KVKK Tarafından Çerez Uygulamaları Hakkında Rehber yayımlanandı
Rehber’de yer alan önemli gelişmeleri paylaşmadan önce bazı temel bilgileri hatırlamakta fayda olacaktır;
GDPR (General Data Protection Regulation), Avrupa Genel Veri Koruma Tüzüğü / Yönetmeliği'dir. Avrupa genelinde, Avrupa Birliği vatandaşlarının kişisel verilerini korumaya yönelik oluşturulmuş bir yönetmeliktir.
Kişisel veriler, tanımlanmış veya tanımlanabilir gerçek bir kişi (veri konusu) ile ilgili herhangi bir bilgi anlamına gelir.
(Genel olarak bakıldığında, bir şirketin konumu Avrupa Birliği sınırları içerisinde bulunmasa bile, Avrupa Birliği içinde yerleşik olan vatandaşların verileri toplanırsa, bu şirket GDPR’dan sorumlu tutulur. Avrupa Birliği içinde müşteri tabanı bulunan mal ya da hizmet sağlayıcılarının, verileri GDPR’a uyumlu olacak şekilde işlemeleri zorunludur.
Yönetmelikte belirtildiği şekilde yapılmıyorsa ya da ilgili kişiden yani kişisel veri sahibinden açık bir onay alınmıyorsa hiçbir kişisel veri işlenemez. Kişisel veri sahibinden onay alınmalı, kanunda ya da tüzükte belirtilen şartlar yerine getirilmeli ya da açık rıza alınmalıdır.
GDPR’a bir uyumsuzluk söz konusu olduğunda 20.000.000 Euro'ya kadar ya da geçmiş mali yılın global cirosunun %4’üne kadar bir para cezası söz konusudur. Bu tutarlardan, yüksek olan miktar uygulanır.
GDPR ve KVKK Karşılaştırması
KVKK’nın amacı, kişilerin kişisel verilerinin gelişi güzel toplanmaması, işlenmemesi, hukuka aykırı faaliyetlerinin olmaması ve genel olarak en temel hak ve özgürlüklerin Devlet tarafından korunması için bazı yükümlülükler getirmektir.
Türkiye’de 6698 Sayılı Kişisel Verileri Koruma Kanunu (KVKK), AB’nin GDPR onaylamasından sadece birkaç hafta önce 7 Nisan 2016’da yürürlüğe girdi.
KVKK ve GDPR arasında en önemli farklardan biri, yapılan ihlallerden dolayı doğan sorumluluğa ilişkindir.
GDPR’da veri kontrolörü denilen, KVKK kapsamındaki karşılığı veri sorumlusu olan tüzel kişiye de veri işleyen diye sınıflandırılan, veri sorumlusuna, veri kontrolörüne ve veri işleyen kişiye yani tüzel kişiliğe de bir sorumluluk yüklemektedir.
GDPR’da yer alan ama KVKK’da yer almayan bazı kavramlar aşağıdaki gibidir;
Data Protection Officer (Veri Koruma Görevlisi)
Data Protection Representative (Veri Koruma Temsilcisi)
Data Protection Impact Assessment (Veri Koruma Etki Değerlendirmesi) Veri kontrolörünün işleme faaliyetinden önce yapılacak işleme faaliyetlerinin kişisel verilerin korunmasına olan etkisine ilişkin bir değerlendirmedir. GDPR, değerlendirmelerin kişisel verilerin geniş çaplı işlenmesi durumunda yapılmasını zorunlu tutmaktadır. KVKK’da aynı durum söz konusu değildir.
KVKK’da sicile kayıt yükümlülüğü bulunmaktadır. VERBİS kullanmak zorunludur (kişisel verilerin korunması kanununa uyumluluk süreci).
KVKK’da da GDPR’da da aydınlatma metni vardır. Aydınlatma metni; kişisel bir verinin işlenmesi durumunda, bu kişisel verinin neden, hangi amaçla ve nerede işleneceği, ne kadar sağlanacağı ve yasal dayanağının ne olduğu ile alakalı ya da yapılan kişisel veri ile alakalı yapılan işlemin ne olduğu ile alakalı ilgili kişiyi bilgilendirme, yani aydınlatma yükümlülüğü vardır.
GDPR- Çerezler
Dünyadaki en güçlü veri koruma düzenlemelerinden biri olan GDPR işletmelere hangi verileri toplayabileceklerini, nasıl depolayacaklarını, ne için kullanacaklarını, hangi gizlilik politikalarına sahip olmaları ve veri toplamaya dair hangi onayı almaları gerektiğini söyler.
GDPR kapsamında tüketiciler; kimin nasıl bilgi topladığını ve kullandığını, üçüncü bir partinin erişimi olup olamadığını kontrol eder.
Türkiye’de olduğu gibi rıza geri alınabilir.
Gizlilik politikası kullanıcılara kişisel verilerinin nasıl toplanıp kullanılacağını söyler.
Çerez politikası bazı bilgileri içermelidir;
- Çerezlerin nasıl kullanıldığı
- Sitede kullanılan çerez tipleri
- Üçüncü parti tarafından kullanılıp kullanılmadığı
- Kullanıcıların çerezleri nasıl reddedebilecekleri
Kişisel Verileri Koruma Kurulu tarafından yayımlanan çerezlerle ilgili rehberde öne çıkan hususlar:
- GDPR ile aynı türleri içeren “genel çerez terimi ve çerez türleri” açıklanmıştır.
- Kanunda ana kural “açık rıza” olduğundan, çerez kullanımının prensip ve istisna durumlarına değinilmiştir.
- Kriter A (çerezin sadece, iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması) ve Kriter B (çerez kullanımın kesinlikle gerekli olması) ayrımı yapılmıştır.
- GDPR ile aynı şekilde alınması gereken açık rıza unsurları sıralamıştır.
- Verilerin yurt dışına aktarılması konusunda çok ayrıntılı olmayan ana bilgiler verilmiştir.
- Hukuka uygun aydınlatmanın ayrıntıları verilmiştir.
- Kişisel verileri koruma kurulunun 27/02/2020 tarih ve 2020/173 sayılı kararı değerlendirmesi bulunmaktadır.
GDPR ve KVKK aşağı yukarı aynı konuları benzer başlıklarda ele alsa da her bir maddenin GDPR’ da daha ayrıntılı açıklandığını ve sistemin biraz daha spesifik hale getirildiğini görüyoruz.
Bülten içeriği genel bilgilendirme amacıyla hazırlanmıştır. Detaylı bilgi ya da spesifik sorun veya sorularınız için hukukçunuza danışınız.