Madde 12

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.12, veri güvenliğini işleme faaliyetinin bütünü boyunca yerine getirilecek bir yükümlülük olarak düzenler.1 Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ve kişisel verileri muhafaza etmek için gerekli teknik ve idari tedbirleri almak zorundadır.2

Bir işleme faaliyetinin hukuki sebebi KVKK m.5 veya m.6'ya, genel ilkelere uygunluğu ise m.4'e göre belirlenecektir. Veri sorumlusunun bu faaliyet için aldığı güvenlik tedbirleri ayrıca m.12'ye göre incelenecektir. İşleme şartının bulunması güvenlik incelemesini ortadan kaldırmadığı gibi, güvenlik tedbirlerinin alınmış olması da bulunmayan işleme şartının yerine geçemez.3

KVKK m.12/1, alınacak tedbirleri kapalı bir listeyle belirlememiştir. Buna göre veri sorumlusu, somut işleme faaliyetine uygun güvenlik düzeyini sağlamakla yükümlüdür.1 Kurumun Kişisel Veri Güvenliği Rehberi'ne göre risk değerlendirmesinde verinin niteliği, gerektirdiği gizlilik düzeyi, ihlalin ilgili kişi bakımından doğurabileceği zarar ile riskin gerçekleşme ihtimali dikkate alınacaktır. Kontrol seçenekleri ise maliyet, uygulanabilirlik ve sağlayacağı yarar gözetilerek belirlenecektir.2

Verinin miktarı ve işlenme biçimi değiştiğinde, yeni bir erişim kanalı açıldığında veya mevcut kontrollerde zafiyet belirlendiğinde güvenlik düzeyi yeniden değerlendirilecektir.3 Bir bilgi güvenliği standardına uygunluk veya sertifikanın bulunması incelemede dikkate alınabilir, ancak KVKK kapsamındaki bütün tedbirlerin alındığını tek başına kanıtlayamaz.4

Bir güvenlik olayının meydana gelmesi, tedbirlerin yetersiz olduğunu tek başına gösteremez. Kurul, 2020/787 sayılı kararda veri sorumlusunun ihlalden önce aldığı tedbirleri, olayın kaynağını, tespit süresini ve ilgili kişiler bakımından doğan riski incelemiş, m.12 kapsamında ilave işlem yapılmasına gerek görmemiştir.5 Buna karşılık Kurul, 2021/1324 sayılı kararda olaydan önce kurulan güvenlik düzenini somut risk bakımından yetersiz bulmuştur.6 Tedbirlerin yeterli olup olmadığı belirlenirken olaydan önce mevcut olan riskler ile bu risklere karşı kurulan kontroller esas alınacaktır.7

KVKK m.12/1-a, veri sorumlusunun kendi bünyesinde gerçekleşebilecek hukuka aykırı veri işlemelerini de önlemesini gerektirir. Bir çalışanın görevi nedeniyle veriye erişebilmesi, bu veriyi kişisel bir nedenle veya belirlenen amaç dışında kullanmasına izin vermez.1 Kurul, 2018/63 sayılı İlke Kararında yetkinin aşılması veya kötüye kullanılması yoluyla gerçekleştirilen amaç dışı işlemeyi m.12/1 kapsamında önlenmesi gereken bir risk olarak değerlendirmiştir.2

Bu riskin nasıl karşılanacağı yapılan işe ve erişilen veriye göre belirlenecektir. Görev tanımı ile erişim yetkisinin uyumlu olması, görev değişikliğinde yetkinin gözden geçirilmesi ve olağan dışı sorguların incelenmesi alınabilecek tedbirler arasındadır.3 Kurul, 2020/124 sayılı kararda yolcu kayıtlarına erişen çalışan bakımından sorgu sınırlamasının ve gözetim mekanizmasının bulunmamasını, logların analiz edilmemesini ve olaydan önceki eğitimin yetersizliğini birlikte değerlendirmiştir.4

