6698 Sayılı Kişisel Verilerin Korunması Kanunu: Jandarma JSPS Rehberi

6698 Sayılı Kişisel Verilerin Korunması Kanunu Nedir?

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU, Türkiye’de kişisel verilerin işlenmesi, saklanması, aktarılması ve korunmasına ilişkin temel yasal çerçeveyi belirleyen kanundur. 7 Nisan 2016 tarihinde yürürlüğe giren bu düzenleme, bireylerin özel hayatının gizliliğini güvence altına almayı ve kişisel veriler üzerinde kişiye daha fazla kontrol sağlamayı amaçlar.

Günümüzde dijitalleşme ile birlikte ad, soyad, telefon numarası, e-posta adresi, IP bilgisi, konum verisi, sağlık verileri ve hatta bazı durumlarda mesleki bilgiler bile kişisel veri sayılabilir. Bu nedenle hem kamu kurumları hem de özel sektör için KVKK uyumu büyük önem taşır.

Bu yazıda, kanunun temel mantığını, hangi verilerin koruma kapsamına girdiğini, veri işleme şartlarını, veri sorumlularının yükümlülüklerini ve pratikte dikkat edilmesi gereken noktaları ele alacağız.

Kanunun Amacı ve Kapsamı

KVKK’nın temel amacı, kişisel verilerin hukuka uygun şekilde işlenmesini sağlamak ve veri sahiplerinin haklarını korumaktır. Kanun, kişisel verilerin tamamen yasaklanmasını değil, belirli kurallara uygun olarak işlenmesini öngörür.

Kanun Neleri Kapsar?

6698 sayılı kanun, şu alanlarda uygulanır:

• Kişisel veri işleme faaliyetleri
• Veri saklama ve imha süreçleri
• Veri aktarımı
• Aydınlatma yükümlülüğü
• Açık rıza gerektiren haller
• Veri güvenliği önlemleri
• Veri sahibinin başvuru hakları

Kanun hem otomatik yollarla işlenen hem de bir veri kayıt sisteminin parçası olan manuel işleme faaliyetlerini kapsar. Yani yalnızca yazılım sistemleri değil, dosya klasörlerinde tutulan düzenli kayıtlar da belirli durumlarda kanun kapsamına girer.

Kişisel Veri ve Özel Nitelikli Kişisel Veri

Kanunu doğru anlamak için önce “kişisel veri” kavramını netleştirmek gerekir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Örnekler:

• Ad ve soyad
• T.C. kimlik numarası
• Telefon numarası
• E-posta adresi
• Adres bilgisi
• Plaka numarası
• IP adresi
• Fotoğraf
• Ses kaydı

Bir bilginin kişisel veri sayılması için tek başına kimliği göstermesi gerekmez; başka bilgilerle birleştirildiğinde kişiyi tanımlayabiliyorsa yine kişisel veri kabul edilir.

Özel Nitelikli Kişisel Veri Nedir?

Daha hassas nitelikteki veriler ise özel nitelikli kişisel veri olarak değerlendirilir. Bunlar daha sıkı korumaya tabidir:

• Irk ve etnik köken
• Siyasi düşünce
• Felsefi inanç
• Din, mezhep veya diğer inançlar
• Kılık ve kıyafet bilgisi
• Dernek, vakıf veya sendika üyeliği
• Sağlık bilgileri
• Cinsel hayat
• Ceza mahkûmiyeti ve güvenlik tedbirleri
• Biyometrik ve genetik veriler

Bu verilerin işlenmesi için kanunda daha sınırlı şartlar aranır ve güvenlik tedbirleri çok daha yüksek olmalıdır.

Kişisel Veriler Hangi Şartlarda İşlenebilir?

KVKK’ya göre kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Ancak bunun istisnaları vardır. Açık rıza, özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalıdır.

Açık Rıza Gerekmeyen Durumlar

Kişisel veriler, aşağıdaki hallerden biri varsa açık rıza olmadan işlenebilir:

• Kanunlarda açıkça öngörülüyorsa
• Fiili imkânsızlık nedeniyle rıza veremeyecek durumda bulunan kişinin hayatı veya beden bütünlüğü için zorunluysa
• Sözleşmenin kurulması veya ifasıyla doğrudan ilgiliyse
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluysa
• İlgili kişi tarafından alenileştirilmişse
• Bir hakkın tesisi, kullanılması veya korunması için gerekliyse
• Veri sorumlusunun meşru menfaati için zorunluysa ve temel haklara zarar vermiyorsa

Bu şartlar, veri işleme faaliyetlerinin her zaman somut şekilde değerlendirilmesini gerektirir. Örneğin, bir çalışanın maaşının ödenmesi için kimlik ve banka bilgileri işlenebilir; çünkü bu işlem sözleşme ve hukuki yükümlülük kapsamında zorunludur.

