TBMM Madde Gerekçesi
Güncel metinYürürlükte
Maddeyle, Kanunun kapsamı belirlenmektedir. Buna göre Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır. Özel sektör ile kamu sektörü bakımından bir ayrım yapılmamış olup, öngörülen usul ve esasların her iki sektörde de uygulanması benimsenmektedir. Kişisel verilerin otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi bakımından da herhangi bir fark öngörülmemektedir. Veri kayıt sistemi, Kanunun 3 üncü maddesinde tanımlandığı üzere kişisel verilere ulaşımı kolaylaştıracak şekilde, belirli bir kritere göre yapılandırılmış kayıt sistemini ifade etmektedir. Bir dosyalama sistemi olarak nitelenebilecek veri kayıt sistemi sadece dijital yahut elektronik ortamda oluşturulması gereken bir sistem değildir. Bu kapsamda, otomatik olmayan yollarla işlenen kişisel veriler bir veri kayıt sisteminin parçası değilse Kanun kapsamında değerlendirilmeyecektir. Ancak, bu hüküm anılan verilerin kişisel veri niteliğini etkilemeyeceğinden, bu tür verilere ilişkin hukuka aykırı eylemler 5237 sayılı Türk Ceza Kanunu uyarınca suç teşkil etmeye devam edecektir.
2014 Tasarısı2014
Maddeyle, Kanunun kapsamı belirlenmektedir. Buna göre Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır. Özel sektör ile kamu sektörü bakımından bir ayırım yapılmamış ve öngörülen usul ve esasların her iki sektörde de uygulanması benimsenmektedir. Yine kişisel verilerin otomatik olan veya olmayan yollarla işlenmesi bakımından herhangi bir fark öngörülmemektedir.
2008 Tasarısı2008
Maddeyle, kişisel verileri işleme tabi tutulan gerçek ve tüzel kişiler ile bu verileri işleme tabi tutan kamu kurum veya kuruluşları ile gerçek ve özel hukuk tüzel kişileri Tasarı kapsamına alınmaktadır. Bu konuda, özel sektör ile kamu sektörü bakımından getirilen özel hükümler dışında ayırım yapılmadığından, öngörülen usul ve esaslar her iki sektöre de uygulanacaktır. Aynı şekilde kişisel verilerin otomatik veya geleneksel dosyalama yöntemleriyle işlenmesinin de önemi yoktur. Her ne kadar Avrupa Komisyonunun 95/46 sayılı Direktifinde sadece gerçek kişilere ilişkin kişisel verilerin direktif kapsamında korunacağı ifade edilmişse de, yine Avrupa Komisyonunun 2002/58 sayılı Direktifiyle tüzel kişilere ait kişisel verilerin de koruma kapsamına dahil edileceği belirtilmektedir. Nitekim Haziran 2003 tarihli İtalyan Veri Koruma Kanununun "Tanımlar" başlıklı 4 üncü maddesinin birinci fıkrasının (b) bendinde kişisel veri "gerçek veya tüzel kişilere" ait veriler olarak tanımlanmıştır. Maddenin ikinci fıkrasıyla, kişisel verilerin, gerçek kişiler tarafından sadece kişisel veya birlikte oturanlarla ilgili faaliyetlerine ilişkin olarak işlenmesi kapsam dışı bırakılmıştır.
