6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)

BİRİNCİ BÖLÜM - Amaç, Kapsam ve Tanımlar

Amaç (Madde 1)

Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.

Kapsam (Madde 2)

Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.

Tanımlar (Madde 3)

• Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
• Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

---

İKİNCİ BÖLÜM - Kişisel Verilerin İşlenmesi

Genel İlkeler (Madde 4)

• Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
• İşlemede; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar muhafaza edilme esasları zorunludur.

Kişisel Verilerin İşlenme Şartları (Madde 5)

• Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
• Bazı istisna şartları: Kanunlarda açıkça öngörülmesi, fiili imkânsızlık, bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin alenileştirmesi, bir hakkın tesisi/kullanılması/korunması, veri sorumlusunun meşru menfaati vs.

Özel Nitelikli Kişisel Verilerin İşlenmesi (Madde 6)

• Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, kılık ve kıyafeti, dernek/vakıf/sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti, genetik ve biyometrik verileri özel niteliklidir.
• İlgilinin açık rızası olmadan işlenemez. Sağlık ve cinsel hayat verileri ise ancak kamu sağlığı, tıbbî teşhis ve tedavi gibi amaçlarla sır saklama yükümlülüğü olan kişilerce işlenebilir.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi (Madde 7)

• İşlenmesini gerektiren sebepler ortadan kalkarsa kişisel veriler silinir, yok edilir veya anonim hale getirilir.
• Usul ve esaslar yönetmelikle düzenlenir.

Kişisel Verilerin Aktarılması (Madde 8-9)

• Kişisel veriler ilgili kişinin açık rızası olmadan yurt içine veya yurt dışına aktarılamaz. Belirli şartlarda rıza aranmaksızın aktarılabilir (Madde 5/2 ve Madde 6/3).
• Yurt dışı aktarımda yeterli koruma şartı aranır, aksi halde Kurul izni gerekir.

---

ÜÇÜNCÜ BÖLÜM - Haklar ve Yükümlülükler

Veri Sorumlusunun Aydınlatma Yükümlülüğü (Madde 10)

• Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiyi; kimliği, verinin işlenme amacı, aktarılacağı kişiler, toplama yöntemi, hukuki sebep ve haklar konusunda bilgilendirmek zorundadır.

İlgili Kişinin Hakları (Madde 11)

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• Amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içi/dışı aktarıldığı üçüncü kişileri bilme,
• Eksik/yanlış işlenmişse düzeltilmesini isteme,
• Silinmesini/yok edilmesini isteme,
• Bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine sonuç doğmasına itiraz,
• Zarar halinde tazminat talep etme hakkı vardır.

Veri Güvenliğine İlişkin Yükümlülükler (Madde 12)

• Veri sorumlusu, verilerin hukuka aykırı işlenmesini/erişimini önlemek ve verilerin muhafazasını sağlamak için gerekli idari/teknik tedbirleri almak zorundadır.

---

DÖRDÜNCÜ BÖLÜM - Başvuru, Şikayet ve Sicil

Başvuru ve Şikayet (Madde 13-15)

• İlgili kişi başvurularını veri sorumlusuna iletebilir, 30 gün içinde cevap alır.
• Yanıt yetersizse veya verilmezse Kurula şikayet mümkündür.

Veri Sorumluları Sicili (Madde 16)

• Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yaptırmak zorundadır. Kurul, istisna getirebilir.

---

BEŞİNCİ BÖLÜM - Suçlar ve Kabahatler

• Kişisel verilerin silinmemesi veya anonim hale getirilmemesi Türk Ceza Kanunu'na göre cezalandırılır.
• Kanunun 10, 12, 15 ve 16. maddelerine aykırı hareket edenlere idari para cezaları uygulanır (5.000 TL - 1.000.000 TL arası).

---

ALTINCI BÖLÜM - Kurum ve Teşkilat

• Kişisel Verileri Koruma Kurumu ve Kurulu kurulmuştur, merkezi Ankara’dır.
• Kurul görev alanı ile ilgili konularda bağımsız ve yetkilidir. Görev ve yetkiler, üyelik şartları ve seçimi kanunda detaylandırılmıştır.

---

YEDİNCİ BÖLÜM - Çeşitli ve Geçici Hükümler

• Bazı faaliyetler, istatistik, araştırma, sanat, bilim ve ifade özgürlüğü, yargı ve güvenlik gibi alanlarda kanun kapsamı dışında tutulmuştur.
• Geçiş hükümleri, yürürlük ve yürütme maddeleri ayrıca düzenlenmiştir.

---

Yürürlük Bilgisi ve Değişiklikler

• Kanunun 8, 9, 11, 13, 14, 15, 16, 17 ve 18. maddeleri yayım tarihinden 6 ay sonra, diğer maddeleri ise yayım tarihinde yürürlüğe girer.
• Ek ve değişiklikler ilgili kanun ve kararnamelerle güncellenir.

Kaynak: 6698 Sayılı Kişisel Verilerin Korunması Kanunu - Resmi Gazete