KİŞİSEL VERİLERİN KORUNMASI MEVZUATI KAPSAMINDA HUKUKİ VE CEZAİ SORUMLULUK

Transkript

1 KİŞİSEL VERİLERİN KORUNMASI MEVZUATI KAPSAMINDA HUKUKİ VE CEZAİ SORUMLULUK GİRİŞ 6698 Sayılı Kişisel Verilerin Korunması Kanunu nun ( KVKK ) yürürlüğe girmesiyle birlikte, kişisel veri elde eden kişi ve kurumların, KVKK nın getirdiği yükümlülüklere uygun hareket etmesi beklenmektedir. Söz konusu durum ileriye dönük veri toplama faaliyetini kapsadığı gibi, geriye dönük olarak toplanan kişisel verilerin de KVKK ile uyumlu hale getirilmesi gerekmektedir. Kişisel verilerin korunmasına ilişkin KVKK ile getirilen yenilikler ile yükümlülüklerin hukuki ve cezai sonuçlarının tam olarak anlaşılabilmesi için sadece KVKK ya ilişkin yapılacak değerlendirme yeterli olmayacaktır. Bu sebeple kişisel veri toplama faaliyeti başta KVKK olmak üzere diğer kanunlar ve yasal düzenlemeler ışığında değerlendirilmelidir. I. Kişisel Verilerin Korunmasının Hukuki Altyapısı 1. Türkiye Cumhuriyeti Anayasası 5982 sayılı Anayasa Değişikliği Kanunu nun tarihli Resmi Gazete de yayımlanmasının ardından, bireylerin kişisel verileri özel hayatının gizliliği kapsamında Anayasal güvence altına alınmıştır. 1

2 Türkiye Cumhuriyeti Anayasası, Madde 20: Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir. Bireylerin kişisel verilerinin korunması, Anayasa ile teminat alınmış bir temel hak olduğundan, bu hakkın ihlali, zarar gören kişilerin tazminat taleplerine konu olabilecektir. 2. Türk Borçlar Kanunu ve İş Kanunu 6098 Sayılı Türk Borçlar Kanunu nda ( TBK ) kişisel verilerin korunmasına ilişkin düzenleme hizmet sözleşmeleri kapsamında değinilmiştir. Türk Borçlar Kanunu, Madde 419: İşveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir Sayılı İş Kanunu nda ( İK ) da aynı doğrultuda yapılan düzenlemede, işveren sıfatıyla tutulması zorunlu olan özlük dosyası, kimlik bilgileri ve diğer her türlü belgenin kişisel verinin sahibinin rızası olmadan yetkili mercilerle paylaşılabileceği düzenlenmiştir. 2

3 İş Kanunu, Madde 75: İşveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır. 3. Türk Ceza Kanunu KVKK nın yürürlüğe girmesinden önceki dönemde, bireylerin kişisel verilerinin korunması açısından, 5237 Sayılı Türk Ceza Kanunu nda ( TCK ) bulunan kişisel verilerin korunmasına ilişkin hükümler önemli bir rol oynamaktaydı. Türk Ceza Kanunu, Madde 134: Kişilerin özel hayatının gizliliğini ihlal eden kimse, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır. Gizliliğin görüntü veya seslerin kayda alınması suretiyle ihlal edilmesi halinde, verilecek ceza bir kat artırılır. Kişilerin özel hayatına ilişkin görüntü veya sesleri hukuka aykırı olarak ifşa eden kimse iki yıldan beş yıla kadar hapis cezası ile cezalandırılır. İfşa edilen bu verilerin basın ve yayın yoluyla yayımlanması halinde de aynı cezaya hükmolunur. Türk Ceza Kanunu, Madde 135: Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır. Türk Ceza Kanunu, Madde 136: Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. 3

