Madde 12

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.12, veri güvenliğini işleme faaliyetinin bütünü boyunca yerine getirilecek bir yükümlülük olarak düzenler.2 Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ve kişisel verileri muhafaza etmek için gerekli teknik ve idari tedbirleri almak zorundadır.1

Bir işleme faaliyetinin hukuki sebebi KVKK m.5 veya m.6'ya, genel ilkelere uygunluğu ise m.4'e göre belirlenecektir. Veri sorumlusunun bu faaliyet için aldığı güvenlik tedbirleri ayrıca m.12'ye göre incelenecektir. İşleme şartının bulunması güvenlik incelemesini ortadan kaldırmadığı gibi, güvenlik tedbirlerinin alınmış olması da bulunmayan işleme şartının yerine geçemez.3

KVKK m.12/1, alınacak tedbirleri kapalı bir listeyle belirlememiştir. Buna göre veri sorumlusu, somut işleme faaliyetine uygun güvenlik düzeyini sağlamakla yükümlüdür.1 Kurumun Kişisel Veri Güvenliği Rehberi'ne göre risk değerlendirmesinde verinin niteliği, gerektirdiği gizlilik düzeyi, ihlalin ilgili kişi bakımından doğurabileceği zarar ile riskin gerçekleşme ihtimali dikkate alınacaktır. Kontrol seçenekleri ise maliyet, uygulanabilirlik ve sağlayacağı yarar gözetilerek belirlenecektir.2

Verinin miktarı ve işlenme biçimi değiştiğinde, yeni bir erişim kanalı açıldığında veya mevcut kontrollerde zafiyet belirlendiğinde güvenlik düzeyi yeniden değerlendirilecektir.3 Bir bilgi güvenliği standardına uygunluk veya sertifikanın bulunması incelemede dikkate alınabilir, ancak KVKK kapsamındaki bütün tedbirlerin alındığını tek başına kanıtlayamaz.4

Bir güvenlik olayının meydana gelmesi, tedbirlerin yetersiz olduğunu tek başına gösteremez. Kurul, 2020/787 sayılı kararda veri sorumlusunun ihlalden önce aldığı tedbirleri, olayın kaynağını, tespit süresini ve ilgili kişiler bakımından doğan riski incelemiş, m.12 kapsamında ilave işlem yapılmasına gerek görmemiştir.5 Buna karşılık Kurul, 2021/1324 sayılı kararda olaydan önce kurulan güvenlik düzenini somut risk bakımından yetersiz bulmuştur.6 Tedbirlerin yeterli olup olmadığı belirlenirken olaydan önce mevcut olan riskler ile bu risklere karşı kurulan kontroller esas alınacaktır.7

KVKK m.12/1-a, veri sorumlusunun kendi bünyesinde gerçekleşebilecek hukuka aykırı veri işlemelerini de önlemesini gerektirir. Bir çalışanın görevi nedeniyle veriye erişebilmesi, bu veriyi kişisel bir nedenle veya belirlenen amaç dışında kullanmasına izin vermez.1 Kurul, 2018/63 sayılı İlke Kararında yetkinin aşılması veya kötüye kullanılması yoluyla gerçekleştirilen amaç dışı işlemeyi m.12/1 kapsamında önlenmesi gereken bir risk olarak değerlendirmiştir.2

Bu riskin nasıl karşılanacağı yapılan işe ve erişilen veriye göre belirlenecektir. Görev tanımı ile erişim yetkisinin uyumlu olması, görev değişikliğinde yetkinin gözden geçirilmesi ve olağan dışı sorguların incelenmesi alınabilecek tedbirler arasındadır.3 Kurul, 2020/124 sayılı kararda yolcu kayıtlarına erişen çalışan bakımından sorgu sınırlamasının ve gözetim mekanizmasının bulunmamasını, logların analiz edilmemesini ve olaydan önceki eğitimin yetersizliğini birlikte değerlendirmiştir.4

İşleme şartının bulunup bulunmadığı m.5 veya m.6'ya, hukuka aykırı işlemeyi önleyecek tedbirlerin alınıp alınmadığı ise m.12/1-a'ya göre ayrı ayrı incelenecektir. Anayasa Mahkemesi, Viennalife kararında alenileştirme amacıyla ilgili m.5 yorumunun m.12/1-a uyarınca yaptırıma dayanak yapılmasını kanun hükmünün öngörülemez biçimde genişletilmesi olarak değerlendirmiştir. Buna göre, işleme şartının bulunmadığı tespit edilmiş olsa bile m.12/1-a kapsamında yaptırım uygulanabilmesi için eksik kalan önleyici tedbir ayrıca gösterilmelidir.5

