Kişisel Verileri Koruma Kurumu
Adres: Nasuh Akar Mahallesi 1407. Sokak No: 4 Balgat / Çankaya / ANKARA / TÜRKİYE
Tel: +90 312 216 50 00
Web: www.kvkk.gov.tr

Yayına Hazırlayan: ADALET YAYINEVİ
Adres: Strazburg Caddesi No: 10/B Sıhhiye-Ankara
Tel: (0312) 231 17 00
Fax: (0312) 231 17 10
Web: www.adalet.com.tr

İçindekiler

  1. 6698 sayılı Kişisel Verilerin Korunması Kanununa (6698 sayılı Kanun) göre tüzel kişilerin verileri de korunmakta mıdır? (Sayfa 13)
  2. Bir kâğıt parçası üzerine gelişigüzel yazılan ad, soyad ve telefon numaraları Kanun kapsamında sayılabilir mi? (Sayfa 14)
  3. Bir veri kayıt sistemi aracılığıyla işlenen kişisel veriler Kanun kapsamında mıdır? (Sayfa 15)
  4. Otomatik olmayan yollarla kişisel veri işleyenler Kanundan istisna mıdır? (Sayfa 15)
  5. Bilgisayarda bazı kişisel veriler sadece depolama amacıyla dosya halinde tutulmakta ise, bu durumda kişisel veri işlenmiş sayılır mı? (Sayfa 16)
  6. Kişisel Verileri Koruma Kurumu (“Kurum”) bünyesinde vatandaşların kişisel verileri saklanıyor mu? (Sayfa 17)
  7. Veri sorumlusu, Kanun ile verilen görevleri yerine getirmek üzere atanan bir gerçek kişi midir? (Sayfa 17)
  8. Bir şirket, veri sorumlusu olarak kimi belirlemelidir? (Sayfa 18)
  9. Bir Bakanlık, veri sorumlusu olarak kimi belirlemelidir? (Sayfa 19)
  10. Bir Bakanlığa bağlı, ilgili ve ilişkili birimler, veri sorumlusu sayılır mı? (Sayfa 19)
  11. Bir şirketler topluluğuna bağlı her bir şirket ayrıca veri sorumlusu sayılır mı? (Sayfa 20)
  12. Bir şirketin çalışanları veya birimleri veri işleyen midir? (Sayfa 21)
  13. Bir gerçek veya tüzel kişi hem veri sorumlusu hem de veri işleyen olabilir mi? (Sayfa 22)
  14. İlgili kişi Kanun kapsamındaki haklarına ilişkin olarak veri sorumlusuna mı yoksa veri işleyene mi başvurmalıdır? (Sayfa 22)
  15. Bir veri sorumlusu nezdindeki kişisel verilerin doğru ve gerektiğinde güncel olması hususunda yükümlülük kimdedir? (Sayfa 23)
  16. Anonim hale getirilmiş bir veri kişisel veri midir? (Sayfa 24)
  17. Kişisel veriler sadece ilgili kişilerden açık rıza alınması halinde mi işlenebilir? (Sayfa 25)
  18. Açık rıza dışındaki kişisel veri işleme şartlarından birine dayalı olarak kişisel veri işlenmesi halinde ayrıca ilgili kişiden açık rıza da almak mümkün müdür? (Sayfa 25)
  19. Açık rızanın alınması herhangi bir şekle tabi midir? (Sayfa 27)
  20. Açık rıza metinlerinin ne kadar süre saklanması gerekmektedir? (Sayfa 27)
  21. Bir alışveriş sırasında “kişisel verilerimin işlenmesini ve paylaşılmasını kabul ediyorum” şeklinde rıza alınarak kişisel verilerin işlenmesi Kanuna uygun mudur? (Sayfa 28)
  22. Kişisel veriler ilgili kişinin kendisi tarafından alenileştirilmiş ise veri sorumlusu bu kişisel verileri herhangi bir amaçla işleyebilir mi? (Sayfa 29)
  23. Bir veri sorumlusu tarafından Kanunlarda açıkça öngörülmesi şartına dayanarak kişisel veri işleniyorsa, bu faaliyet 6698 sayılı Kanundan istisna kapsamında mıdır? (Sayfa 30)