Özel Nitelikli Verilerde Daha Sıkı Kurallar

Özel nitelikli veriler için işlem şartları daha dardır. Sağlık ve cinsel hayata ilişkin veriler kural olarak ancak kamu sağlığının korunması, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla ve sır saklama yükümlülüğü altında olan kişilerce işlenebilir. Diğer özel nitelikli veriler ise kanunda belirtilen hallerde veya ilgili kişinin açık rızasıyla işlenebilir.

Veri Sorumlusu ve Veri İşleyen Kimdir?

KVKK uygulamasında iki önemli kavram vardır: veri sorumlusu ve veri işleyen.

Veri Sorumlusu

Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Yani hangi verinin neden, nasıl ve ne kadar süreyle işleneceğine karar veren taraftır.

Veri İşleyen

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi veya kurumdur. Örneğin:

• Bulut hizmeti sağlayıcıları
• Çağrı merkezi firmaları
• Yazılım ve barındırma hizmeti veren şirketler

Bu ayrım önemlidir; çünkü hukuki yükümlülüklerin büyük kısmı veri sorumlusuna aittir.

Aydınlatma Yükümlülüğü Nedir?

Veri toplanırken ilgili kişiye mutlaka bilgi verilmelidir. Bu zorunluluğa aydınlatma yükümlülüğü denir. Kişiye hangi verilerin toplandığı, hangi amaçla işlendiği ve kimlere aktarılabileceği açıkça anlatılmalıdır.

Aydınlatma metninde genellikle şu unsurlar bulunur:

• Veri sorumlusunun kimliği
• Kişisel verilerin hangi amaçla işleneceği
• Verilerin kimlere ve hangi amaçla aktarılabileceği
• Veri toplama yöntemi ve hukuki sebebi
• İlgili kişinin KVKK kapsamındaki hakları

Örneğin bir e-ticaret sitesi, sipariş teslimi için adres ve telefon verisi toplarken bunun hangi amaçla kullanılacağını açıkça belirtmelidir. Sadece “hizmet kalitesini artırmak” gibi genel ifadeler yeterli değildir.

İlgili Kişinin Hakları Nelerdir?

KVKK, kişilere kendi verileri üzerinde ciddi haklar tanır. Bu haklar, veri sahiplerinin süreci kontrol edebilmesini sağlar.

Başlıca Haklar

İlgili kişi şunları talep edebilir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
• Kanuni şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme
• Düzeltme, silme veya yok etme işlemlerinin aktarıldığı kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler ile analiz edilmesi sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğraması halinde zararın giderilmesini talep etme

Bu haklar, bireylerin dijital dünyadaki konumunu güçlendiren en önemli mekanizmalardan biridir.

Veri Güvenliği ve Saklama Süreleri

Kişisel verileri toplamak kadar onları güvenli biçimde saklamak da önemlidir. Kanun, veri sorumlusuna uygun teknik ve idari tedbirleri alma yükümlülüğü getirir.

Veri Güvenliği İçin Temel Önlemler

Kuruluşların alması gereken bazı önlemler şunlardır:

• Güçlü erişim kontrolü
• Şifreleme
• Log kayıtlarının tutulması
• Yetki sınırlaması
• Güvenlik eğitimleri
• Düzenli yedekleme
• Zafiyet ve sızma testleri
• Kâğıt ortamındaki belgelerin güvenli saklanması

Özellikle çalışan verileri, müşteri kayıtları ve özel nitelikli veriler için güvenlik önlemleri daha da önemlidir. Basit bir şifre politikası eksikliği bile ciddi ihlal riskleri doğurabilir.

Saklama ve İmha

Veriler, işlenme amacının gerektirdiği süre kadar saklanmalıdır. Amaç ortadan kalktığında veya kanuni saklama süresi dolduğunda veriler silinmeli, yok edilmeli ya da anonim hale getirilmelidir.

Örneğin bir adayın iş başvurusu sonucu olumsuzsa, başvuru verilerinin süresiz şekilde tutulması doğru değildir. Saklama politikası bu noktada devreye girer.