Kişi bakımından kapsam
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.2/1, kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişilere uygulanır. Hükmün uygulanabilmesi için kişisel verilerin tamamen veya kısmen otomatik yolla işlenmesi ya da otomatik olmayan işlemenin bir veri kayıt sisteminin parçası olması gerekir.1
İlgili kişi, kişisel verisi işlenen gerçek kişidir.2 Veri sorumlusu, işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.3 Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.4 Sözleşmede kullanılan adlandırma, bu sıfatların kime ait olduğunu tek başına belirleyemez. Somut faaliyette bu sıfatların kime ait olduğu belirlenirken işleme amaçları ve araçları hakkında kimin karar verdiği, ayrıca kimin talimat altında hareket ettiği incelenecektir.5
Kişisel Verileri Koruma Kurulu, 2018/131 sayılı kararda tüzel kişinin kendi verilerine ilişkin erişim talebini KVKK kapsamında ilgili kişi başvurusu saymamıştır. Bu tüzel kişinin ortakları veya yetkilileri, kendilerine ait kişisel veriler bakımından bizzat ya da yasal temsilcileri aracılığıyla ayrıca başvurabilir.6
Madde gerekçesinde, KVKK'nin kamu ve özel kesime uygulanması bakımından genel bir ayrım yapılmadığı belirtilmiştir.7 Bir veri işleme faaliyetinin kamu hizmeti veya ticari faaliyet kapsamında yürütülmesi, o faaliyetin KVKK m.2 kapsamı dışında kalması için tek başına yeterli değildir.8
İşleme yöntemi bakımından kapsam
KVKK m.2/1, kişisel verilerin tamamen veya kısmen otomatik yollarla işlenmesini Kanunun uygulama alanına alır. Otomatik olmayan işleme ise ancak bir veri kayıt sisteminin parçasıysa Kanunun kapsamına girer.1
KVKK'ye göre veri kayıt sistemi, kişisel verilerin belirli ölçütlere göre yapılandırılarak işlendiği sistemdir.2 Veri kayıt sisteminin yalnız elektronik ortamda kurulması zorunlu değildir. Kayıtlara kişinin adı, tarih veya başka bir ölçüt üzerinden erişilebilen fiziki bir dosya düzeni de veri kayıt sistemi sayılabilir.3
Veri kayıt sistemine bağlı olmadan elle tutulan bir kayıt, kişisel veri niteliğini kaybetmez.4 Ancak kişisel veriler otomatik yollarla işlenmiyorsa ve bir veri kayıt sisteminin parçası değilse, işleme faaliyeti KVKK m.2 uyarınca Kanunun kapsamına girmez.5 Bu durumda kişisel verilerin kaydedilmesi, verilmesi, yayılması veya ele geçirilmesi fiillerinin 5237 sayılı Türk Ceza Kanunu (TCK) m.135 ya da m.136 kapsamında suç oluşturup oluşturmadığı, ilgili suç tipinin unsurlarına göre belirlenecektir.6
Kişisel veya ailevi faaliyet istisnası
Kişisel veya ailevi faaliyetlere ilişkin istisna, KVKK m.2'de değil, m.28/1-a'da düzenlenmiştir.1 İstisna, kişisel verilerin gerçek kişi tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesine uygulanır.2
İstisna için verilerin üçüncü kişilere verilmemesi ve veri güvenliğine ilişkin yükümlülüklere uyulması gerekir. Bu şartlardan biri bulunmadığında işleme faaliyeti istisna kapsamında değerlendirilemez.3
Yer bakımından kapsam
KVKK m.2/1, kişi ve işleme yöntemi bakımından uygulama alanını düzenler. Hüküm, yabancı unsurlu işlemlerin hangi coğrafi bağlantı nedeniyle Kanun kapsamına gireceğini ayrıca göstermemektedir.1
Kurul, 2019/225 sayılı kararda Veri Sorumluları Siciline (Sicil) kayıt yükümlülüğünü değerlendirirken yabancı merkez, Türkiye'deki şube ve irtibat bürosu arasında ayrım yapmıştır.2 Kurul, 2020/471 sayılı kararda yabancı bankanın Türkiye temsilciliğindeki tanıtım ve piyasa araştırması faaliyetleri ile bankanın kişisel veri işlemesi arasındaki somut bağı incelemiştir.3 Kurul, 2021/1218 sayılı kararda ise incelemeyi tüzel kişiliği bulunmayan irtibat bürosuna değil, yabancı şirkete yöneltmiştir.4
5326 sayılı Kabahatler Kanunu'nun 6. maddesi uyarınca TCK m.8'deki yer bakımından uygulama kuralı kabahatler hakkında da uygulanır. Bu gönderme yalnız KVKK m.18'de düzenlenen idari para cezalarının yer bakımından uygulanmasına ilişkindir.5 Kanunun diğer yükümlülüklerinin coğrafi kapsamını belirlemek için kullanılamaz.6
KVKK m.14/3, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Hüküm, yabancı unsurlu tazminat talebinde uygulanacak hukuku belirlemez.7
Genel Veri Koruma Tüzüğü (GDPR) m.3/1'e göre Tüzük, Avrupa Birliği içindeki bir kuruluşun faaliyetleri bağlamında yürütülen işlemelere uygulanır. Tüzük, Birlik'te yerleşik olmayan bir veri sorumlusunun veya veri işleyenin Birlik'te bulunan kişilere mal ya da hizmet sunması veya bu kişilerin Birlik içindeki davranışlarını izlemesiyle bağlantılı işlemelere de uygulanır. Üye devlet hukukunun uluslararası kamu hukuku gereğince uygulandığı yerler de Tüzüğün kapsamındadır.8 Bu bağlama noktaları KVKK m.2'de yer almadığından, GDPR m.3'teki ölçütler KVKK m.2'ye doğrudan eklenemez.9