Neden Bir KVKK Sözlüğüne İhtiyacınız Var?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kendine özgü bir terminolojiyle konuşur. "Veri sorumlusu", "açık rıza", "özel nitelikli veri" gibi kavramlar günlük dilde benzer anlamlara gelse de kanun açısından her birinin kesin bir tanımı ve doğurduğu farklı yükümlülükler vardır. Bu kavramları karıştırmak, hem uyum çalışmalarında hem de olası bir denetimde ciddi sorunlara yol açabilir.
Bu sözlük, KVKK uyum sürecinde en sık karşılaşacağınız yaklaşık 25 temel kavramı gruplandırarak açıklıyor. Amaç, ekiplerinizin ortak bir dil konuşmasını sağlamak ve terimleri doğru bağlamda kullanmanıza yardımcı olmaktır.
Aktörler ve Roller
Veri Sorumlusu
Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. "Neden ve nasıl işleneceğine" karar veren taraf veri sorumlusudur; yükümlülüklerin büyük çoğunluğu bu tarafa aittir.
Veri İşleyen
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Örneğin bir bulut sağlayıcı, bordro hizmeti veren muhasebe firması veya e-posta pazarlama aracı çoğu zaman veri işleyen konumundadır. Veri işleyen, yalnızca veri sorumlusunun talimatları doğrultusunda hareket eder.
İlgili Kişi
Kişisel verisi işlenen gerçek kişidir. Müşteriniz, çalışanınız, web sitenizi ziyaret eden bir kullanıcı; hepsi ilgili kişidir. KVKK'daki hakların (bilgi talep etme, düzeltme, silme vb.) sahibi ilgili kişidir.
İrtibat Kişisi
VERBİS'e kayıt yükümlülüğü olan veri sorumlusunu temsilen, Kurum ile iletişimi sağlamak üzere bildirilen kişidir. İrtibat kişisi, veri sorumlusunun kanuni temsilcisi anlamına gelmez; yalnızca bir iletişim noktasıdır.
Temel Veri Türleri
Kişisel Veri
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad-soyad, T.C. kimlik numarası, telefon, e-posta, konum, IP adresi ve hatta bir çerez kimliği kişisel veri sayılabilir.
Özel Nitelikli Kişisel Veri
İşlendiğinde ilgili kişi için ayrımcılık veya mağduriyet riski taşıyan hassas verilerdir. Sağlık, cinsel hayat, din, mezhep, felsefi inanç, siyasi görüş, ırk, etnik köken, kılık-kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve biyometrik-genetik veriler bu kapsamdadır. Bu veriler kural olarak açık rıza veya kanunda öngörülen sınırlı istisnalar olmadan işlenemez ve daha güçlü güvenlik önlemleri gerektirir.
Anonim Hâle Getirme
Kişisel verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Anonim veri artık kişisel veri sayılmaz ve KVKK kapsamı dışına çıkar. Anonimleştirme, geri döndürülemez olmalıdır.
İşleme Faaliyetleri
İşleme
Kişisel verilerin elde edilmesinden imhasına kadar geçen her türlü faaliyettir: kaydetme, saklama, değiştirme, açıklama, aktarma, sınıflandırma gibi işlemlerin tamamı "işleme" kapsamındadır.
Aktarım
Kişisel verinin bir başka tarafa iletilmesidir. Verinin grup şirketine, tedarikçiye veya bir hizmet sağlayıcıya iletilmesi aktarım sayılır ve belirli hukuki şartlara tabidir.
Yurt Dışı Aktarım
Kişisel verinin Türkiye dışındaki bir tarafa aktarılmasıdır. Verilerin yurt dışındaki bir bulut sunucusunda tutulması dahi yurt dışı aktarım oluşturur ve kanunda öngörülen ek şartların sağlanmasını gerektirir.
İmha (Silme / Yok Etme / Anonimleştirme)
Kişisel verilerin, saklama süresi dolduğunda veya işleme sebebi ortadan kalktığında ortadan kaldırılmasıdır. İmha; silme, yok etme veya anonim hâle getirme yöntemlerinden biriyle gerçekleştirilir ve periyodik imha süreçleriyle düzenli olarak yürütülmelidir.
Saklama Süresi
Bir kişisel verinin, işleme amacı ve ilgili mevzuattaki yükümlülükler doğrultusunda ne kadar süreyle tutulacağını ifade eder. Amaç sona erdiğinde ve yasal saklama süresi dolduğunda veri imha edilmelidir.
Hukuki Zeminler ve Yükümlülükler
Açık Rıza
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onaydır. Açık rıza; koşula bağlanamaz, hizmetin ön şartı hâline getirilemez ve her zaman geri alınabilir. Rıza yalnızca birçok işleme türünden biri için hukuki dayanaktır; her işleme rıza gerektirmez.
Aydınlatma Yükümlülüğü
Veri sorumlusunun, verileri işlemeden önce ilgili kişiyi; kimliği, işleme amaçları, aktarılacak taraflar, toplama yöntemi ve hukuki sebep ile hakları konusunda bilgilendirme zorunluluğudur. Aydınlatma tek taraflı bir bilgilendirmedir ve rızadan bağımsız olarak yerine getirilmelidir.
Açık Rıza ve Aydınlatma Farkı
En sık karıştırılan ikilidir. Aydınlatma bir bilgilendirmedir ve neredeyse her işlemede zorunludur; onay aranmaz. Açık rıza ise bir hukuki dayanaktır ve yalnızca başka bir işleme şartı bulunmadığında gereklidir. Aydınlatma metni ile rıza beyanı ayrı ayrı sunulmalı, iç içe geçirilmemelidir.
Meşru Menfaat
Veri sorumlusunun meşru menfaatinin, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri işlemeye dayanak oluşturabilmesidir. Bu dayanağa başvururken bir denge testi yapılması beklenir; meşru menfaat sınırsız bir yetki değildir.
Kayıt, Risk ve İhlal
VERBİS
Veri Sorumluları Sicil Bilgi Sistemi'dir. Kanunda belirlenen kriterleri karşılayan veri sorumlularının işleme faaliyetlerini kaydettiği kamuya açık sicildir.
Veri Envanteri
Veri sorumlusunun; işlediği kişisel verileri, işleme amaçlarını, veri kategorilerini, aktarılan tarafları ve saklama sürelerini ilişkilendirerek gösterdiği detaylı kayıttır. VERBİS bildiriminin ve tüm uyum çalışmasının temelini oluşturur.
DPIA / Veri Etki Değerlendirmesi
Yüksek riskli işleme faaliyetlerinde, işlemenin kişiler üzerindeki olası etkilerini önceden analiz ederek riskleri azaltmayı amaçlayan yapılandırılmış değerlendirmedir. Özellikle özel nitelikli veri veya geniş çaplı profilleme içeren süreçlerde önem taşır.
Veri İhlali
Kişisel verilerin hukuka aykırı olarak başkaları tarafından ele geçirilmesidir. İhlalin öğrenilmesinden itibaren en kısa sürede ve makul olarak 72 saat içinde Kurul'a bildirim yapılması esastır; ilgili kişilere de bildirim gerekebilir.
Kurumsal Yapı
Kurul
Kişisel Verileri Koruma Kurulu'dur. Kanunu uygulayan, ilke kararları alan ve yaptırım uygulayan karar organıdır.
Kurum
Kişisel Verileri Koruma Kurumu'dur. Kurul'un kararlarını yürüten idari yapıyı ve teşkilatı ifade eder.
Kavramları Bir Arada Görmek
| Kavram | Kısa Tanım | Kime/Neye İlişkin |
|---|---|---|
| Veri işleyen | Sorumlu adına işleyen | Hizmet sağlayıcı |
| İlgili kişi | Verisi işlenen kişi | Hak sahibi |
| Açık rıza | Bilgilendirmeye dayalı onay | Hukuki dayanak |
| Aydınlatma | Ön bilgilendirme | Yükümlülük |
| Özel nitelikli veri | Hassas veri | Veri türü |
| VERBİS | Kamuya açık sicil | Kayıt sistemi |
Terimleri Doğru Kullanmak İçin Adımlar
- Süreçlerinizde kimin veri sorumlusu, kimin veri işleyen olduğunu netleştirin.
- Her işleme faaliyeti için hukuki dayanağı belirleyin ve gereksiz yere açık rızaya yaslanmaktan kaçının.
- Aydınlatma metinleri ile rıza beyanlarını ayrı belgeler olarak tasarlayın.
- Özel nitelikli verileri ayrı bir kategori olarak işaretleyin ve ek güvenlik önlemleri planlayın.
- Veri envanterinizi güncel tutun ve saklama sürelerini her kategori için tanımlayın.
- İhlal durumunda izlenecek bildirim akışını önceden yazılı hâle getirin.
Örnek Senaryo
Bir yazılım şirketi, çalışan bordrolarını yurt dışındaki bir bulut tabanlı İK yazılımında tutuyor. Burada şirket "veri sorumlusu", bulut sağlayıcı "veri işleyen", çalışanlar ise "ilgili kişi" konumundadır. Bordro verilerinin yurt dışı sunucuda tutulması bir "yurt dışı aktarım" oluşturur. Çalışanların sağlık raporları "özel nitelikli veri" olduğundan ek güvenlik önlemleri gerekir. Şirket, işleme faaliyetlerini "veri envanteri"ne kaydeder ve VERBİS'te beyan eder. Sistemde bir sızıntı yaşanırsa bu bir "veri ihlali"dir ve makul olarak 72 saat içinde Kurul'a bildirilmelidir.
Sık Sorulan Sorular
Açık rıza her işleme için gerekli mi?
Hayır. Açık rıza, hukuki dayanaklardan yalnızca biridir. Bir sözleşmenin ifası, kanuni yükümlülük veya meşru menfaat gibi başka bir şart varsa ayrıca rıza aranmaz. Gereksiz rıza toplamak, uyumu zorlaştırabilir.
Veri işleyen ile veri sorumlusu aynı kişi olabilir mi?
Bir kuruluş bazı süreçlerde veri sorumlusu, başka süreçlerde ise başka bir sorumlu adına veri işleyen olabilir. Önemli olan, her faaliyet için rolün doğru belirlenmesidir.
IP adresi kişisel veri midir?
Kimliği belirlenebilir bir kişiye ulaşmayı mümkün kıldığı ölçüde IP adresi kişisel veri olarak değerlendirilebilir. Bu nedenle çevrimiçi tanımlayıcılar temkinli ele alınmalıdır.
Anonim veri KVKK kapsamında mıdır?
Gerçek anlamda ve geri döndürülemez biçimde anonimleştirilmiş veri kişisel veri sayılmaz ve KVKK kapsamı dışındadır. Ancak yeniden kimliklendirme riski varsa veri hâlâ kişisel veri kabul edilir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
JUS. ile kişisel veri envanterinizi, aydınlatma ve rıza süreçlerinizi tek bir panelden yönetmek için ücretsiz demo talep edin.