart sözleşmeye ilişkin bildirim yükümlülüğünün (m. 9/5) yerine getirilmemesi hâlinde ise 90.308 TL’den 1.806.177 TL’ye kadar idari para cezası uygulanması öngörülmüştür.

Kurul Kararlarına İlişkin Bazı Değerlendirmeler:

Kurul, farklı sektörlerde ortaya çıkan ihlal başvurularına ilişkin çeşitli kararlar vermiştir. Bu kararlar, KVKK’nın özellikle 12. maddesinde öngörülen veri güvenliğine ilişkin yükümlülüklerin önemini somutlaştırmakta ve veri sorumlularının alması gereken idari/teknik tedbirleri ortaya koymaktadır.

• 26.07.2018 tarihli ve 2018/91 sayılı karar

Bir hazır giyim firmasının internet sitesi üzerinden yapılan alışverişlerde, kullanıcıların teslimat adresi, ad-soyad ve iletişim bilgileri gibi kişisel verilerinin, aynı site üzerinden alışveriş yapan diğer kişilerce erişilebilir hale geldiği tespit edilmiştir. İlgili kişinin başvurusu üzerine yapılan incelemede, şirketin KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri almadığı sonucuna varılmış ve şirket hakkında idari para cezasına hükmedilmiştir.

• 05.12.2018 tarihli ve 2018/143 sayılı karar

İlgili kişi, doktor kontrolünde kullandığı ilaca ilişkin bilgilerin, söz konusu ilacı temin ettiği eczane tarafından herhangi bir işleme şartı bulunmaksızın üçüncü bir kişiyle paylaşıldığını ileri sürerek Kurul’a başvurmuştur. Yapılan değerlendirme sonucunda, özel nitelikli kişisel verilerin aktarımına dair Kanun’da öngörülen şartların sağlanmadığı ve eczanenin KVKK m.12/4’e aykırı hareket ettiği tespit edilmiş; eczane hakkında idari para cezası uygulanmıştır.

• 21.12.2017 tarihli ve 2017/62 sayılı karar

Bankacılık, sağlık, posta-kargo, turizm, perakende zincirleri, abonelik hizmetleri ve kamu kurumlarında verilen çeşitli hizmetler sırasında, gişe/banko/masa gibi alanlarda kişisel verilerin yetkisiz kişilerce görülmesi, duyulması veya öğrenilmesinin önlenmesine yönelik tedbirlerin alınması gerektiği vurgulanmıştır. Aksi halde veri sorumlularının idari para cezası ile sorumlu tutulacağı karara bağlanmıştır.

• 21.12.2017 tarihli ve 2017/61 sayılı karar

Kişilerin açık rızası olmaksızın isim-telefon numarası eşleştirmesi yapan internet siteleri ve mobil uygulamalara ilişkin değerlendirmede, söz konusu faaliyetlerin KVKK’ya aykırı olduğu belirtilmiştir. Ayrıca, kişisel verilerin hukuka aykırı biçimde ele geçirilmesi nedeniyle bu durumun TCK m.136 kapsamında suç teşkil ettiği kabul edilmiş ve Cumhuriyet Başsavcılığı’na bildirim yapılmasına karar verilmiştir.

    V. GDPR TANIMI

GDPR, Avrupa Birliği tarafından kabul edilen ve 25 Mayıs 2018 tarihinde yürürlüğe giren, veri koruma alanında uluslararası düzeyde en katı düzenlemelerden biri olarak kabul edilmektedir. Kıta Avrupası hukuk sisteminde doğrudan doğruya uygulama alanı bulan bu tüzük yalnızca Avrupa Birliği ve Avrupa Ekonomik Alanı sınırları içerisindeki bireylerin kişisel verilerinin korunmasını değil, aynı zamanda bu bireylere ait verilerin Avrupa Birliği dışındaki aktörler tarafından işlenmesi halinde de bağlayıcı hükümler öngörmektedir.

