Gündoğdu Avukatlık Bürosu

• Kişisel verilerin istismar edilmesi riskini bertaraf etmek, verilerin yetkisiz kişiler tarafından elde edilmesi, kullanılması ve ifşa edilmesini önlemek
• Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve
• Kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.

• Kişisel verileri işlenen gerçek kişiler ve
• Kişisel verileri işleyen gerçek ve tüzel kişiler

hakkında uygulanır.

• Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ait ilişkin her türlü bilgidir.
• Kişisel veri, bireylerin kimliklerini belirli hale getirmeye elverişli her türlü bilgi olarak tanımlanabilir.
• Bu bağlamda kişinin kimlik, iletişim, sağlık ve mali bilgileri ile özel hayatına dini inancına ve siyasi görüşüne ilişkin bilgiler kişisel veri olarak nitelendirilmektedir(Adalet Komisyonu Raporu).

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla kişisel verilerin:

• Elde edilmesi,
• Kaydedilmesi,
• Depolanması,
• Muhafaza edilmesi,
• Değiştirilmesi,
• Yeniden düzenlenmesi,
• Açıklanması,
• Aktarılması,
• Devralınması,
• Elde edilebilir hale getirilmesi,
• Sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.

Kişisel verilerin işlenmesi işlemi elle veya bilgisayarla gerçekleştirilebilir.

• Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen,
• Veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

• Veri sorumlusunun verdiği yetkiye dayanarak, onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

• Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemidir.
• Bu sistemler elektronik yahut fiziki ortamda oluşturulabilir.
• Buna göre veri kayıt sisteminde kişisel veriler, ad soyad veya kimlik numarası üzerinden sınıflandırılabileceği gibi kredi borcunu ödemeyenlere ilişkin oluşturulacak sınıflandırma da bu kapsamda değerlendirilecektir.

• Kural olarak, kişisel veriler, ilgili kişinin (kişisel verisi işlenen gerçek kişinin) açık rızası olmaksızın işlenemez. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür irade ile açıklanan rızayı ifade etmektedir.

• Kanunlarda açıkça öngörülmesi
• Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı ve beden bütünlüğünün korunması için zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması
• Kişisel verisi işlenen kişi tarafından bu kişisel verinin alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

• Hukuka ve dürüstlük kurallarına uyma;
• Doğru ve gerektiğinde güncel olma;
• Belirli, açık, meşru amaçlar için işlenme;
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma;
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

• Irk
• Etnik köken
• Siyasi düşünce
• Felsefi inanç
• Din
• Mezhep
• Diğer inançlar
• Kılık ve Kıyafet
• Dernek, Vakıf ya da sendika üyeliği
• Sağlık
• Cinsel hayat
• Ceza mahkûmiyeti ve güvenlik tedbirleri
• Biyometrik ve genetik veriler

özel nitelikli kişisel verilerdir.

• Özel nitelikteki kişisel verilerin işlenmesi için kişisel verisi işlenecek olan gerçek kişinin açık rızasının bulunması şarttır.

• Özel nitelikli kişisel verilerden sağlık ve cinsel hayat dışındaki kişisel veriler, ancak Kanunlarda öngörülen hallerde ilgili kişinin açık rızası olmaksızın işlenebilir.
• Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak:
  • Kamu sağlığının korunması,
  • Koruyucu hekimlik,
  • Tıbbi teşhis,
  • Tedavi ve bakım hizmetlerinin yürütülmesi,
  • Sağlık hizmetleri ile finansmanının planlanması ve yönetimi

amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

• Kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kendiliğinden veya kişisel verisi işlenen kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

• Kişisel veriler, kural olarak, ilgilinin açık rızası olmaksızın aktarılamaz.

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı ve beden bütünlüğünün korunması için zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması
• Kişisel verisi işlenen kişi tarafından bu kişisel verinin alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

• Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti, güvenlik tedbirleriyle ilgili veriler, biyometrik ve genetik veriler, Kanunlarda öngörülen hallerde, ilgilinin rızası olmaksızın aktarılabilir.
• Sağlık ve cinsel hayat ile ilgili veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın aktarılabilir.

Kişisel verilerin aktarılmasına ilişkin kurallar geçerli olmak üzere, ayrıca, kişisel verinin aktarılacağı yabancı ülkede:

• Yeterli korumanın bulunması,
• Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla yurt dışına ilgilinin açık rızası olmaksızın aktarılabilir.

• Yeterli korumanın bulunduğu ülkeler, Kişisel Verileri Koruma Kurulu’nca belirlenerek ilan edilir.

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi kişisel verileri işlenen gerçek kişilere:

• Veri sorumlusunun ve varsa temsilcisinin kimliği;
• Kişisel verilerin hangi amaçla işleneceği
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• Kişisel verisi işlenecek olan kişinin hakları

konularında bilgi vermekle yükümlüdür.

