Kişisel Verilerin Korunması (KVKK) — Kayseri KVKK Avukatı

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kişilerin; adı, soyadı, kimlik numarası, iletişim bilgileri, dini, ırkı, kan grubu en belirgin kişisel veri örnekleridir. Ayrıca gerçek kişiyle eşleştirilebilen IP adresleri, ses ve görüntü kayıtları, parmak izleri de kişisel veri niteliğindedir. Kişisel verilerin korunması, bireylerin verilerinin başka kişi veya kuruluşlar tarafından yetkisiz kullanımına karşı sahip oldukları bir haktır.

7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ülkemizde de yeni bir döneme girilmiş olup, anılan Kanun vatandaşları, veri sorumlusu olarak tanımladığı gerçek ve tüzel kişilere karşı birtakım haklarla donatırken veri sorumlularına da birtakım yükümlülükler getirmiştir.

Kanun’da personel sayısı ve bilanço esas alınarak işletmelere getirilen VERBİS olarak adlandırılan "Veri Sorumluları Sicili" ne kayıt tarihleri son olarak aşağıdaki tarihlerdir.

İLGİLİ VERİ SORUMLULARI

KAYIT İÇİN SON TARİH

*Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan gerçek ve tüzel kişi veri sorumluları*

*Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları*

*Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları*

*Kamu kurum ve kuruluşu veri sorumluları*

Ayrıca, Kanun’da emredici hükümlere aykırı hareket eden şahıs ve işletmeler hakkında idari para cezaları öngörülür iken; 5237 sayılı Türk Ceza Kanunu’nun 135. ve devamı maddelerinde de kişisel verilerin gizliliğinin ihlal edilmesi halinde uygulanacak hapis cezaları düzenlenmiştir.

İdari Para Cezaları

Kişisel Veri İhlali

Aydınlatma Yükümlülüğünü Yerine Getirmeyenler

Veri Güvenliği Yükümlülüğünü Yerine Getirmeyenler

Veri Sorumluları Siciline Kayıt Ve Bildirim Yükümlülüğüne Aykırı Hareket Edenler

Kurul Tarafından Verilen Kararları Yerine Getirmeyenler

Hapis Cezaları

Kişisel Veri İhlali

Kişisel Verileri Hukuka Aykırı Olarak Kaydedilmesi

Özel Nitelikli Kişisel Verilen Kanuna Aykırı Kaydedilmesi

Kişisel Verileri Hukuka Aykırı Olarak Yayma, Başkasına Verme Ve/Veya Ele Geçirme

Kişisel Verileri Süresi Geçmesine Veya İlgili Kişi İstemesine Rağmen Yok Etmeme

KİŞİSEL VERİLERİN KORUNMASI KANUNU İLE UYUMLU MUSUNUZ?**

- Çalışanlarınızın, müşterilerinizin, tedarikçilerinizin kişisel verilerini nasıl işliyorsunuz?

- Aydınlatma yükümlülüğünüzü yerine getiriyor musunuz?

- Gerek görünen hallerde açık rıza alıyor musunuz?

- Bu kişisel verileri nasıl saklıyorsunuz?

- İmha politikanız var mı?

- Kişisel veri işleme envanterini oluşturdunuz mu?

- VERBİS'e kaydınızı gerçekleştirdiniz mi?

- İş akış ve süreçlerinizi KVKK'na uygun hale getirdiniz mi?

- Çalışanlarınıza bu konuda eğitimler verdiniz mi?

BİZ NE YAPIYORUZ?

Kanun’un getirdiği yükümlülüklere uyumlu hale gelmek adına; alanında özel uzmanlık gerektiren teknik alanda Türkiye’nin önde gelen çözüm ortakları ile işbirliği çerçevesinde Kişisel Verilerin Korunması Kanunu’na uyumluluk projeleri yürütmekteyiz.

İşletmenizin KVKK’ ya uyumun sağlanması amacıyla Usta Hukuk ve Arabuluculuk Bürosu olarak:

- İşletmenin mevcut durumu itibariyle KVKK'na uyumluluk açışından incelenmesi,

- Hukuk danışmanlığı kapsamında, işletmenin tüm süreçlerinin hukuki analize tabi tutularak veri sorumlusu ile birlikte gerekli politikaların oluşturulması ve uyum için temel şartlardan biri olan Veri İşleme Envanterinin hazırlanması,

- İşletmenin yayıma alması gereken kişisel verilerin korunması ile ilgili saklama silme vb. politikalarının içeriğinin hazırlanması, açık rıza metinleri ve aydınlatma metinlerinin oluşturulması müşteriler veya iş ortaklarıyla akdedilmesi gereken sözleşmelerin KVKK kapsamında hazırlanması ve/veya revize edilmesi,