KVKK m.12/1-b uyarınca erişim, kişinin görevi, ihtiyaç duyduğu veri, yetkinin kapsamı ve süresi dikkate alınarak sınırlandırılacaktır.1 Bu yükümlülük elektronik sistemlerle sınırlı değildir. Kurul, 2017/62 sayılı İlke Kararında banko, gişe ve masa gibi hizmet alanlarında kişisel verilerin yetkisiz kişilerce görülmesini, duyulmasını veya öğrenilmesini önleyecek tedbirler alınmasını istemiştir.2 Kurul, 2026/348 sayılı kararda da apartman sakinlerine ait borç bilgilerinin ziyaretçilerin erişebileceği ortak alanlarda ilan edilmesi yerine, yalnız ilgili kişilere açık iletişim kanallarının kullanılmasını gerekli görmüştür.3

Dijital sistemlerde bir kullanıcı hesabının açılması tek başına yeterli değildir. Hesabın erişebileceği kayıtların ayrıca sınırlandırılması gerekir. Kurul, 2021/426 sayılı kararda canlı ortamda yapılan toplu yetkilendirme hatasının başka firmalara ait bildirimleri erişilebilir hale getirmesini, değişikliğin test edilmemesini ve maskeleme araçlarının bulunmamasını m.12/1 kapsamında değerlendirmiştir.4

Kurul, 2024/1385 sayılı kararda başka platformlardan elde edilen kullanıcı bilgileriyle satıcı hesaplarına girildiği olayda bot trafiğine karşı kurulan kontrolü, aynı IP adresinden yapılan yoğun girişlerin tespitini ve kimlik doğrulama adımlarını birlikte incelemiştir. Tek kullanımlık parola ve çift faktörlü doğrulama, bu sistemdeki hesap ele geçirme riski bakımından değerlendirilmiştir.5 Hangi doğrulama yönteminin gerekli olduğu, korunacak hesabın ve işlem akışının taşıdığı riske göre belirlenecektir.7

Kurulun 2026/1095 sayılı İlke Kararı, kaza mağdurlarının verilerine farklı kanallardan hukuka aykırı erişilmesi üzerine eğitim, asgari yetki, rol temelli erişim ve log takibi tedbirlerine yer vermiştir. Karar belirli bir veri sorumlusu hakkında ihlal tespiti yapmamış, kaza verilerini işleyen kuruluşların erişim düzenine ilişkin genel tedbirleri açıklamıştır.6

KVKK m.12/1-c'deki muhafaza yükümlülüğü, hukuka uygun olarak tutulan kişisel verinin kaybolmasını, bozulmasını veya yetkisiz biçimde değiştirilmesini önlemeye yöneliktir.1 Verinin gerektiğinde yetkili kişilerce erişilebilir olması da bu yükümlülük içinde değerlendirilir.2

Muhafaza yükümlülüğü, kişisel verinin süresiz tutulmasına dayanak oluşturamaz. Veri ancak ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre boyunca saklanabilir. İşleme şartlarının tamamı ortadan kalktığında KVKK m.7 uyarınca silme, yok etme veya anonim hale getirme yükümlülüğü doğacaktır.3

Yedekleme, kişisel verinin kaybı veya erişilemez hale gelmesi halinde faaliyetin sürdürülebilmesine hizmet eder. Yedeğin güncelliği, asıl sistemden ayrılması, erişim yetkileri, fiziksel güvenliği ve geri yüklenebilirliği birlikte incelenecektir.4 Saklama süresi sona eren verinin yalnız yedekte bulunması, o veriyi işleme şartı olmadan tutmayı hukuka uygun hale getiremez.5

Kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa KVKK m.12/2, birinci fıkradaki tedbirlerin alınması bakımından veri sorumlusu ile veri işleyenin müşterek sorumluluğunu düzenler. Veri sorumlusu, kişisel veri işleme faaliyetini bir dış hizmet sağlayıcıya bırakmış olsa da bu tedbirlerin alınıp alınmadığı yönünden incelenecektir.1

2008 Tasarısının 15. maddesinde veri kütüğü sahibinin, veri işleyeni güvenlik tedbirlerini almaya yazılı bir sözleşme veya hukuki işlemle yükümlü tutması açıkça öngörülmüştü.2 Bu şekil şartı 2014 Tasarısının ve yürürlükteki KVKK'nin m.12/2 metnine alınmamıştır. Bu nedenle yürürlükteki hükümden genel bir yazılı sözleşme zorunluluğu çıkarılamaz.3

Yazılı sözleşme, tarafların görevlerini belirlemeye ve güvenlik düzenini belgelemeye yarayabilir. Kişisel Veri Güvenliği Rehberi, sözleşmede veri işleyenin talimatlara ve belirlenen işleme amacı ile kapsama uygun hareket etmesine, gizliliğe, ihlalin veri sorumlusuna bildirilmesine ve denetime ilişkin hükümlere yer verilmesini önermektedir.4 İşlenen veri türleri, erişim yetkileri, alt hizmet sağlayıcılar ve olay anındaki bilgi akışı da ilişkinin niteliğine göre düzenlenebilir.5

