Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, adres, telefon, konum, görüntü, ses, sağlık bilgisi, çevrim içi kimlik ve ekonomik kayıtlar bu kapsama girebilir. Kişisel verilerin korunması yalnız idari yaptırım ve teknoloji güvenliği konusu değildir; kişinin özel hayatı ve kişilik hakkının parçasıdır. Anayasa’nın 20. maddesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Türk Medeni Kanunu’nun 24-25. maddeleri birbirini tamamlayan koruma yolları sunar. Hukuka aykırı işleme, paylaşma veya ifşa hâlinde veri sorumlusuna başvuru, Kurula şikâyet ve hukuk davası farklı amaçlarla kullanılabilir.
Kişisel Veri Neden Kişilik Hakkıdır?
Kişi, kendisi hakkındaki bilginin kim tarafından, hangi amaçla, ne kadar süreyle ve kimlerle paylaşılacağını belirleme hakkına sahiptir. Verinin doğru olması dahi kontrolsüz kullanımını otomatik olarak hukuka uygun kılmaz. Sağlık kaydı, aile bilgisi veya eski bir olayın sürekli çevrim içi tutulması kişinin özel yaşamını ve toplumsal kimliğini etkileyebilir. Türk Medeni Kanunu’ndaki kişilik hakkı koruması, veri işleme faaliyetinin insan onuru, özel hayat, şeref, ekonomik gelecek ve bilgi üzerinde denetim hakkı üzerindeki etkisini değerlendirir.
Veri İşlemede Temel İlkeler
Kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Veri, ilgili mevzuatta öngörülen veya işleme amacı için gerekli süre kadar saklanabilir. Bu ilkeler, açık rıza alınmış olsa bile uygulanır. Örneğin bir üyelik için kimlik bilgisi gerekebilir; ancak aynı amaçla ilgisiz sağlık veya aile verisi toplamak ölçülülük sorununa yol açabilir. Veri sorumlusu her veri kategorisi için amaç, hukuki sebep ve saklama süresini açıklayabilmelidir.
Açık Rıza Tek Hukuki Sebep Değildir
Kişisel veri işlemenin hukuki dayanağı her zaman açık rıza değildir. Kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, bir hakkın tesisi veya korunması, ilgili kişinin alenileştirmesi ve temel haklara zarar vermemek kaydıyla meşru menfaat gibi sebepler bulunabilir. Açık rıza kullanılacaksa belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olmalıdır. Hizmetin gerektirmediği veri işlemeyi zorunlu rızaya bağlamak rızanın geçerliliğini tartışmalı hâle getirir. Aydınlatma yükümlülüğü ile rıza birbirinin yerine geçmez.
Özel nitelikli kişisel veriler
Irk, etnik köken, siyasi düşünce, din, dernek veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler özel niteliklidir. 7499 sayılı Kanunla 2024 yılında işleme şartları yeniden düzenlenmiş ve açık rıza dışındaki kanuni sebepler genişletilmiştir. Buna rağmen bu verilerin işlenmesi yasak olma ilkesiyle başlar ve kanunda sayılan şartlardan biri bulunmalıdır. Ayrıca Kurulun belirlediği yeterli önlemler alınmalıdır. Parmak izi, sağlık raporu veya ceza kaydı yalnız pratik kolaylık gerekçesiyle ölçüsüz biçimde toplanamaz.
İlgili Kişinin Hakları
İlgili kişi, verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya dışında aktarılan üçüncü kişileri bilme hakkına sahiptir. Eksik veya yanlış verinin düzeltilmesini, şartları oluştuğunda silinmesini veya yok edilmesini ve bu işlemlerin aktarım yapılan kişilere bildirilmesini isteyebilir. Yalnız otomatik sistemle analiz sonucunda aleyhe sonuç çıkmasına itiraz edebilir ve hukuka aykırı işleme nedeniyle zararının giderilmesini talep edebilir. Bu hakların kullanımı somut ve anlaşılır başvuruyla yapılmalıdır.
Veri Sorumlusuna Başvuru Nasıl Yapılır?
6698 sayılı Kanun kapsamındaki talepler önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yöneltilir. Başvuruda kimlik ve iletişim bilgileri, talebin konusu, ilgili veri veya işlem, mümkünse tarih aralığı ve istenen sonuç açıkça yazılmalıdır. Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Kural olarak işlem ücretsizdir; ek maliyet varsa Kurul tarifesi uygulanabilir. Başvurunun gönderildiği tarih ve teslim kaydı saklanmalı, belirsiz “tüm verilerimi silin” talebi yerine hukuki sebebi sona eren veri açıkça belirtilmelidir.
Kişisel Verileri Koruma Kuruluna Şikâyet
Veri sorumlusu başvuruyu reddeder, cevap yetersiz kalır veya otuz gün içinde cevap vermezse Kurula şikâyet yolu açılır. Şikâyet, cevabın öğrenilmesinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Veri sorumlusuna başvuru yolu tüketilmeden kural olarak Kurula gidilemez. Kurul ihlalin giderilmesine, veri işlemenin durdurulmasına ve kanundaki diğer tedbirlere karar verebilir; idari yaptırım uygulayabilir. Kurula şikâyet, kişilik hakkı nedeniyle genel hükümlere göre tazminat isteme hakkını ortadan kaldırmaz.