- KVKK kapsamındaki yükümlülüklere tam anlamıyla uyumun sağlanması bakımından Veri Sorumlusu bünyesindeki ilgili tüm departmanlara (hukuk, İK, IT, pazarlama, halkla ilişkiler vb.) şirket içi farkındalık eğitimlerinin sunulması,

- Teknik danışmanlık kapsamında, hukuk ve süreç danışmanlığı safhalarında oluşturulan tüm ilke ve politikaların ilgili otomasyonlar ile kullanıcı hatalarından bağımsız hale getirilmesi için gerekli teknik testlerin yapılması,

- İlgili yükümlülüklerin yerine getirilebilmesi bakımından işletmenin kullanması gereken veri kayıt sistemlerinin oluşturulması aşamasında IT departmanları ile gereken işbirliğinin sağlanması ve mevcut durumda kullanılmakta olan veri kayıt sistemlerinin KVKK kapsamındaki yükümlülüklere uyumlu hale getirilmesi bakımından gerekli desteğin sunulması,

- VERBİS kaydının tamamlanması, süreçlerini yönetmekte ve ihtiyaç duyulması halinde, düzenli hukuki danışmanlık hizmeti vermekteyiz.

İlgili kişi olarak başvuru yolu

Kişisel verisi işlenen kişi, önce veri sorumlusuna yazılı olarak veya Kurul'un belirlediği yöntemlerle başvurmak zorundadır. Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırır. Başvurunun reddedilmesi, yetersiz yanıt verilmesi veya süresinde yanıt verilmemesi hâlinde ilgili kişi, öğrenme tarihinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir. Veri sorumlusuna başvuru yapılmadan doğrudan Kurul'a gidilemez.

Veri sorumlusunun yükümlülük takvimi

Aydınlatma yükümlülüğü verinin elde edildiği anda yerine getirilir. Açık rıza gereken hâllerde rıza, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır; hizmetin şartı hâline getirilen rıza geçersizdir. Kişisel veri işleme envanteri hazırlanmalı, saklama ve imha politikası yürürlüğe konulmalı, periyodik imha süreçleri işletilmelidir. Veri ihlali öğrenildiği andan itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a bildirilmelidir.

Yurt dışına veri aktarımı

2024 yılında yürürlüğe giren değişikliklerle yurt dışına aktarım rejimi yeniden düzenlendi: yeterlilik kararı bulunan ülkelere aktarım, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve istisnai hâller olmak üzere kademeli bir yapı kuruldu. Standart sözleşme imzalanması hâlinde, imzadan itibaren beş iş günü içinde Kurul'a bildirim yapılması gerekir. Bulut hizmeti, yurt dışı merkezli yazılım ve grup şirketi paylaşımları kullanan işletmeleri doğrudan ilgilendiren bir başlıktır.

Sıkça sorulan sorular

Küçük bir işletmeyim, VERBİS'e kaydolmak zorunda mıyım?

Yıllık çalışan sayısı elliden az ve yıllık mali bilanço toplamı eşiğin altında kalan veri sorumluları, ana faaliyet konusu özel nitelikli kişisel veri işlemek olmadıkça Sicil'e kayıt yükümlülüğünden muaftır. Muafiyet yalnızca kayıt yükümlülüğüne ilişkindir: aydınlatma, veri güvenliği, imha ve ilgili kişi başvurularını yanıtlama yükümlülükleri her ölçekteki işletme için geçerlidir.

Çalışanlarımdan açık rıza almam yeterli mi?

Hayır; çoğu durumda doğru yol da değildir. İş ilişkisinde taraflar arasında bağımlılık bulunduğundan çalışanın rızası özgür iradeye dayalı sayılmayabilir. Özlük dosyası, bordro ve SGK bildirimleri gibi işlemler kanundan doğan yükümlülüğe, sözleşmenin ifasına veya meşru menfaate dayandırılır. Açık rıza, yalnızca başka bir hukuki sebebin bulunmadığı işlemler için kullanılır.

Güvenlik kamerası kullanmak KVKK'ya aykırı mı?

Kamera kaydı kişisel veri işlemedir; yasak değildir ancak koşullara bağlıdır. Çekim alanında görünür bir aydınlatma levhası bulunmalı, kayıtlar amaçla sınırlı ve makul bir süre saklanmalı, erişim yetkileri sınırlandırılmalıdır. Soyunma odası, tuvalet gibi mahremiyet alanlarının izlenmesi hiçbir hukuki sebeple meşru hâle gelmez.

Veri ihlali yaşandı, ne yapmalıyım?

İhlal tespit edilir edilmez etkilenen sistemler izole edilir, kapsam ve etkilenen kişi sayısı belirlenir. En geç yetmiş iki saat içinde Kurul'a bildirim yapılır; etkilenen ilgili kişilere de makul en kısa sürede bilgi verilir. İhlalin kronolojisi, alınan teknik ve idari tedbirler ile alınacak önlemler yazılı hâle getirilir — Kurul incelemesinde değerlendirilen ilk belge budur.