Tarafların sözleşmeyle kararlaştırdığı görev ve risk paylaşımı, kendi aralarındaki iç ilişki bakımından sonuç doğurabilir.6 Bununla birlikte bu paylaşım, KVKK m.12/2 uyarınca tedbirlerin alınmasına ilişkin incelemeyi ortadan kaldıramaz.9 Doktrinde, Kanundaki müşterek sorumluluk ibaresinin müteselsil sorumluluk doğurduğu yönünde görüş bulunmaktadır.7 Buna karşılık hükümde müteselsilen ifadesi yer almadığından, m.12/2'nin tek başına müteselsil sorumluluk kurduğu sonucuna varılması tartışmalıdır.8

KVKK m.12/3, veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmasını veya yaptırmasını zorunlu kılar.1 Denetim, politika ve prosedürlerin hazırlanmasıyla sona ermez. Bu kuralların işleme faaliyetinde uygulanıp uygulanmadığı, erişimlerin ve güvenlik uyarılarının izlenip izlenmediği, yazılım değişikliklerinin sınanıp sınanmadığı da incelenecektir.2

Kurul, 2020/201 sayılı kararda bir bildirim uygulamasındaki değişiklikten sonra parametre kontrollerinin yetersiz kalmasını ve bütün senaryoların test edilmemesini teknik tedbir eksikliği olarak değerlendirmiştir.3 Kurul, 2021/1324 sayılı kararda ise güvenlik uyarılarının hizmet alınan üçüncü kişi tarafından kapatılmasını, büyük hacimli veri çıkışının belirlenememesini ve sızma testinin mevcut açığı ortaya çıkaramamasını denetim ve izleme eksiklikleri arasında saymıştır.4

Kişisel Veri Güvenliği Rehberi, politika ve prosedürlere ilişkin kontrollerin düzenli yapılmasını, belgelenmesini ve belirlenen eksiklikler giderildikten sonra da sürdürülmesini önerir.5 Belgelendirme, seçilen tedbirin hangi riske karşı alındığını ve fiilen çalışıp çalışmadığını sonradan incelemeyi mümkün kılar. Ancak bir belgenin bulunması, uygulamanın belgeye uygun yürütüldüğünü tek başına kanıtlayamaz.6

Kişisel veri içeren denetim kayıtlarının ne kadar süre tutulacağı, kaydın amacı ve tabi olduğu mevzuat dikkate alınarak belirlenecektir. KVKK m.12/3, bütün denetim kayıtlarının süresiz saklanmasını öngören genel bir kural içermez.7

KVKK m.12/4, veri sorumlusu ile veri işleyenin öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklamasını ve işleme amacı dışında kullanmasını yasaklar. Açıklama, verinin yetkisiz üçüncü kişinin bilgisine sunulmasıdır. Amaç dışı kullanım, veri kurum dışına çıkarılmasa da yetkili kişinin veriyi kendisine verilen görevle bağdaşmayan bir amaçla işlemesi halinde ortaya çıkabilir.1

2014 Tasarısında yasak, verinin Kanuna aykırı açıklanması veya kişinin kendi şahsi çıkarı için kullanılması biçiminde düzenlenmişti.2 Yürürlükteki metinde şahsi çıkar ölçütü yerine işleme amacı dışında kullanım esas alınmıştır. Bu nedenle güncel hükmün uygulanabilmesi için amaç dışı kullanımdan ayrıca kişisel menfaat elde edilmesi aranmayacaktır.3

Görev veya sözleşme ilişkisinin sona ermesi, gizlilik yükümlülüğünü sona erdirmez. Bu kural, işleme sırasında öğrenilen verilerin görevden ayrıldıktan sonra da hukuka aykırı biçimde açıklanamaması veya kullanılamaması sonucunu doğurur.4 Kurulun 2018/63 sayılı İlke Kararı, görev nedeniyle erişilebilen verilerin yetkisiz üçüncü kişilerle paylaşılmasını veri sorumlusunun önlemesi gereken riskler arasında göstermiştir.5

KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu ilgili kişiye ve Kurula en kısa sürede bildirmesini öngörür. Kurul, gerekli görürse ihlali kendi internet sitesinde veya uygun bulacağı başka bir yöntemle ilan edebilir.1

Kurul, 2019/10 sayılı kararında Kurula yapılacak bildirimin ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde yapılmasını öngörmüştür. Haklı bir nedenle bu süre içinde bildirim yapılamıyorsa gecikmenin nedeni bildirimle birlikte açıklanacaktır. Yetmiş iki saatlik süre kanun metninde değil, Kurulun bu kararında yer alır.2