İşleme şartının bulunup bulunmadığı m.5 veya m.6'ya, hukuka aykırı işlemeyi önleyecek tedbirlerin alınıp alınmadığı ise m.12/1-a'ya göre ayrı ayrı incelenecektir. Anayasa Mahkemesi, Viennalife kararında alenileştirme amacıyla ilgili m.5 yorumunun m.12/1-a uyarınca yaptırıma dayanak yapılmasını kanun hükmünün öngörülemez biçimde genişletilmesi olarak değerlendirmiştir. Buna göre, işleme şartının bulunmadığı tespit edilmiş olsa bile m.12/1-a kapsamında yaptırım uygulanabilmesi için eksik kalan önleyici tedbir ayrıca gösterilmelidir.5

KVKK m.12/1-b uyarınca erişim, kişinin görevi, ihtiyaç duyduğu veri, yetkinin kapsamı ve süresi dikkate alınarak sınırlandırılacaktır.1 Bu yükümlülük elektronik sistemlerle sınırlı değildir. Kurul, 2017/62 sayılı İlke Kararında banko, gişe ve masa gibi hizmet alanlarında kişisel verilerin yetkisiz kişilerce görülmesini, duyulmasını veya öğrenilmesini önleyecek tedbirler alınmasını istemiştir.2 Kurul, 2026/348 sayılı kararda da apartman sakinlerine ait borç bilgilerinin ziyaretçilerin erişebileceği ortak alanlarda ilan edilmesi yerine, yalnız ilgili kişilere açık iletişim kanallarının kullanılmasını gerekli görmüştür.3

Dijital sistemlerde bir kullanıcı hesabının açılması tek başına yeterli değildir. Hesabın erişebileceği kayıtların ayrıca sınırlandırılması gerekir. Kurul, 2021/426 sayılı kararda canlı ortamda yapılan toplu yetkilendirme hatasının başka firmalara ait bildirimleri erişilebilir hale getirmesini, değişikliğin test edilmemesini ve maskeleme araçlarının bulunmamasını m.12/1 kapsamında değerlendirmiştir.4

Kurul, 2024/1385 sayılı kararda başka platformlardan elde edilen kullanıcı bilgileriyle satıcı hesaplarına girildiği olayda bot trafiğine karşı kurulan kontrolü, aynı IP adresinden yapılan yoğun girişlerin tespitini ve kimlik doğrulama adımlarını birlikte incelemiştir. Tek kullanımlık parola ve çift faktörlü doğrulama, bu sistemdeki hesap ele geçirme riski bakımından değerlendirilmiştir.5 Hangi doğrulama yönteminin gerekli olduğu, korunacak hesabın ve işlem akışının taşıdığı riske göre belirlenecektir.6

Kurulun 2026/1095 sayılı İlke Kararı, kaza mağdurlarının verilerine farklı kanallardan hukuka aykırı erişilmesi üzerine eğitim, asgari yetki, rol temelli erişim ve log takibi tedbirlerine yer vermiştir. Karar belirli bir veri sorumlusu hakkında ihlal tespiti yapmamış, kaza verilerini işleyen kuruluşların erişim düzenine ilişkin genel tedbirleri açıklamıştır.7

Yeni ihlal kararlarında erişim güvenliği, tek bir ürünün kurulmasına değil, kontrollerin birlikte ve sürekli işletilmesine bağlanmıştır. Kurul, güçlü kimlik doğrulama, parola politikası, hareket kayıtlarının düzenli incelenmesi, anomali ve saldırı tespiti ile ağdaki yanal hareketlerin izlenmesi gibi tedbirleri somut saldırı yollarıyla birlikte değerlendirmiştir.8

Yazılım değişikliğinin veri işleyenden alınan hizmet kapsamında yapılması da canlıya geçiş öncesi test ve gözetim sorumluluğunu ortadan kaldırmaz. Kurul, müşteri verilerini sınırsız erişime açan güncellemenin ayrıntılı test yapılmadan canlıya alınmasını ve veri işleyen üzerindeki denetim eksikliğini veri sorumlusunun m.12 yükümlülüğü içinde değerlendirmiştir.9

KVKK m.12/1-c'deki muhafaza yükümlülüğü, hukuka uygun olarak tutulan kişisel verinin kaybolmasını, bozulmasını veya yetkisiz biçimde değiştirilmesini önlemeye yöneliktir.1 Verinin gerektiğinde yetkili kişilerce erişilebilir olması da bu yükümlülük içinde değerlendirilir.2