Tüzüğün temel amacı, bireylerin kişisel verileri üzerinde etkin bir kontrol hakkına sahip olması ve veri işleyen gerçek ve tüzel kişilerin aynı zeminde denetlenmesidir. Bu yönüyle GDPR, hem bireysel temel hakların korunmasına hem de Avrupa Birliği sınırlarında veri dolaşımının ortak kurallarla güvence altına alınmasını sağlamaktadır.

 VI.  GDPR TEMEL İLKELERİ

• Coğrafi Uygulama Alanı:

GDPR, yalnızca veri işleme faaliyetinin fiilen Avrupa Birliği (“AB”) sınırları içerisinde gerçekleştirilip gerçekleştirilmediğine göre uygulanmamakta; belirli şartların varlığı hâlinde AB dışında yerleşik veri sorumluları ve veri işleyenlerin gerçekleştirdiği faaliyetleri de kapsamına almaktadır. Veri sorumlusu veya veri işleyenin AB içerisinde bulunan bir işyerinin faaliyetleri kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri ile AB içerisinde bulunan ilgili kişilere mal veya hizmet sunulması veya bu kişilerin AB içerisindeki davranışlarının izlenmesi amacıyla gerçekleştirilen veri işleme faaliyetleri, GDPR’nin uygulama alanına girmektedir.

• Hukuka Uygunluk, Dürüstlük ve Şeffaflık:

Kişisel verilerin, hukuka uygun, dürüst ve ilgili kişi bakımından şeffaf bir şekilde işlenmesi gerekmektedir. Veri sorumlusu, ilgili kişilerin kişisel verilerinin hangi amaçlarla, hangi hukuki dayanağa dayanılarak ve ne şekilde işlendiği konusunda açık ve anlaşılabilir bilgi sahibi olmasını sağlamalıdır.

• Amaçla Sınırlılık:

Kişisel veriler belirli, açık ve meşru amaçlarla toplanmalı ve bu amaçlarla bağdaşmayan şekilde sonradan işlenmemelidir. Bu ilke uyarınca veri sorumlusu, kişisel verileri belirlenen işleme amacıyla sınırlı olarak kullanmakla yükümlüdür.

• Veri Minimizasyonu:

Kişisel verilerin işlenmesi, işleme amaçlarının gerçekleştirilmesi bakımından gerekli olan veriyle sınırlı tutulmalıdır. Bu doğrultuda, veri sorumlusunun ihtiyaç duyulandan daha fazla kişisel veri toplaması veya işlemesi GDPR’nin veri minimizasyonu ilkesiyle bağdaşmamaktadır.

• Uyumsuzluk Halinde Yaptırımlar:

Tüzüğe uygun davranmayan veri sorumluları ve işleyenler için yüksek tutarlarda idari para cezaları öngörülmüştür. Bu yaptırımlar, GDPR’ın caydırıcılığını artırmayı amaçlamaktadır.

• Hesap Verebilirlik:

GDPR kapsamında veri sorumlusu, kişisel verilerin işlenmesine ilişkin temel ilkelere uygun hareket etmekle ve söz konusu uygunluğu gerektiğinde ortaya koyabilmekle yükümlüdür. Bu kapsamda veri sorumlusunun yalnızca mevzuata uygun hareket etmesi değil, aynı zamanda bu uyumu gösterebilecek politika, prosedür ve kayıt mekanizmalarını oluşturması da gerekmektedir.

• Rıza Şartı ve Kolaylığı:

Kişisel veri işleme faaliyetinin hukuki dayanağının açık rıza olması hâlinde, rızanın özgür iradeye dayanması, belirli bir konuya ilişkin olması ve bilgilendirmeye dayanması gerekmektedir. Veri sorumlusu, ilgili kişinin rıza verdiğini ispatlayabilmelidir. İlgili kişi, vermiş olduğu rızayı dilediği zaman geri alma hakkına sahip olup, rızanın geri alınması, rızanın verilmesi kadar kolay bir yöntemle gerçekleştirilebilmelidir. Rızanın geri alınması, geri alma tarihinden önce rızaya dayanılarak gerçekleştirilen işleme faaliyetlerinin hukuka uygunluğunu etkilememektedir.

