News
News
Dijital varlıkların hızla yükselişiyle birlikte, kripto para borsaları milyarlarca dolarlık işlem hacimlerine ve milyonlarca kullanıcıya ev sahipliği yapmaktadır. Bu platformlar, kullanıcılarına hizmet sunarken; kimlik doğrulama, işlem takibi ve güvenlik amacıyla büyük miktarda kişisel veri toplamakta, işlemekte ve saklamaktadır. Ancak bu durum, veri gizliliği ve kişisel verilerin korunması konusunda ciddi hassasiyetleri ve yasal sorumlulukları beraberinde getirmektedir. Türkiye’de bu sorumluluklar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde şekillenmektedir. Kripto para borsalarının KVKK uyumu, sadece yasal bir zorunluluk olmanın ötesinde, kullanıcı güvenini sağlamanın ve sektörün sürdürülebilirliğini temin etmenin temel bir taşıdır.
Kripto para borsaları, kullanıcıların dijital varlıklarını alıp satmalarını sağlayan platformlardır. Bu işlemlerin gerçekleştirilebilmesi ve yasal düzenlemelere uyulabilmesi için borsalar, genellikle kullanıcılarından kapsamlı kişisel veriler talep eder. Bu veriler arasında kimlik bilgileri (ad, soyad, TC kimlik numarası), iletişim bilgileri (e-posta, telefon), adres bilgileri, finansal bilgiler (banka hesap numarası, işlem geçmişi) ve hatta biyometrik veriler (bazı KYC süreçlerinde yüz tanıma) bulunabilir. Bu denli hassas ve kapsamlı verinin toplanması, bu verilerin korunmasının ne kadar kritik olduğunu göstermektedir.
Veri gizliliği, sadece yasal bir yükümlülük değil, aynı zamanda kullanıcıların platformlara duyduğu güvenin temelini oluşturur. Bir veri ihlali veya kötüye kullanımı durumu, kullanıcıların finansal kayıplar yaşamasına, kimlik hırsızlığına maruz kalmasına ve en önemlisi borsaya olan güvenlerini kaybetmelerine neden olabilir. Bu nedenle, kripto para borsaları, siber güvenlik önlemlerinin yanı sıra, kişisel verilerin korunmasına yönelik güçlü politikalar ve teknik altyapılar geliştirmek zorundadır.
Türkiye’de kişisel verilerin korunması, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenmektedir. KVKK, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere, temel hak ve özgürlükleri korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları belirlemek amacıyla çıkarılmıştır. Kanun, kişisel verilerin tanımından işlenmesi şartlarına, veri sahibinin haklarından veri sorumlusunun yükümlülüklerine kadar geniş bir yelpazeyi kapsamaktadır.
KVKK’nın temel ilkeleri şunlardır:
Bu ilkeler, kripto para borsaları da dahil olmak üzere tüm veri sorumluları için bağlayıcıdır ve veri işleme faaliyetlerinin temelini oluşturur.
Kripto para piyasasının küresel ve merkeziyetsiz yapısına rağmen, faaliyet gösterdikleri her ülke kendi yasal düzenlemelerini uygulamaktadır. Türkiye’de faaliyet gösteren veya Türkiye’deki kullanıcılara hizmet veren kripto para borsaları için KVKK uyumu zorunludur. Uyumsuzluk durumunda ciddi idari para cezaları, itibar kaybı ve hatta ticari faaliyetlerin durdurulması gibi sonuçlarla karşılaşılabilir.
KVKK uyumu, aynı zamanda uluslararası düzenlemelerle (örneğin GDPR) de bir uyum yakalanmasını teşvik eder. Bu, özellikle küresel pazarda rekabet eden veya sınır ötesi veri transferleri gerçekleştiren borsalar için önemlidir. Ayrıca, kullanıcıların platforma olan güvenini artırır ve borsanın şeffaf, etik bir anlayışla çalıştığını gösterir.
Kripto para borsaları, faaliyetlerinin doğası gereği çeşitli kişisel veri türlerini işlemektedir. Bunlar genellikle şu kategorilere ayrılır:
Her bir veri türü için KVKK’da belirtilen işleme şartlarına (açık rıza, kanunlarda açıkça öngörülmesi, sözleşmenin ifası, meşru menfaat vb.) uyulması esastır. Özellikle özel nitelikli kişisel verilerin (biyometrik veriler gibi) işlenmesi çok daha sıkı şartlara tabidir.
