6698 Sayılı Kişisel Verilerin Korunması Kanunu Nedir?

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Nedir?

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verilerin işlenmesi ve korunması ile ilgili yasal bir düzenlemedir. 2016 yılında yürürlüğe giren bu kanun, kişisel verilerin işlenmesi sırasında bireylerin temel hak ve özgürlüklerini korumayı ve veri işleme süreçlerini düzenlemeyi amaçlar. KVKK, veri sorumlularının ve veri işleyenlerin uyması gereken yükümlülükleri belirler ve kişisel verilerin korunmasına yönelik standartları ortaya koyar.

Kişisel Veri Nedir?

KVKK’ya göre, kişisel veri; kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanır. Bu bilgiler; ad, soyad, TC kimlik numarası, telefon numarası, adres bilgisi, IP adresi, sağlık bilgileri gibi farklı kategorilere ayrılır.

6698 Sayılı Kanun Kapsamında Bilişim Anlamında Yapılması Gerekenler

6698 Sayılı Kanun, kişisel verilerin korunması konusunda kurum ve işletmelere çeşitli yükümlülükler getirir. Özellikle bilişim alanında bu yükümlülüklerin yerine getirilmesi, verilerin güvenliğini sağlamak ve olası cezai yaptırımlardan korunmak için önemlidir.

1. Veri Envanterinin Çıkarılması

• Kanunun ilk adımı olarak, işletmelerin ellerindeki kişisel verilerin envanterini çıkarması gerekmektedir. Bu envanter, hangi tür verilerin işlendiği, nasıl saklandığı ve kimlerle paylaşıldığı gibi bilgileri içerir.
• Veri envanteri çıkarılması, hangi verilerin daha hassas olduğunun tespit edilmesine ve bu verilere yönelik güvenlik tedbirlerinin artırılmasına yardımcı olur.

2. Veri Güvenliği Politikalarının Oluşturulması

• KVKK’ya uygun bir veri güvenliği politikası geliştirmek, veri işleme süreçlerinde şeffaflık ve güvenliği artırır.
• Politika, veri işleme süreçlerinin tanımlanması, erişim yetkilerinin belirlenmesi ve veri saklama prosedürlerinin oluşturulmasını içerir.

3. Veri Maskeleme ve Anonimleştirme

• Kişisel verilerin işlenmesi sırasında, gizlilik ve güvenlik önlemlerinin artırılması için veri maskeleme ve anonimleştirme teknikleri kullanılmalıdır.
• Veri maskeleme, hassas verilerin yetkisiz kişilerce görülmesini engellerken, anonimleştirme ise kişisel verilerin kimlik belirlenemez hale getirilmesi anlamına gelir. Bu teknikler, verilerin güvenliğini sağlarken yasal yükümlülüklerin yerine getirilmesine de yardımcı olur.

4. Siber Güvenlik Önlemleri

• Kişisel verilerin korunması için güçlü siber güvenlik önlemleri alınmalıdır. Bunlar arasında güvenlik duvarları (firewall), saldırı tespit ve önleme sistemleri (IDS/IPS), antivirüs yazılımları ve veri şifreleme çözümleri yer alır.
• Siber güvenlik önlemleri, verilerin yetkisiz erişimlere karşı korunmasını sağlar ve verilerin gizliliğini artırır.

5. Erişim Yetkilendirme ve Kimlik Doğrulama

• Kişisel verilere erişim yetkisi olan kullanıcılar, yalnızca yetkilendirildikleri verilere erişebilmelidir. Erişim yetkilerinin tanımlanması ve düzenlenmesi, veri güvenliğinin sağlanmasında kritik bir rol oynar.
• Çift faktörlü kimlik doğrulama (2FA) ve rol tabanlı erişim kontrolü (RBAC) gibi teknikler, kişisel verilere erişimi daha güvenli hale getirir.

6. Veri Şifreleme

• KVKK’ya uyum sağlamak için kişisel verilerin saklandığı tüm cihazlarda şifreleme kullanılmalıdır. Bu şifreleme, verilerin hem depolama sırasında hem de veri aktarımı sırasında güvenliğini sağlar.
• AES, RSA ve SSL/TLS gibi güçlü şifreleme protokolleri, verilerin gizliliğini artırır ve yetkisiz erişimlerin önüne geçer.

7. Yedekleme ve Veri Kurtarma

• Kişisel verilerin güvenli bir şekilde saklanması ve olası veri kayıplarının önlenmesi için düzenli yedekleme yapılmalıdır. Yedekleme işlemleri, verilerin güvenli bir ortamda saklanmasını ve gerektiğinde hızlı bir şekilde geri yüklenebilmesini sağlar.
• Fiziksel ve bulut tabanlı yedekleme çözümleri, veri kaybı risklerini azaltır ve acil durumlarda verilerin korunmasına yardımcı olur.

8. Kullanıcı Eğitimleri ve Farkındalık Programları

• Personelin kişisel veri koruma farkındalığını artırmak, KVKK’ya uyumun sağlanması için kritik bir adımdır. Kullanıcılara düzenli eğitimler verilmeli ve veri güvenliği konusundaki farkındalıkları artırılmalıdır.
• Kullanıcı eğitimleri, verilerin güvenliğinin korunması ve olası siber saldırılara karşı daha dikkatli olunması için gerekli bilgi ve becerileri sağlar.