• Veri İhlali Bildirimi Yükümlülüğü:

Kişisel veri güvenliğinin ihlal edilmesi hâlinde, GDPR kapsamında veri sorumlusuna belirli koşullar altında ilgili denetim makamına ve gerekli hâllerde ihlalden etkilenen ilgili kişilere bildirimde bulunma yükümlülüğü getirilmiştir. Bu düzenleme, kişisel veri güvenliğinin korunmasının yanı sıra şeffaflık ve hesap verebilirlik ilkelerinin etkin şekilde uygulanmasını amaçlamaktadır.

• Bilgilendirilme Hakkı:

Kullanıcılar, kendilerinden hangi verilerin toplandığını, bu verilerin hangi amaçlarla ve ne kadar süreyle saklanacağını öğrenme hakkına sahiptir.

• Erişim, Düzeltme ve Güncelleme Hakları:

İlgili kişiler, kendi kişisel verilerine erişim hakkına sahiptir; bu verilerin yanlış olması hâlinde düzeltilmesini veya güncellenmesini talep edebilirler.

• Unutulma Hakkı:

GDPR kapsamında bireylere, belirli şartların varlığı hâlinde kişisel verilerinin silinmesini talep etme hakkı tanınmıştır. Bu hak, ‘unutulma hakkı’ olarak adlandırılmaktadır.

• Veri İşlemeye Kısıtlama Getirme Hakkı:

İlgili kişiler, GDPR’de öngörülen belirli şartların gerçekleşmesi hâlinde kişisel verilerinin işlenmesinin kısıtlanmasını talep edebilirler. Bu hak, özellikle verilerin doğruluğunun ilgili kişi tarafından tartışmalı hâle getirilmesi, işleme faaliyetinin hukuka aykırı olması veya veri sorumlusunun artık verilere ihtiyaç duymamasına rağmen ilgili kişinin bunları bir hakkın tesisi, kullanılması veya savunulması amacıyla gerekli görmesi gibi durumlarda uygulanabilmektedir.

KVKK ve GDPR ARASINDAKİ FARKLAR

A)    Kapsam Farkı:

KVKK ve GDPR, kişisel verilerin korunması alanında çerçeve düzenlemeler olsalar da doğdukları hukuk sistemi ve normatif yapıları sebebiyle kendi içlerinde ciddi farklılıklar barındırmaktadır. Bu farklılığın en belirgin olduğu alan düzenlemelerin etki alanlarında karşımıza çıkmaktadır. GDPR, Avrupa Birliği’nin doğrudan uygulanabilir tüzüklerinden biri olup, AB üyesi tüm devletlerde ulusal düzenlemelere gerek kalmaksızın yürürlüğe girmektedir. Türkiye GDPR’a benzer nitelikte olan KVKK benimsemiş olmakla birlikte henüz AB üyesi olmadığından GDPR’ın bağlayıcılığına tabi değildir fakat dikkat edilmesi gereken husus GDPR’ın ilgili maddesi uyarınca AB dışındaki bir ülkede kurulmuş veri sorumlusunun, AB içerisinde faaliyet göstermesi ve hizmette bulunması halinde GDPR uygulama alanı bulabilmektedir. Türkiye merkezli bir şirketin, AB’deki bir şube üzerinden faaliyet göstermesi halinde, bu özel durum bağlamında GDPR hükümleri uygulama alanı bulabilmektedir. Bu hüküm verilerin globalleştiği günümüz dünyasında tüm üçüncü ülkeler bakımından geçerli olup GDPR’ın sınır ötesi etkisinin hukuki zeminini oluşturmaktadır.

