Kamu Kurumları İçin KVKK Uyum Rehberi

Kanun, kişisel verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır ve kamu kesimi için genel bir muafiyet öngörmez. Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Kamuda bu sıfat kural olarak kurumun tüzel kişiliğine aittir; müdürlük, daire başkanlığı veya birim, kurum içi bir organizasyon birimi olduğundan ayrı bir veri sorumlusu sayılmaz. Hizmet alınan şirketler ise kurumun talimatıyla ve onun adına işleme yapıyorsa veri işleyendir.

Dayanak: 6698 s.K. m.2, m.3/1-ı, m.3/1-ğ.

Kişisel veriler ancak Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun işlenebilir. Beş ilke istisnasızdır: hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme. Kamu kesiminde en sık karşılaşılan sorun ölçülülüktür: hizmetin görülmesi için gerekli olmayan verilerin “ileride lazım olur” gerekçesiyle toplanması bu ilkeye aykırıdır.

Dayanak: 6698 s.K. m.4.

Kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez; ancak m.5/2’deki şartlardan biri varsa açık rıza aranmaz. Kamu kesiminde öne çıkan şartlar “kanunlarda açıkça öngörülmesi” (m.5/2-a) ve “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” (m.5/2-ç) şartlarıdır; bunlar idarenin kanuniliği ilkesiyle de örtüşür. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve ÖZGÜR İRADEYLE açıklanan rızadır; kamu gücüne dayalı olarak sunulan ve kişinin başvurmak zorunda olduğu hizmetlerde bu unsurun sağlandığını söylemek güçtür. Ayrıca açık rıza dışında bir işleme şartı varken ayrıca açık rıza alınması, ilgili kişide rızasını geri çekerek işlemeyi durdurabileceği yönünde yanıltıcı bir izlenim doğurur.

Dayanak: 6698 s.K. m.3/1-a, m.5/1, m.5/2.

Irk ve etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli kişisel veridir. Bunların işlenmesi kural olarak yasaktır; 2/3/2024 tarihli ve 7499 sayılı Kanunla yeniden düzenlenen m.6/3’teki şartlardan biri (açık rıza, kanunlarda açıkça öngörülme, fiilî imkânsızlık, alenileştirme, bir hakkın tesisi-kullanılması-korunması, sağlık hizmetlerinin yürütülmesi, istihdam ve sosyal güvenlik yükümlülükleri, belirli kuruluşların üyelerine yönelik faaliyetleri) varsa mümkündür. Dikkat: “meşru menfaat” şartı özel nitelikli veriler bakımından YOKTUR. Ayrıca m.6/4 uyarınca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır — kamuda parmak izi veya yüz tanımayla mesai takibi gibi uygulamalarda ölçülülük ayrıca sorgulanmalıdır.

Dayanak: 6698 s.K. m.6 (7499 s.K. m.33 ile değişik).

Verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi; kurumun ve varsa temsilcisinin kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile m.11’deki haklar konusunda ilgili kişiyi bilgilendirmek zorundadır. Kamuda aydınlatma; başvuru formları, hizmet masaları, çağrı merkezleri, kamera sistemleri, internet siteleri ve e-Devlet arayüzleri gibi her veri toplama kanalı için ayrı ayrı ve o kanalın niteliğine uygun biçimde sağlanmalıdır. Aydınlatma yükümlülüğü, açık rızadan bağımsızdır ve açık rızaya dayanılmayan işlemelerde de yerine getirilir.

Dayanak: 6698 s.K. m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.

Herkes veri sorumlusuna başvurarak; verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, m.7 çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme-silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç doğmasına itiraz etme ve zararının giderilmesini talep etme haklarına sahiptir. Başvurular en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırılır; işlem ayrıca maliyet gerektiriyorsa Kurulca belirlenen tarifedeki ücret alınabilir. Talep reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir; başvuru yolu tüketilmeden şikâyet yoluna gidilemez.

Dayanak: 6698 s.K. m.11, m.13, m.14.

Kurum; hukuka aykırı işlemeyi ve hukuka aykırı erişimi önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almak zorundadır. Veriler kurum adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa (dış kaynak, yazılım firması, arşiv hizmeti) tedbirlerin alınmasında müşterek sorumluluk doğar. Kurum, Kanun hükümlerinin uygulanmasını sağlamak amacıyla kendi bünyesinde gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder.

Dayanak: 6698 s.K. m.12/1-4.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde kurum, bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, ihlalin öğrenilmesinden itibaren 72 saat içinde Kuruma bildirim yapılmasını; ilgili kişilere de makul olan en kısa sürede ve mümkünse doğrudan ulaşılmasını öngörmüştür. Kurul, gerekmesi hâlinde ihlali kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Kamu kurumlarının bir veri ihlali müdahale planı hazırlaması ve ihlalleri kayıt altına alması bu yükümlülüğün pratik karşılığıdır.

Dayanak: 6698 s.K. m.12/5; Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı.

Kanuna ve diğer kanunlara uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde veriler, resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir. Silme, yok etme veya anonim hâle getirmeye ilişkin diğer kanunlarda yer alan hükümler saklıdır; kamu kesiminde Devlet Arşiv Hizmetleri mevzuatı ile kuruma özgü saklama süreleri bu kapsamda değerlendirilir. Kurumun, veri kategorileri bazında saklama sürelerini ve periyodik imha sürelerini gösteren bir saklama ve imha politikası hazırlaması gerekir.

Dayanak: 6698 s.K. m.7; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik.

