Kurumsal

KVKK

​

   İMPLACİTY&ORALDİŞ GRUP olarak kişisel verilerin korunması, kişisel verilerin işlenmesinin, depolanmasının, aktarılmasının kanun kapsamında belirli kurallara bağlanması ve bu sayede kişilerin Anayasal haklarının polikliniğimizce korunmasıdır. Bu koruma; verilerin işlenme şartları, aktarılma şartları, aydınlatma metni, ihlal durumunda cezai yaptırım vs. gibi unsurlar ile sağlanır. Burada anlatılmak istenen veriler değil verilerin sahibi olan kişiler korunuyor.

KVKK Açısından Neler Kişisel Veridir?

   KVKK’ da kişisel veri kavramı; “kimliği belirli olan yahut belirlenebilir olan gerçek kişilere ilişkin her türlü bilgi” şeklinde tanımlanmıştır.

•        Ad – Soyad, TC kimlik numarası, SGK numarası, araç plakası
•        Diploma, öğrenci belgesi, mezuniyet belgesi, transkript vs.
•        Kredi kartı, indirim kartı, kişiye özel toplu taşıma ulaşım kartı
•        Bordro, kişisel vergi beyanı, banka İBAN numarası, fatura, konşimento vs.
•        Özgeçmiş metni
•        Elektronik cihazların IP adresi veya seri numarası bilgileri, çerez ve konum bilgileri
•        Kişiye ait telefon vb. kod yahut numara
•        Parmak izi, genetik, kan grubu, retina vb. bilgiler
•        Herhangi bir vakıf, dernek, parti üyeliği bilgisi, dini yahut felsefi düşünce
•        Irk veya etnik diğer ayrımlara ilişkin bilgiler

Neler Kişisel Veri Değildir?

•        Tüzel kişilere (Dernek, vakıf, şirket vs. gibi kuruluşlara) ait veriler kişisel veri olamaz. Bunlar başka hükümler çerçevesinde korunur. KVKK kapsamında ancak gerçek kişiler için koruma sağlanır.
•        Kamu tüzel kişileri de aynı şekilde herhangi  bir verisi bakımından KVKK kapsamında korunmaz.
•        Bu kapsamda bankacılık sırrı veya şirketler ait vergi kimlik numarası, ticari sır vb. veriler KVKK kapsamında korunmaz.

   Bunların haricinde Kişisel Verilerin Korunması Kanunu madde 28 düzenlemesinde bu kanun kapsamına alınmayan istisnalara yer verilmiştir. Buna göre şu hallerde KVKK kapsamında koruma sağlanmıyor:

•        Gerçek kişiler tarafından kendisi ile ilgili veya aynı konutta yaşardığı aile fertleri ile ilgili kişisel verilerin işlenmesi (Ancak burada verilerin üçüncü kişilere verilmemek ve veri yükümlülüğüne ilişkin yükümlülüklere uyma şartı söz konusudur.)
•        Kişisel verilerin resmi istatistik ile anonimleştirilmesi suretiyle araştırma, planlama ve istatistik gibi amaçlardan ötürü işlenmesi
•        Kişisel verilerin; milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik vs. amaçlar ile kanuni yetkiye dayanarak kamu kurum ve kuruluşları tarafından önleyici, koruyucu ve istihbarı olarak işlenmesi
•        Kişisel verilerin, soruşturma, kovuşturma, yargılama yahut cezanın infazı gibi işlemlere ilişkin olarak yetkili makamlar tarafından işlenmesi (Buraya kadarki kısım tam istisna kapsamındadır. Buradan aşağıdakiler ise kısmi istisna kapsamındadır. Yani somut olayın özelliklerine göre bazı durumlarda koruma sağlamaz.)
•        Kişisel verinin suç işlemenin önlenmesi veya soruşturmanın gerçekleşmesi kapsamında gerekli olması
•        Kişisel veri sahibinin söz konusu veriyi kendisinin alenileştirmiş olması
•        Kişisel veri işlemenin; kanuni yetkiye dayanarak görevli kamu kurum ve kuruluşlarınca denetleme yahut düzenleme görevlerinin yürütülmesi ile disiplin soruşturma – kovuşturması için gerekli olması

