6698 sayılı Kişisel Verilerin Korunması Kanunu, veri işleyen her kurum için somut yükümlülükler ve ağır idari yaptırımlar öngörür. Uyum, bir kez hazırlanıp unutulan belgelerden değil, yaşayan bir süreçten ibarettir.
Kurumların veri envanterini çıkarıyor, aydınlatma ve rıza metinlerini hazırlıyor, VERBİS kaydını ve veri ihlali süreçlerini birlikte yönetiyoruz.
Kişisel verisi işlenen kişi, önce veri sorumlusuna başvurmak zorundadır; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Yanıt alınamaz veya yanıt yetersiz bulunursa öğrenme tarihinden itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunulabilir. Veri sorumlusuna başvurulmadan doğrudan Kurul'a gidilemez.
İşletmeler bakımından uyum, tek seferlik bir belge çalışması değildir: aydınlatma metinleri verinin elde edildiği anda sunulmalı, kişisel veri işleme envanteri güncel tutulmalı, saklama ve imha politikası fiilen işletilmelidir. Veri ihlali öğrenildiğinde gecikmeksizin ve en geç yetmiş iki saat içinde Kurul'a bildirim yapılması gerekir. Yurt dışına aktarım rejimi 2024'te yeniden düzenlendiğinden, bulut hizmeti ve yurt dışı merkezli yazılım kullanan işletmelerin sözleşmelerini gözden geçirmesi gerekir.
Hizmet Kapsamı
- KVKK uyum projeleri ve veri envanteri
- Aydınlatma metni ve açık rıza metinleri
- VERBİS kayıt ve güncelleme süreçleri
- Kişisel veri saklama ve imha politikası
- Veri ihlali bildirimi ve Kurul süreçleri
- İlgili kişi başvurularının yanıtlanması
- Çalışan ve yönetici eğitimleri
Süreç Nasıl İşler?
- 01
Mevcut durum analizi
Hangi verilerin, hangi amaçla, nerede ve ne kadar süreyle işlendiği çıkarılır.
- 02
Dokümantasyon
Aydınlatma ve açık rıza metinleri, saklama-imha politikası ve iç prosedürler hazırlanır.
- 03
VERBİS ve tedbirler
Gerekiyorsa VERBİS kaydı yapılır; teknik ve idari güvenlik tedbirleri belirlenir.
- 04
Eğitim ve denetim
Çalışanlara eğitim verilir, süreçler periyodik olarak gözden geçirilir.
Görüşmeye Getirmeniz Faydalı Belgeler
- Kullanılan formlar ve mevcut aydınlatma metinleri
- Çalışan ve tedarikçi sözleşmeleri
- Kullanılan yazılım ve bilgi sistemlerinin listesi
- Kamera kayıt düzeni ve erişim yetkileri
- İnternet sitesinin çerez ve form yapısı
Belgelerin tamamı ilk görüşmede gerekli değildir; elinizde olanları getirmeniz yeterlidir.
Kaçırılmaması Gereken Süreler
- Veri ihlalinin Kurul'a bildirimi
- Öğrenmeden itibaren en geç 72 saatKVK Kurulu Kararı 2019/10
- İlgili kişi başvurusunun cevaplanması
- En geç 30 günKVKK m. 13/2
- Kurul'a şikâyet
- Cevabı öğrenmeden itibaren 30 gün, her hâlde başvurudan itibaren 60 günKVKK m. 14/2
- Standart sözleşmenin Kurul'a bildirimi
- İmzadan itibaren 5 iş günüKVKK m. 9/4
Süreler genel kurallardır; somut olayda farklı süreler uygulanabilir. Süre kaçırmamak için erken hukuki destek alınması önerilir.
Sık Sorulan Sorular
Veri ihlali yaşandığında ne kadar sürede bildirim yapılmalı?
Kişisel Verileri Koruma Kurulu kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmalıdır.
VERBİS kaydı her işletme için zorunlu mu?
Hayır. Kurul kararlarıyla, yıllık çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan ve ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıt yükümlülüğünden muaf tutulmuştur. Eşikler değişebildiği için güncel durumun ayrıca kontrol edilmesi gerekir.
Her veri işleme için açık rıza gerekir mi?
Hayır. Kanunda açıkça öngörülmesi, sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi hâllerde açık rıza aranmaz (KVKK m. 5/2). Gereksiz yere açık rıza alınması da uygulamada sorun yaratabilir.
KVKK'ya aykırılığın yaptırımı nedir?
Aydınlatma, veri güvenliği, Kurul kararlarına uyum ve VERBİS yükümlülüklerinin ihlali idari para cezasına tabidir (KVKK m. 18). Ceza tutarları her yıl yeniden değerleme oranında güncellenir; bazı fiiller ayrıca Türk Ceza Kanunu kapsamında suç oluşturabilir.
Çalışanlardan açık rıza almak yeterli mi?
Çoğu durumda doğru yol değildir. İş ilişkisindeki bağımlılık nedeniyle çalışanın rızası özgür iradeye dayalı sayılmayabilir. Özlük dosyası, bordro ve yasal bildirimler kanundan doğan yükümlülüğe, sözleşmenin ifasına veya meşru menfaate dayandırılır; açık rıza yalnızca başka hukuki sebebin bulunmadığı işlemler için kullanılır.
İşyerinde kamera kullanmak mümkün mü?
Kamera kaydı kişisel veri işlemedir; yasak değildir ancak koşullara bağlıdır. Görünür bir aydınlatma levhası bulunmalı, kayıtlar amaçla sınırlı ve makul bir süre saklanmalı, erişim yetkileri sınırlandırılmalıdır. Mahremiyet alanlarının izlenmesi hiçbir hukuki sebeple meşru hâle gelmez.
Veri ihlali yaşandığında ilk ne yapılmalı?
Etkilenen sistemler izole edilir, ihlalin kapsamı ve etkilenen kişi sayısı belirlenir. En geç yetmiş iki saat içinde Kurul'a bildirim yapılır, ilgili kişilere de makul en kısa sürede bilgi verilir. İhlalin kronolojisi ile alınan teknik ve idari tedbirlerin yazılı hâle getirilmesi, Kurul incelemesinde ilk istenen belgedir.
Yanıtlar genel bilgilendirme amaçlıdır; somut durumunuz için hukuki destek almanız önerilir.