9. Kişisel Verilerin İmhası ve Silinmesi

• KVKK’ya göre, kişisel verilerin işlenme amacı ortadan kalktığında bu verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi gerekmektedir.
• Veri imha politikaları, hangi verilerin hangi durumlarda ve nasıl imha edileceğini belirler ve bu süreçlerin belgelenmesini sağlar.

10. Veri Koruma Görevlisi (DPO) Atanması

• Kanun gereği, bazı büyük kuruluşların bir veri koruma görevlisi (DPO) ataması gerekebilir. DPO, veri işleme süreçlerinin KVKK’ya uygunluğunu denetler, veri güvenliği politikalarını uygular ve yasal uyum süreçlerini takip eder.

KVKK’ya Uyumsuzluğun Cezai Yaptırımları

KVKK’ya uyum sağlamayan işletmeler, çeşitli yaptırımlarla karşı karşıya kalabilir. Bu yaptırımlar arasında:

• İdari para cezaları
• Verilerin işlenmesinin durdurulması
• Verilerin silinmesi veya yok edilmesi
• Yasal dava süreçleri gibi cezai ve hukuki sorumluluklar yer alır.

Sonuç

6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin güvenliğini sağlamak ve bireylerin haklarını korumak için belirlenmiş bir yasal çerçevedir. Kanuna uyum sağlamak için bilişim alanında birçok teknik ve idari önlem alınmalıdır. Bu önlemler, veri güvenliği politikalarının oluşturulmasından verilerin şifrelenmesine, kullanıcı eğitimlerinden erişim yetkilendirmesine kadar geniş bir yelpazede uygulanır. Kanuna uygun hareket etmek, hem işletmelerin yasal yükümlülüklerini yerine getirmesini sağlar hem de müşteri güvenini artırır.

Kişisel bilgilerin kaydedilmesinde bireylerin temel hak ve özgürlüklerinin korunması başta olmak üzere bireysel bilgileri işleyen gerçek ya da tüzel kişilerin sorumlulukları ile uymaları gereken usul ve esasları düzenlemek ve aynı zamanda bireylerin mahremiyetinin korunması ile bireysel veri ve bilgi güvenliğinin sağlanması olarak sayılmaktadır.

Bu Kanunun Kapsamı Nedir?

Bu kanun, bireysel bilgileri ile verileri işlenen gerçek bireyler ile bu bilgileri ve verileri kısmen ya da tamamen otomatik bir şekilde ya da herhangi bir veri kayıt sisteminin parçası olacak şekilde otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler ile ilgili uygulanmaktadır. Bu kanunda genel itibariyle kamu kurumları ile özel teşebbüsün niteliğindeki kurum ya da kuruluşa açısından ayırım yapılmamıştır. 6698 sayılı kişisel verilerin korunması kanununun usul ve esaslar olarak belirlemiş olduğu kurallar bütünü, kurum ya da kuruluşlar için geçerlidir.

6698 sayılı kişisel verilerin korunması kanunu kapsamında koruma altına alınan bireysel verilir ve diğer bilgiler, yalnızca gerçek bireylere ait olan bireysel verilir olup, tüzel kişilere ait olan bilgiler ya da verileri koruma altında bulunmamaktadır. Bu kanun kapsamında bireysel bilgilerine kısmen ya da tamamen otomatik olan ya da herhangi bir bilgi kayıt sistemi cihazının parçası olmak şartıyla Otomatik olmayan yollarla işlenmesi açısından da herhangi bir fark öngörülmemiştir.

Artık günümüzde bireysel veriler ve bilgiler çoğunlukla otomatik yollarla işlenmektedir. Daha önceleri otomatik olmayan yollarla işlenen ve kaydedilen bilgilerin ve verilerin ise bir sürü yerde hızlı bir şekilde elektronik ortama aktarıldığı gözlemlenmektedir.

Bu konu ile ilgili olarak kısmen ya da tamamen otomatik yollar ile işlenen ve kaydedilen bilgiler ve diğer veriler, herhangi bir veri kayıt sisteminin parçası olması şartıyla otomatik olmayan yollar ile işlenen veriler, 6698 sayılı kanun hükmünde koruma altına alınmıştır.

Kanun, otomatik olmayan yollarla İşlenmiş ve kaydedilmiş olan bu bilgileri ve verileri kısmen ya da tamamen kapsam dışında bırakılmıştır. Burada önemli olan husus, otomatik olmayan şekiller ve yöntemler ile işlenen ve kaydedilen verilerin ve bilgilerin veri kayıt sisteminin parçası olup olmadığı ile ilgilidir.

Kısmen 6698 Sayılı Kanun Kapsamında Olmayan Haller

Kişisel veri kaydının suç işlenmesinin önlenmesi ya da suç soruşturması amacıyla gerekli olması halinde ya da ilgili olan bireyin kendisi aracılığı ile alenileştirilmiş bireysel bilgilerinin işlenmesi şeklinde ya da bireysel bilgilerini paylaşması ile ilgili verilerin işlenmesi bu hükmün uygulanabilmesi amacıyla bireysel verilerin ilgili birey tarafından alenileştirme iradesinin ortaya konulması ve bu işlemin iradeye uygun bir şekilde yapılması gerekir.

2016 tarihinde en son halini olan bu kanun kapsamında bireyler, bir başka bireyin yada bir başka kurumun bilgilerini ya da toplum tarafından diğer insanlar tarafından bilinmesinin sakıncalı olduğu bilgileri, verileri yasak olduğu ile ilgili kanun ve hükümler Anayasa Mahkemesi tarafından koruma altına alınmıştır.