B)    Unutulma hakkı:

GDPR m.17 kapsamında düzenlenen unutulma hakkı bireylerin dijital platformlarda ve veri işleyenlerin arasında geçmişe dönük kontrolü sağlayan kritik bir hak olarak karşımıza çıkmaktadır. Bu hak kapsamında veri sahibi, belirli şartların varlığı halinde geçmişine ilişkin bilgi, görsel, belge ve içeriklerin silinmesini talep edebilir. Bu hakkın yansıması olarak birey geçmişi üzerinde hukuka dayalı bir denetim yapabilmekte ve dijital görünürlüğünü ortadan kaldırabilmektedir. Bu durum bireyin mahremiyeti ve kişilik haklarının korunması açısından kişisel verilere ilişkin düzenlemelerin vazgeçilemez bir unsuru olarak karşımıza çıkmaktadır.

Bunlarla birlikte, KVKK mevzuatı unutulma hakkını açıkça düzenlememiştir. Bu durum en başta dijital mecralarda kişinin geçmişe dair bilgilerinin oldukça kolay ulaşılabilir olmasına sebep olmakta ve bireyler açısından mahremiyetle ilgili ciddi problemler ortaya çıkarabilmektedir. Türkiye’de gerekli koşullar sağlandığında adli sicil kayıtlarının silinebilmesi mümkündür. Buna karşın KVKK’da unutulma hakkının açıkça düzenlenmemesi bireylerin dijital geçmişleri bakımından orantısız sonuçlar doğurabilmektedir.

Her ne kadar başta KVKK olmak üzere mevzuatta unutulma hakkı tanımlanmamış olsa da Yargıtay bazı kararlarında temel hak ve özgürlüklerin zedelendiğinden yola çıkarak bu hakka atıf yapmıştır. Benzer bir şekilde Anayasa Mahkemesi de kişinin şeref ve haysiyetinin korunmasından yola çıkarak ilgili uyuşmazlıkta bireyin kimliğinin gizli tutulmasına karar vermiştir.

C)    Yaptırım Farkları:

Düzenlemeler arasındaki farklılıklar sadece içerik olarak değil, bu düzenlemelere aykırı davranıldığında ortaya çıkan yaptırımlarda da karşımıza çıkmaktadır. Bu açıdan iki düzenleme arasındaki en temel fark cezaların caydırıcılığı ve idari para cezalarının üst sınırında kendini göstermektedir. KVKK kapsamında yaptırımlar temel olarak Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezalarından oluşmaktadır. 6698 sayılı Kanun’un 18. Maddesinde düzenlenen bu yaptırımlar aydınlatma yükümlülüğünün ihlali, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, Kurul kararlarına uyulmaması ve VERBİS’e kayıt yükümlülüğünün ihlali gibi fiillere uygulanmaktadır. Kişisel Verileri Koruma Kurumu 1 Ocak 2026 tarihinden itibaren geçerli olmak üzere KVKK’de öngörülen idari para cezalarını güncellemiştir ve önceki döneme göre %25,49 artış söz konusudur. İhlalin içeriğine göre 85.437 TL ile 17.092.242 TL arasında değişen idari para cezaları uygulanır. Bunun yanında bazı fiiller sadece yaptırım doğurmaz aynı zamanda TCK m. 135-140 kapsamında suç teşkil edebilmektedir. Bu miktarlar her ne kadar ulusal düzeyde belirli bir denetim ve düzenleme mekanizması oluştursa da, özellikle büyük ölçekli veya uluslararası faaliyet gösteren şirketler bakımından yeterli caydırıcılık etkisi yaratma noktasından oldukça uzaktadır.

Buna karşılık, GDPR çok daha kapsamlı ve etkili bir yaptırım mekanizması öngörmektedir. GDPR’ın 83. maddesi uyarınca, tüzük hükümlerine aykırılığın niteliğine göre iki kademeli idari para cezası uygulanması öngörülmüştür. Sertifika veya veri koruma görevlisi (DPO) atama kurallarına uymama gibi durumlar hafif ihlaller kategorisine girmekte ve 10 milyon Euro’ya kadar veya işletmenin bir önceki mali yıldaki dünya çapındaki yıllık cirosunun %2’sine kadar idari para cezası uygulanabilmektedir,

Açık rıza kurallarına uymama, veri güvenliğini ihlal etme ve kişisel veri haklarını çiğneme gibi daha ağır ihlaller söz konusuysa 20 milyon Euro ‘ya kadar veya işletmenin dünya çapındaki yıllık cirosunun %4’üne kadar idari para cezası uygulanabilmektedir. İki tutardan hangisi yüksekse o esas alınmaktadır.

