Kişisel verilerin korunması
KVKK ve Veri Koruma Hukuku
Kişisel veri işleyen her işletme; müşterisinin, çalışanının ve ziyaretçisinin verisinden hukuken sorumludur. Uyum çalışmasını bir belge yığınına dönüştürmeden, işletmenin gerçek veri akışına göre kuruyor; bir ihlal ya da Kurul incelemesi gündeme geldiğinde hızla harekete geçiyoruz.
Veri sorumlularına sunduğumuz başlıca hizmetler
- Veri envanteri ve uyum projesi
- Aydınlatma ve açık rıza metinleri
- VERBİS kaydı
- Veri ihlali yönetimi ve bildirim
- İlgili kişi başvuruları ve Kurul şikâyetleri
Yazar
Av. Mesut İLME
Yalova Barosu Sicil No: 287 · KVKK ve Veri Koruma Hukuku
Uyum bir metin değil, bir işleyiştir
Kişisel Verilerin Korunması Kanunu veri işlemeyi yasaklamaz; verinin hangi amaçla, hangi hukuki sebebe dayanarak ve ne kadar süreyle işlendiğinin belirli, ölçülü ve hukuka uygun olmasını ister. Bu yüzden uyum çalışması internetten indirilen bir aydınlatma metniyle tamamlanmaz. İşletmenin hangi biriminde hangi verinin toplandığı, kiminle paylaşıldığı ve ne zaman silindiği tek tek çıkarılır.
Uygulamada en sık karşılaştığımız eksikler şunlardır: her işlem için gereksiz yere açık rıza istenmesi, çalışan ve kamera kayıtlarının saklama süresinin belirlenmemesi, pazarlama iletilerinde izin kaydının tutulmaması ve bir veri ihlalinde kimin ne yapacağının önceden kararlaştırılmaması. Bu eksikler idari para cezası riskini olduğu kadar müşterilerin ve çalışanların güvenini de etkiler.
Çalışmayı iş hukuku, sözleşmeler ve bilgi teknolojileri ekibinizle birlikte yürütüyoruz. Amaç, denetimde gösterilecek bir dosya değil; günlük işleyişe yerleşmiş ve sürdürülebilir bir düzen kurmaktır.
Veri sorumlusu olarak ihtiyaç duyabileceğiniz hizmetler
Veri envanteri ve uyum projesi
Veri akışının çıkarılması, hukuki sebeplerin belirlenmesi ve eksiklerin önceliğe göre giderilmesi.
Aydınlatma ve rıza metinleri
İnternet sitesi, çağrı merkezi, kamera ve insan kaynakları süreçleri için ayrı ayrı hazırlanan metinler.
VERBİS kaydı
Sicile kayıt yükümlülüğünün değerlendirilmesi ve kaydın envanterle uyumlu yapılması.
Veri ihlali yönetimi
İhlalin kapsamının belirlenmesi, Kurula ve ilgili kişilere bildirim, sonrasında alınacak önlemler.
Başvuru ve şikâyetler
İlgili kişi başvurularının süresinde yanıtlanması, Kurul şikâyetlerinde savunmanın hazırlanması.
Çalışan verileri
İşe alım, özlük dosyası, kamera ve cihaz kullanımı kurallarının iş hukukuyla birlikte kurulması.
Kanunun işletmeye yüklediği başlıca yükümlülükler
Kişisel Verilerin Korunması Kanunu (6698 s.) ve Kurul kararları.
- KVKK m. 10
- Veri sorumlusu, veriyi elde ederken kimliğini, işleme amacını, verinin kimlere hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebini ve ilgili kişinin haklarını bildirmekle yükümlüdür.
- KVKK m. 12
- Veri sorumlusu gerekli teknik ve idari tedbirleri alır; işlenen veriler kanuni olmayan yollarla başkalarınca elde edilirse durumu en kısa sürede ilgilisine ve Kurula bildirir.
- Kurul kararı 2019/10
- Kurul, veri ihlalinin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirilmesini aramaktadır.
- KVKK m. 13
- İlgili kişinin başvurusu, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır.
- KVKK m. 14
- Başvurusu reddedilen, cevabı yetersiz bulan ya da süresinde cevap alamayan ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edebilir. Önce veri sorumlusuna başvurmak şarttır.
- KVKK m. 16
- Veri sorumluları, Kurulun belirlediği istisnalar dışında, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.
