6698 Sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 Tarihli Sayılı Resmi Gazetede Yayımlanarak Tarihinde Yürürlüğe Girmiştir

Transkript

1 6698 Sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 Tarihli Sayılı Resmi Gazetede Yayımlanarak Tarihinde Yürürlüğe Girmiştir 6698 Sayılı Kişisel Verilerin Korunması Kanunu; Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla kabul edilmiştir. İlgili madde gereğince kişisel verilerini iletenlerin hakları aşağıdaki gibidir. (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir. Kanunda iş sözleşmesi kapsamında işveren ile işçi arasındaki ilişkide, kişisel verilerin gizliliğine ilişkin olarak özel ve açık bir düzenleme yer almamakla birlikte, bu Kanun, işveren ile işçi arasındaki ilişki bakımından da özellik arz edecektir. İşverenlerin, çalışanların nüfus bilgilerini, ikamet kayıtlarını, sabıka kaydını, sağlık bilgilerini ve benzeri kişisel verilerini özlük dosyasında saklamak üzere muhafaza ettiği nazara alındığında, bu kanun gereğince, ilgili kayıtların gizliliğinden sorumlu olacağı açıktır. Bir diğer taraftan işveren, 4857 sayılı İş Kanunu nun 75/II maddesi uyarınca da, işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun 1

2 olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür. Benzer şekilde, çalışanın da, Kişisel Verilerin Korunması Hakkındaki Kanun dan dolayı, çalışma hayatı içerisinde işverenin kişisel verileriyle ilgili edindiği bilgileri saklamakla yükümlü olacağı açıktır. Kişisel Veri; Kişisel veri, kişiye ilişkin belirli ya da belirlenebilir nitelikteki her türlü bilgi olarak tanımlanmakta olup, tanımın oldukça geniş olduğu görülmektedir. Bu kapsamda, kişilerin kimlik bilgileri, kredi kartı ve banka hesap bilgileri, telefon görüşmeleri ve mesaj bilgileri kişisel veri olarak kabul edilebilir. Özel Nitelikli Kişisel Veriler; Kanundaki, kişisel veriye ilişkin genel tanımın yanı sıra, özel nitelikli kişisel veriler ayrıca tanımlanmıştır. Bunlar ırk, etnik köken, siyasi düşünce, felsefi inanç, dini, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, sabıka kaydı ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler olarak sayılmıştır. Kişisel Verilerin İşlenmesinde Rol Oynayan Kişiler; İlgili Kişi: Kişisel verisi işlenen gerçek kişidir (Örneğin; şirket çalışanları) Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. (Örneğin; şirket) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir (Örneğin; dışardan hizmet alınan bordrolama firmaları) Kurum: Kişisel Verileri Koruma Kurumu dur. Kurul: Kişisel Verileri Koruma Kurulu dur. Kurum bünyesinde yer alır. Kişisel Verilerinizin İşlenme Şekli; İşlenme işlemi; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, 2

3 sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, olarak geniş bir şekilde tanımlanmıştır. İşlenme işleminin hukuka ve dürüstlük kurallarına uygun, doğru ve güncel olarak, belirli, açık ve meşru amaçlar için ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak gerçekleştirilmesi gerekir. Ayrıca işlenen veriler işlendikleri amaç için gerekli olan süre kadar muhafaza edilebilirler sonrasında silinmeleri gerekir. Kişisel Verilerin İşlenme Şartları; Öncelikle genel kural ilgili kişinin açık rızasının alınmasının gerekliliğidir. Açık rıza belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır. Kişisel verilerin işlenmesi için kişinin açık rızasının aranmadığı istisnai durumlar, belirtilmiştir. Kanunda açıkça bir durumun öngörülmesi, fiili imkansızlık nedeniyle rızanın açıklanamaması sözleşmenin korunması veya ifasıyla ilgili doğrudan bir gerekliliğin bulunması, veri sorumlusunun hukuki yükümlülüğü verinin ilgili kişi tarafından alenileştirilmiş olması gibi durumlarda açık rıza aranmayabilir. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ancak kamu sağlığının korunması, koruyucu hekimlik gibi kamu düzenine ilişkin sınırlı durumlarda açık rıza aranmaksızın işlenebilir. Yasa kural olarak "kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği ve aktarılamayacağı" hükmünü getirmekle birlikte yukarıda da belirtildiği üzere bu konuda önemli istisnalara yer vermiştir. Kanunlarda açıkça öngörülmesi, Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması gibi durumlarında açık rıza şartı aranmayacağını öngörmüştür. Veri Sorumluları (veri işleyen şirketler) aşağıdaki genel prensipler doğrultusunda davranmalıdır. 3

