Yalova KVKK Avukatı: Veri Koruma, Uyum & İdari Para Cezası

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen tüm gerçek ve tüzel kişileri (veri sorumlusu) kapsam altına alır. Temel yükümlülükler: (1) VERBİS'e kayıt (belirlenen kriterleri karşılayan veri sorumluları için), (2) Aydınlatma yükümlülüğü (KVKK m.10), (3) Açık rıza alma (özel nitelikli veriler ve özel hallerde), (4) Veri güvenliği önlemleri (m.12), (5) Veri ihlalinde 72 saat içinde Kurul bildirimi, (6) İlgili kişi başvurularına 30 gün içinde cevap, (7) Saklama ve imha politikası. Sektör ve veri hacmine göre bu yükümlülüklerin uygulanması farklılık gösterir.

Veri Sorumluları Sicili Bilgi Sistemi (VERBİS) kayıt zorunluluğu, KVKK Kurul'un belirlediği eşik kriterlerine bağlıdır. 2024 itibarıyla yıllık net cirosu 100 milyon TL'yi veya bilanço toplamı 100 milyon TL'yi geçen yurt içi tüzel kişiler ile yıllık çalışan sayısı 50 ve üzerindeki şirketler kayıt zorunluluğu kapsamındadır. Ayrıca sağlık, finans, eğitim sektörü gibi bazı özel alanlarda eşik düşürülmüştür. Kayıt yükümlülüğüne aykırılık ciddi idari para cezasına tabidir; mevcut Kurul kararlarında bu cezalar milyon TL'leri bulabilmektedir.

KVKK m.12/5 hükmü uyarınca veri sorumlusu, veri ihlalinin gerçekleştiği öğrendikten itibaren <strong>en kısa sürede (kural olarak 72 saat içinde)</strong> KVKK Kurulu&apos;na bildirim yapmak zorundadır. Yüksek risk içeren ihlallerde ayrıca ilgili kişilere de doğrudan bildirim yapılması gerekir. Yapılması gerekenler sırasıyla: (1) İhlalin tespit ve dokümantasyonu, (2) Kök neden analizi ve düzeltici aksiyon, (3) Kurul bildirimi (verbis.kvkk.gov.tr), (4) Etkilenen kişilere bildirim, (5) Sistem güvenliğinin yeniden sağlanması. Bildirimin zamanında yapılmaması, ihlalin kendisinden ayrı bir idari para cezası nedenidir.

KVKK Kurul kararlarına karşı, kararın tebliğinden itibaren <strong>60 gün içinde</strong> idare mahkemesinde iptal davası açabilirsiniz. Yetkili mahkeme, kararın muhatabının yerleşim yerine veya işyerinin bulunduğu yer İdare Mahkemesi&apos;dir. İptal davasında genellikle yürütmenin durdurulması talep edilir; mahkeme kabul ederse karara konu para cezası ödenmez. Kurul kararının hukuka uygunluk denetiminde; usul eksikleri, somut delillerin yetersizliği, orantısız ceza miktarı gibi argümanlar incelenir. Kurul kararlarının önemli bir kısmı yargıda iptal veya tutar indirimi ile sonuçlanmaktadır.

Aydınlatma metni (KVKK m.10), kişisel veri işlenirken ilgili kişiye verilen <strong>bilgilendirme</strong>dir; her veri işlemede zorunludur, rıza şartı değildir. Açık rıza (KVKK m.5/1) ise belirli, tereddütsüz ve özgür iradeyle verilen <strong>hukuki dayanak</strong>tır; sadece m.5/2 ve m.6 kapsamındaki diğer veri işleme şartlarının bulunmadığı durumlarda gerekir. Sözleşmenin ifası için zorunlu veri işleme, hukuki yükümlülük gereği veri işleme veya meşru menfaat dayanağında açık rıza gerekmez; ancak aydınlatma yine zorunludur. Bu ayrımı yanlış uygulamak en sık görülen KVKK ihlali nedenidir.

KVKK ve GDPR temel olarak benzer prensipleri paylaşır (aydınlatma, açık rıza, veri güvenliği, ihlal bildirimi). Ancak önemli farklar mevcuttur: (1) GDPR yeterli koruma bulduğunda yurt dışı aktarımı serbestleştirir; KVKK için Kurul onayı veya taahhütname gerekir, (2) GDPR'da idari para cezası maksimum 20 milyon Euro veya cirosunun %4'ü kadarken KVKK'da nispi para cezası uygulanır, (3) GDPR'da &quot;tek mağdur kavramı&quot; yokken KVKK'da ilgili kişi başvuruları öne çıkar, (4) Veri Koruma Görevlisi (DPO) zorunluluğu GDPR'da daha geniş kapsamlıdır. Yurt dışına veri aktaran Türk şirketleri her iki rejime de uyum sağlamak zorundadır.