Kişisel Verilerin Aktarılması Şartları

   Polikliniğimizce kişisel veriler, kişisel veri sahibinin açık rızası olmadığı sürece işlenmediği gibi ayrıca bir rıza verilmeden üçüncü kişilere aktarılamaz. Bu hüküm KVKK madde 8 düzenlemesinde yer alıyor. Bu madde kişisel verilerin paylaşılmasını yasaklıyor. Ancak maddeden de anlaşılacağı üzere eğer kişinin açık rızası varsa bu veriler aktarılabilir.

   Bazı haller vardır ki bu hallerde kişinin  açık rızası olmasa da polikliniğimizce kişisel veriler aktarılabilir. Bunlar KVKK madde 5’de yer alan haller ve madde 6’da yer alan bazı hallerdir. Bunlar çok önemlidir çünkü bu maddelerdeki durumlar çoğu davada hükmü doğrudan etkiliyor.

KVKK madde 5 kişisel verilerin işlenme şartlarını, madde 6 özel nitelikli kişisel verilerin işlenme şartlarını düzenliyor. Yani bu şartların yerine getirilmesi ile kişisel veriler aktarılabiliyor.

1.Kişisel Verilerin İşlenme Şartları (KVKK madde 5)

   Polikliniğimiz kişisel verilerin işlenmesinde bir takım ilkelere göre hareket etme zorunluluğu vardır. Yani ne kadar kanuna uygun hareket etseniz de bu ilkelere uymadığınıza kanaat getirilirse hukuka aykırı iş yapmış olursunuz. Bu ilkeler şunlardır:

•        Hukuka ve dürüstlük kurallarına uyma
•        Doğru ve gerektiği zaman güncel olma
•        Belirli, açık ve meşru amaçlar için işlenme
•        İşlendiği amacı aşmama
•        Mevzuattaki muhafaza süresince ve işlenme amacına uygun saklama süresince muhafaza etme

.           5. maddede kişisel verilerin işlenme şartları vardır. Burada temel şart ilgili kişinin rızasıdır. Ancak bazı hallerde rüyaya ihtiyaç duyulmaz. Bunları;

•        Kanunda açıkça öngörülen haller
•        Fiili imkansızlık nedeniyle rıza açıklama imkanı bulunulmayan haller
•        Kişinin kendisinin veya bir başkasının hayatı yahut beden bütünlüğünün korunması gereken ancak kişinin rıza vermesinin hukuken geçerli olmadığı haller
•        Sözleşmenin taraflarına ait kişisel verilerin işlenmesi (sözleşmenin kurulması yahut ifası ile doğrudan ilişkili veriler olmalıdır)
•        Veriden sorumlu olan kişinin hukuki sorumluluğunu yerine getirmesi bakımından zorunlu haller
•        Verinin, ilgilisi tarafından alenileştirildiği haller
•        Bir hakkın kurulması, kullanılması veya korunması için söz konusu verinin işlenmesinin zorunlu olduğu haller
•        Veri sorumlusunun hukuka uygun menfaatleri için veri işlemenin zorunlu olduğu haller (ilgili kişinin temel hak ve hürriyetlerini ihlal etmeme şartı vardır)

 2.Özel Nitelikli Kişisel Verilerin İşlenme Şartları (KVKK madde 6)

   Özel nitelikli kişisel veriler ise, kişilerin toplum içinde öğrenildiği takdirde mağdur olabileceği hassas kişisel verilerdir.Bu tür verilere örnek olarak; kişilerin ırkı,etnik kökeni, siyasi ve felsefi düşüncesi, dini inancı, bağlı olduğu mezhep, kılık kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbiri uygulamaları, biyometrik ve genetik bilgileri gibi verilerdir.