4 Kişisel veriler hukuka ve dürüstlük kuralına uygun olarak işlenmeli, Kişisel veriler hangi amaçla işleniyorsa ancak bu amaçla bağlantılı olarak işlenmeli, işleme sınırlı ve ölçülü olmalı, Kişisel veriler ancak işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Özetle, veri ilgilisinin kişisel verilerini açık rızası olmaksızın işleyebilmek için bunun sadece kanuni bir görevden kaynaklanması, kanunda açıkça görülüyor olması veya bir sözleşmenin ifasına yönelik olması yetmemekte, hangi amaçla işleniyorsa ancak bu amaçla bağlantılı olarak işlenmesi ve ancak işlendikleri amaç için gerekli olan süre kadar muhafaza edilmeleri gerekmektedir. Kişisel verilerin nasıl silineceği veya anonim hale getirileceği ancak çıkarılacak bir yönetmelikle açıklığa kavuşacaktır. Açık Rıza; Açık rıza belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak yasada tanımlanmıştır. Genel olarak açık rıza olmaksızın kişisel veriler sağlanamaz, işlenemez, başka bir veri tabanına veya yurtdışına aktarılamaz. Açık rızanın varlığından söz edebilmek için öncelikle, kişisel veri konusu ile ilgili olarak kişinin bilgilendirilmesi gerekmekte olup, bilgilendirme sonrası kişinin açık ve serbest iradesi ile işleme onay vermesi gerekmektedir. Bilgilendirmenin eksik olması veya yeterli bilgilendirme bulunmasına rağmen serbest iradenin bulunmaması halinde açık rızadan söz edilemez. Çalışma hayatı içerisinde işçi işveren açısından açık rıza önemlidir. İşyerinde Veri Sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi, veri sorumlusu olarak tanımlanmıştır. Bu durumda işveren ve/veya işveren vekili yükümlülükleri açısından veri sorumlusu olarak tanımlanmaktadır. Bunun yanı sıra veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi de veri işleyen olarak tanımlanmaktadır. 4

5 Veri sorumlusu veya yetkilendirdiği kişi verileri elde ederken kişisel verilerin hangi amaçla işleneceği, verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi gibi konularda bilgi vermekle yükümlüdür. Ayrıca veri güvenliğini sağlamak, gerekli her türlü teknik ve idari tedbirleri almak zorundadır. İşyeri Veri Sorumlusunun Yükümlülükleri; 6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun da iş sözleşmesi kapsamında işveren ile işçi arasındaki ilişkide, kişisel verilerin gizliliğine ilişkin olarak özel bir düzenleme yer almamakla birlikte, bu kanun, işveren ile işçi arasındaki ilişki bakımından da özellik arz edecektir. Veri sorumlusu olarak yükümlülüğü bulunan işverenin veya işveren vekilinin kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, bu kişilerle birlikte müştereken sorumluluğu bulunduğu gibi, veri sorumlusu, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak ayrıca kişisel verileri açıklamamak ve işleme amacı dışında kullanamamakla yükümlüdürler. Henüz uygulama yönetmeliği yayınlanmadığından ve de bu hususun ayrıntıları düzenlenmediğinden bu noktada önerimiz Kanun her ne kadar istisna tutmuş gibi gözükse de, durum aydınlanana dek, iş başvuru formuna ve iş sözleşmesine, kişisel verilerle ilgili metin eklemek ve gerekli yasal yükümlülükleri yerine getirmektir. Kişisel Verilerin Gizli Tutulmasına Aykırılığın Yaptırımı; Kişisel Verilerin Korunması Hakkındaki Kanun a aykırılık halinde, iki türlü ceza öngörülmüştür. Birincisi idari para cezası olup, bilgilendirme, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi ve Kurul tarafından verilen kararların yerine getirmemesi ile, veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırı hareket halinde idari para cezası verilir. Bunun yanı sıra kişisel verilere ilişkin suçlar bakımından 5237 sayılı Türk Ceza Kanunu nun 135 ila 140 ıncı maddeleri uyarınca, kişisel verilerin kaydedilmesi, verilerin hukuka aykırı olarak verme veya ele geçirme, verileri yok etmeme suçlarına ilişkin hükümler uygulanır. Bu suçların soruşturulması ve kovuşturulması şikâyete bağlı değildir. 5