Muhafaza yükümlülüğü, kişisel verinin süresiz tutulmasına dayanak oluşturamaz. Veri ancak ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre boyunca saklanabilir. İşleme şartlarının tamamı ortadan kalktığında KVKK m.7 uyarınca silme, yok etme veya anonim hale getirme yükümlülüğü doğacaktır.3

Yedekleme, kişisel verinin kaybı veya erişilemez hale gelmesi halinde faaliyetin sürdürülebilmesine hizmet eder. Yedeğin güncelliği, asıl sistemden ayrılması, erişim yetkileri, fiziksel güvenliği ve geri yüklenebilirliği birlikte incelenecektir.4 Saklama süresi sona eren verinin yalnız yedekte bulunması, o veriyi işleme şartı olmadan tutmayı hukuka uygun hale getiremez.5

Kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa KVKK m.12/2, birinci fıkradaki tedbirlerin alınması bakımından veri sorumlusu ile veri işleyenin müşterek sorumluluğunu düzenler. Veri sorumlusu, kişisel veri işleme faaliyetini bir dış hizmet sağlayıcıya bırakmış olsa da bu tedbirlerin alınıp alınmadığı yönünden incelenecektir.1

2008 Tasarısının 15. maddesinde veri kütüğü sahibinin, veri işleyeni güvenlik tedbirlerini almaya yazılı bir sözleşme veya hukuki işlemle yükümlü tutması açıkça öngörülmüştü.2 Bu şekil şartı 2014 Tasarısının ve yürürlükteki KVKK'nin m.12/2 metnine alınmamıştır. Bu nedenle yürürlükteki hükümden genel bir yazılı sözleşme zorunluluğu çıkarılamaz.3

Yazılı sözleşme, tarafların görevlerini belirlemeye ve güvenlik düzenini belgelemeye yarayabilir. Kişisel Veri Güvenliği Rehberi, sözleşmede veri işleyenin talimatlara ve belirlenen işleme amacı ile kapsama uygun hareket etmesine, gizliliğe, ihlalin veri sorumlusuna bildirilmesine ve denetime ilişkin hükümlere yer verilmesini önermektedir.4 İşlenen veri türleri, erişim yetkileri, alt hizmet sağlayıcılar ve olay anındaki bilgi akışı da ilişkinin niteliğine göre düzenlenebilir.5

Tarafların sözleşmeyle kararlaştırdığı görev ve risk paylaşımı, kendi aralarındaki iç ilişki bakımından sonuç doğurabilir.6 Bu paylaşım, KVKK m.12/2 uyarınca tedbirlerin alınmasına ilişkin incelemeyi ortadan kaldıramaz.7 Doktrinde, Kanundaki müşterek sorumluluk ibaresinin müteselsil sorumluluk doğurduğu yönünde görüş bulunmaktadır.8 Buna karşılık hükümde müteselsilen ifadesi yer almadığından, m.12/2'nin tek başına müteselsil sorumluluk kurduğu sonucuna varılması tartışmalıdır.9

KVKK m.12/3, veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmasını veya yaptırmasını zorunlu kılar.1 Denetim, politika ve prosedürlerin hazırlanmasıyla sona ermez. Bu kuralların işleme faaliyetinde uygulanıp uygulanmadığı, erişimlerin ve güvenlik uyarılarının izlenip izlenmediği, yazılım değişikliklerinin sınanıp sınanmadığı da incelenecektir.2

Kurul, 2020/201 sayılı kararda bir bildirim uygulamasındaki değişiklikten sonra parametre kontrollerinin yetersiz kalmasını ve bütün senaryoların test edilmemesini teknik tedbir eksikliği olarak değerlendirmiştir.3 Kurul, 2021/1324 sayılı kararda ise güvenlik uyarılarının hizmet alınan üçüncü kişi tarafından kapatılmasını, büyük hacimli veri çıkışının belirlenememesini ve sızma testinin mevcut açığı ortaya çıkaramamasını denetim ve izleme eksiklikleri arasında saymıştır.4