Veri Aktarımı: Yurt İçi ve Yurt Dışı

Kişisel verilerin üçüncü kişilerle paylaşılması da kanuna tabidir.

Yurt İçi Aktarım

Veriler, açık rıza olmaksızın ancak kanundaki şartlardan biri varsa aktarılabilir. Aksi durumda ilgili kişinin açık rızası gerekir.

Yurt Dışı Aktarım

Yurt dışına aktarım daha hassas bir konudur. Kanuni koşulların yanında, aktarım yapılacak ülke ve kuruluşun yeterli korumayı sağlayıp sağlamadığı da önem taşır. Uygulamada bu alan, uluslararası hizmet kullanan şirketler açısından çok sık gündeme gelir.

Uygulamada KVKK’ya Neden Dikkat Edilmeli?

KVKK yalnızca hukuki bir zorunluluk değildir; aynı zamanda güven ve itibar konusudur. Verilerini koruyamayan kurumlar hem maddi ceza riskiyle hem de marka güven kaybıyla karşılaşabilir.

Sık Karşılaşılan Hatalar

Birçok kurum şu hataları yapar:

• Gereğinden fazla veri toplamak
• Aydınlatma metnini eksik hazırlamak
• Açık rıza ile aydınlatmayı aynı metinde karıştırmak
• Eski verileri silmemek
• Erişim yetkilerini sınırlamamak
• Çalışan eğitimlerini ihmal etmek
• Özel nitelikli veriler için ek güvenlik önlemleri almamak

Bu hatalar, özellikle personel sayısı yüksek işletmelerde ve yoğun veri işleyen kurumlarda daha büyük risk oluşturur.

Jandarma, JSPS ve JandarmaiJsps Bağlamında Kişisel Veri Farkındalığı

Kamu kurumları ve güvenlik alanında kullanılan sistemlerde de kişisel veri koruması kritik önemdedir. Özellikle jandarma, jsps ve jandarmaijsps gibi adlarla anılan kurumsal bilgi ve işlem süreçlerinde, kişisel verilerin yetkisiz erişime karşı korunması, işlem kayıtlarının güvenli tutulması ve erişim yetkilerinin sıkı biçimde yönetilmesi gerekir.

Bu tür sistemlerde:

• Personel erişimleri rol bazlı olmalıdır
• Hassas veriler loglanmalı ve denetlenmelidir
• Gereksiz veri görünürlüğü engellenmelidir
• İşlem kayıtları düzenli olarak kontrol edilmelidir
• Gizlilik ve güvenlik eğitimleri ihmal edilmemelidir

Kısacası, kamuya ait veya güvenlik odaklı bilgi sistemlerinde KVKK yaklaşımı sadece hukuki uyum değil, aynı zamanda operasyonel disiplin anlamına gelir.

KVKK Uyum Süreci Nasıl Yönetilir?

Bir kurumun KVKK uyumu sağlaması için tek seferlik bir belge hazırlaması yeterli değildir. Bu, sürekli takip gerektiren bir süreçtir.

Temel Uyum Adımları

• Veri envanteri çıkarma
• İşleme amaçlarını belirleme
• Aydınlatma metinlerini hazırlama
• Açık rıza süreçlerini düzenleme
• Saklama ve imha politikası oluşturma
• Teknik güvenlik önlemlerini güçlendirme
• Çalışanları eğitme
• Tedarikçi ve üçüncü taraf sözleşmelerini gözden geçirme
• İhlal müdahale planı hazırlama

Bu adımlar, kurumun hem iç kontrolünü güçlendirir hem de olası idari yaptırımlara karşı koruma sağlar.

Sonuç

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU, dijital çağda bireylerin en temel haklarından biri olan veri mahremiyetini korumayı amaçlar. Kişisel verilerin toplanması, işlenmesi ve paylaşılması artık çok daha sıkı kurallara tabidir. Bu nedenle hem bireyler hem de kurumlar, KVKK’nın getirdiği yükümlülükleri iyi anlamalı ve günlük uygulamalarına yansıtmalıdır.

Doğru aydınlatma, uygun güvenlik tedbirleri, sınırlı veri işleme ve düzenli denetim sayesinde hem hukuki riskler azaltılır hem de güven ilişkisi güçlenir. Özellikle jandarmaijsps, jsps, jandarma gibi kurumsal ve hassas sistemlerde bu farkındalık çok daha kritik hale gelir. KVKK’ya uyum, sadece bir yasal zorunluluk değil; aynı zamanda güvenli ve saygılı bir veri yönetimi kültürüdür.