  24. Kişisel sağlık verileri, Kanunun 5. maddesinde sayılan işleme şartlarına göre işlenebilir mi? (Sayfa 31)
  25. Kişisel sağlık verileri veri sorumlularınca meşru menfaat kapsamında işlenebilir mi? (Sayfa 31)
  26. Kişinin ‘cinsiyeti’ özel nitelikli kişisel veri midir? (Sayfa 32)
  27. İlgili kişinin, kişisel verilerinin silinmesini veya yok edilmesini talep etmesi halinde veri sorumluları, bu talebi her koşulda yerine getirmeli midir? (Sayfa 33)
  28. İlgili kişinin açık rızası olsa da yurt dışına veri aktarımında taahhütname gerekir mi? (Sayfa 34)
  29. Yurt dışına veri aktarım amacıyla imzalanan taahhütname onay için Kişisel Verileri Koruma Kuruluna (“Kurul”) gönderildiğinde, Kurulun yapacağı değerlendirme için bir süre öngörülmüş müdür? (Sayfa 35)
  30. Kurul’un veri işlenmesini veya verinin yurt dışına aktarımını durdurma yetkisi var mı? (Sayfa 35)
  31. Müşterilere yönelik aydınlatma metni ile açık rıza metni aynı başlık altında sunulabilir mi? (Sayfa 36)
  32. “Kanunlarda açıkça öngörülmesi” şartına dayalı olarak kişisel veri işleniyorsa yine de aydınlatma yükümlülüğü yerine getirilmeli mi? (Sayfa 38)
  33. Veri sorumluları, hazırladıkları aydınlatma metinlerini Kuruma da göndermeli midir? (Sayfa 38)
  34. Aydınlatma metinlerinde saklama sürelerini belirtmek gerekir mi? (Sayfa 39)
  35. Katmanlı aydınlatma nedir, aydınlatma yükümlülüğü kapsamında “katmanlı aydınlatma” nasıl yapılmalıdır? (Sayfa 40)
  36. Bir çağrı merkezi, arayan kişileri bir web sayfası linkine yönlendirerek katmanlı aydınlatma gerçekleştirmektedir. Bu şekilde aydınlatma yükümlülüğü yerine getirilmiş kabul edilir mi? (Sayfa 42)
  37. Veri sorumlusu ile veri işleyenin ayrı kişiler olması halinde, Kanun kapsamında sorumluluk nasıl belirlenmektedir? (Sayfa 43)
  38. Bir şirket, imzaladığı bir sözleşme kapsamında veri işleyenden hizmet almaktadır. Veri işleyen tarafından bir ihlal gerçekleştirilmesi halinde Kanuna göre sorumluluk kimde olacaktır? (Sayfa 44)
  39. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusu, bu durumu uygun gördüğü bir zaman diliminde Kurula bildirebilir mi? (Sayfa 45)
  40. Kişi sadece kendisi için mi veri sorumlusuna başvurabilir? (Sayfa 46)
  41. Veri sorumlusuna yapılan başvuruların Türkçe olması gerekli midir? (Sayfa 46)
  42. Veri sorumlusu, ilgili kişiye başvuru tarihinden itibaren 15. günde cevap vermişse, bu tarihten itibaren kaç gün içinde Kurula şikâyette bulunulabilir? (Sayfa 46)
  43. Veri sorumlusuna başvuru tarihinden itibaren 30 gün geçtiği halde kendisine cevap verilmemişse, ilgili kişi bu tarihten itibaren kaç gün içinde Kurula şikâyette bulunabilir? (Sayfa 49)
  44. Veri sorumlusuna başvurmadan doğrudan Kurula şikâyet yapılabilir mi? (Sayfa 51)
  45. İlgili kişi, şikâyetini e-posta, telefon veya çağrı merkezi aracılığıyla Kuruma ulaştırabilir mi? (Sayfa 52)