Medeni Hukuk Davaları ve Tazminat
Hukuka aykırı veri işleme aynı zamanda kişilik hakkına saldırıysa kişi, saldırı tehlikesinin önlenmesini, devam eden saldırının durdurulmasını ve etkileri süren geçmiş saldırının hukuka aykırılığının tespitini isteyebilir. Düzeltme veya kararın üçüncü kişilere bildirilmesi ve yayımlanması da talep edilebilir. Ekonomik zarar varsa maddi, kişilik değerinde ciddi zedelenme varsa manevi tazminat gündeme gelir. Saldırıdan kazanç elde edilmişse bu kazancın vekâletsiz iş görme hükümlerine göre verilmesi istenebilir. Görevli mahkeme ve husumet, veri sorumlusunun niteliğine ve uyuşmazlık ilişkisinin türüne göre belirlenir.
İhtiyati tedbir ve dijital delil
Veri internette yayılmaya devam ediyor veya kısa sürede geri döndürülemez zarar doğuruyorsa ihtiyati tedbir talep edilebilir. Belirli yayının durdurulması, erişimin sınırlandırılması, aktarımın önlenmesi veya verinin korunması istenebilir. Tedbir ölçülü ve teknik olarak uygulanabilir olmalıdır. URL, tarih-saat, ekran görüntüsü, kaynak kodu, e-posta başlıkları, erişim kayıtları, başvuru ve cevap belgeleri ile veri ihlali bildirimleri delil olabilir. Delilin hukuka uygun elde edilmesi ve bütünlüğünün korunması, yeni bir mahremiyet ihlali yaratmamak bakımından zorunludur.
Silme, Yok Etme ve Anonimleştirme
Veri hukuka uygun işlenmiş olsa bile işleme sebeplerinin tamamı ortadan kalktığında veri sorumlusu veriyi re’sen veya talep üzerine silmeli, yok etmeli ya da anonim hâle getirmelidir. Hangi yöntemin uygulanacağı veri sistemine, yedeklere, saklama yükümlülüğüne ve işleme amacına bağlıdır. Silme, verinin ilgili kullanıcılar için erişilemez ve kullanılamaz hâle getirilmesini; yok etme geri getirilemeyecek biçimde ortadan kaldırmayı; anonimleştirme ise kişiyle ilişkilendirilemez duruma getirmeyi ifade eder. Kanuni saklama süresi devam ediyorsa erişim ve kullanım amacı sınırlandırılabilir.
Yurt Dışına Veri Aktarımı
7499 sayılı Kanunla 2024 yılında yurt dışına aktarım rejimi değiştirilmiştir. Yeterlilik kararı, uygun güvenceler ve arızi aktarım hâlleri kademeli biçimde düzenlenmiştir. Standart sözleşmeler, bağlayıcı şirket kuralları, yazılı taahhüt ve kamu kurumları arası anlaşmalar belirli koşullarda güvence yöntemi olabilir. Standart sözleşmenin imzalanmasından sonra Kuruma beş iş günü içinde bildirim yükümlülüğü vardır. Bulut hizmeti veya yabancı yazılım kullanımı, verinin fiilen yurt dışına aktarılması sonucunu doğurabilir. Veri sorumlusu teknik akışı ve alt işleyenleri belirlemelidir.
Çocukların ve Kısıtlıların Verileri
Çocukların kişisel verilerinde üstün yarar, gelişim düzeyi ve işlemenin uzun vadeli etkisi özel önem taşır. Rıza veya başvuru yetkisi, çocuğun ayırt etme gücü, işlemin niteliği ve yasal temsil ilişkisine göre değerlendirilir. Ebeveynin paylaşımı da çocuğun kişilik hakkını sınırsız biçimde ortadan kaldırmaz. Sağlık, eğitim, konum ve görüntü verilerinin sosyal medyada yayılması ileride kalıcı zarar doğurabilir. Kısıtlı kişinin verilerinde vasi veya kayyımın yetkisi atama kararına ve kişiye sıkı sıkıya bağlı haklara ilişkin kurallara göre belirlenmelidir.
Sık Sorulan Sorular
Şirket başvuruma kaç günde cevap vermeli?
Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Cevap verilmezse Kurula şikâyette altmış günlük üst süre gözden kaçırılmamalıdır.
Her veriyi sildirebilir miyim?
Hayır. Kanuni saklama yükümlülüğü veya devam eden geçerli işleme sebebi varsa silme talebi reddedilebilir. Ret gerekçeli olmalı; veri yalnız gerekli amaç ve süreyle sınırlı tutulmalıdır.
Kurul manevi tazminata karar verir mi?
Kurul idari denetim ve yaptırım uygular; manevi ve maddi tazminat talepleri genel hükümlere göre görevli mahkemede ileri sürülür. Kurul kararı hukuk davasında delil etkisi taşıyabilir.
Sosyal medyada açık profil verisi serbestçe kullanılabilir mi?
Hayır. Kişinin veriyi alenileştirmesi, kullanımın onun alenileştirme iradesiyle ve işleme amacıyla uyumlu olmasını gerektirir. Farklı amaçla toplu analiz veya ticari kullanım hukuka aykırı olabilir.
Başlıca Hukuki Kaynaklar
Bu rehber Anayasa’nın 20. maddesi, 4721 sayılı Türk Medeni Kanunu’nun 24-25. maddeleri, 6698 sayılı Kanun ve 2024 tarihli 7499 sayılı Kanun değişiklikleri ile silme, yok etme ve anonimleştirme yönetmeliği esas alınarak hazırlanmıştır.
Hukuki bilgilendirme: Bu içerik genel bilgi amaçlıdır; somut olayın özelliklerine göre süreler, görev, yetki, deliller ve hukuki sonuçlar değişebilir. Hak kaybı riski bulunan durumlarda dosyanın bir avukat tarafından değerlendirilmesi uygun olur.