• Kişisel Verileri Koruma Kanunu’nun maddesinde öngörülen, veri sorumlularının, kişisel verisi işlenen kişileri aydınlatma yükümlülüklerini yerine getirmeyenler hakkında idari para cezası verilir.

• Kişisel veri işlenip işlenmediğini öğrenme;
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme;
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme;
• Yurt içinde veya yurt dışındaki kişisel verilerin aktarıldığı üçüncü kişileri bilme;
• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme;
• Kişisel verilerin işlenme sebebinin ortadan kalkması durumunda kişisel verilerinin silinmesini veya yok edilmesini isteme;
• Kişisel bilgilerin aktarıldığı üçüncü kişilere kişisel ferilerin eksik veya yanlış işlenmesi durumunda düzeltme işleminin ve kişisel verilerin işlenmesi sebebinin ortadan kalkması halinde silme / yok etme işlemlerinin bildirilmesini isteme;
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme;
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

Veri sorumlusu:

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek;
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek;
• Kişisel verilerin muhafazasını sağlamak;

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde (veri işleyen) birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

Veri sorumlusu, kendi kurum ve kuruluşlarında bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak ve yaptırmak zorundadır.

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi halinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

• Kişisel Verileri Koruma Kanunu’nun 12. maddesinde öngörülen, veri sorumlularının veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyenler hakkında idari para cezası verilir.

• Kişisel verisi işlenen gerçek kişi, bu Kanunun uygulanması ile ilgili taleplerini yazılı olarak veya Kişisel Verileri Koruma Kurulu’nun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
• Veri sorumlusu, başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede en geç otuz gün içinde ücretsiz olarak cevaplandırır.
• Veri sorumlusu, talebi:

• • Kabul eder veya
  • Gerekçesini açıklayarak reddeder;

ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.

• Başvuruda yer alan talebin kabul edilmesi halinde veri sorumlusunca gereği yerine getirilir.
• Başvurunun veri sorumlusunun hatasından kaynaklanması halinde alınan ücret ilgiliye iade edilir.

• İlgili kişi, başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her halde başvurudan itibaren altmış gün içinde Kurul’a şikayette bulunabilir. Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. Kişilik hakkı ihlal edilenlerin, genel hükümlere göre tazminat hakları saklıdır.

• Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda re’sen, görev alanına giren konularda gerekli incelemeyi yapar.
• 1/11/1984 tarihli, 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunu’nun 6. maddesinde belirtilen şartları taşımayan ihbar veya şikayetler incelemeye alınmaz.
• Devlet sırrı niteliğindeki bilgi ve belgeler hariç; veri sorumlusu, Kişisel Verileri Koruma Kurulu’nun inceleme konusu ile ilgili istemiş olduğu bilgi ve belgeleri onbeş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına olanak sağlamak durumundadır.
• Şikâyet üzerine Kurul, talebi inceleyerek ilgililere bir cevap verir. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır.
• İhlalin varlığının tespiti halinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesinde karar karar vererek ilgililere tebliğ eder. Bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.
• İhlalin yaygın olduğunun tespiti halinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul ilke kararı almadan önce ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşlerini de alabilir.
• Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde veri işlenmesinin veya verinin yurtdışına aktarılmasının durdurulmasına karar verebilir.

Kişisel Verileri Koruma Kanunu’nun 15. maddesi uyarınca, Kişisel Verileri Koruma Kurulu’nun verdiği kararları yerine getirmeyenler hakkında idari para cezası verilir.

• Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Sicili’ne kaydolmak zorundadır. Ancak işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle Kurul tarafından Veri sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.
• Veri Sorumluları Sicili, Kişisel Verilerin Korunması Kurulu’nun gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından kamuya açık olarak tutulur.

Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirim ile yapılır:

• Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri
• Kişisel verilerin hangi amaçla işleneceği
• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Kişisel veri güvenliğine ilişkin alınan tedbirler
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

• Kişisel Verilerin Korunması Kanunu’nun 16. maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası verilir.

• Bu Kanunda düzenlenen idari para cezaları, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

• Kişisel verilere ilişkin suçlar hakkında 5237 Sayılı Türk Ceza Kanunu’nun 135 ila 140. madde hükümleri uygulanır.

• Gerçek kişilerin, tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili kişisel verileri, üçüncü kişilere vermemek ve veri güvenliğine ilişkin yükümlülüklere uymak kaydıyla işlemeleri
• Kişisel verilerin resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi;
• Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi
• Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi
• Kişisel verilerin soruşturma kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi
• Ayrıca aşağıdaki hallerde, Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla, veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10. madde; zararın giderilmesini talep hakkı hariç ilgili kişinin haklarını düzenleyen 11. madde; Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde uygulanmaz:
  • Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması
  • İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi
  • Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturma için gerekli olması
  • Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması