Kişisel Verilerin Korunması (KVKK)

Uyum Programının Kurulması

Bir KVKK uyum çalışması kâğıt üzerinde metin üretmekle değil, verinin şirket içinde nasıl dolaştığının çıkarılmasıyla başlar. Sırasıyla: veri envanteri ve işleme faaliyetlerinin haritalanması, her faaliyet için hukuki sebebin belirlenmesi, aydınlatma metinlerinin ve gerektiğinde açık rıza metinlerinin hazırlanması, saklama ve imha politikasının oluşturulması, veri güvenliği tedbirlerinin uygulanması, çalışan ve tedarikçi sözleşmelerinin güncellenmesi ve VERBİS kaydının yapılmasıdır.

Aydınlatma yükümlülüğü ile açık rıza birbirinden ayrı kurumlardır: aydınlatma her hâlde yapılmak zorundadır, açık rıza ise yalnızca başka bir işleme sebebi bulunmadığında aranır. Bu ayrımın karıştırılması denetimlerde en sık rastlanan uyumsuzluk sebebidir.

Özel Nitelikli Veriler ve Yurt Dışına Aktarım

Sağlık, biyometrik veri, din, üyelik bilgisi gibi özel nitelikli kişisel veriler daha ağır bir korumaya tabidir ve bunların işlenmesi için ek şartlar aranır. Özellikle işyeri sağlık kayıtları, parmak izi veya yüz tanıma ile giriş sistemleri bu kapsamda dikkatle değerlendirilmelidir; ölçülülük ilkesi gereği aynı amaca daha az veriyle ulaşılabiliyorsa biyometrik sisteme başvurulamaz.

Verilerin yurt dışına aktarılması ayrı bir rejime tabidir. Bulut hizmeti kullanan, yurt dışı merkezli yazılım satın alan veya grup şirketiyle veri paylaşan her kuruluş fiilen bu kapsamdadır. Aktarımın hangi mekanizmaya dayandığının belgelenmesi gerekir.

Veri İhlali, Kurul Şikâyeti ve Yaptırımlar

Veri ihlali hâlinde veri sorumlusunun en kısa sürede Kurul’a bildirimde bulunma ve ilgili kişileri bilgilendirme yükümlülüğü vardır. İlgili kişiler bakımından ise yol şudur: önce veri sorumlusuna başvurmak, cevap alınamaması veya cevabın yetersiz olması hâlinde Kurul’a şikâyette bulunmak.

Kanuna aykırılık idari para cezası doğurur; ayrıca kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, ele geçirilmesi veya yok edilmemesi Türk Ceza Kanunu kapsamında suç oluşturur. Bunların yanında zarar gören kişinin genel hükümlere göre maddi ve manevi tazminat talep etme hakkı saklıdır.

Sık Sorulan Sorular

Her veri işleme için açık rıza almam gerekir mi?

Hayır. 6698 sayılı Kanun açık rıza dışında da işleme sebepleri saymaktadır; sözleşmenin ifası, kanuni yükümlülük veya meşru menfaat gibi bir sebep varsa açık rıza aranmaz. Aksine, böyle bir sebep varken rızaya dayanmak, rızanın geri alınması hâlinde faaliyeti dayanaksız bırakır.

VERBİS kaydı kimler için zorunlu?

Kanun ve Kurul kararlarıyla belirlenen kriterleri aşan veri sorumluları için VERBİS’e kayıt zorunludur. Kapsamın belirlenmesi çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi ölçütlere göre yapılmakta olup her kuruluş için ayrıca değerlendirilmelidir.

Verilerim hukuka aykırı işleniyor, nereye başvurmalıyım?

Önce veri sorumlusuna yazılı olarak başvurmanız gerekir. Başvurunuza süresi içinde cevap verilmemesi veya cevabın yetersiz olması hâlinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Ayrıca genel hükümlere göre tazminat talep etme hakkınız saklıdır.

İşyerinde parmak izi ile giriş sistemi kurabilir miyim?

Parmak izi özel nitelikli kişisel veridir ve işlenmesi ek şartlara tabidir. Ölçülülük ilkesi gereği aynı amaca daha az veriyle ulaşılabiliyorsa biyometrik sisteme başvurulamaz. Bu nedenle alternatif yöntemlerin değerlendirilmesi ve çalışanlara gerçek bir seçenek sunulması gerekir.

İlgili Çalışma Alanları

Bu sayfa Ceza, Bilişim ve Veri Hukuku grubunda yer almaktadır. Aynı gruptaki diğer alanlar:

• Ceza Hukuku
• Bilişim ve Teknoloji Hukuku
• Sosyal Medya Hukuku

Büromuzun tüm çalışma alanları için Çalışma Alanlarımız sayfasını inceleyebilirsiniz.

PEGA Hukuk ve Danışmanlık ile İletişim

Kişisel Verilerin Korunması (KVKK) alanındaki dosyalarınız için PEGA Hukuk ve Danışmanlık bünyesindeki ekibimize ulaşabilirsiniz. Büromuz Kartal/İstanbul’da faaliyet göstermektedir. Randevu ve bilgi için iletişim sayfamızı inceleyebilirsiniz.

Bu sayfadaki bilgiler genel nitelikte hukuki bilgilendirme amacı taşır ve somut bir olaya ilişkin hukuki görüş yerine geçmez. Her dosya kendi koşulları içinde değerlendirilmelidir.