  46. İlgili kişi Kurula şikâyet yoluna başvururken tazminat talep edebilir mi? (Sayfa 52)
  47. Kurula şikâyet başvurusu yapıldığında Kurul ne kadar sürede cevap vermek zorundadır? (Sayfa 53)
  48. Kanuni yükümlülüklerini yerine getirmeyen veri sorumluları hakkında Kurul resen inceleme yapabilir mi? (Sayfa 53)
  49. Veri Sorumluları Sicil Bilgi Sistemi (“VERBİS”) kişisel veri barındıracak mı? (Sayfa 54)
  50. Avukatlar Sicile kayıt yükümlülüğünden istisna olduğu için Kanundan da istisna sayılır mı? (Sayfa 54)
  51. Kurum, kişisel veri saklama sürelerini belirleyerek ilan edecek mi? (Sayfa 55)
  52. Bütün veri sorumluları, kişisel veri işleme envanteri hazırlamak zorunda mıdır? (Sayfa 56)
  53. Hazırlanan kişisel veri işleme envanteri Kuruma da gönderilmeli midir? (Sayfa 57)
  54. Kişisel veri işleme envanterinin VERBİS’e yüklenmesi gerekir mi? (Sayfa 58)
  55. Kişisel veri işleme envanterinde saklama sürelerinin belirtilmesi gerekli midir? (Sayfa 58)
  56. Veri sorumlularının hazırlamış olduğu kişisel veri işleme envanteri ile kişisel veri saklama ve imha politikasını Kurulun talep etme yetkisi var mıdır? (Sayfa 59)
  57. Kamu Kurumlarında koordinasyon görevlisi nasıl belirlenmelidir? (Sayfa 59)
  58. Kamu Kurumlarında irtibat kişisi nasıl belirlenmelidir? (Sayfa 60)
  59. VERBİS’e kayıt başvuru formu, formda belirtilen Kayıtlı Elektronik Posta (KEP) adresi yerine başka bir KEP adresinden gönderilebilir mi? (Sayfa 60)
  60. Yurt dışında yerleşik veri sorumluları için Sicile kayıt yükümlülüğünden istisna kriteri olarak çalışan sayısı ve yıllık mali bilanço dikkate alınır mı? (Sayfa 61)
  61. Bir irtibat kişisi aynı anda birden fazla veri sorumlusunun irtibat kişisi olarak atanabilir mi? (Sayfa 61)
  62. VERBİS’in kamuya açık olarak tutulması nedeniyle kişisel veriler de kamuya açık hale gelmiş olur mu? (Sayfa 61)
  63. Vakıf üniversiteleri VERBİS’e kaydını “yurt içinde yerleşik tüzel/gerçek kişi” bölümü üzerinden mi gerçekleştirmelidir? (Sayfa 62)
  64. Ticaret odaları VERBİS’e kaydını “yurt içinde yerleşik tüzel/gerçek kişi” bölümü üzerinden mi gerçekleştirmelidir? (Sayfa 63)
  65. İstisna kapsamında olmadığı halde Sicile kayıt yükümlülüğünü yerine getirmeyenler hakkında işlem tesis edilecek midir? (Sayfa 63)
  66. Kanun kapsamında yapılan incelemeler neticesinde suç unsuruna rastlanılması halinde nasıl bir yol izlenecektir? (Sayfa 64)
  67. Kanunda belirtilen idari para cezaları her yıl artırılıyor mu? (Sayfa 64)
  68. Kurul tarafından düzenlenen idari para cezalarına itiraz edilebilir mi? (Sayfa 65)
  69. Kanunun 28. maddesinin 1. fıkrası gereği istisna kapsamındaki bir veri sorumlusu, Kanundan da istisna sayılır mı? (Sayfa 65)
  70. Kanunun 28. maddesinin 2. fıkrası gereği istisna kapsamındaki bir veri sorumlusu, Kanundan da istisna sayılır mı? (Sayfa 66)

