KVKK ve Bilişim Hukukunda Sunulan Hukuki Destek
Ankara KVKK Avukatı arayışı çoğunlukla iki noktadan doğar: bir işletmenin kişisel veri işleme faaliyetini mevzuata uygun hâle getirme ihtiyacı ya da bir kişinin verilerinin izinsiz kullanıldığını fark etmesi. İki durumda da sürecin merkezinde aynı soru bulunur: veri hangi hukuki sebebe dayanarak işlenmektedir.
Kişisel Verilerin Korunması Kanunu, veri işlemeyi kural olarak ilgili kişinin açık rızasına bağlamış, buna karşılık rıza aranmaksızın işleme yapılabilecek hâlleri ayrıca saymıştır. Uygulamadaki yanlışların önemli bölümü, aslında kanunda öngörülen bir işleme şartına dayanılabilecek durumlarda gereksiz yere rıza alınmasından ya da tam tersine, rıza gerektiren bir işlemenin dayanaksız yürütülmesinden kaynaklanır.
Ragıp Tüzün Mahallesindeki büroda yürütülen çalışma şu başlıkları kapsamaktadır:
- Veri sorumlusu uyum çalışması: envanter, politika ve saklama süreleri
- Aydınlatma metinleri, açık rıza beyanları ve çalışan bilgilendirmelerinin hazırlanması
- Veri Sorumluları Siciline kayıt sürecinin yürütülmesi
- İlgili kişi başvurularının cevaplanması ve Kurula yapılan şikayetlerde temsil
- Veri ihlali durumunda bildirim sürecinin yönetilmesi
- Yurt dışına veri aktarımında kullanılacak belgelerin hazırlanması
- İnternet kaynaklı kişilik hakkı ihlallerinde içeriğin çıkarılması ve erişimin engellenmesi
- Bilişim suçlarında şikayet hazırlanması ve savunma
Diğer başlıklar için tüm çalışma alanlarını inceleyebilirsiniz.
Veri Sorumlusu Uyum Çalışması
Uyum çalışması bir metin hazırlama işi değil, işletmenin veri akışının haritalandırılmasıdır. Hangi verinin nereden alındığı, hangi amaçla işlendiği, kimlere aktarıldığı ve ne kadar süreyle saklandığı tespit edilmeden hazırlanan belgeler işlevsiz kalır.
Veri envanteri ve işleme şartları
İlk adım, işletmenin işlediği kişisel verilerin envanterinin çıkarılmasıdır. Çalışan özlük dosyaları, müşteri kayıtları, tedarikçi bilgileri, kamera kayıtları, çevrimiçi form verileri ve çağrı kayıtları ayrı ayrı ele alınır. Her veri kategorisi için işleme amacı ve dayanılan hukuki sebep belirlenir.
Kanun, açık rıza dışında da işleme yapılabilecek hâlleri saymıştır. Kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi, bir hakkın tesisi ve korunması ile ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat bu sebepler arasındadır. Sağlık verisi gibi özel nitelikli veriler için ise daha sıkı bir rejim uygulanır.
Aydınlatma yükümlülüğü ve açık rıza
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi bilgilendirmekle yükümlüdür. Aydınlatma metninde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve ilgili kişinin hakları yer alır.
Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Rızanın hizmetin verilmesi koşuluna bağlanması, geri alınamaz biçimde düzenlenmesi ya da aydınlatma metniyle tek bir belge hâlinde birleştirilmesi geçerliliğini tartışmalı hâle getirir. Bu iki belgenin ayrı ayrı düzenlenmesi ve rızanın kolayca geri alınabilmesi esastır.
Veri Sorumluları Siciline kayıt
Kişisel veri işleyen veri sorumlularının Sicile kayıt olması kural olarak zorunludur. Kurul, işlenen verinin niteliği, sayısı ve faaliyetin türünü esas alarak istisna belirlemeye yetkilidir; bu nedenle kayıt yükümlülüğünün bulunup bulunmadığı işletmeye özgü olarak değerlendirilir. Sicile yapılan bildirimin envanterle tutarlı olması, denetim aşamasında ilk bakılan noktalardan biridir.
İlgili Kişi Başvurusu ve Kurula Şikayet
Kanun, kişisel verisi işlenen herkese bir dizi hak tanımıştır: verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve işlemenin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhe bir sonuç doğmasına itiraz etme.
Bu haklar öncelikle veri sorumlusuna karşı kullanılır. Başvuru yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapılır ve veri sorumlusu talebi kanunda öngörülen süre içinde sonuçlandırmakla yükümlüdür. Başvuru reddedilirse, verilen cevap yetersiz kalırsa ya da süresinde cevap verilmezse Kurula şikayet yolu açılır.
Şikayet için de süre öngörülmüştür: veri sorumlusunun cevabını öğrenme tarihinden itibaren kanunda belirtilen süre içinde ve her hâlde başvuru tarihinden itibaren belirlenen süre içinde yapılmalıdır. Veri sorumlusuna başvurulmadan doğrudan Kurula gidilmesi hâlinde şikayet, başvuru yolu tüketilmediği gerekçesiyle işleme alınmaz.