4 Türk Ceza Kanunu, Madde 138: Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. Yukarıda yer verilen düzenlemelerden TCK nın 134 ncü maddesi, Anayasa ile teminat altına alınan özel hayatın gizliliği ilkesi çerçevesinde uygulama alanı bulurken, diğer düzenlemelerin KVKK nın yürürlüğe girmesiyle birlikte somutlaştığı söylenebilecektir. II. KVKK Kapsamında Hukuki ve Cezai Sorumluluk Kişisel veriler kavramı KVKK nın 3 ncü maddesi ile aşağıdaki şekilde tanımlanmıştır: Kişisel Verilerin Korunması Kanunu, Madde 3: (1)(d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. KVKK nın 3 ncü maddesi ile getirilen bu tanımlamanın oldukça geniş kapsamlı olduğu söylenebilecektir. Bununla birlikte, belirli bir verinin kişisel veri olarak değerlendirilebilmesinin ön şartı veri sahibi gerçek kişinin belirli veya belirlenebilir olmasıdır. Bu durumda dikkat edilmesi gereken husus, ilgili verinin ait olduğu kişiye ilişkin ayırt edici unsurları ihtiva edip etmediğinin belirlenmesidir. KVKK kapsamında kişisel verilerin korunmasına ilişkin yükümlüklerin ihlal edilmesi durumunda uygulanmak üzere bir takım yaptırımlar öngörülmüştür. Kanun kapsamında, ihlaller türlerinin bir kısmı suç, bir kısmı ise kabahat olarak düzenlenmiştir. 4

5 SUÇLAR KABAHATLER Kişisel verilerin hukuka aykırı olarak kaydedilmesi: 1-3 Yıl Hapis Cezası Veriler kişinin, felsefi, dini görüşlerine, ırki kökenlerine, ahlaki ve cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin ise: 1-3 Yıl Hapis Cezası ½ Oranında Arttırılır Kişisel verilerin, hukuka aykırı olarak bir başkasına verilmesi, aktarılması, yayılması: 2-4 Yıl Hapis Cezası / Tüzel Kişiler İçin Güvenlik Tedbiri Aydınlatma Yükümlülüğünün İhlali: TL İdari Para Cezası Veri Güvenliği Yükümlülüğünün İhlali: TL İdari Para Cezası Kurul Kararlarının Yerine Getirilmemesi: TL İdari Para Cezası Veri Sorumluları Siciline Kayıt ve Bildirim Yükümlülüğünün İhlali: TL İdari Para Cezası İşlemeyi gerektiren sebepler ortadan kalktığı halde kişisel verilerin silinmemesi, anonim hale getirilmemesi: 1-2 Yıl Hapis Cezası / Tüzel Kişiler İçin Güvenlik Tedbiri İhlallerin tespiti ve kişisel verilerin korunması yeni oluşturulan bir bağımsız otorite olan Kişisel Verileri Koruma Kurumu ( Kurum ) tarafından gerçekleştirilmektedir. KVKK, Kuruma kişisel verileri korumakla yükümlü gerçek ve tüzel kişileri denetleme ve soruşturma yetkisi vermektedir. Bunun yanında, KVKK kişilere, kendilerine ait kişisel veriler için ilgili gerçek ve tüzel kişilere başvurarak, kişisel verilerinin kullanım alanlarını sorgulama ve gerekirse Kuruma şikayette bulunma hakkı tanımaktadır. Kişisel veri sahibi tarafından veri sorumlusuna 1 yapılan başvuru ve taleplerin otuz (30) gün içinde karşılanması gerekmektedir. Söz konusu başvuru ve/veya taleplere cevap verilmemesi halinde ilgili 1 Veri sorumlusu, KVKK nın 3 ncü maddesinde kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır. 5

6 kişi başvuru tarihinden itibaren altmış (60) gün içinde Kuruma şikayette bulunabilecektir. Veri sorumlusu tarafından verilen cevabın yeterli görülmemesi durumunda ise ilgili kişiler cevap tarihinden itibaren otuz (30) gün içinde Kuruma şikayette bulunulabilmektedir. Veri sorumluları, Kurumun şikayet üzerine veya re sen yapacağı denetimlerde talep ettiği bilgi ve belgeleri on beş (15) gün içinde Kuruma sağlamakla yükümlüdür. Yapılan denetimler sonucunda, KVKK nın ihlal edildiğinin tespit edilmesi durumunda, ihlalin otuz (30) gün içinde giderilmesi gerekmektedir. Tespit edilen ihlalin ağırlığına göre Kurum kişisel verilerin aktarılmasına ve/veya yayınlanmasına ilişkin tedbir kararı alabilecektir. Kurum tarafından verilen kararlara uyulmaması durumunda, ilgili kişiler idari para cezasına tabi tutulabilecektir. 6