GDPR kapsamında denetim makamları ceza miktarını belirlerken yalnızca ihlalin gerçekleşmiş olmasına değil, ihlalin süresine, etkilenen kişi sayısına, veri kategorisine, şirketin kusur derecesine, alınan teknik ve idari tedbirlere, ihlalin kasıtlı olup olmadığına ve daha önce benzer ihlallerin bulunup bulunmadığına da dikkat etmektedir. Bu rakamlar, yalnızca yerel ölçekte değil, uluslararası ölçekte faaliyet gösteren kuruluşlar açısından da son derece caydırıcı nitelik taşımaktadır.

Yaptırımlar arasındaki bu ciddi farklar GDPR kapsamında hizmet sunan veri işleyenleri ve veri sorumluları bakımından çok daha dikkatli olmaları sonucunu doğurmaktadır. Yüksek ceza miktarları tüzüğün teoride kalmasına engel olmakta, veri koruma politikalarının etkin bir şekilde uygulanmasına neden olmaktadır. Öte yandan Türkiye’de hizmet sunan veri sorumluları da AB sınırlarında ikamet eden kişilerin verilerini işlerken her iki düzenlemeye de uymak zorundadır.

D)    Açık Rıza:

İlgili kişinin açık rızası KVKK’ye göre belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızasıdır, GDPR’ye göre ise bu tanıma ek olarak kişinin kendisine ait kişisel verilerin işlenmesine yönelik açık ve olumlu bir eylemle ortaya koyması yani tereddüde yer bırakmayan bir irade beyanı olması gerektiğini de özellikle belirtmiştir. Şüpheye yer bırakmayan olumlu eylemler (unambiguous affirmative action) kabul ediyorum butonuna tıklamak, rıza kutucuğunun işaretlenmesinin gerekmesi, elektronik imza istenmesi gibi çeşitli eylemlerle sağlanabilmektedir. Bunun dışında GDPR (m.7/4) bir sözleşmenin ifası veya hizmetin sunulması o hizmetin esasıyla ilgili olmayan kişisel verilerin işlenmesine ilişkin rızaya bağlanması durumunda rızanın özgür iradeyle verilmediğini kabul eder. Nitekim KVKK metninde rızanın hizmetin ön şartı yapılmasına dair doğrudan bir madde hükmü bulunmamakla birlikte Kurul kararlarında “dürüstlük kuralı” ve m. 3 ‘teki “özgür irade” şartı ihlali olarak değerlendirilmektedir.

E)    Veri İhlalleri:

6698 sayılı Kanun’un 12. maddesinin beşinci fıkrasında, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu “en kısa sürede” ilgili kişiye ve Kurula bildirmesi öngörülmüştür. Kanunda açık bir süre öngörülmemiş olmakla birlikte, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı ile söz konusu “en kısa sürede” ifadesi, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirimde bulunması şeklinde yorumlanmıştır. Kurulun güncel uygulamasında da söz konusu 72 saatlik süre esas alınmaya devam etmektedir.