Hayır, çalışan açık rızası iş hukukundan kaynaklanan veri işlemeler için <strong>uygun hukuki dayanak değildir</strong>. KVKK Kurul yerleşik kararlarına göre işveren-işçi ilişkisindeki güç dengesizliği nedeniyle açık rıza özgür iradeye dayanmaz sayılır. Çalışan özlük dosyası, bordro, performans değerlendirme gibi veriler m.5/2 kapsamında &quot;sözleşmenin kurulması/ifası&quot; veya &quot;hukuki yükümlülük&quot; (4857 sayılı İş Kanunu, SGK mevzuatı) dayanaklarıyla işlenir. Sağlık raporu, biyometrik veri gibi özel nitelikli verilerde ayrıca m.6 kapsamında işleme şartları aranır.

Güvenlik kamerası kayıtları kişisel veri niteliğindedir ve KVKK'ya tabidir. Uyum şartları: (1) Görünür ve net aydınlatma tabelası (kamera ve veri sorumlusu bilgisi), (2) Saklama süresinin belirlenmesi (genellikle 30-90 gün), (3) Kayıtlara erişim yetkisinin sınırlandırılması, (4) Hassas alanlarda (tuvalet, soyunma odası) kamera yasağı, (5) İhlal halinde 72 saat bildirim hazırlığı. KVKK Kurul, gerekçesiz uzun süreli kayıt saklayan veya aydınlatmasız çalıştıran işletmelere idari para cezası uygulamıştır. Yalova'daki AVM, fabrika ve kamuya açık iş yerleri için bu kurallar özellikle önemlidir.

Veri aktarımı KVKK m.8 (yurt içi) ve m.9 (yurt dışı) kapsamında özel kurallara tabidir. Yurt içi aktarım için: (1) İlgili kişinin açık rızası, veya (2) M.5/2 ve m.6'da öngörülen şartlardan birinin varlığı şarttır. Sözleşmeden kaynaklı zorunluluk, hukuki yükümlülük veya meşru menfaat dayanaklarıyla aktarım yapılabilir; ancak aktarım yapılan tarafın da KVKK'ya uyum sağlaması gerekir. Aktarımın aydınlatma metninde belirtilmesi, aktarılan veri kategorileri ile alıcı kategorilerinin saydam şekilde gösterilmesi şarttır.

KVKK Kurul kararlarına karşı açılan iptal davaları idari yargı yolunda, kararın muhatabının yerleşim yerinde veya işyerinin bulunduğu yerdeki İdare Mahkemesi'nde görülür. Yalova'da bu davalar Yalova İdare Mahkemesi yetkisindedir (Bursa Bölge İdare Mahkemesi yargı çevresinde). KVKK m.14 kapsamındaki tazminat davaları ise ilgili kişinin yerleşim yeri veya veri sorumlusunun yerleşim yeri Asliye Hukuk Mahkemesi'nde görülebilir. Veri ihlalinden kaynaklı manevi tazminat talepleri zaten genel hükümlere tabidir.

Evet. KVKK m.14 hükmü uyarınca kişisel verileri hukuka aykırı işlenen kişi, uğradığı zararın tazminini talep etme hakkına sahiptir. Bu kapsamda hem maddi (somut zarar - örn. itibar kaybı sonrası iş kaybı) hem manevi tazminat istenebilir. Manevi tazminat tutarı; ihlalin niteliği, etkilenen kişi sayısı, veri sorumlusunun kusur derecesi ve süreklilik dikkate alınarak hâkim tarafından takdir edilir. Tazminat davası, idari para cezasından ayrı bir yargı yoludur ve birlikte talep edilebilir.

KVKK dosyalarında avukatlık ücretleri, Türkiye Barolar Birliği'nin yayınladığı Avukatlık Asgari Ücret Tarifesi (AAÜT) alt sınırının altına inilemez. Ücretlendirme; danışmanlık konusuna (uyum projesi, veri ihlali müdahalesi, Kurul karar itirazı), şirket büyüklüğüne, dosya yoğunluğuna ve veri işleme faaliyetlerinin karmaşıklığına göre belirlenir. Aylık retainer (sürekli hukuki danışman) modeli, özellikle veri işleyen orta-büyük ölçekli şirketler için uygun olabilir; bu durumda kapsam ve süre sözleşmede net olarak belirlenir. Somut ücret bilgisi için ofisimizle iletişime geçebilirsiniz.