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz; ancak m.5/2’deki şartlardan biri ya da yeterli önlemler alınmak kaydıyla m.6/3’teki şartlardan biri varsa açık rıza aranmadan aktarılabilir. Bir kamu kurumundan diğerine yapılan veri paylaşımı da bu anlamda aktarımdır ve kendi hukuki sebebine dayanmalıdır; talep eden kurumun yetkisi ile talebin dayandığı kanun hükmü yazılı olarak ortaya konmalıdır. Aktarmaya ilişkin diğer kanunlarda yer alan hükümler saklıdır; bu nedenle kurumun özel kanunundaki bilgi-belge isteme ve verme hükümleri birlikte değerlendirilir.

Dayanak: 6698 s.K. m.8.

2/3/2024 tarihli ve 7499 sayılı Kanunla yeniden yazılan m.9, üç kademeli bir sistem kurar. Birinci kademe: m.5 veya m.6 şartlarından birinin varlığı ve aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararı bulunması. İkinci kademe: yeterlilik kararı yoksa, ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânı bulunmak kaydıyla m.9/4’teki uygun güvencelerden biri. Kamu kesimi bakımından bunların ilki özel önem taşır: yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları ya da kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde OLMAYAN anlaşmanın varlığı ve Kurulun aktarıma izin vermesi (m.9/4-a). Standart sözleşme kullanılırsa imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir. Üçüncü kademe: bunlar da yoksa yalnızca ARIZİ olmak kaydıyla m.9/6’daki hâller; ancak bu fıkranın (a), (b) ve (c) bentleri kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz. Türkiye’nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği durumlarda aktarım, ancak ilgili kamu kurumunun görüşü alınarak Kurulun izniyle yapılabilir. Yurt dışında yerleşik bulut, e-posta ve analiz hizmetlerinin kullanılması da yurt dışına aktarımdır.

Dayanak: 6698 s.K. m.9 (7499 s.K. m.34 ile değişik); Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik.

Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları, Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço ölçütlerinden bağımsız olarak kayıt yükümlüsüdür. Kayıt başvurusunda; kurumun kimlik ve adres bilgileri, işleme amaçları, veri konusu kişi grupları ve veri kategorileri, aktarım yapılabilecek alıcı grupları, yurt dışına aktarımı öngörülen veriler, alınan güvenlik tedbirleri ve azami saklama süreleri bildirilir; bu bilgilerdeki değişiklikler derhâl Başkanlığa bildirilir. Ayrıca kamu kurum ve kuruluşlarında Kanunun uygulanmasıyla ilgili koordinasyonu sağlamak üzere üst düzey bir yönetici belirlenerek Başkanlığa bildirilir.

Dayanak: 6698 s.K. m.16, geçici m.1/5; Veri Sorumluları Sicili Hakkında Yönetmelik.

Kanun, kamu kesimini yakından ilgilendiren iki farklı istisna kademesi öngörür. Tam istisna (m.28/1) hâllerinde Kanun hükümleri hiç uygulanmaz: resmî istatistik ile anonim hâle getirilerek araştırma-planlama-istatistik amaçlı işleme; kamu düzenini ve kişilik haklarını ihlal etmemek ve suç teşkil etmemek kaydıyla sanat, tarih, edebiyat, bilimsel amaç veya ifade özgürlüğü kapsamında işleme; millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliği sağlamaya yönelik olarak KANUNLA görev ve yetki verilmiş kurumlarca yürütülen önleyici, koruyucu ve istihbari faaliyetler; yargı makamları veya infaz mercilerince soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin işleme. Kısmi istisna (m.28/2) hâllerinde ise yalnızca aydınlatma yükümlülüğü (m.10), ilgili kişinin hakları (m.11 — zararın giderilmesini talep etme hakkı hariç) ve VERBİS kaydı (m.16) uygulanmaz; bu muafiyet Kanunun amacına ve temel ilkelerine uygun ve ORANTILI olmak kaydıyla işler. Kısmi istisna hâlleri: suç işlenmesinin önlenmesi veya suç soruşturması için gereklilik; ilgili kişinin alenileştirdiği veriler; kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurumları ile kamu kurumu niteliğindeki meslek kuruluşlarınca denetleme/düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması; bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması. Her iki kademede de istisna kurumun tüzel kişiliğine değil, tek tek faaliyetlere bağlıdır.

Dayanak: 6698 s.K. m.28.

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen inceleme yapar. Devlet sırrı niteliğindeki bilgi ve belgeler hariç, kurum; Kurulun inceleme konusuyla ilgili istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır. İnceleme sonucunda ihlalin varlığı anlaşılırsa Kurul, tespit ettiği hukuka aykırılıkların giderilmesine karar verir; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir. İhlalin yaygın olduğu tespit edilirse Kurul ilke kararı alır ve yayımlar. Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hâlinde Kurul, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.

Dayanak: 6698 s.K. m.15.

Kanunun 18’inci maddesinde sayılan fiillerin (aydınlatma, veri güvenliği, Kurul kararlarının yerine getirilmesi ve Sicile kayıt-bildirim yükümlülüklerine aykırılık) kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine ilgili kurumda görev yapan memurlar ve diğer kamu görevlileri ile meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. Bunun yanında kişisel verilere ilişkin suçlar bakımından TCK m.135-140 hükümleri uygulanır; verileri Kanunun 7’nci maddesine aykırı olarak silmeyen veya anonim hâle getirmeyenler TCK m.138’e göre cezalandırılır. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı ile idarenin hizmet kusuruna dayalı sorumluluğu ayrıca saklıdır.

Dayanak: 6698 s.K. m.17, m.18/4, m.14/3.