GDPR’nin 33. maddesinde ise kişisel veri ihlalinin, veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve mümkün olduğu hâllerde en geç 72 saat içerisinde yetkili denetim makamına bildirilmesi açıkça düzenlenmiştir. Bununla birlikte, ihlalin gerçek kişilerin hak ve özgürlükleri bakımından bir risk doğurmasının muhtemel olmadığı hâllerde denetim makamına bildirim yapılması gerekmemektedir. 72 saatlik sürenin aşılması hâlinde ise gecikmenin gerekçesinin bildirimle birlikte açıklanması gerekmektedir. İlgili kişilere yapılacak bildirim bakımından ise iki düzenleme arasında farklılık bulunmaktadır. KVKK uygulamasında, veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere makul olan en kısa süre içerisinde, mümkün olması hâlinde doğrudan, aksi hâlde uygun yöntemlerle bildirim yapılması gerekmektedir. Buna karşılık GDPR’nin 34. maddesi uyarınca ilgili kişilere bildirim, kişisel veri ihlalinin ilgili kişilerin hak ve özgürlükleri bakımından yüksek bir risk doğurmasının muhtemel olduğu hâllerde ve gecikmeksizin gerçekleştirilmektedir. Bu nedenle GDPR, denetim makamına yapılacak bildirim ile ilgili kişiye yapılacak bildirim bakımından farklı risk eşikleri öngörmekte; KVKK ise ilgili kişilere bildirim bakımından aynı şekilde açık bir “yüksek risk” kriteri getirmemektedir.

Dolayısıyla, her iki düzenlemede de veri ihlalinin yetkili otoriteye bildirilmesi bakımından 72 saatlik süre bakımından önemli ölçüde paralellik bulunmakla birlikte, bu sürenin hukuki kaynağı farklıdır. GDPR’de 72 saatlik süre doğrudan Tüzük’ün 33. maddesinde düzenlenirken, KVKK bakımından söz konusu süre Kanun’da yer alan “en kısa sürede” ibaresinin Kurul tarafından 2019/10 sayılı Karar ile yorumlanması suretiyle belirlenmiştir.

Başka bir husus da ilgili kişilere (veri sahiplerine) bildirim yapılıp yapılmayacağıdır. KVKK’de kanunun emredici hükmü gereği ihlal durumunda hem Kurul’a hem de ilgili kişiye en kısa sürede bildirim yapılması öngörmekteyken GDPR ilgili kişilere bildirim yapılması için daha yüksek bir eşik arar, ihlalin bireyin hak ve özgürlükleri üzerinde “yüksek risk” yaratması gerekmektedir. Ayrıca verinin önceden şifrelenmiş (encrypted) olması ve yetkisiz kişilerin okuyamayacağı halde bulunması, ihlal sonrası tedbirlerle yüksek riskin derhal ortadan kaldırılması ve kişilere tek tek bildirimin orantısız bir çaba gerektirmesi durumlarında (böyle bir durumda kamusal duyuru yeterlidir) GDPR uyarınca kişilere bildirim yapma zorunluluğu ortadan kalkmaktadır.

F)     Veri Koruma Görevlileri (DPO – Data Protection Officer):

GDPR’ye göre veri sorumlusu veya veri işleyeni aşağıdaki durumlardan herhangi birinin varlığı halinde DPO atamakla yükümlüdür:

a) Veri işleme faaliyetinin, yargısal görevlerini yerine getiren mahkemeler hariç olmak üzere bir kamu kurumu veya kamu kuruluşu tarafından yürütülmesi.

b) Veri sorumlusunun faaliyetlerinin amacı, niteliği, kapsamı gereği ilgili kişilerin büyük ölçekte düzenli ve sistematik olarak izlenmesini gerektiren veri işleme faaliyetlerinden oluşması.

c) Veri sorumlusunun temel faaliyetlerinin özel nitelikli kişisel verilerin veya ceza mahkumiyetleri ve suçlara ilişkin kişisel verilerin büyük ölçekte işlenmesinden oluşması.

KVKK’de ise DPO şeklinde bir makam düzenlenmemiştir, sadece VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kapsamında bir “irtibat kişisi” tanımlanmıştır. İrtibat kişisi bir denetim veya tavsiye organı değildir, Kurum ile veri sorumlusu arasındaki iletişimi sağlayan bir köprüdür, doğrudan şirket içi idari hiyerarşiye tabidir, bağımsız değildir. Temel görevi VERBİS üzerinden veri sorumlusu adına işlemleri yürütmek ve Kurum’dan gelen tebligatları veri sorumlusuna iletmektir. DPO’nun ise görev alanı daha fazla ve detaylıdır; veri sorumlusunu ve çalışanları uyum konusunda bilgilendirmek ve tavsiyelerde bulunmak, GDPR ve iç politikalara uyumu denetlemek, Veri Koruma Etki Değerlendirmesi (DPIA) süreçlerinde görüş vermek ve sürecin takibini yapmak görevlerindendir.

