6698 sayılı Kişisel Verilerin Korunması Kanunu

Özet

6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanmıştır. Bu sayfa, 7499 sayılı Kanun'la 2024'te yapılan değişikliklerle birleştirilmiş metne dayanır. Kanun, veri sorumlularının ve veri işleyenlerin veri güvenliği yükümlülüklerini, kamuya açık Veri Sorumluları Sicili'ni ve yurt dışına aktarım için kademeli bir rejimi düzenler. Hem kişisel veri barındıran veri merkezleri hem de SoSo CAD'in kendi SaaS barındırması bu kanunun kapsamındadır. Kanun Türkiye'de veri merkezi hizmeti sunan ya da bu hizmeti kullanan her kuruluşun uyum çerçevesinin çekirdeğini oluşturur.

Yurt dışına aktarım Madde 9'da düzenlenmiştir. Bir işleme şartının bulunması ve ülke, sektör ya da kuruluş için yeterlilik kararının verilmiş olması hâlinde aktarım yapılabilir; yeterlilik kararı en az dört yılda bir değerlendirilir. Yeterlilik kararı yoksa uygun güvence gerekir: anlaşma niteliği taşımayan sözleşmeler, Kurul onaylı bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşmeler veya Kurul onaylı yazılı taahhütler. Standart sözleşmeler imzadan sonra beş iş günü içinde Kuruma bildirilmelidir. Bu kademeli yapı, yurt dışına aktarımın varsayılan olarak yasak olmadığını ancak her aktarım türü için ayrı bir hukuki dayanak gerektiğini gösterir.

Veri güvenliği Madde 12'de ele alınır: veri sorumluları, hukuka aykırı işlemeyi ve erişimi önlemek ve verileri korumak için gerekli tüm teknik ve idari tedbirleri almak zorundadır; veri işleyenlerle birlikte müştereken sorumludurlar. Veri sorumluları, Kurul'un belirlediği ölçütlere göre muaf olmadıkça işlemeye başlamadan önce Veri Sorumluları Siciline kaydolur. Bu hükümler, veri merkezi tasarımında fiziksel güvenlik, erişim kaydı ve yedekleme gibi önlemlerin hukuki bir gerekçe taşıdığını gösterir; ayrıca işleyenle yapılan sözleşmelerde tedbirlerin belgelenmesi önem kazanır.

Madde 18 idari para cezalarını düzenler. Veri güvenliği yükümlülüklerinin yerine getirilmemesi için 15.000 ila 1.000.000 TL, standart sözleşmelerin bildirilmemesi için 50.000 ila 1.000.000 TL aralıkları Kanun metnindeki temel tutarlardır. Metin resmî mevzuattır; yürürlükteki tutarlar ve güncel hâl için mevzuat.gov.tr esas alınmalıdır. İlgili belgeler arasında Yurt Dışına Aktarım Yönetmeliği, Kişisel Veri Güvenliği Rehberi, GDPR ve ISO/IEC 27001 bulunur. Ceza üst sınırlarının yüksekliği, uyumun bir tasarım girdisi olarak erkenden ele alınmasını destekler.

Öne çıkan noktalar

1. Yurt dışına aktarım: işleme şartı ve yeterlilik kararı gerekir; yeterlilik en az dört yılda bir değerlendirilir (Madde 9/1-2).
2. Yeterlilik yoksa uygun güvenceler gerekir: anlaşma niteliği taşımayan sözleşmeler, Kurul onaylı bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşmeler veya Kurul onaylı yazılı taahhütler (Madde 9/4).
3. Standart sözleşmeler imzadan sonra beş iş günü içinde Kuruma bildirilmelidir (Madde 9/5).
4. Veri sorumluları gerekli tüm teknik ve idari tedbirleri almalı, veri işleyenlerle müştereken sorumludur (Madde 12/1-2).
5. Veri sorumluları, muaf olmadıkça işlemeden önce Veri Sorumluları Siciline kaydolur (Madde 16/1-2).
6. İdari para cezaları: veri güvenliği ihlali 15.000-1.000.000 TL; standart sözleşme bildirilmemesi 50.000-1.000.000 TL (Madde 18/1-b,d).
7. Kanun, 7499 sayılı Kanun'la 2024'te değişmiştir.

Tasarımda kullanımı

• Ürün ve dağıtım: Türk müşterilerin Madde 9 kapsamındaki aktarımlardan kaçınması için TR bölgesinde veya şirket içi (on-prem) barındırma sunun.
• İşleme ya da destek erişimi yurt dışındaysa, standart sözleşme bildirimi için bir görev takip edin.
• Veri merkezi tasarımında 'kişisel veri barındırılıyor' bayrağı ekleyin; bu bayrak fiziksel güvenlik ve erişim kaydı varsayılanlarını yükseltsin.
• Teknik ve idari tedbirleri (erişim kontrolü, kayıt tutma, yedekleme) işleyenlerle birlikte sözleşmelerde belgeleyin.

Kimler okumalı

Kişisel veri barındıran veri merkezi sahipleri, SaaS sağlayıcıları, hukuk ve uyum ekipleri ile güvenlik tasarımcıları.

İlgili standartlar

• KVKK Yurt Dışına Aktarım Yönetmeliği
• Kişisel Veri Güvenliği Rehberi
• GDPR (EU) 2016/679
• ISO/IEC 27001

Yayın bilgileri

Yazarlar

Türkiye Büyük Millet Meclisi

Yayıncı

Türkiye Büyük Millet Meclisi

Yıl

2016

Belge numarası

Kanun No. 6698 (RG 29677, 07.04.2016)

Belge dili

Türkçe

Kaynak türü

Türkiye mevzuatı

Erişim

Ücretsiz okunur

Lisans

Yalnızca künye bilgisi — belge burada yeniden dağıtılmıyor; kullanım koşullarını özgün kaynaktan doğrulayın

Künye