Bilişim Hukuku ve KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu md. 11 uyarınca herkes veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme haklarına sahiptir.

Aynı maddede yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme, kanunda öngörülen şartlarda silinmesini veya yok edilmesini isteme hakları da sayılmıştır.

Otomatik sistemler aracılığıyla yapılan analiz sonucu aleyhe bir sonuç doğması hâlinde buna itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme hakkı da düzenlenmiştir.

Kanun md. 13 uyarınca veri sorumlusu, başvuruda yer alan talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde tarifedeki ücret alınabilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde Kurula şikâyet yolu açılır.

Kanun md. 14 uyarınca bu şikâyet, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılır. Sürelerin kaçırılması şikâyet imkanını ortadan kaldırır.

Kanun md. 9 uyarınca kişisel veriler, md. 5 ve md. 6’da belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması hâlinde yurt dışına aktarılabilir.

Yeterlilik kararı bulunmayan hâllerde standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya uluslararası sözleşme gibi uygun güvencelerden birine dayanılması öngörülmüştür. İlgili kişinin hak arama imkanının bulunması aranır.

Bu çerçeve, bulut hizmeti ve grup içi veri paylaşımı kullanan şirketler bakımından ayrı bir uyum çalışması gerektirir. Aktarımın hangi dayanağa göre yapıldığı belgelendirilmelidir.

Aydınlatma yükümlülüğü, veri işlemeden önce yerine getirilir ve rıza alınmasından bağımsızdır. Metinde veri sorumlusunun kimliği, işleme amaçları, aktarım ve hukuki sebep yer alır.

Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür irade ile açıklanmalıdır. Hizmetin sunulmasını rızaya bağlamak, rızayı geçersiz kılabilir.

Rıza dışındaki hukuki sebepler varsa rıza alınması yerine bu sebeplere dayanılması tercih edilir. Gereksiz rıza toplanması, uyum riskini artırır.

Belirlenen ölçütleri aşan veri sorumlularının Veri Sorumluları Siciline kaydolması öngörülmüştür. Kayıt yükümlülüğünün kapsamı çalışan sayısı ve mali büyüklük gibi ölçütlere bağlıdır.

Kayıt öncesinde kişisel veri işleme envanteri hazırlanır. Envanter, işleme amaçları, veri kategorileri, saklama süreleri ve aktarım bilgilerini içerir.

Saklama ve imha politikasının yazılı hâle getirilmesi gerekir. Süresi geçen verilerin imha edilmemesi, denetimde en sık karşılaşılan eksikliktir.

İşe alım, özlük ve performans süreçlerinde işlenen veriler için hukuki sebebin doğru belirlenmesi gerekir. İş sözleşmesinin kurulması ve kanuni yükümlülükler sık kullanılan sebeplerdir.

Kamera kaydı, konum takibi ve kurumsal e-posta denetimi gibi uygulamalarda ölçülülük aranır. Çalışanın önceden bilgilendirilmiş olması zorunludur.

Sağlık verileri özel nitelikli veri olduğundan daha sıkı koşullara tabidir. Bu verilerin erişim yetkisinin sınırlandırılması gerekir.

Kişisel verilerin hukuka aykırı olarak erişilmesi hâlinde veri sorumlusunun en kısa sürede Kurula ve ilgili kişilere bildirim yapması öngörülmüştür. Bildirim süresi kısa olduğundan hazırlık önceden yapılmalıdır.

Olayın kapsamı, etkilenen veri kategorileri ve alınan önlemler kayda geçirilir. İhlal kayıt defterinin tutulması gerekir.

Teknik inceleme raporu ve alınan düzeltici önlemler, idari yaptırım değerlendirmesinde dikkate alınır. Bu nedenle müdahale adımlarının belgelenmesi önemlidir.

Aydınlatma, veri güvenliği, sicile kayıt ve Kurul kararlarına uymama gibi yükümlülüklerin ihlali idari para cezası ile yaptırıma bağlanmıştır. Cezalar her yıl güncellenir.

Kurul kararına karşı idari yargıda iptal davası açılabilir. Dava açma süresinin kararın tebliğinden itibaren hesaplanması gerekir.