KVKK, veri sorumlularına bir dizi yükümlülük getirmektedir. Kripto para borsaları da bu yükümlülüklere uygun hareket etmek zorundadır. Bu yükümlülükler, veri toplama, işleme, saklama ve imha etme süreçlerinin tamamını kapsar.
| KVKK İlkesi/Yükümlülüğü | Kripto Borsası Uygulaması ve Önemi |
|---|---|
| Hukuka ve Dürüstlük Kuralına Uygunluk | Kişisel verilerin toplanması ve işlenmesi, yasalara ve genel ahlak kurallarına uygun olmalıdır. Kullanıcılar, verilerinin nasıl kullanılacağı konusunda açıkça bilgilendirilmeli ve rızaları alınmalıdır. |
| Doğru ve Gerektiğinde Güncel Olma | Borsalar, topladıkları verilerin doğru ve güncel olmasını sağlamak için mekanizmalar kurmalı, kullanıcıların verilerini güncelleme haklarını tanımalıdır. |
| Belirli, Açık ve Meşru Amaçlar İçin İşleme | Veriler, sadece belirli, açıkça tanımlanmış ve yasal olarak meşru amaçlar için toplanmalı ve işlenmelidir. Örneğin, KYC süreçleri için kimlik tespiti, AML (Kara Para Aklamayı Önleme) uyumu. |
| İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma (Veri Minimallığı) | Borsalar, belirlenen amaçlar için gerekli olandan daha fazla veri toplamamalıdır. İhtiyaç duyulmayan veriler toplanmamalıdır. |
| İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Etme | Veriler, yasal saklama süreleri dolduğunda veya işleme amacı ortadan kalktığında güvenli bir şekilde silinmeli, yok edilmeli veya anonim hale getirilmelidir. |
| Veri Sorumlusunun Aydınlatma Yükümlülüğü | Borsalar, kişisel verileri toplanan kişileri (veri sahiplerini), verilerin hangi amaçla toplandığı, kimlere aktarıldığı, veri toplama yöntemi ve hukuki sebebi ile KVKK kapsamındaki hakları hakkında aydınlatmalıdır. |
| Veri Güvenliğini Sağlama Yükümlülüğü | Kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak amacıyla her türlü teknik ve idari tedbiri almak zorundadır. |
| VERBİS’e Kayıt Yükümlülüğü | Kanunda belirtilen istisnalar dışında, veri sorumlusu sıfatıyla borsaların Kişisel Verileri Koruma Kurumu (KVKK) tarafından tutulan Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olması zorunludur. |
Kripto para borsalarının kişisel verileri korumak için alması gereken önlemler hem teknik hem de idari boyutları içerir. Bu önlemlerin eksiksiz ve sürekli olarak uygulanması, veri ihlallerinin önüne geçmek için hayati öneme sahiptir.
Teknik tedbirler, siber güvenlik altyapısının güçlendirilmesini ve veri işleme sistemlerinin güvenliğini sağlamayı amaçlar:
İdari tedbirler, şirket içi politikaların, süreçlerin ve insan kaynaklarının veri gizliliği odaklı yönetilmesini kapsar:
KVKK, kişisel verileri işlenen gerçek kişilere (veri sahipleri) önemli haklar tanımaktadır. Kripto para borsalarının, bu hakları tanımak ve veri sahiplerinin başvurularına yasal süreler içinde yanıt vermek yükümlülüğü vardır. Veri sahibinin hakları şunlardır:
Kripto para sektörünün doğası gereği, KVKK uyumu bazı özel zorlukları beraberinde getirir:
Bu zorlukların üstesinden gelmek için borsaların, KVKK konusunda uzman hukuk danışmanlarından destek alması, teknik altyapılarını sürekli güncel tutması ve uluslararası iyi uygulamaları takip etmesi gerekmektedir.
