Kişisel Verilerin Korunması Kanunu (KVKK) 2016’dan bu yana hayatımızda; ancak gerek uzayan VERBİS kayıt zorunluluğu süreçleri ve gerekse kanunun öngördüğü istisnalar nedeniyle bir kafa karışıklığı mevcut. Bu kafa karışıklığını gidermek için beraber bakalım: KVKK istisnaları neler?
KVKK’da yer alan istisnalar
6698 sayılı Kişisel Verilerin Korunması Kanunu, veri işleyen her gerçek ve tüzel kişiyi kapsamına alsa da bazı istisnalar tanımaktan da geri kalmamıştır. Bu istisnalar “tam” ve “kısmi” istisnalar olarak ikiye ayrılabilir.
KVKK’da tam istisna halleri
Aşağıdaki durumların var olması durumunda kanun hükümleri uygulanmayacaktır:
- Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
- Kişisel verilerin resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
- Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
- Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
- Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVKK’da kısmi istisna halleri
Aşağıdaki durumların varlığında ise 6698 sayılı Kanun’da yer alan bazı hükümler uygulanmayacaktır:
- Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
- Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
- Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.
İşte yukarıdaki hallerin varlığı halinde kanunun tamamından istisna olunmayacak ve yalnızca aşağıda yazılı hükümlerden istisna olunacaktır.
- Veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 6698 sayılı Kanun’un 10’uncu maddesi
- Zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11’inci madde
- Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16’ncı madde (VERBİS kaydı)

VERBİS kaydından muaf olanlar
Buraya kadar açıklanan konu, KVKK’da yer alan istisnalara ilişkindir. Tam istisna söz konusu olduğunda kanun hükümleri hiçbir şekilde uygulanmayacakken, kısmi istisna söz konusu ise bazı hükümler uygulanmayacaktır.
İstisnalar ile VERBİS kaydı ise birbirine karıştırılmamalıdır. Şu yazımda kimlerin VERBİS kaydı ile sorumlu olduğunu açıklamıştım: https://mustafabaysal.com/verbis-kaydi-nasil-yapilir/
Özetlemek gerekirse; aşağıda sıralanan veri sorumluları VERBİS kaydı yapmak zorunda değildir; fakat aynı veri sorumluları kanunun istisnası durumunda da değildir. Yani bu veri sorumlularının VERBİS kaydı yapması gerekmez; ancak kanunun öngördüğü diğer yükümlülükleri aynen devam eder:
- Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler
- 18/01/1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler
- Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunmayanlar (İktisadi işletmesi bulunanların sicile kayıtları esnasında, yalnızca iktisadi işletmelerin faaliyetlerine ilişkin bilgi girişi yapmaları gerekir)
- 22/04/1983 tarihli ve 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş siyasi partiler
- 19/3/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar
- 1/6/1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren Serbest Muhasebeci Mali Müşavirler ve Yeminli Mali Müşavirler
- 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri
- Arabulucular
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar (Yurtdışında yerleşik veri sorumluları için bu istisna geçerli değildir).
SONUÇ
KVKK istisnaları denince akla VERBİS kaydından muaf tutulan veri sorumlularının gelmemesi gerekir. Bu iki kavram, yukarıda açıklandığı üzere, birbirinden farklıdır.
KVKK’da yer alan tam istisna durumlarında, bu verilerin işlenmesi ile ilgili olmak üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu uygulanmayacaktır.
Kısmi istisna durumlarında ise yazının ilgili bölümünde açıklanan kanun hükümleri uygulanmayacaktır