KVKK İhlali Nedir? Temel Kavramlar
Kişisel Verilerin Korunması Kanunu (KVKK), bireylerin kişisel verilerinin işlenmesi sırasında haklarını korumak amacıyla yürürlüğe girmiştir. Bu kanun, veri sorumlusu ve veri işleyen kavramlarıyla birlikte kişisel verilerin hukuka uygun bir şekilde işlenmesi için çerçeve çizer.
Bir KVKK ihlali, kanunda belirtilen ilke ve yükümlülüklere aykırı hareket edilmesi anlamına gelir. Bu ihlaller, kişisel verilerin yetkisiz erişimi, hukuka aykırı işlenmesi, silinmemesi veya anonimleştirilmemesi gibi çeşitli şekillerde ortaya çıkabilir.
KVKK İhlali Türleri ve Yaygın Örnekler
KVKK ihlalleri farklı kategorilerde değerlendirilir. Her bir ihlal türünün kendine özgü sonuçları ve yaptırımları bulunur.
- Veri Güvenliği İhlalleri: Kişisel verilerin yetkisiz kişilerin eline geçmesi, kaybolması veya hasar görmesi. Örneğin, bir siber saldırı sonucu müşteri veritabanının çalınması.
- Aydınlatma Yükümlülüğü İhlalleri: Veri sorumlusunun, kişisel verileri işlenen kişileri bu durum hakkında bilgilendirmemesi. Örneğin, bir web sitesinin çerez politikası hakkında yeterli bilgi vermemesi.
- Rıza Alma Yükümlülüğü İhlalleri: Kanun gereği açık rıza alınması gereken durumlarda rıza alınmadan veri işlenmesi. Örneğin, pazarlama e-postaları için izin alınmaması.
- Veri İşleme Şartlarına Aykırılık: Kişisel verilerin kanunda belirtilen amaçlar dışında veya orantısız bir şekilde işlenmesi. Örneğin, topladığı verileri farklı bir amaç için kullanma.
- Veri Saklama ve Silme İhlalleri: Kişisel verilerin gereğinden uzun süre saklanması veya silme/anonimleştirme yükümlülüğünün yerine getirilmemesi.
KVKK İhlali Durumunda Uygulanan Cezalar
KVKK ihlalleri, idari para cezaları ve bazı durumlarda Türk Ceza Kanunu kapsamında cezai yaptırımları beraberinde getirir. Bu yaptırımlar, ihlalin niteliğine ve ağırlığına göre değişir.
İdari Para Cezaları
Kişisel Verileri Koruma Kurumu (KVKK) tarafından uygulanan idari para cezaları, KVKK'nın 18. maddesinde düzenlenmiştir. Bu cezaların miktarı, ihlalin türüne ve veri sorumlusunun büyüklüğüne göre değişebilir.
- Aydınlatma yükümlülüğüne aykırılık: 5.000 TL'den 100.000 TL'ye kadar.
- Veri güvenliğine ilişkin yükümlülüklere aykırılık: 15.000 TL'den 1.000.000 TL'ye kadar.
- Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüğüne aykırılık: 20.000 TL'den 1.000.000 TL'ye kadar.
- Kurul kararlarına uymama: 25.000 TL'den 1.000.000 TL'ye kadar.
Bu cezalar, ihlalin tekrarlanması veya ağırlaşması durumunda artırılabilir. Kişisel Verileri Koruma Kurulu (KVKK), ihlalin tüm koşullarını değerlendirerek nihai kararı verir.
Cezai Yaptırımlar
Bazı KVKK ihlalleri, Türk Ceza Kanunu (TCK) kapsamında da suç teşkil edebilir. Bu durumlarda, veri sorumluları veya veri işleyenler hakkında hapis cezası gibi daha ağır yaptırımlar uygulanabilir.
- Kişisel verilerin hukuka aykırı olarak kaydedilmesi (TCK m. 135): Bir yıldan üç yıla kadar hapis cezası.
- Kişisel verileri verme veya ele geçirme (TCK m. 136): İki yıldan dört yıla kadar hapis cezası.
- Verileri yok etmeme (TCK m. 138): Bir yıldan iki yıla kadar hapis cezası.
Bu suçlar genellikle kasıtlı davranışları kapsar. KVKK ihlallerinin cezai boyutu, veri sorumlusu için ciddi sonuçlar doğurabilir.
İdari Para Cezalarının Belirlenme Kriterleri
Kurul, idari para cezalarının miktarını belirlerken çeşitli faktörleri göz önünde bulundurur. Bu kriterler, cezanın adil ve orantılı olmasını sağlar.
- İhlalin niteliği ve ağırlığı.
- İhlalden etkilenen kişi sayısı ve bu kişilerin hassas veri kategorisine girip girmediği.
- Veri sorumlusunun kusur derecesi (kasıt veya ihmal).
- Veri sorumlusunun ihlali öğrenir öğrenmez aldığı önlemler.
- İhlalin devam edip etmediği.
- Veri sorumlusunun ekonomik durumu.
- Veri sorumlusunun geçmişteki ihlalleri.