Kripto para borsalarında veri gizliliği ve KVKK uyumu, hem yasal bir zorunluluk hem de kullanıcıların dijital varlıklarını güvenle yönetmeleri için temel bir gerekliliktir. Veri sorumlusu olarak borsalar, KVKK ilkelerine uygun veri işleme faaliyetleri yürütmek, teknik ve idari güvenlik tedbirlerini eksiksiz uygulamak ve veri sahiplerinin haklarını gözetmek zorundadır. Bu sadece idari para cezalarından kaçınmakla kalmayacak, aynı zamanda sektördeki güvenilirliği artırarak sürdürülebilir bir dijital varlık ekosisteminin inşasına katkı sağlayacaktır. Kullanıcılar da, kişisel verilerinin korunması konusunda bilinçli olmalı ve kullandıkları platformların veri gizliliği politikalarını dikkatle incelemelidir.
Evet, Türkiye’de faaliyet gösteren veya Türkiye’deki kullanıcılara hizmet veren tüm kripto para borsaları, kişisel veri işleme faaliyetleri açısından 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) hükümlerine tabidir.
KVKK doğrudan belirli veri türlerini istemez, ancak borsaların “Müşterini Tanı (KYC)” ve “Kara Para Aklamayı Önleme (AML)” gibi yasal yükümlülüklerini yerine getirmek için kimlik, iletişim, finansal ve bazen biyometrik verileri toplaması gerekebilir. Bu verilerin toplanması KVKK ilkelerine uygun olmalıdır.
Borsalar genellikle kişisel verilerinizi kimlik doğrulama (KYC), yasal yükümlülüklerin yerine getirilmesi (AML/CFT), işlem güvenliği, dolandırıcılığın önlenmesi, hizmet sunumu, müşteri desteği ve pazarlama (rıza ile) gibi amaçlarla işleyebilirler. Tüm bu amaçlar açık ve meşru olmalıdır.
Teknik önlemler arasında veri şifreleme, çok faktörlü kimlik doğrulama, erişim kontrolleri, sızma testleri, güvenlik duvarları, veri yedekleme ve kurtarma planları ile anonimleştirme/takma ad kullanımı bulunur.
Blockchain’in değişmez yapısı, bir kez kaydedilen verilerin tamamen silinmesini teknik olarak imkansız kılar. Bu durum, KVKK’nın “verilerin silinmesi veya yok edilmesi hakkı” ile çelişebilir. Borsalar genellikle bu sorunu, kişisel verileri zincir dışı sistemlerde saklayarak veya zincir üzerindeki verileri anonimleştirerek çözmeye çalışırlar.
Evet, Kanun’da belirtilen istisnalar dışında, Türkiye’deki veri sorumlusu sıfatına haiz olan ve belirli kriterleri (çalışan sayısı, yıllık mali bilanço toplamı gibi) karşılayan tüm kripto para borsalarının VERBİS’e kayıt olması zorunludur.
Evet, ancak KVKK’da belirtilen şartlara uygun olarak aktarabilirler. Bu şartlar genellikle veri sahibinin açık rızası, yeterli korumaya sahip bir ülkeye aktarım veya ilgili ülkeyle yapılan taahhütname gibi koşulları içerir.
Evet, KVKK uyarınca, işlenen kişisel verilerinizin eksik veya yanlış olması halinde düzeltilmesini, işleme amacı ortadan kalkan veya yasal saklama süresi dolan verilerinizin silinmesini veya yok edilmesini isteme hakkına sahipsiniz. Borsaların bu taleplere yasal süreler içinde yanıt vermesi gerekir.
Bir veri ihlali durumunda, kripto borsası (veri sorumlusu), ihlali gecikmeksizin Kişisel Verileri Koruma Kurulu’na bildirmek ve etkilenen kişileri uygun yöntemlerle bilgilendirmekle yükümlüdür. Ayrıca, ihlalin etkilerini azaltmak için gerekli önlemleri almalıdır.
Kripto borsası seçerken, şeffaf bir gizlilik politikasına sahip olmasına, KVKK’ya uyumlu çalıştığını belirtmesine, güçlü siber güvenlik önlemleri (MFA, şifreleme) kullanmasına, veri yedekleme ve kurtarma planları olmasına ve müşteri hizmetlerinin veri gizliliği konularında destek verebilmesine dikkat etmelisiniz.
