KVKK (6698 Sayılı Kişisel Verilerin Korunması Kanunu)

6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016'da Resmî Gazete'de yayımlandı. Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her bilgi kişisel veridir. Ad-soyad ve T.C. kimlik numarası bu kapsamdadır. Telefon numarası, IP adresi, konum ve cihaz bilgileri de belirli bir kişiyle ilişkilendirilebildiğinde kapsama girer. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve karar organı olan Kişisel Verileri Koruma Kurulu denetler.

Kişisel veriler hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. İşleme için açık rıza ya da kanunda sayılan diğer şartlardan biri bulunmalıdır. Bu şartlara örnek olarak kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat sayılabilir. Sağlık ve biyometrik veriler gibi özel nitelikli kişisel veriler için daha sıkı şartlar uygulanır. Veri sorumlusu, veriyi toplarken kişiyi aydınlatmak ve veri güvenliği için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Veri sahibinin hakları arasında verilerinin işlenip işlenmediğini öğrenmek, düzeltilmesini veya silinmesini istemek ve zarara uğradıysa zararın giderilmesini talep etmek vardır. Başvurular en geç 30 gün içinde sonuçlandırılmalıdır. Kurul kararı uyarınca veri ihlallerinin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirilmesi beklenir. Belirli kriterleri karşılayan veri sorumluları Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmalıdır. 2024'teki değişiklikle özel nitelikli verilerin işlenme şartları ve yurt dışına veri aktarımı kuralları (standart sözleşmeler, bağlayıcı şirket kuralları gibi araçlar) yeniden düzenlendi.

Misafir Wi-Fi, CRM, çok kanallı mesajlaşma ve log yönetimi gibi sistemler yoğun kişisel veri işler. Bu sistemlerde aydınlatma metinleri ve rıza kayıtları saklanmalıdır. Veriye erişim yetkiyle sınırlandırılmalı ve kayıt altına alınmalıdır. Saklama süresi dolan veriler silinmeli veya anonim hâle getirilmelidir. Yurt dışında barındırılan servislerin aktarım kurallarına uygunluğu da değerlendirilmelidir. 5651 gibi özel kanunlardan doğan saklama yükümlülükleri, KVKK açısından hukuki yükümlülüğün yerine getirilmesi şartına dayanır.