1) 6698 sayılı Kişisel Verilerin Korunması Kanununa (6698 sayılı Kanun) göre tüzel kişilerin verileri de korunmakta mıdır?

6698 sayılı Kanun tüzel kişilerin verilerini korumaktadır. 6698 sayılı Kanunun 2. maddesinde, Kanun hükümlerinin kişisel verileri işlenen gerçek kişiler hakkında uygulanacağı ifade edilmiştir. Buna göre Kanun, kural olarak sadece gerçek kişilerin verilerini koruma kapsamına almış olup verileri işlenen tüzel kişiler bu Kanunun kapsamı dışında tutulmuştur.

2) Bir kâğıt parçası üzerine gelişigüzel yazılan ad, soyad ve telefon numaraları Kanun kapsamında sayılabilir mi?

Bir kâğıt parçası üzerine gelişigüzel yazılan ad, soyad ve telefon numaraları Kanun kapsamında değildir. Kişisel veri işlemenin Kanun kapsamında sayılabilmesi için işlenen kişisel verilerin bir veri kayıt sisteminin parçası olması yani belirli bir takım kriterlere göre yapılandırılarak işlenmesi gerekmektedir. Ad, soyad ve telefon numarası gibi veriler bir indeks, fihrist vb. bir veri kayıt sistemi dâhilinde yazılmışsa, söz konusu veri işleme faaliyeti Kanuna tâbi olacaktır. Manuel yolla ve gelişigüzel bir biçimde bir kâğıt parçası üzerine yazılan kişisel veriler Kanun kapsamında olmayacaktır. Bununla birlikte, bir veri kayıt sisteminin parçası olmadan işlenen kişisel verilerin 6698 sayılı Kanuna tâbi olmaması durumu, bu verilerin keyfi bir biçimde kullanılabilecekleri anlamına gelmemektedir. Zira konusu suç teşkil eden durumlar 5237 sayılı Türk Ceza Kanunu kapsamında ele alınmaktadır.

3) Bir veri kayıt sistemi aracılığıyla işlenen kişisel veriler Kanun kapsamında mıdır?

Bir veri kayıt sistemine bağlı olarak işlenen kişisel veriler, 6698 sayılı Kanun kapsamındadır. Kanunda “veri kayıt sistemi”; kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi şeklinde tanımlanmıştır. Dolayısıyla kişisel veriler; fihrist, numara, ad - soyad, alfabe, kategori, sıralama gibi belirli kriterlere göre işleniyorsa Kanun kapsamında olacaktır.

4) Otomatik olmayan yollarla kişisel veri işleyenler Kanundan istisna mıdır?

Kanun, otomatik olmayan yollarla kişisel veri işlenmesini tamamen Kanun kapsamı dışında tutmamaktadır. Otomatik olmayan yolla veri işleme eğer bir veri kayıt sisteminin parçası olarak gerçekleştiriliyorsa bu durumda söz konusu veri işleme faaliyeti de Kanun kapsamında kabul edilmektedir. Dolayısıyla otomatik olmayan yolla işlenen kişisel veriler, bir veri kayıt sisteminin parçası ise Kanun kapsamında olacaktır.

5) Bilgisayarda bazı kişisel veriler sadece depolama amacıyla dosya halinde tutulmakta ise, bu durumda kişisel veri işlenmiş sayılır mı?

Sadece depolama amacıyla dosya halinde bilgisayarda kişisel verilerin tutulması da kişisel veri işleme kapsamındadır. 6698 sayılı Kanunun 3. maddesinde kişisel verilerin işlenmesi; “kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem” olarak tanımlanmıştır. Buna göre, kişisel veriler sadece depolama amacıyla dosya halinde tutulsa ve üzerinde başkaca bir işlem yapılmasa bile kişisel verilerin işlenmesi olarak değerlendirilecek ve bu faaliyet de Kanun kapsamında kabul edilecektir.

6) Kişisel Verileri Koruma Kurumu (“Kurum”) bünyesinde vatandaşların kişisel verileri saklanıyor mu?

Kurum bünyesinde, vatandaşların kişisel verileri saklanmamaktadır. Ayrıca Kurumun, Türkiye’de işlenen tüm kişisel verileri kaydetmesi söz konusu değildir.