Kişisel Verilerin Korunması Hukuku ve GDPR

Giriş

Dijital çağın hızla gelişmesiyle birlikte, kişisel verilerin korunması ve gizlilik konusu, hem bireyler hem de işletmeler için önemli bir gündem maddesi haline gelmiştir. Günümüzde internet kullanımı, sosyal medya platformları, e-ticaret ve diğer dijital hizmetler kişisel verilerin işlenmesi ve paylaşılması açısından önemli riskler içermektedir. Bu riskleri en aza indirmek ve bireylerin haklarını koruma altına almak amacıyla pek çok ülke ve uluslararası kuruluş çeşitli düzenlemeler getirmiştir. Bu düzenlemelerin başında Avrupa Birliği’nin 2018 yılında yürürlüğe koyduğu Genel Veri Koruma Yönetmeliği (GDPR) ve Türkiye’de 2016 yılında kabul edilen Kişisel Verilerin Korunması Kanunu (KVKK) gelmektedir. Bu makalede, kişisel verilerin korunması hukukunun temel ilkeleri, GDPR ve KVKK’nın işleyişi ve bu düzenlemelerin bireyler ile işletmeler üzerindeki etkileri incelenecektir.

Kişisel Verilerin Korunması Hukuku Nedir?

Kişisel verilerin korunması hukuku, bireylerin özel hayatlarının gizliliğini koruma amacıyla geliştirilmiş bir hukuk dalıdır. Bu hukuk dalı, kişisel verilerin nasıl işleneceğini, hangi şartlarda paylaşılabileceğini ve verilerin korunması için alınacak tedbirleri belirler. Kişisel veri, bir kişiyi doğrudan veya dolaylı olarak tanımlamaya yarayan her türlü bilgi olarak tanımlanır. Ad, soyad, T.C. kimlik numarası, adres bilgisi, telefon numarası, IP adresi, sağlık bilgileri, biyometrik veriler ve daha pek çok bilgi kişisel veri kapsamına girer.

Kişisel verilerin korunması hukuku, bireylerin bu tür bilgileri üzerindeki haklarını koruma altına alır ve veri işleme faaliyetlerinin belirli standartlara uygun olmasını sağlar. Bu hukuki düzenlemeler, verilerin işlenmesi sırasında kişilerin onayının alınması, verilerin amacı dışında kullanılmaması ve yetkisiz kişilerle paylaşılmaması gibi ilkeleri içerir.

GDPR (General Data Protection Regulation) Nedir?

Genel Veri Koruma Yönetmeliği (GDPR), Avrupa Birliği tarafından 25 Mayıs 2018 tarihinde yürürlüğe giren ve Avrupa Ekonomik Alanı (AEA) içerisindeki bireylerin kişisel verilerini korumayı amaçlayan bir düzenlemedir. GDPR, kişisel verilerin işlenmesi ve bu verilerin korunması ile ilgili en kapsamlı ve sıkı düzenlemelerden biridir. Bu yönetmelik, sadece Avrupa Birliği sınırları içerisinde faaliyet gösteren şirketler için değil, aynı zamanda AB vatandaşlarının verilerini işleyen tüm şirketler için de bağlayıcıdır.

GDPR’ın Temel İlkeleri

GDPR, kişisel verilerin işlenmesi sırasında uyulması gereken altı temel ilke belirlemiştir:

1. Hukuka Uygunluk, Dürüstlük ve Şeffaflık: Verilerin işlenmesi hukuka uygun, dürüst ve şeffaf bir şekilde yapılmalıdır.
2. Amaca Bağlılık: Kişisel veriler, yalnızca belirtilen, açık ve meşru amaçlar doğrultusunda işlenebilir.
3. Veri Minimizasyonu: İşlenen kişisel veriler, işleme amaçları açısından yeterli, ilgili ve sınırlı olmalıdır.
4. Doğruluk: Kişisel veriler doğru ve gerektiğinde güncel tutulmalıdır.
5. Saklama Sınırlaması: Kişisel veriler, yalnızca gerektiği sürece saklanmalıdır.
6. Bütünlük ve Gizlilik: Kişisel veriler, yetkisiz veya hukuka aykırı işlemeye, kaybolmaya veya bozulmaya karşı uygun güvenlik önlemleri ile korunmalıdır.

