6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU’NUN KAPSAMI HAKKINDA BİLGİ NOTU

(17/04/2019)

KİŞİSEL VERİLERİ KORUMA KANUNU UYARINCA KİMLER VERİSİ İŞLENEN VE VERİYİ İŞLEYENLER KAPSAMINA GİRER?

07.04.2016 günü yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun" olarak anılacaktır), yalnızca kişisel verileri işlenen gerçek kişileri VERİ İŞLENEN kapsamına almıştır. Kanun, kişisel verileri işlenen tüzel kişileri bu kanun kapsamı dışında bırakmıştır. 

VERİ İŞLEME faaliyetini gerçekleştirenler açısından ise; Kanun, verileri tamamen veya kısmen otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydı ile otomatik olmayan yollarla işleyen gerçek veya tüzel kişiler ifadesini kullanmıştır. 

Kişisel verilerin otomatik yollarla işlenmesinden, Kanun'un gerekçesinde bilişim sistemleri üzerinden gerçekleştirilen faaliyetler olarak bahsedilmektedir. Dolayısı ile verilerin; insan müdahalesi olmadan, yazılım veya donanım özellikleri aracılığı ile önceden hazırlanmış algoritmalar ile işlemci sahibi cihazlar tarafından yerine getirilen veri kaydı, kaydedilen verilere mantıksal ve aritmetik işlemler uygulanması, bu verilerin silinmesi, değiştirilmesi, aktarılması veya geri elde edilmesi şeklinde gerçekleşen faaliyetler otomatik veya kısmen otomatik yöntemler olarak tanımlanabilir.

Kanun ifadesinde, gerçek veya tüzel kişi veyahut özel sektör ile kamu kurumları arasında ayrım yapmamıştır. Yalnız kanun bu ifadesi ile, veri işleme faaliyetini gerçekleştirmesine rağmen bir veri kayıt sisteminin parçası olmadan veri işleyenleri kanunun kapsamı dışında bırakmıştır. 

KİŞİSEL VERİLERİ KORUMA KANUNU KAPSAMI DIŞINDA BIRAKILAN HALLER:

Kanun, 28. Maddesi ile iki farklı istisna hali öngörmüştür. Bu madde çerçevesindeki haller, tam veya kısmi olarak bu kanundan muaflardır. Tam istisna hallerinde Kanun hükümlerinin hiçbiri uygulama alanı bulamazken, ikinci fıkrada sayılan kısmi istisna hallerinde ise Kanun'un yalnızca aydınlatma yükümlülüğü, ilgili kişinin hakları ve Veri Sorumluları Sicili'ne kayıt ile ilgili hükümlerine istisna getirilmiştir. Ayrıca Kanun, veri sorumlularının kaydedileceği Veri Sorumluları Sicili'nin düzenlendiği 16. maddesinin 2. fıkrasında, işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması hali veya üçüncü kişilere aktarılma durumu  gibi yine Kurul tarafından belirlenen objektif kriterlere uymak kaydı ile, Kişisel Verileri Koruma Kurulu'nun Kurul kararları ile Veri Sorumluları Sicili'ne kayıt yükümlülüğüne istisna getirebileceğini öngörmüştür.

•  6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 28. Maddesinin 1. Fıkrası Kapsamında Tam İstisna Halleri:

1- Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi 

2- Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi

3- Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi

4- Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi

5-  Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi

Veri işleyen, yukarıda  sayılan tam istisna hallerinden birini karşıladığı takdirde ilgili Kanun'un hiçbir hükmü uygulanmayacaktır.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 28. Maddesinin 2. Fıkrası Kapsamında Kısmi İstisna Halleri

1- Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması

2- İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi

3- Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması

4- Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması

Veri işleyen, yukarıda sayılan kısmi istisna hallerinden birini karşıladığı takdirde, Kanun'un amacına ve temel ilkelerine uygun ve orantılı olma şartı ile, yalnızca aydınlatma yükümlülüğünü düzenleyen 10uncu maddeden, zararın giderilmesini talep etme hakkı dışında, ilgili kişinin haklarını düzenleyen 11inci maddeden ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeden muaf olacaktır.

Kurulun 02/04/2018 tarih ve 2018/32 sayılı Kararı ile;

1-Herhangi bir veri kayıt sisteminin parçası olmak  kaydıyla yalnızca otomatik olmayan yollarla  kişisel veri işleyenler, 

2- 18/01/1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler ,

3- 04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş dernekler, 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflar ve 18/10/2012 tarihli ve 6356 sayılı Sendikalar Ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan; yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışan, üye, mensup ve bağışçılarına yönelik kişisel verileri işleyenler,

4- 22/04/1983 tarihli ve 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş siyasi partiler,

5- 119/03/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar,

6- 01/06/1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik Ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ve yeminli mali müşavirler,

Kurulun 28/06/2018 tarih ve 2018/68 sayılı Kararı ile;

4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri,

Kurulun 05/07/2018 tarih ve 2018/75 sayılı Kararı ile;

Arabulucular,

Kurulun 19/07/2018 tarih ve 2018/87 sayılı Kararı ile;

Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon Türk Lirasından az olan gerçek veya tüzel kişi veri sorumlularından, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar,

Yalnızca veri sorumlularının kaydedileceği Veri Sorumluları Sicili'ne kayıt zorunluluğundan istisnadır. Veri işleyen, Kurul kararlarından birinin şartlarını karşıladığı takdirde ilgili Kanunun yalnızca Veri İşleme Sistemi'ne kayıt hükmünden muaf olacaktır. Kayıt yükümlülüğünden istisna olan veri sorumluları, diğer veri sorumluları gibi Kanun'un aydınlatma yükümlülüğü, veri güvenliğine ilişkin yükümlülükler, ilgili kişiler tarafından yapılan başvuruların cevaplanma yükümlülüğü ve Kurul kararlarının yerine getirilmesi yükümlülüğü gibi diğer tüm hükümlerine tabidir.