6 Kişisel verileri silmeyen veya anonim hâle getirmeyenler ise 5237 sayılı Kanunun 138. maddesi uyarınca verileri yok etmeme suçu kapsamında cezalandırılır. Borçlar Kanunu Uyarınca Çalışanın Kişisel Verilerin Gizliliğinin Kapsamı; Türk Borçlar Kanunu nun Hizmet Sözleşmesi ne ilişkin hükümlerinde İşverenin Sorumluluğu başlığı altında 419. maddede Kişisel Verilerin Kullanılması düzenlenmiştir. İlgili düzenleme uyarınca, işveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Bu doğrultuda, işverenin işçinin kişisel verilerini kullanması belli koşullara bağlanmıştır. İşveren işçinin kişisel verilerini ancak işçinin işe yatkınlığıyla ilgili veya iş sözleşmesinin yerine getirilmesi için zorunlu olduğu ölçüde kullanabilir. İş Kanunu Uyarınca Çalışanın Kişisel Verilerinin Gizliliğinin Kapsamı; İşçinin kişisel verilerinin gizliliğine ilişkin düzenlemeler, İş Kanunu nun İşçi Özlük Dosyası başlıklı 75. maddesinde yer almaktadır. İlgili düzenleme uyarınca İşveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır. İşveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür İş Kanunu ndaki düzenleme incelendiğinde, işverenin çalışma mevzuatı kapsamında tutmakla yükümlü olduğu işçi özlük dosyasındaki bilgilerin gizliliğinden sorumlu olduğunun düzenlenerek, işverene bu bilgileri saklayarak ancak yetkili kişilere ve mercilere gösterme yetkisi verdiği görülmektedir. Bu kapsamda, İş Kanunu da işverene, işçi hakkında edindiği bilgileri dürüstlük kurallarını gözeterek hukuka uygun şekilde saklama yükümlülüğü getirerek, söz konusu bilgilerin gizli kalması konusunda işverene sorumluluk yüklemektedir. Bu noktada, işçi şahsi sicil dosyasında bulunması zaruri bilgi ve belgeler için açık rıza aranmayacak ve fakat maddede belirtilmeyen özel nitelikli kişisel veriler için (örneğin özel bir sağlık raporu vb. nitelikteki bir veri) açık rıza aranacaktır denmektedir. Fakat burada nihai önerimiz, ayrım yapmaksızın baştan bir onay alınarak riskleri minimize etmektir. 6

7 İş Kanunu nda işverenin işçinin özlük dosyasını düzenlememesi halinde, işveren hakkında uygulanacak olan yaptırım, İş Kanunu nun 104/I maddesinde düzenlenmekle birlikte, işverenin işçinin kişisel verilerinin gizliliği ilkesine aykırı hareket etmesi halinde uygulanacak yaptırım düzenlenmemiştir. Buna karşın işçinin işverenin kişisel verilerinin gizliliğine aykırı olarak hareket ettiği gerekçesiyle, iş akdini İş Kanunu nun m.24/ii uyarınca haklı nedenle feshetme hakkı olduğu kabul edilebilir. İş Sağlığı ve Güvenliği Kanunu Uyarınca Çalışanın Kişisel Verilerin Gizliliğinin Kapsamı; 6331 sayılı İş Sağlığı ve Güvenliği Kanununu da, işçinin kişisel veri kapsamındaki sağlık bilgilerinin gizli tutulması konusunda işverene yükümlülük getirilmiştir. Kanunu nun Sağlık Gözetimi başlıklı 15. maddesinin son bendi uyarınca işveren, sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması açısından sağlık bilgilerini gizli tutmakla yükümlüdür. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği de işverene, iş sağlığı ve güvenliği faaliyetlerine ilişkin kaydı ve işçilerin kişisel sağlık dosyalarını saklama yükümlülüğü getirmiştir. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği nin 7. Maddesi uyarınca, İşveren ilgili mevzuatta belirlenen süreler saklı kalmak kaydıyla; işyerinde yürütülen iş sağlığı ve güvenliği faaliyetlerine ilişkin her türlü kaydı, işten ayrılma tarihinden itibaren en az 15 yıl süreyle çalışanların kişisel sağlık dosyalarını, saklar. Çalışanın işyerinden ayrılarak başka bir işyerinde çalışmaya başlaması halinde, yeni işveren çalışanın kişisel sağlık dosyasını yazılı olarak talep eder, önceki işveren dosyanın bir örneğini onaylayarak bir ay içerisinde gönderir. Onaylı defterin asıl sureti işveren, diğer suretleri ise iş güvenliği uzmanı ve işyeri hekimi tarafından saklanır. Defterin imzalanması ve düzenli tutulmasından işveren sorumludur. Teftişe yetkili iş müfettişlerinin her istediğinde işveren onaylı defteri göstermek zorundadır Kişisel Veriler Ne Zamana Kadar Saklanır; Bu Kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma getirilerek, anonim hâle getirilir. 7