İdari yaptırımın yanında zarar gören kişilerin tazminat talebi de gündeme gelir. Bu nedenle uyum çalışmasının belgelenmesi çift yönlü koruma sağlar.

5651 sayılı Kanun kapsamında kişilik haklarının ihlal edildiği iddiasıyla sulh ceza hâkimliğine başvurularak içeriğin kaldırılması veya erişimin engellenmesi istenebilir. Karar hızlı biçimde verilir.

Ayrıca içerik veya yer sağlayıcısına doğrudan başvuru yolu da açıktır. Başvurunun içeriğin adresini ve ihlalin nedenini açıkça göstermesi gerekir.

Arama sonuçlarından çıkarılma talebi ise veri koruma mevzuatına dayanır. Talep reddedilirse Kurula şikâyet yolu kullanılabilir.

Paylaşımın suç oluşturduğu düşünülüyorsa cumhuriyet başsavcılığına şikâyette bulunulabilir. Hakaret suçu bakımından şikâyet süresi öngörülmüştür.

Aynı olay için ayrıca manevi tazminat davası açılabilir. Ceza ve hukuk yolları birbirinden bağımsız yürür.

Delillerin kaybolmaması için içeriğin noter veya bilirkişi aracılığıyla tespiti yararlıdır. Ekran görüntüsü tek başına zayıf delil olabilir.

İddianın dayanağı olan log kayıtları, cihaz incelemesi ve bilirkişi raporu ayrıntılı biçimde incelenir. Kayıtların bütünlüğü ve zaman damgası tartışmanın merkezindedir.

Yetkili erişim ile yetkisiz erişim ayrımı önemlidir. Çalışanın görevi gereği eriştiği verilerde suçun unsurları farklı değerlendirilir.

Elde edilen delillerin hukuka uygun biçimde toplanıp toplanmadığı ayrıca denetlenir. Usulsüz arama ve el koyma, delilin değerlendirilmesini etkiler.

Mesafeli sözleşmelere ilişkin bilgilendirme, cayma hakkı ve teslim süreleri bakımından tüketici mevzuatına uyum gerekir. Ön bilgilendirme formunun kalıcı veri saklayıcısı ile sunulması aranır.

Ticari elektronik ileti gönderimi için önceden onay alınması ve İYS kaydının yapılması gerekir. Onaysız gönderim idari para cezası doğurur.

Site üzerinden toplanan kişisel veriler için aydınlatma, çerez yönetimi ve saklama süreleri düzenlenmelidir. Ödeme altyapısıyla yapılan veri paylaşımı da belgelendirilmelidir.

Teslim kapsamı, kabul kriterleri, bakım ve destek koşulları ile hizmet seviyesi taahhütleri açık yazılmalıdır. Belirsiz kapsam, ek iş tartışmasına dönüşür.

Fikri hakların kime ait olacağı ve kaynak kodun devredilip devredilmeyeceği ayrıca düzenlenmelidir. Devredilmiyorsa kullanım lisansının kapsamı belirtilir.

Veri işleme rolleri sözleşmede tanımlanmalıdır. Hizmet sağlayıcının veri işleyen sıfatı taşıdığı hâllerde ek güvenlik yükümlülükleri öngörülür.

İnternetteki bir içeriğin çıkarılması veya erişimin engellenmesi talebi, 5651 sayılı Kanun md. 9 uyarınca sulh ceza hâkimliğine yapılır. İzmir'de bu başvurular İzmir Adliyesi'ndeki sulh ceza hâkimliklerine yöneltilir.

Kişisel verilere ilişkin ihlallerde önce Kişisel Verileri Koruma Kurulu'na şikayet edilir. Kurul kararına karşı iptal davası idare mahkemesinde açılır; İzmir'deki veri sorumluları bakımından bu dosyalar İzmir idare mahkemelerinde görülür. Maddi ve manevi tazminat talebi ise asliye hukuk mahkemesinin görev alanındadır.

Bilişim yoluyla işlenen suçlara ilişkin şikayetler İzmir Cumhuriyet Başsavcılığı'na yapılır.