6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), müşteri, çalışan veya tedarikçi verisi işleyen hemen her şirketi doğrudan ilgilendirir. Uygulamada en sık karşılaştığımız durum, şirketlerin kendilerinin "veri sorumlusu" sıfatını taşıdığının farkında olmaması veya bu sıfatın getirdiği somut yükümlülükleri bilmemesidir.
1. Veri Sorumlusu Kime Denir?
KVKK m. 3 uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bir web sitesi üzerinden müşteri bilgisi toplayan, çalışan özlük dosyası tutan veya CRM sistemi kullanan hemen her işletme, en azından bazı veri işleme faaliyetleri bakımından veri sorumlusu sıfatını taşır.
2. Aydınlatma Yükümlülüğü (KVKK m. 10)
Veri sorumlusu, kişisel verilerin elde edildiği anda ilgili kişiyi; veri sorumlusunun kimliği, işleme amacı, aktarılacağı alıcılar, toplama yöntemi ve hukuki sebebi ile ilgili kişinin KVKK m. 11'de sayılan hakları konusunda bilgilendirmekle yükümlüdür. Bu yükümlülük, yalnızca bir "KVKK metni" yayınlamaktan ibaret değildir — aydınlatmanın veri toplanan HER kanalda (web formu, başvuru formu, kamera kaydı, çağrı merkezi vb.) ayrı ayrı ve o kanala özgü şekilde yapılması gerekir.
3. VERBİS Kayıt Yükümlülüğü ve İstisnalar
Veri Sorumluları Sicili (VERBİS), veri sorumlularının kişisel veri işleme faaliyetlerini kayıt altına aldırdığı bir sistemdir. Kural olarak yıllık çalışan sayısı ve mali bilanço büyüklüğüne göre belirlenen eşikleri aşan şirketler VERBİS'e kayıt olmak zorundadır; ancak bazı küçük ölçekli işletmeler ile yalnızca sınırlı sayıda veri işleyen belirli meslek grupları istisna kapsamındadır. Kayıt yükümlülüğünün olup olmadığının her şirket özelinde ayrıca değerlendirilmesi gerekir — istisna kapsamında olduğunu düşünen pek çok işletme aslında kayıt yükümlüsüdür.
4. Açık Rıza mı, Hukuki Sebep mi? (KVKK m. 5-6)
Uygulamada en sık yapılan hatalardan biri, her veri işleme faaliyeti için açık rıza alınması gerektiğinin düşünülmesidir. Oysa KVKK m. 5/2'de sayılan hukuki sebeplerden biri (bir sözleşmenin kurulması/ifası, kanuni yükümlülük, meşru menfaat vb.) mevcutsa açık rızaya gerek yoktur — hatta gereksiz yere alınan bir rıza, ilgili kişiye her an geri alma hakkı tanıyarak veri işleme faaliyetini kırılgan hale getirebilir. Özel nitelikli kişisel veriler (sağlık, biyometrik veri, dernek/sendika üyeliği vb.) içinse KVKK m. 6 uyarınca kural olarak açık rıza aranır.
5. Veri İhlali Bildirimi
Kişisel verilerin kanuni olmayan yollarla üçüncü kişiler tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ve makul olan en kısa sürede içinde, mümkün olan hâllerde ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Etkilenen kişilere de uygun yöntemle bildirim yapılması gerekir. Bu süreç için önceden hazırlanmış bir "veri ihlali müdahale planı"nın bulunması, olay anında panik kararlarının önüne geçer.
6. İdari Para Cezaları ve Denetim Riski
Kişisel Verileri Koruma Kurulu, aydınlatma yükümlülüğüne aykırılık, veri güvenliği önlemlerinin alınmaması, Kurul kararlarına uyulmaması ve VERBİS'e kayıt yükümlülüğünün yerine getirilmemesi gibi ihlaller için yıllık olarak güncellenen üst sınırlar dahilinde idari para cezası uygulayabilir. Cezaların yanı sıra, bir veri ihlali sonrası itibar kaybı ve sözleşmesel tazminat talepleri de şirketler için önemli bir risk kalemidir.
7. Uyum İçin İlk Adımlar
Pratik olarak önerdiğimiz yol haritası: (i) şirket genelinde bir veri envanteri çıkarmak (hangi veri, nereden, ne amaçla, ne kadar süre işleniyor), (ii) VERBİS yükümlülüğünü değerlendirmek, (iii) her veri toplama kanalı için ayrı aydınlatma metni hazırlamak, (iv) veri işleyen üçüncü taraflarla (bulut sağlayıcı, muhasebe bürosu vb.) veri işleme sözleşmeleri imzalamak, (v) bir veri ihlali müdahale planı oluşturmaktır.
Bu yazı genel bilgilendirme amaçlıdır. Şirketinizin KVKK uyum sürecini birlikte değerlendirmek için büromuzla iletişime geçebilirsiniz.