8 İşyeri E-postalarındaki Veriler Kişisel midir; Anayasa Mahkemesi tarafından, tarihli ve 2013/4852 başvuru numaralı karar ile; çalışanların mahremiyetini içeren kurumsal e-postaların işverenler tarafından okunabileceğine karar verilmiştir. Anayasa Mahkemesine müracaat eden başvurucular, özel bir şirket bünyesinde çalıştıklarını, mahremiyetlerine ilişkin özel bilgiler içeren kurumsal e-postaların işverenleri tarafından incelendiğini ve içeriklerinin okunduğunu; bu sebeple özel hayata saygı ve haberleşmenin gizliliği ilkelerinin ihlal edildiğini ileri sürmüşlerdir. Anayasa Mahkemesi, söz konusu yazışmaların; işveren şirket tarafından çalışanlar adına açılmış kurumsal e-posta üzerinden yapıldığını, iş sözleşmesi ile şirket kaynaklarının kişisel amaçlar doğrultusunda yasaklandığı hususunda çalışanlara gerekli bildirimlerin yapıldığını, bu sebeple şirket tarafından e-postaların okunmasının Anayasa ile güvence altına alınan hakları zedelemeyeceğine karar vermiştir. Söz konusu kararda bilgilendirme sonrası açık rızanın varlığına bağlı olarak çalışanın işyeri Kurumsal postalarını hangi şekilde kullanabileceği konusunda gerekli şekilde bilgilendirildiği, bilgilendirme formlarında imzasının bulunduğu ve bunların veri olarak kullanabileceğine ilişkin açık rızasının bulunduğu gerekçeleri ile söz konusu verilerin kullanılabileceği ifade edilmiştir. Burada sınır, kurumsal e-postaların kişisel amaçlarla kullanımının yasaklandığını çalışana bildirmektir. İşyerinde Veri Sorumlusu Nasıl Davranmalıdır; Tüm bu açıklamalara bağlı olarak işverenin veri sorumlusu sıfatıyla öncelikle çalışanlarını açık bir şekilde bilgilendirmesi ve bilgilendirme işlemine yönelik ispat yükümlülüğüne yerine getirmesi açısından, bunu yazılı yapması ve çalışanın serbest iradesi ile açık rızasını alması gerekir. Bunların yanı sıra, elde etiği bilgileri çalışanın kişisel ve özel hayatının dokunulmazlığı kapsamında gereken özenle korumak ve gerektiğinde tedbirli bir şekilde aktarmak ve verileri saklamaya ilişkin yükümlülük sona erdiğinde silmekle yükümlüdür. Şirketler Kanuna Uyum Sağlamak Amacıyla Neler Yapmalıdır; Kanun, kişisel verilerin işlenmesine ilişkin ayrıntılı ilk yasal düzenleme olduğundan ve çok sayıda yenilik ve değişiklik gerektiren hüküm içerdiğinden, bir uyum süreci de 8

9 öngörmüştür. Buna göre tarihinden önce işlenmiş olan kişisel veriler, tarihinden itibaren 2 yıl içinde Kanun hükümlerine uygun hâle getirilecektir. Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler içinse derhâl silme, yok etme veya anonim hâle getirme zorunluluğu getirilmiştir. Bu kapsamda özellikle Şirketler ve bağımsız hizmet veren danışmanlar yönünden Kanuna uyum çalışmalarının yapılması ve öncelikli olarak; Kanun kapsamına giren faaliyetlerde bulunup bulunmadığının, bulunuyor ise bunların neler olduğunun tespit edilmesi, Şirket/Danışman adına veri işleyen üçüncü kişi veya kişiler mevcut ise (muhasebe firması, bordrolama şirketi, bulut bilişim firmaları gibi), bunlar ile aralarındaki sorumluk paylaşımının belirlenmesi, bu amaçla gerekli sözleşmelerin akdedilmesi, mevcut sözleşmelerin tadil edilmesi, denetleme prosedürlerinin getirilmesi, Şirket tarafından kullanılan iş başvuru formları dahil, tüm sözleşmelerin veri işleme ve aktarımı açısından incelenmesi ve hem Şirket/Danışman faaliyetlerine hem de Kanuna uygun olacak şekilde tadil edilmesi, Kişisel veri güvenliğinin sağlanması için gerekli teknik ve hukuki alt yapının kurulması, Şirketin/Danışmanın faaliyetleri kapsamında veri aktarımı gerçekleştiriliyor olması halinde, aktarım yapılan yurt içinde veya dışındaki üçüncü kişilere kişi ve ülkelere dair yükümlülüklerin tespit edilmesi ve gerekliyse alternatif modellerin kurulması, Veri işleme sürecinde rol oynayacak çalışanların eğitilmesi faydalı olacaktır. Kanunun uygulaması açısından yönetmeliklerin çıkması beklenmekte ve konunun yönetmeliklerle daha ayrıntılı düzenleneceğini düşünmekteyiz sayılı Kişisel Verilerin Korunması Kanunu nun tamamına ulaşmak için tıklayınız. 9