Kişisel Veri Güvenliği Rehberi, politika ve prosedürlere ilişkin kontrollerin düzenli yapılmasını, belgelenmesini ve belirlenen eksiklikler giderildikten sonra da sürdürülmesini önerir.5 Belgelendirme, seçilen tedbirin hangi riske karşı alındığını ve fiilen çalışıp çalışmadığını sonradan incelemeyi mümkün kılar. Ancak bir belgenin bulunması, uygulamanın belgeye uygun yürütüldüğünü tek başına kanıtlayamaz.6

Kişisel veri içeren denetim kayıtlarının ne kadar süre tutulacağı, kaydın amacı ve tabi olduğu mevzuat dikkate alınarak belirlenecektir. KVKK m.12/3, bütün denetim kayıtlarının süresiz saklanmasını öngören genel bir kural içermez.7

KVKK m.12/4, veri sorumlusu ile veri işleyenin öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklamasını ve işleme amacı dışında kullanmasını yasaklar. Açıklama, verinin yetkisiz üçüncü kişinin bilgisine sunulmasıdır. Amaç dışı kullanım, veri kurum dışına çıkarılmasa da yetkili kişinin veriyi kendisine verilen görevle bağdaşmayan bir amaçla işlemesi halinde ortaya çıkabilir.1

2014 Tasarısında yasak, verinin Kanuna aykırı açıklanması veya kişinin kendi şahsi çıkarı için kullanılması biçiminde düzenlenmişti.2 Yürürlükteki metinde şahsi çıkar ölçütü yerine işleme amacı dışında kullanım esas alınmıştır. Bu nedenle güncel hükmün uygulanabilmesi için amaç dışı kullanımdan ayrıca kişisel menfaat elde edilmesi aranmayacaktır.3

Görev veya sözleşme ilişkisinin sona ermesi, gizlilik yükümlülüğünü sona erdirmez. Bu kural, işleme sırasında öğrenilen verilerin görevden ayrıldıktan sonra da hukuka aykırı biçimde açıklanamaması veya kullanılamaması sonucunu doğurur.4 Kurulun 2018/63 sayılı İlke Kararı, görev nedeniyle erişilebilen verilerin yetkisiz üçüncü kişilerle paylaşılmasını veri sorumlusunun önlemesi gereken riskler arasında göstermiştir.5

KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu ilgili kişiye ve Kurula en kısa sürede bildirmesini öngörür. Kurul, gerekli görürse ihlali kendi internet sitesinde veya uygun bulacağı başka bir yöntemle ilan edebilir.1

Kurul, 2019/10 sayılı kararında Kurula yapılacak bildirimin ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde yapılmasını öngörmüştür. Haklı bir nedenle bu süre içinde bildirim yapılamıyorsa gecikmenin nedeni bildirimle birlikte açıklanacaktır. Yetmiş iki saatlik süre kanun metninde değil, Kurulun bu kararında yer alır.2

İlgili kişiye bildirim için aynı sabit süre öngörülmemiştir. Bildirim, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede, iletişim bilgisi bulunuyorsa doğrudan yapılacaktır. İlgili kişiye doğrudan ulaşılamıyorsa veri sorumlusunun internet sitesinde ilan gibi uygun bir yöntem kullanılabilir.3

Genel Veri Koruma Tüzüğü (GDPR), denetim makamına ve ilgili kişiye bildirimi doğacak riskin düzeyine göre farklı eşiklere bağlar. KVKK m.12/5'te aynı risk eşikleri yer almadığından, GDPR'daki bildirim istisnaları Türk hukukuna doğrudan aktarılamaz.4

Kurul, 2020/201 sayılı kararda Kurula yetmiş iki saat içinde ve ilgili kişilere bildirim yapıldığını belirleyerek m.12/5 yönünden işlem yapmamıştır.5 Buna karşılık 2021/426 sayılı kararda Kurula bildirim yapılmamasını ayrıca yaptırıma bağlamıştır.6 Kurula ve ilgili kişiye zamanında bildirim yapılmış olsa da ihlale yol açan güvenlik tedbirlerinin yeterliliği ayrıca incelenecektir.7

