KVKK ve Bilişim Uyuşmazlıkları ve Sözleşmeleri

KVKK, Bilişim Uyuşmazlıkları ve Sözleşmeleri

Kişisel verilerin korunması ve bilişim hukuku; bir internet sitesindeki çerezlerden çalışan verilerinin saklanmasına, yazılım sözleşmelerinden dijital ortamda yaşanan hak ihlallerine kadar farklı konuları kapsar. Hukuki değerlendirmede önce verinin nasıl elde edildiği, hangi amaçla kullanıldığı, kimlerle paylaşıldığı veya tarafların sözleşmede hangi yükümlülükleri üstlendiği belirlenir. Başvuru yolu ve süreler de bu tespitlere göre incelenir.

Kişisel verilerin korunması ve KVKK uyumu

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir uyum çalışması, yalnızca aydınlatma metni hazırlamaktan ibaret değildir. İşlenen veri kategorilerinin, işleme amaçlarının, hukuki sebeplerin, alıcı gruplarının ve saklama sürelerinin fiilî işleyişle birlikte değerlendirilmesi gerekir. Bu kapsamda gündeme gelebilecek çalışmalar şunlardır:

• Kişisel veri işleme faaliyetlerinin ve veri akışlarının belirlenmesi;
• Aydınlatma metinleri ile gerekli olduğu durumlarda açık rıza süreçlerinin incelenmesi;
• İnternet sitesi ve uygulamalardaki çerez kullanımının değerlendirilmesi;
• Kişisel verilerin saklanması, silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin süreçlerin ele alınması;
• Çalışan, müşteri ve tedarikçi ilişkilerindeki veri koruma hükümlerinin incelenmesi;
• Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğünün ve varsa istisnaların değerlendirilmesi.

Her veri işleme faaliyeti açık rızaya dayanmaz; her veri sorumlusu için de VERBİS kaydı zorunlu değildir. Uygulanacak yükümlülük, ilgili faaliyetin ve güncel düzenlemelerin incelenmesiyle belirlenir.

İlgili kişi başvuruları ve Kurula şikâyet

Bir kişi, kendisiyle ilgili verilerin işlenip işlenmediğini öğrenmek; şartları varsa verilerinin düzeltilmesini veya silinmesini istemek için veri sorumlusuna başvurabilir. Veri sorumlusu başvuruyu niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyet yolu değerlendirilebilir. Şikâyet bakımından, cevabın öğrenildiği tarihten itibaren 30 günlük ve her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 günlük süre dikkate alınır. Bu süreçte başvurunun içeriği, tebliğ ve cevap tarihleri ile mevcut belgeler önem taşır.

Veri ihlalleri ve yurt dışına veri aktarımı

Bir veri ihlali iddiasında, hangi verilerin etkilendiği, ihlalin nasıl gerçekleştiği, alınan önlemler ve bildirim yükümlülükleri birlikte incelenir. Kurul incelemesi veya ilgili kişi şikâyeti söz konusu olduğunda kayıtların ve verilen cevapların tutarlılığı da önemlidir.

Yurt dışına kişisel veri aktarımında ise kullanılan bulut hizmetinin veya başka bir hizmet sağlayıcının bulunduğu yer tek başına yeterli bir değerlendirme ölçütü değildir. Aktarımın kapsamı, hukuki şartları ve uygulanabilecek güvence mekanizması belirlenmelidir. Güncel düzenleme; yeterlilik kararı, uygun güvenceler ve sınırlı arızi aktarım hâlleri arasında farklı koşullar öngörmektedir. Standart sözleşmeler ve bağlayıcı şirket kuralları, koşulları oluştuğunda değerlendirilebilecek mekanizmalardandır.

Bilişim sözleşmeleri ve dijital uyuşmazlıklar

Yazılım geliştirme, lisans, bakım, barındırma ve dijital hizmet sözleşmelerinde uyuşmazlık çoğu zaman işin kapsamının yeterince açık yazılmamasından doğar. Teslim edilecek ürünün özellikleri, kabul yöntemi, değişiklik talepleri, ücretlendirme, fikrî haklar, gizlilik ve sözleşme sona erdiğinde verilerin akıbeti birlikte düzenlenmelidir.

Bir uyuşmazlık ortaya çıktığında sözleşmenin yanında yazışmalar, teslim kayıtları, sistem logları ve diğer dijital deliller de incelenir. Bu kayıtların nasıl elde edildiği ve muhafaza edildiği, uyuşmazlığın değerlendirilmesinde önem taşıyabilir.

İnternet içerikleri, basın ve medya hukuku

İnternet ortamındaki bir içerik kişisel verileri, özel hayatı veya kişilik haklarını etkiliyorsa uygulanabilecek yol, içeriğin niteliğine göre belirlenir. İçeriğin çıkarılması, erişimin engellenmesi, cevap ve düzeltme talepleri ile tazminat veya suç duyurusu imkânları aynı koşullara tabi değildir. Bu nedenle yayının kaynağı, içeriği, yayımlanma tarihi ve ihlal iddiasını destekleyen kayıtlar ayrı ayrı incelenmelidir.

Samsun’da veya Türkiye'nin herhangi bir yerde ortaya çıkan KVKK ve bilişim hukuku uyuşmazlıklarında da değerlendirme, somut olayın belgelerine ve ilgili başvuru sürelerine dayanır.