Bir veri ihlali yaşandığında ilk günler
İhlalden sonraki ilk saatlerde verilen kararlar, Kurul incelemesinde savunmanın temelini oluşturur.
Olayın sınırlarını çizmek
Hangi sistemden hangi verinin, hangi tarihler arasında ve kaç kişiye ait olarak etkilendiği belirlenir; teknik ekibin bulguları yazıya geçirilir.
Kurula bildirim
Bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin hazırlanır; o an bilinmeyen bilgiler sonradan tamamlanabilir.
İlgili kişilere bildirim
Etkilenen kişiler belirlendikten sonra makul en kısa sürede, doğrudan ya da uygun yöntemlerle bilgilendirilir.
Kalıcı önlem
İhlale yol açan açık giderilir, erişim yetkileri ve tedarikçi sözleşmeleri gözden geçirilir; alınan önlemler belgelenir.
Kişisel veriler hakkında işletmelerin sorduğu sorular
Her işlem için açık rıza almak gerekir mi?
Hayır. Açık rıza, Kanunda sayılan öteki işleme şartlarından hiçbiri yoksa başvurulan bir sebeptir. Sözleşmenin kurulması ve ifası, hukuki yükümlülük ya da meşru menfaat gibi şartlardan biri varsa ayrıca rıza istenmez. Gereksiz rıza istemek ilgili kişiyi yanıltabilir ve rıza geri alındığında süreci kilitler.
Her işletme VERBİS’e kayıt olmak zorunda mı?
Kayıt kural olarak zorunludur; ancak Kurul, çalışan sayısı ve yıllık mali bilanço gibi ölçütlere göre bazı veri sorumlularını kayıt yükümlülüğünden muaf tutmuştur. Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar muafiyetten yararlanamaz. Muafiyet; aydınlatma ve veri güvenliği yükümlülüklerini kaldırmaz.
İşyerinde kamera kaydı tutabilir miyiz?
Güvenlik amacıyla kamera kullanılabilir; ancak kameraların bulunduğu alanlar aydınlatma ile duyurulmalı, kayıtlar amaçla ölçülü bir süre saklanmalı ve soyunma odası gibi mahremiyet alanlarında kamera bulunmamalıdır. Kayıtlara kimlerin erişebileceği de yazılı olarak belirlenmelidir.
Kurul hangi durumlarda inceleme başlatır?
Kurul, ilgili kişinin şikâyeti üzerine ya da bir ihlal iddiasını öğrenmesi hâlinde kendiliğinden inceleme yapar (KVKK m. 15). Veri sorumlusu, Kurulun istediği bilgi ve belgeleri on beş gün içinde göndermek zorundadır. İnceleme sonunda aykırılığın giderilmesi istenebilir ve idari para cezası verilebilir.
Kurulun verdiği idari para cezasına itiraz edilebilir mi?
Evet. 1 Haziran 2024’ten beri Kurulca verilen idari para cezalarına karşı idare mahkemesinde dava açılır (KVKK m. 18/3); dava açma süresi kural olarak tebliğden itibaren altmış gündür. Davada ihlalin kapsamı, alınan önlemler ve cezanın ölçülülüğü birlikte ele alınır.
Çalışanların kişisel verileri nasıl korunur?
İşe alım başvuruları, özlük dosyaları, sağlık raporları ve giriş çıkış kayıtları ayrı amaçlarla işlenen veri gruplarıdır. Sağlık verisi özel nitelikli olduğu için ayrıca korunur ve erişimi sınırlandırılır. İş sözleşmelerine ve iç yönergelere eklenen hükümler, çalışanların haklarını ve işverenin denetim yetkisini birlikte gözetmelidir.
İşletmenizin veri akışını birlikte gözden geçirelim
Mevcut metinleriniz ve süreçleriniz üzerinden eksikleri önceliğe göre sıralar, uyum çalışmasının kapsamını ve takvimini birlikte belirleriz.
- Online Danışmanlık (60 dakika)9.600 ₺KDV dahilSesli ya da görüntülü, dosyanın bütünü için
- Online Danışmanlık (30 dakika)6.600 ₺KDV dahilSesli ya da görüntülü, tek bir soru için
- Büroda Yüz Yüze Danışmanlık (60 dakika)13.200 ₺KDV dahilYalova'daki büroda, belgelerinizle birlikte
Görüşmeler ücretlidir. Saatinizi randevu sayfasındaki takvimden seçersiniz.