6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), müşteri, çalışan, tedarikçi veya ziyaretçi verisi işleyen hemen her işletmeyi kapsar. Bir e-ticaret sitesi, bir klinik, bir emlak ofisi veya küçük bir muhasebe bürosu; büyüklüğü ne olursa olsun kişisel veri işliyorsa KVKK’ya uyum sağlamakla yükümlüdür.
KVKK uyumu, bir defaya mahsus hazırlanan birkaç metinden ibaret değildir. İşletmenin veri işleme faaliyetlerinin bütünüyle ele alındığı, sürekli güncellenen bir süreçtir.
1. Veri işleme envanteri
Uyum sürecinin temeli, işletmenin hangi kişisel verileri, hangi amaçla, hangi hukuki sebebe dayanarak işlediğinin tespit edilmesidir. Bu çalışma sonucunda hazırlanan kişisel veri işleme envanteri şu bilgileri içerir:
- Veri kategorileri (kimlik, iletişim, finans, sağlık vb.),
- Veri konusu kişi grupları (müşteri, çalışan, aday, ziyaretçi),
- İşleme amaçları,
- Hukuki sebepler,
- Verilerin aktarıldığı alıcı grupları (yurt içi ve yurt dışı),
- Azami saklama süreleri,
- Alınan güvenlik tedbirleri.
Bu çalışma her departmanla görüşülerek yapılmalıdır; çünkü insan kaynakları, muhasebe, satış ve bilgi teknolojileri birimlerinin veri işleme faaliyetleri birbirinden farklıdır.
2. Hukuki sebeplerin belirlenmesi
KVKK’ya göre kişisel veriler, kural olarak açık rıza ile işlenir. Ancak kanunda sayılan diğer hukuki sebeplerden biri varsa açık rıza aranmaz:
- Kanunlarda açıkça öngörülmesi,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi,
- İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.
Uygulamada sık yapılan bir hata, her veri işleme faaliyeti için açık rıza alınmasıdır. Başka bir hukuki sebep mevcutken açık rıza alınması, ilgili kişiyi yanıltıcı olabilir ve rızanın geri alınması hâlinde işlemenin durdurulması gerektiği izlenimi yaratır.
3. Aydınlatma metinleri
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi aydınlatmakla yükümlüdür. Aydınlatma metni:
- Veri sorumlusunun ve varsa temsilcisinin kimliğini,
- Kişisel verilerin hangi amaçla işleneceğini,
- Kimlere ve hangi amaçla aktarılabileceğini,
- Toplama yöntemini ve hukuki sebebini,
- İlgili kişinin KVKK’nın 11. maddesinde sayılan haklarını
içermelidir. Farklı kişi grupları için (müşteri, çalışan, aday, ziyaretçi) ayrı aydınlatma metinleri hazırlanmalıdır. Aydınlatma yükümlülüğü, açık rıza alınıp alınmadığından bağımsız olarak yerine getirilmelidir.
4. Açık rıza metinleri
Açık rıza gereken hâllerde (örneğin pazarlama amaçlı iletişim, bazı yurt dışı aktarımlar), rızanın:
- Belirli bir konuya ilişkin,
- Bilgilendirmeye dayanan,
- Özgür iradeyle açıklanan
nitelikte olması gerekir. Hizmetin sunulmasının açık rıza verilmesi şartına bağlanması, rızanın özgür iradeye dayandığı konusunda tereddüt yaratır.
5. Saklama ve imha politikası
Kişisel veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalıdır. Amaç ortadan kalktığında veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir. VERBİS’e kayıt yükümlüsü olan veri sorumlularının bir kişisel veri saklama ve imha politikası hazırlaması zorunludur. Politikada verilerin saklama süreleri ve periyodik imha süreleri belirlenir.
6. Teknik ve idari tedbirler
Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlamakla yükümlüdür. Başlıca tedbirler:
- Teknik: Erişim yetkilendirmesi, şifreleme, güvenlik duvarı, yedekleme, log kayıtları, sızma testleri.
- İdari: Çalışanlarla gizlilik taahhütnameleri, veri işleyenlerle sözleşmeler, çalışan eğitimleri, iç denetimler.
7. Veri işleyen sözleşmeleri
Muhasebe firması, bulut hizmet sağlayıcısı veya bordro şirketi gibi işletme adına veri işleyen üçüncü kişilerle, KVKK yükümlülüklerini düzenleyen sözleşmeler imzalanmalıdır. Veri işleyenin ihlalinden veri sorumlusu da müştereken sorumludur.
8. VERBİS kaydı
Kayıt yükümlülüğü bulunan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmalıdır. Ayrıntılar için VERBİS kayıt yükümlülüğü yazımıza bakabilirsiniz.
9. Başvuru ve ihlal yönetimi
İlgili kişilerin başvurularını yanıtlamak için bir süreç oluşturulmalı; olası bir veri ihlali durumunda izlenecek adımlar önceden belirlenmelidir.
Uyumsuzluğun sonuçları
KVKK’ya aykırılık hâlinde Kişisel Verileri Koruma Kurulu tarafından idari para cezaları uygulanabilir. Bu cezalar her yıl yeniden değerleme oranında güncellenir. Ayrıca hukuka aykırı veri işleme, TCK kapsamında suç oluşturabilir ve ilgili kişilerin tazminat talepleri gündeme gelebilir.
KVKK uyumu, işletmenin gerçek iş süreçlerine göre şekillendirildiğinde hem yasal riski azaltır hem de müşteri ve çalışan güvenini artırır.