   Özel veriler de normal olarak kişinin açık rızası olmadığı sürece işlenmez. Ancak yukarıda saydığımız özel veri türlerinden sağlık ve cinsel hayata ilişkin veriler dışındakiler yalnızca kanunda öngörülen hallerde ilgilisinin rızası olmadan işlenebiliyor.Sağlık ve cinsel hayata ilişkin veriler kamu sağlığının korunması ve tıbbi hizmet – planlama amacıyla sır saklama yükümlülüğüne uymak suretiyle yetkili kurum ve kuruluşlar tarafından ilgilisinin rızası olmadan işlenebiliyor.Tüm bunlara rağmen özel veriler işlenirken, Kişisel Verileri Koruma Kurulu’nun belirlediği bir takım önlemlere uymak şarttır.

Kişisel Verilerin Yurtdışına Aktarılması

   Kişisel verilerin yurt dışına aktarılması da aynı şekilde kişinin açık rızasına bağlıdır. Ancak burada da bazı hallerde açık rıza olmaksızın verilerin aktarılması mümkündür. Bunlar, yukarıda 5. ve 6. madde olarak saydığımız hallerdir. Ancak bu hallerde dahi kişisel verilerin yurt dışına aktarılabilmesi için söz konusu yabancı ülkede yeterli korumanın bulunması gerekir.‘Yeterli koruma’ dediğimiz şeyin varlığına Kişisel Verileri Koruma Kurulu, kanunda yazan hususları gözeterek karar verir. Eğer ilgili ülkede yeterli koruma olmadığına kanaat getirilmişse (bu bir liste olarak yayınlanıyor) veri sorumlularının yeterli bir koruma olacağına dair yazılı taahhütleri de ilgilinin rızası olmaksızın bu verinin aktarılması için yeterlidir.

KVKK Aydınlatma Metni ve Gizlilik Sözleşmesi (KVKK madde 10)

   Bir şekilde kişisel veri işleyen kişi veya firmalar (veri sorumluları), ilgili kişilere basit gizlilik sözleşmesi vs. metinler okutup onaylatarak sorumluluktan kurtulamaz. KVKK madde 10 hükmüne göre veri sorumlusunun bir aydınlatma yükümlülüğü vardır. Bu genellikle bir KVKK aydınlatma metni ile sağlanıyor. Burada ilgili kişiye;

•        Veri sorumlusunun ve eğer varsa temsilcisinin kimliğine ilişkin bilgiler
•        Kişisel verinin hangi amaçla işleneceği
•        İşlenen kişisel verilerin kimlere, hangi amaçla ve nasıl aktarılabileceği
•        Kişisel verilerin işlenmesinin yöntemi ve hukuki dayanağı
•        Aşağıda bahsedeceğimiz (11. maddede sayılan) ilgili kişinin hakları

   KVKK aydınlatma metni ile bildirilmelidir.

   Yapılan işin niteliği gereği müşterilerinin, üyelerinin veya muhatap olduğu kişilerin verilerini kaydeden her kişi veya kuruluş bu KVKK aydınlatma metni usulüne uymak durumundadır. Ayrıca belirtmemiz gerekir ki bu bahsettiğimiz metin taslak (kopyala yapıştır) bir metin değildir. İşe özel somut olaya uygun bir şekilde KVKK kurallarına göre hazırlanmış bir metin olmalıdır.

KVKK Kapsamında İlgili Kişilere Tanınan Haklar (KVKK madde 11)