GDPR’ın Bireylere Tanıdığı Haklar

GDPR, kişisel verileri işlenen bireylere çeşitli haklar tanımaktadır. Bu haklar şunlardır:

• Erişim Hakkı: Bireyler, kendileriyle ilgili hangi kişisel verilerin işlendiğini öğrenme hakkına sahiptir.
• Düzeltme Hakkı: Bireyler, yanlış veya eksik verilerin düzeltilmesini talep edebilir.
• Silme Hakkı (Unutulma Hakkı): Bireyler, belirli durumlarda kişisel verilerinin silinmesini isteyebilir.
• İşlemeyi Kısıtlama Hakkı: Bireyler, verilerinin işlenmesinin belirli durumlarda kısıtlanmasını talep edebilir.
• Veri Taşınabilirliği Hakkı: Bireyler, kendilerine ait kişisel verilerin başka bir veri sorumlusuna aktarılmasını talep edebilir.
• İtiraz Hakkı: Bireyler, kişisel verilerinin işlenmesine belirli durumlarda itiraz etme hakkına sahiptir.

Kişisel Verilerin Korunması Kanunu (KVKK) Nedir?

Türkiye’de kişisel verilerin korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenmiştir. Bu kanun, 7 Nisan 2016 tarihinde kabul edilmiş ve 2018 yılında yürürlüğe girmiştir. KVKK, GDPR’a benzer şekilde kişisel verilerin işlenmesi, saklanması ve paylaşılması ile ilgili kurallar belirler ve bireylerin kişisel verilerinin korunmasını amaçlar.

KVKK’nın Temel İlkeleri

KVKK’nın temel ilkeleri, GDPR ile paralellik gösterir:

1. Hukuka ve Dürüstlük Kuralına Uygun İşleme: Kişisel veriler hukuka uygun ve dürüstlük kuralına uygun şekilde işlenmelidir.
2. Doğru ve Gerektiğinde Güncel Olma: Kişisel veriler doğru ve güncel olmalıdır.
3. Belirli, Açık ve Meşru Amaçlar İçin İşleme: Kişisel veriler belirli, açık ve meşru amaçlar doğrultusunda işlenmelidir.
4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma: Kişisel veriler, işleme amaçları ile bağlantılı, sınırlı ve ölçülü olmalıdır.
5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme: Kişisel veriler, yalnızca işlendikleri amaç için gerekli olan süre boyunca saklanmalıdır.

KVKK ve GDPR Arasındaki Farklar

KVKK ve GDPR, temel ilkeler ve bireylere tanınan haklar bakımından benzerlik gösterse de, bazı farklar da mevcuttur:

• Uygulama Alanı: GDPR, yalnızca Avrupa Birliği vatandaşlarının verilerini korumayı amaçlarken, KVKK Türkiye sınırları içerisindeki kişisel verilerin korunmasını hedef alır.
• Yaptırımlar: GDPR, veri ihlalleri durumunda çok yüksek para cezaları öngörürken, KVKK’da cezalar daha sınırlıdır.
• Veri Koruma Görevlisi: GDPR, belirli durumlarda veri sorumlularının bir veri koruma görevlisi atamasını zorunlu kılarken, KVKK bu konuda net bir düzenleme içermemektedir.

Kişisel Verilerin Korunması Hukukunun İşletmelere Etkisi

GDPR ve KVKK gibi düzenlemeler, işletmelerin kişisel veri işleme süreçlerini yeniden gözden geçirmesini zorunlu kılmaktadır. Bu düzenlemelere uyum sağlamayan işletmeler, yüksek para cezaları ve itibar kaybı riski ile karşı karşıya kalabilirler. İşletmelerin, veri işleme faaliyetlerini hukuka uygun hale getirmesi, veri sorumlusu ataması, verilerin korunması için teknik ve idari tedbirler alması ve kişisel verilerin işlenmesi konusunda çalışanlarını bilgilendirmesi gerekmektedir.

Sonuç

Kişisel verilerin korunması hukuku, bireylerin kişisel verilerini koruma altına alarak dijital dünyada güvenliği ve gizliliği sağlamayı hedefleyen bir hukuk dalıdır. GDPR ve KVKK gibi düzenlemeler, hem bireylerin haklarını korumak hem de işletmelerin bu konuda sorumlu davranmasını sağlamak amacıyla geliştirilmiştir. Bu düzenlemelere uyum, hem bireyler hem de işletmeler için büyük bir önem taşımaktadır ve kişisel verilerin hukuka uygun bir şekilde işlenmesini garanti altına alır.