Veri sorumlusu tarafında ise gelen başvuruların kayda alınması, süresinde ve gerekçeli biçimde cevaplanması için bir akış kurulması gerekir. Cevapsız bırakılan veya şablon yanıtla geçiştirilen başvurular, sonrasında Kurul incelemesinin en sık dayanağı hâline gelir.
Veri İhlali Bildirimi
İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğinin tespit edilmesi hâlinde veri sorumlusu, durumu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Bildirimin en kısa sürede yapılması gerekir ve Kurul bu konuda bir süre belirlemiştir.
Bildirim metninde ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen kişi ve kayıt sayısı, etkilenen veri kategorileri, olası sonuçlar ve alınan teknik ve idari tedbirler yer alır. İhlalin kapsamı ilk anda net değilse, aşamalı bildirim yapılması mümkündür.
İhlal sonrası yürütülecek çalışma yalnızca bildirimden ibaret değildir. Olay müdahale planının işletilmesi, log kayıtlarının korunması, zafiyetin kapatılması ve ilgili kişilerin bilgilendirilmesi birlikte yürür. İhlal aynı zamanda bir suç oluşturuyorsa cumhuriyet başsavcılığına şikayette bulunulması da gündeme gelir.
Yurt Dışına Veri Aktarımı
Kişisel verilerin yurt dışına aktarılması ayrı koşullara bağlanmıştır. Aktarımın yapılacağı ülke hakkında yeterlilik kararı bulunması, bulunmuyorsa mevzuatta öngörülen uygun güvencelerin sağlanması gerekir. Standart sözleşmeler ve bağlayıcı şirket kuralları bu güvenceler arasındadır; standart sözleşme kullanılması hâlinde Kuruma bildirim yapılması aranır.
Bulut hizmeti, çevrimiçi muhasebe yazılımı, müşteri ilişkileri yönetimi aracı ve yurt dışı merkezli iletişim uygulamalarının kullanımı çoğu zaman farkında olunmadan bir yurt dışı aktarımı yaratır. Bu nedenle uyum çalışmasında kullanılan üçüncü taraf hizmetlerin envanteri ayrıca çıkarılır.
İnternet Kaynaklı Kişilik Hakkı İhlalleri
İnternet ortamında yapılan bir yayınla kişilik hakkı ihlal edilen kişi, içeriğin çıkarılmasını ve erişimin engellenmesini sulh ceza hâkimliğinden talep edebilir. Talep doğrudan hâkimliğe yöneltilebileceği gibi, önce içerik veya yer sağlayıcıya da başvurulabilir. Özel hayatın gizliliğini ihlal eden yayınlar bakımından daha hızlı işleyen ayrı bir usul öngörülmüştür.
Arama motoru sonuçlarında kişinin adıyla birlikte çıkan ve güncelliğini yitirmiş içeriklerin indeksten çıkarılması talebi de gündeme gelebilir. Bu değerlendirmede içeriğin kamu yararı taşıyıp taşımadığı, üzerinden geçen süre ve kişinin kamusal rol üstlenip üstlenmediği birlikte ele alınır.
İhlalin sürdüğü hâllerde erişim engeli talebiyle birlikte manevi tazminat istemi de ileri sürülebilir. İki talep farklı mercilerde görüldüğünden dosyanın baştan doğru bölünmesi gerekir.
Bilişim Suçları
Bilişim sistemine hukuka aykırı olarak girmek, sistemi engellemek veya bozmak, verileri yok etmek veya değiştirmek ile banka ve kredi kartlarının kötüye kullanılması ayrı suç tipleri olarak düzenlenmiştir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi de cezai sorumluluk doğurur.
Bu dosyalarda dijital delil belirleyicidir. IP kayıtları, log dosyaları, cihaz incelemesi ve iletişim kayıtları üzerinden yürütülen inceleme, hem şikayet hem savunma tarafında teknik bir okuma gerektirir. Delillerin elde edilme usulünün hukuka uygunluğu ayrıca değerlendirilir. Soruşturma ve kovuşturma aşamalarının nasıl işlediği konusunda ceza dosyalarının yürütülmesine ilişkin sayfa incelenebilir.
Süreç Nasıl İlerler
Uyum çalışmasında ilk adım mevcut durumun tespitidir. İşletmenin veri akışı çıkarılır, kullanılan yazılımlar ve üçüncü taraf hizmetler listelenir, mevcut belgeler gözden geçirilir. Bu aşama sonunda hangi alanlarda eksik bulunduğu somut olarak ortaya konur.
