Editörler Prof. Dr. Şeref Sağıroğlu Prof. Dr. Mustafa Alkan Sağıroğlu / Alkan grafik

10.4.2. Anayasal Hak Olarak Kişisel Verilerin Korunması
Türkiye Cumhuriyeti Anayasası’nın ikinci kısmında kişinin temel 
hak ve ödevleri düzenlenmektedir. Özel hayatın gizliliği de ki-
şinin temel haklarından biridir. Bu hak Anayasa’nın 20. Maddesi 
ile güvence altına alınmıştır. Teknolojik gelişmelerin temel hak ve 
hürriyetlere müdahale edebilmeyi kolay hale getirmiş olması ve bu 
durumun hukuki bir sorun olarak kendinin göstermesi bu konuda 
yasal düzenlemeler yapmayı gerekli kılmıştır [8].
Bu kapsamda 2010 yılında yapılan referandumdan sonra 5982 sa-
yılı Kanunla Anayasa’nın özel hayatın gizliliğini düzenleyen 20. 
maddesine “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme 
hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında 
bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinme-
sini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğ-
renmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya 
kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas 

---

C E N G I Z P A Ş A O Ğ L U - Y I L M A Z V U R A L
302
ve usuller kanunla düzenlenir” şeklinde bir fıkra eklenerek kişilerin 
kişisel verilerinin korunması açıkça anayasal güvence altına alın-
mıştır [8,9,19]. 
Söz konusu Anayasa değişikliği ile kişisel verilerin korunmasını is-
teme hakkı Türkiye’de anayasal bir hak haline getirilmiş ve anayasa 
ile güvence altına alınmıştır. Anılan maddenin sonunda kişisel ve-
rilerin nasıl korunacağına ilişkin usul ve esasların bir kanunla dü-
zenleneceği ifade edilmiş ve bu hususta kişisel verilerin korunması 
kanunu yapımı çalışmaları hızlanmıştır.
10.4.3. 6698 Sayılı Kişisel Verilerin Korunması Kanunu 
Türkiye’de 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişi-
sel Verilerin Korunması Kanunu kişisel verilerin korunması konu-
sunda temel ve çerçeve bir kanundur. Söz konusu kanun Türkiye’de 
kişisel verilerin nasıl işleneceği ve bu kapsamda hangi temel ilkelere 
uyulacağı, kişisel verilerin yurt içi ve yurt dışına hangi koşullarda 
aktarılacağı, işlenmesini gerektiren sebepler ortadan kalktığında ki-
şisel verilerin silinmesi, yok edilmesi ya da anonim hale getirilmesi 
gibi hususları düzenleyen bir kanundur. 
Kanunla, kişisel verilerin işlenmesi disiplin altına alınarak sınırsız 
biçimde ve gelişigüzel toplanması, yetkisiz kişilerin erişimine açıl-
ması, ifşası veya amaç dışı ya da kötüye kullanımı sonucu kişilik 
haklarının ihlal edilmesinin önüne geçilmesi amaçlanmaktadır. Bu 
amaçla, kişisel verilerin işlenmesine ilişkin denetim mekanizmala-
rı oluşturularak, kişisel verilerin hukuka aykırı olarak işlenmesinin 
engellenmesi hedeflenmektedir.
Diğer taraftan Kanunda belirlenen ilkelere gerçek ve tüzel kişilerin 
uyumunu denetlemek, bu konuda yapılacak şikâyetler hakkında 
karar vermek, veri sorumluları sicilini tutmak ve konuyla ilgili dü-
zenleyici işlemler yapmak üzere Kişisel Verileri Koruma Kurumu 
kurulmuştur. Kurumun karar organı Kişisel Verileri Koruma Ku-
ruludur. Kurul dokuz üyeden oluşmaktadır ve 12 Ocak 2017 tari-
hinde Yargıtay Birinci Başkanlık Divanı’nda yemin ederek görevine 
başlamıştır.
Kanunun genel ilkeleri denilen ve veri işlemenin aslında temelini 
oluşturan ilkeler yukarıda bahsedilen uluslararası düzenlemelerle 
de uyumludur. Söz konusu ilkeler;

---

303
• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta ön görülen veya işlendikleri amaç için gerekli 
olan süre kadar muhafaza edilme,
şeklindedir [1]. Bu ilkelerin veri işlemenin her aşamasında göz 
önünde bulundurulması gerekir. 
Kanunla ayrıca kişisel verilerin ve özel nitelikli kişisel verilerin iş-
lenme şartları, söz konusu verilerin yurt içi/yurt dışı aktarılma ko-
şulları, veri sorumlusunun yükümlülükleri ve ilgili kişilerin hakları 
da düzenlenmiştir. Şekil 10.3’te kişisel verilerin işlenmesi ve akta-
rımı ile ilgili akış diyagramı gösterilmektedir. Şekil 10.3’e göre kişi-
sel veriler elde edildiğinde öncelikli olarak kişisel verilerin işlenme 
şartlarından herhangi biri sağlanmıyorsa (Kanunun 5. Maddesi 2. 
Fıkrası ya da 6. Maddesi 3. Fıkrası) veya ilgili kişinin verilerinin iş-
lemesiyle ilgili açık rızası yoksa söz konusu verilerin silinmesi, yok 
edilmesi ya da anonim hale getirilmesi (imha edilmesi) gerekir. Eğer 
bu şartlar sağlanıyorsa işleme faaliyet gerçekleştirilebilir ama bu 
kapsamda temel ilkelerin her zaman göz önünde bulundurulması 
ve ilgili kişilerin de işleme faaliyetlerine başlanmadan önce mutla-
ka aydınlatılması (Kanunun 10. Maddesi) gerekir. İşleme sebepleri 
ortadan kalktığında ya da ilgili kişi açık rızasını geri aldığında veri-
lerin imha edilmesi gerekir. Diğer taraftan kişisel veriler işlenirken 
ilgili kişilerden gelecek kişisel verilerinin durumu ile ilgili sorulara 
da cevap vermek gerekeceğinin göz önünde bulundurulması gere-
kir.
Kişisel verilerin aktarılması ise yurt içi ve yurt dışı aktarım olarak 
iki başlıkta ele alınmıştır. İlgili kişinin açık rızası varsa ya da kişi-
sel verilerin işlenme şartlarından herhangi biri sağlanıyorsa kişisel 
veriler yurt içinde üçüncü kişilere aktarılabilir. Bu kapsamda bir 
şirketin departmanları arasındaki aktarım üçüncü kişilere aktarım 
olarak kabul edilmemektedir. Yurt dışı aktarım için ise iki farklı du-
rum söz konusudur. İlk olarak ilgili kişinin açık rızası varsa veriler 
aktarılabilir, ikinci durumda ise kişisel verilerin işlenme şartların-
dan herhangi biri sağlanıyorsa Kişisel Verileri Koruma Kurulu (Ku-
rul) tarafından yayımlanan güvenli ülke listesine bakılması gerekir. 

---

C E N G I Z P A Ş A O Ğ L U - Y I L M A Z V U R A L
304
Eğer aktarım yapılacak ülke söz konusu güvenli ülke listesinde yer 
alıyorsa aktarım yapılabilir, güvenli ülke listesinde yer almıyorsa 
yazılı taahhüt ile Kurula başvuru yapılması ve Kurulun izninin 
alınması ile aktarım yapılabilir.