•        Herkes veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediği konusunda bilgi alabilir.
•        Eğer kişisel verileri işleniş ise hangi verilerin işlendiğini öğrenebilir.
•        Kişisel verilerinin ne amaçla işlendiğini, kullanılıp kullanılmadığını öğrenebilir.
•        Kişisel verilerin yurt içi veya yurt dışı fark etmeksizin kimler ile paylaşıldığını öğrenebilir
•        İşlenmiş olan kişisel verilerdeki eksik veya yanlış bilgilerin düzeltilmesini isteyebilir.
•        İşlenmiş olan kişisel verilerin silinmesini isteyebilir. (Bunu KVKK 7. maddedeki şartlar kapsamında isteyebilir. Aşağıda değineceğiz.)
•        Yapılan değişiklik ve silme işleminin ilgili üçüncü kişilere bildirilmesini isteyebilir.
•        İşlenen kişisel verilerin özel olarak otomatik sistemler aracılığı ile analiz edilmesi şeklinde kişinin kendisi aleyhine bir durum oluşmasına itiraz edilebilir.
•        Söz konusu kişisel verilerin kanuna aykırı olarak işlenmesi nedeniyle bir zarar ortaya çıkmış ise bu zararın giderilmesini talep edebilir.

KVKK Kapsamında Veri Sorumlularına Tanınan Diğer Yükümlülükler

•        Kişisel verilerin hukuka aykırı olarak işlenmesinin önüne geçmek
•        Kişisel verilere hukuka aykırı olarak erişilmesinin önüne geçmek
•        Kişisel verileri kanuna uygun şekilde muhafaza etmek

Veri Sorumluları Sicili Nedir?

   Veri sorumluları sicil, kurul gözetiminde Kişisel Verileri Koruma Başkanlığı tarafından tutulur. Bu sicile uygulamada VERBİS deniliyor.Herhangi bir kişisel veriyi işleyen gerçek veya tüzel kişiler bunu yapmadan önce Veri Sorumluları Siciline kaydolma yükümlülüğü altındadır.. Ancak bu her zaman zorunlu değildir. Kurul bazı hususları gözeterek bu kaydolma yükümlülüğüne istisna getirebilir. Bu hususları şu şekilde sıralayabiliriz:

•        Kişisel verinin niteliği ve sayısı
•        Veri işlemenin kanundan ötürü yapılıyor olması
•        Üçüncü kişilere ne şekilde aktarıldığı vb.

Kişisel Verilerin Silinmesi veya Anonim Hale Getirilmesi

   Kişisel verilerin işlenmesini gerektiren durumlar olduğu gibi silinmesini gerektiren durumlar da olabilir. Kişisel veri kanuna uygun olarak işlenmiş olsa da eğer bu amaç veya neden ortadan kalkmış ise re’sen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir yahut anonim hale getirilir. Bu silme, yok etme veya anonim hale getirme işlemi ile ilgili olarak ayrı bir yönetmelik söz konusudur.

   Verinin anonim hale getirilmesi demek, kişisel verinin başka veriler ile eşleştiriliyor olsa dahi kimliği belirli yahut belirlenebilir bir kişi ile ilişkilendirilemeyecek duruma getirilmesi anlamına gelir. Yani o verinin sahibinin saptanmasını imkansız hale getirmek ancak veriyi tutmak anlamına geliyor. Anonim hale getirilen veri artık KVKK kapsamında kişisel veri olmayacağı için KVKK koruması sona erer.

Kişisel Verilerin İhlal Edildiği Durumda Uygulanacak Ceza

   Esasen Kişisel Verilerin Korunması Kanunu bu konuda Türk Ceza Kanununun 135-140. maddelerine atıfta bulunuyor. Bu suçlar şunlardır:

•        Kişisel verilerin kaydedilmesi (TCK 135)
•        Verileri hukuka aykırı olarak verme veya ele geçirme (TCK 136)
•        Verileri yok etme (TCK 138)

   Belirttiğimiz madde aralığında bu suçların maddi unsurları ve öngörülen cezalar yer alıyor. Burada ayrıntısına girmemekle birlikte 1 yıl ile 6 yıl arasında değişen hapis cezalarının öngörüldüğünü söyleyebiliriz.Ayrıca KVKK’ya aykırılık teşkil eden bazı fiiller suç değil, kabahat olarak düzenlenmiştir. Bunlar için de kanunda 5 bin TL ile 1 milyon TL arasında değişen idari para cezası öngörülüyor.