- Kurul ile işbirliği yapma derecesi.
Bu kriterler, her olayın kendi içinde değerlendirilmesine olanak tanır. Kişisel Verileri Koruma Kurumu, şeffaf bir şekilde ceza belirleme süreçlerini yürütür.
KVKK İhlalinde Sorumluluk ve Yükümlülükler
KVKK ihlalleri durumunda, veri sorumlusu ve veri işleyenin sorumlulukları ayrı ayrı değerlendirilir.
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen gerçek veya tüzel kişidir. KVKK'ya göre, veri güvenliğini sağlamak için gerekli tüm idari ve teknik tedbirleri almakla yükümlüdür. İhlal durumunda birincil sorumlu genellikle veri sorumlusudur.
- Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak kişisel verileri işleyen gerçek veya tüzel kişidir. Veri işleyen, veri sorumlusunun talimatlarına uygun hareket etmek ve veri güvenliği tedbirlerini almakla yükümlüdür. Ancak, kendi kusurundan kaynaklanan ihlallerden doğrudan sorumlu tutulabilir.
Hem veri sorumluları hem de veri işleyenler, ihlallerin önlenmesi ve ihlal meydana geldiğinde doğru adımların atılması konusunda proaktif olmalıdır.
KVKK İhlaline Karşı Korunma Yolları ve Önlemler
KVKK ihlallerinin önüne geçmek için hem teknik hem de idari birçok önlem alınabilir. Bu önlemler, veri sorumlularının yasal yükümlülüklerini yerine getirmesine yardımcı olur.
- Personel Eğitimi: Tüm çalışanlara KVKK hakkında düzenli eğitimler verilmesi, farkındalığın artırılması.
- Gizlilik Politikaları: Şeffaf ve anlaşılır gizlilik politikaları ve aydınlatma metinleri hazırlanması.
- Teknik Güvenlik Önlemleri: Verilerin şifrelenmesi, güvenlik duvarları, yetki matrisleri, sızma testleri gibi teknik tedbirlerin alınması.
- İdari Tedbirler: İç denetimler, risk analizleri, veri işleme envanterinin oluşturulması ve güncel tutulması.
- Sözleşmelerin Gözden Geçirilmesi: Veri işleyenlerle yapılan sözleşmelerin KVKK uyumluluğunun sağlanması.
- Veri İhlali Müdahale Planı: Bir veri ihlali durumunda hızlı ve etkili bir şekilde müdahale etmek için bir planın hazır bulundurulması.
Bu adımlar, olası ihlallerin önüne geçmek ve yasal riskleri minimize etmek için kritik öneme sahiptir.
Hukuki Süreç ve Başvuru Yolları
Kişisel verileri ihlal edilen bir birey, haklarını aramak için çeşitli yollara başvurabilir.
- Veri Sorumlusuna Başvuru: İlk adım olarak, ilgili kişi veri sorumlusuna başvurarak haklarını talep etmelidir. Veri sorumlusu, bu başvuruyu 30 gün içinde yanıtlamak zorundadır.
- Kişisel Verileri Koruma Kurumu'na Şikayet: Veri sorumlusunun başvuruya yanıt vermemesi, yetersiz yanıt vermesi veya yanıtın tatmin edici olmaması durumunda, ilgili kişi KVKK'ya şikayette bulunabilir. Kurul, şikayeti değerlendirerek gerekli incelemeyi yapar ve kararını açıklar.
- Yargı Yolu: Kurul kararlarına karşı idari yargıda dava açma hakkı veya doğrudan kişisel verilerle ilgili suçlarda Cumhuriyet Başsavcılığı'na suç duyurusunda bulunma hakkı da mevcuttur.
Bu süreçler, bireylerin kişisel verilerin korunması hakkını etkin bir şekilde kullanmasını sağlar.
Sıkça Sorulan Sorular (SSS)
KVKK ihlali bildirim süresi ne kadardır?
Veri sorumlusu, bir veri ihlalinin gerçekleşmesi halinde, bu durumu öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmek zorundadır. Ayrıca, ihlalden etkilenen ilgili kişilere de gecikmeksizin bildirim yapılmalıdır.
Bir KVKK ihlali durumunda ne yapmalıyım?
Eğer kişisel verilerinizin ihlal edildiğini düşünüyorsanız, öncelikle ilgili veri sorumlusuna yazılı olarak başvurmalısınız. Veri sorumlusu bu başvuruyu 30 gün içinde yanıtlamalıdır. Yanıt tatmin edici değilse veya hiç yanıt verilmezse, Kişisel Verileri Koruma Kurulu'na şikayette bulunabilirsiniz.
Küçük işletmeler de KVKK'ya uymak zorunda mı?
Evet, KVKK kapsamındaki tüm gerçek ve tüzel kişiler, kişisel veri işleme faaliyetinde bulunmaları halinde kanun hükümlerine uymak zorundadır. İşletmenin büyüklüğü, kanuna uyma yükümlülüğünü ortadan kaldırmaz; ancak bazı yükümlülükler (örneğin VERBİS kaydı gibi) belirli eşiklere göre farklılık gösterebilir.