G) Yurtdışına Veri Aktarımı:

Kişisel verilerin yurt dışına aktarılması hem KVKK hem GDPR kapsamında en kritik ve en çok düzenlemeye tabi tutulan konulardan biridir. Ülkemizde 2024 yılında yapılan madde değişikliği ile KVKK’nin veri aktarımı yolu GDPR ile büyük ölçüde uyumlu hale getirilmiş olsa da düzenlemeler arasında yine de farklılıklar bulunmaktadır. GDPR kişisel verilerin AB dışına aktarımında üç kademeli bir mekanizma benimser:

1-      Yeterlilik kararı:  İlk ve öncelikli yoldur, Avrupa Komisyonu verilerin aktarılacağı 3. Ülkenin hukuki düzenlemelerini, insan hakları standartlarını ve veri koruma otoritesinin bağımsızlığını inceleyerek kapsamlı bir karar verir. Şimdiye kadar Birleşik Krallık, Japonya, ABD, İsviçre, Güney Kore gibi ülkeler için yeterlilik kararı verilmiştir.

2-      Uygun Güvenceler:  Yeterlilik kararı yoksa devreye girer, SCCs (Standart Contractual Clauses – Standart Sözleşme Maddeleri) Avrupa Komisyonu tarafından önceden onaylanmış sözleşme maddeleridir, veri aktaran ve veri alan taraflar bu maddelerin çekirdek maddeleri değiştirmeksizin imzalar. Tarafların SCC imzalaması durumunda AB veri koruma otoritelerine onaylatmaları gerekmez.

3-      Açık Rıza:  Genel bir aktarım mekanizması değildir, yalnızca istisnai durumlarda sınırlı olarak kullanılabilir.

KVKK’de buna benzer kademeli bir sistem getirmiştir. Yeterlilik kararlarını Kişisel Verileri Koruma Kurulu verir, kurul ülkedeki mevzuatı, uluslararası sözleşmeleri ve veri koruma otoritelerinin varlığını değerlendirir. Bu karar verilmezse Kurul tarafından ilan edilen standart sözleşme metinleri kullanılır fakat standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi şarttır. Yeterlilik kararının bulunmaması hâlinde Kanun’da öngörülen uygun güvencelerden birinin sağlanması yoluyla aktarım gerçekleştirilebilir. Bu güvenceler arasında Kurul tarafından ilan edilen standart sözleşmeler, bağlayıcı şirket kuralları ve Kanun’da öngörülen diğer güvence mekanizmaları bulunmaktadır. Standart sözleşmeler bakımından ayrıca sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirim yapılması gerekmektedir.

VII. NETİCE VE SONUÇ

Bu kapsamda, KVKK ile GDPR arasında temel amaç ve ilkeler bakımından önemli ölçüde paralellik bulunmakla birlikte, GDPR’nin özellikle hesap verebilirlik, ilgili kişi haklarının etkin kullanımı, veri koruma uyumunun kurumsallaştırılması ve yaptırım mekanizmaları bakımından daha kapsamlı bir yapı sunduğu görülmektedir. Bununla birlikte, 2024 yılında KVKK’nın yurt dışına veri aktarım rejiminde yapılan değişikliklerle birlikte Türk veri koruma hukuku GDPR’ye önemli ölçüde yaklaşmıştır. Bu çerçevede, KVKK’nın GDPR ile uyum sürecinin devam ettirilmesi; ancak bu sürecin Türk hukukunun ihtiyaçları ve ulusal mevzuatın sistematiği gözetilerek yürütülmesi, kişisel verilerin korunmasının etkinleştirilmesi ve Türkiye’nin uluslararası veri transferleri bakımından öngörülebilir ve güvenilir bir hukuki zemine sahip olması açısından önem arz etmektedir.