Yeni kararlar, güvenlik tedbiri eksikliği ile Kurula veya ilgili kişiye geç bildirimi ayrı ihlaller olarak değerlendirmektedir. Kurul, bazı olaylarda m.12/1 kapsamındaki tedbir eksikliği için belirlediği cezaya, Kurula geç bildirim veya ilgili kişilere bildirim yapılmaması nedeniyle ayrıca ceza eklemiştir.8

KVKK m.12/5, veri sorumlusunun kanuni olmayan yollarla elde edilen kişisel verilere ilişkin durumu ilgili kişiye ve Kurula en kısa sürede bildirmesini öngörür.1 Kurulun 2019/10 sayılı Kararı, bu dış bildirimin yürütülmesine ilişkin usulü somutlaştırmaktadır.2

Veri işleyen nezdinde gerçekleşen ihlal, gecikmeden veri sorumlusuna bildirilecektir.3 İlk bildirimde bütün bilgiler sağlanamıyorsa eksik bilgiler gecikmeye yer verilmeden aşamalı olarak sunulabilir.4

Veri sorumlusu, ihlale ilişkin bilgileri, ihlalin etkilerini ve aldığı tedbirleri kayıt altına alarak Kurulun incelemesine hazır bulunduracaktır.5

Kurul, veri sorumlusunun kendi içindeki raporlama kanallarını, Kanun kapsamındaki bildirimleri ve ihlalin olası sonuçlarını değerlendirecek sorumluları önceden belirleyen bir müdahale planı hazırlamasını da öngörmüştür. KVKK m.12/5 ise bu planı adı konulmuş bağımsız bir kanuni yükümlülük olarak düzenlemez.6

KVKK m.18/1-b, m.12'deki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında idari para cezası öngörür.1 Yaptırım gerekçesinde ihlal edilen yükümlülük, somut olayda alınmayan veya işlemeyen tedbir ve bu eksikliğin olayla bağlantısı gösterilmelidir.2 Ceza miktarı belirlenirken fiilin haksızlık içeriği, failin kusuru ve ekonomik durumu dikkate alınacaktır.3

Bir veri ihlalinin gerçekleşmesi, m.12'nin ihlal edildiği ve yaptırım uygulanacağı sonucunu tek başına doğuramaz. Kurul, 2020/787 sayılı kararda ihlalden önce alınan tedbirleri yeterli bularak ilave işlem yapmamıştır.4 Buna karşılık 2021/1324 sayılı kararda tespit ettiği somut güvenlik eksiklikleri nedeniyle idari para cezası uygulamıştır.5

Anayasa Mahkemesi, Viennalife kararında alenileştirme amacı hakkındaki geniş yorumdan hareketle m.12 ve m.18'e dayanılarak idari para cezası verilmesini öngörülemez bulmuştur. Mahkeme, kamuya açık her verinin serbestçe işlenebileceğine karar vermemiştir. Somut olayda, alenileştirme amacı hakkındaki bu geniş yorumun m.12/1-a kapsamında yaptırıma dayanak yapılamayacağını kabul etmiştir.6

Anayasa Mahkemesinin M.I.I. kararında güvenlik tedbirlerinin yeterliliği veya bildirimin zamanında yapılıp yapılmadığı esastan karara bağlanmamıştır. Mahkeme, veri sorumlusunun sıfatı, zaman bakımından uygulama, tebligat ve yaptırım gerekçesi hakkındaki esaslı itirazların yargı yerince karşılanmaması nedeniyle mülkiyet hakkının usul güvencelerinin ihlal edildiğine karar vermiştir.7 Karar, yaptırıma karşı ileri sürülen ve yargılamanın sonucunu etkileyebilecek itirazların gerekçeli biçimde ele alınmasının önemini göstermektedir.

İhlal iddiası veya güvenlik olayının gerçekleşmesi, m.12 ihlalini kendiliğinden kurmaz. Kurul, iddianın teknik incelemeyle doğrulanamadığı, olaydan önceki tedbirlerin riskle uyumlu bulunduğu veya sınırlı insan hatasına hızlı müdahale edildiği çeşitli olaylarda ilave işlem yapmamıştır. Bu kararlar, yaptırım değerlendirmesinde olay tarihindeki güvenlik düzeyi, ihlalin kaynağı, etkilenen veri ve kişi çevresi ile müdahalenin somut olarak inceleneceğini doğrulamaktadır.8