İlgili kişiye bildirim için aynı sabit süre öngörülmemiştir. Bildirim, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede, iletişim bilgisi bulunuyorsa doğrudan yapılacaktır. İlgili kişiye doğrudan ulaşılamıyorsa veri sorumlusunun internet sitesinde ilan gibi uygun bir yöntem kullanılabilir.3

Genel Veri Koruma Tüzüğü (GDPR), denetim makamına ve ilgili kişiye bildirimi doğacak riskin düzeyine göre farklı eşiklere bağlar. KVKK m.12/5'te aynı risk eşikleri yer almadığından, GDPR'daki bildirim istisnaları Türk hukukuna doğrudan aktarılamaz.4

Kurul, 2020/201 sayılı kararda Kurula yetmiş iki saat içinde ve ilgili kişilere bildirim yapıldığını belirleyerek m.12/5 yönünden işlem yapmamıştır.5 Buna karşılık 2021/426 sayılı kararda Kurula bildirim yapılmamasını ayrıca yaptırıma bağlamıştır.6 Kurula ve ilgili kişiye zamanında bildirim yapılmış olsa da ihlale yol açan güvenlik tedbirlerinin yeterliliği ayrıca incelenecektir.7

Kurul, 2019/10 sayılı kararında veri sorumlusunun ihlal anında kimlere raporlama yapılacağını, dış bildirimleri kimin yürüteceğini ve ihlalin muhtemel sonuçlarını kimin değerlendireceğini önceden belirleyen bir müdahale planı hazırlamasını öngörmüştür. Kurul kararında planın belirli aralıklarla gözden geçirilmesi de öngörülmüştür. Müdahale planına ilişkin bu düzenleme doğrudan KVKK m.12/5'ten değil, bildirim sürecini somutlaştıran Kurul kararından kaynaklanmaktadır.1

Veri işleyen nezdinde gerçekleşen ihlal, gecikmeden veri sorumlusuna bildirilecektir.2 İlk anda bütün bilgilere ulaşılamıyorsa bildirim mevcut bilgilerle yapılabilir ve eksik bilgiler gecikmeden aşamalı olarak tamamlanabilir. Bu imkan, ilk bildirimin temel bilgiler elde edilene kadar ertelenmesine dayanak oluşturamaz.3

Veri sorumlusu ihlale ilişkin bilgileri, ihlalin etkilerini ve aldığı tedbirleri kaydederek Kurulun incelemesine hazır bulunduracaktır.4 Olay yönetimine ilişkin kurum içi politika ve raporlama düzeni, bu kayıtların zamanında oluşturulmasına yardım eder.5

KVKK m.18/1-b, m.12'deki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında idari para cezası öngörür.1 Yaptırım gerekçesinde ihlal edilen yükümlülük, somut olayda alınmayan veya işlemeyen tedbir ve bu eksikliğin olayla bağlantısı gösterilmelidir.2 Ceza miktarı belirlenirken fiilin haksızlık içeriği, failin kusuru ve ekonomik durumu dikkate alınacaktır.3

Bir veri ihlalinin gerçekleşmesi, m.12'nin ihlal edildiği ve yaptırım uygulanacağı sonucunu tek başına doğuramaz. Kurul, 2020/787 sayılı kararda ihlalden önce alınan tedbirleri yeterli bularak ilave işlem yapmamıştır.4 Buna karşılık 2021/1324 sayılı kararda tespit ettiği somut güvenlik eksiklikleri nedeniyle idari para cezası uygulamıştır.5

Anayasa Mahkemesi, Viennalife kararında alenileştirme amacı hakkındaki geniş yorumdan hareketle m.12 ve m.18'e dayanılarak idari para cezası verilmesini öngörülemez bulmuştur. Mahkeme, kamuya açık her verinin serbestçe işlenebileceğine karar vermemiştir. Somut olayda, alenileştirme amacı hakkındaki bu geniş yorumun m.12/1-a kapsamında yaptırıma dayanak yapılamayacağını kabul etmiştir.6

Anayasa Mahkemesinin M.I.I. kararında güvenlik tedbirlerinin yeterliliği veya bildirimin zamanında yapılıp yapılmadığı esastan karara bağlanmamıştır. Mahkeme, veri sorumlusunun sıfatı, zaman bakımından uygulama, tebligat ve yaptırım gerekçesi hakkındaki esaslı itirazların yargı yerince karşılanmaması nedeniyle mülkiyet hakkının usul güvencelerinin ihlal edildiğine karar vermiştir. Bu sebeple yaptırıma karşı ileri sürülen ve yargılamanın sonucunu etkileyebilecek itirazların yargı yerince gerekçeli biçimde karşılanması gerekir.7