İkinci aşamada belgeler hazırlanır: envanter, saklama ve imha politikası, aydınlatma metinleri, açık rıza beyanları, çalışan taahhütleri, veri işleyen sözleşmeleri ve olay müdahale planı. Bu belgelerin işletmenin gerçek işleyişiyle uyumlu olması, denetimde en çok bakılan noktadır. Sözleşme yönetimi ve kurumsal danışmanlık başlığıyla birlikte yürütülen çalışmalar için ticari sözleşmelerin hazırlanması ve incelenmesi sayfası ayrıca incelenebilir.
Üçüncü aşamada süreç işletilir hâle getirilir: Sicile kayıt tamamlanır, ilgili kişi başvuruları için bir akış kurulur, çalışanlara bilgilendirme yapılır ve periyodik gözden geçirme takvimi belirlenir. Mevzuat ve Kurul kararları değiştikçe belgelerin güncellenmesi gerektiğinden, uyum tek seferlik bir iş değil sürekli bir çalışmadır.
Çalışan Verilerinin İşlenmesi
İşyerlerinde kişisel veri işlemenin en yoğun olduğu alan, çalışan ilişkileridir. İşe alım sürecinde toplanan özgeçmişler, özlük dosyasında tutulan belgeler, sağlık raporları, kamera ve giriş çıkış kayıtları, araç takip sistemleri ve kurumsal iletişim araçlarının denetimi ayrı ayrı değerlendirme gerektirir.
Özlük dosyasında tutulan verilerin önemli bölümü, iş mevzuatından doğan hukuki yükümlülük nedeniyle işlenir; bu veriler için ayrıca açık rıza alınması gerekmez. Buna karşılık işe alım sürecinde toplanan ve saklanması zorunlu olmayan başvuru belgelerinin ne kadar süreyle tutulacağı, saklama ve imha politikasında belirlenmelidir. Değerlendirilmeyen başvuruların süresiz saklanması, ölçülülük ilkesine aykırılık oluşturur.
Sağlık verileri özel nitelikli veri kategorisindedir ve daha sıkı bir rejime tabidir. İşyeri hekimi tarafından yürütülen işlemler ile işverenin erişebileceği bilgiler arasındaki sınırın çizilmesi, uygulamada sık atlanan bir noktadır.
Kamera kaydı alınan alanlarda aydınlatma yapılması ve kameraların yalnızca güvenlik amacıyla ölçülü biçimde konumlandırılması gerekir. Dinlenme alanları ve soyunma odaları gibi mahremiyet beklentisinin yüksek olduğu yerlerde kayıt alınması hukuka aykırıdır. Aynı şekilde kurumsal e-posta ve internet kullanımının denetlenmesi, çalışanın önceden bilgilendirilmesi ve denetimin amacıyla sınırlı tutulması koşullarına bağlıdır.
İş ilişkisinde açık rızaya dayanılması ayrıca tartışmalıdır. Çalışan ile işveren arasındaki bağımlılık ilişkisi nedeniyle rızanın özgür iradeyle verildiğinin kabulü güçleşir; bu nedenle mümkün olan hâllerde kanunda sayılan diğer işleme şartlarına dayanılması tercih edilir.
Marka ve Fikri Mülkiyetle Kesişen Başlıklar
Dijital ortamdaki uyuşmazlıklar çoğu zaman yalnızca kişisel veri boyutuyla sınırlı kalmaz; marka ve fikri mülkiyet hakları da aynı olayda gündeme gelir. Bir markanın izinsiz kullanımı, alan adı üzerinden yapılan haksız rekabet ve içeriklerin izinsiz kopyalanması bu kesişimin tipik örnekleridir.
Marka hakkı tescille korunur. Tescil başvurusu öncesinde benzerlik araştırması yapılması, başvurunun ilan aşamasında itirazla karşılaşma riskini azaltır. Tescilli markanın izinsiz kullanılması hâlinde tecavüzün önlenmesi, durdurulması ve giderilmesi ile maddi ve manevi tazminat talepleri ileri sürülebilir; koşulları varsa ihtiyati tedbir yoluyla kullanımın derhal durdurulması istenebilir.
Alan adı uyuşmazlıklarında, alan adının bir markayla iltibas yaratacak biçimde seçilmesi ve kötüniyetli tescil iddiası değerlendirilir. Sosyal medya hesaplarında marka adının kullanılması da benzer bir çerçevede ele alınır.
Fikir ve sanat eserleri bakımından koruma tescile bağlı değildir; eser niteliğini taşıyan bir ürün oluşturulduğu andan itibaren korunur. İnternet sitesindeki metinlerin, fotoğrafların ve yazılım kodlarının izinsiz kullanılması hâlinde içeriğin kaldırılması ve tazminat talepleri birlikte ileri sürülebilir.
Bu dosyalarda ilk adım, ihlalin kayıt altına alınmasıdır. Ekran görüntüsü tek başına yeterli olmayabildiğinden, tespit işleminin noter veya mahkeme aracılığıyla yapılması ispat gücünü artırır. İhlalin ticari bir faaliyet kapsamında sürdürülmesi hâlinde haksız rekabet hükümleri de birlikte uygulanır.