Teknolojinin hayatımızın her alanına nüfuz etmesiyle birlikte kişisel verilerin korunması, hem bireyler hem de şirketler açısından hukuki bir zorunluluk haline gelmiştir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesinde uyulması gereken usul ve esasları düzenlemekte, buna aykırı hareket eden veri sorumlularına ciddi idari para cezaları öngörmektedir. Beşiktaş, İstanbul'da faaliyet gösteren Av. Berfug Kıran olarak, KVKK danışmanlığı, aydınlatma metni ve açık rıza formlarının hazırlanması, VERBİS kayıt işlemleri, veri ihlali bildirimleri ve şirketlerin KVKK uyum süreçleri konusunda kapsamlı hukuki destek sunmaktayız. Bir İstanbul KVKK avukatı olarak, bu alandaki mevzuatın doğru uygulanmasının hem hukuki riskleri önlediğini hem de kurumsal itibarı koruduğunu vurgulamak isteriz.

KVKK Nedir ve Kimleri Kapsar?

Kişisel Verilerin Korunması Kanunu, gerçek kişilere ait kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korumayı ve verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemeyi amaçlamaktadır. Kanun; kişisel verileri kısmen veya tamamen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen tüm gerçek ve tüzel kişileri kapsamaktadır. Bu kapsamda küçük ölçekli işletmelerden büyük holdinglere, e-ticaret şirketlerinden sağlık kuruluşlarına kadar geniş bir yelpazede veri sorumluluğu doğmaktadır.

Kanun kapsamında "kişisel veri" kavramı yalnızca ad, soyad veya kimlik numarası gibi doğrudan tanımlayıcı bilgilerle sınırlı olmayıp; IP adresi, konum bilgisi, çerez verileri, sağlık bilgileri, biyometrik veriler ve hatta bir kişinin dolaylı olarak kimliğinin belirlenmesini sağlayan her türlü bilgi kişisel veri niteliği taşıyabilmektedir. Sağlık verileri, biyometrik veriler, din, mezhep, siyasi görüş gibi veriler ise "özel nitelikli kişisel veri" olarak tanımlanmakta ve bunların işlenmesi daha sıkı şartlara tabi tutulmaktadır.

KVKK Danışmanlığı Neden Önemlidir?

Şirketlerin KVKK mevzuatına uyum sağlaması, yalnızca idari para cezalarından kaçınmak için değil, aynı zamanda müşteri güvenini kazanmak ve kurumsal itibarı korumak açısından da büyük önem taşımaktadır. Bir İstanbul avukatlık ofisi olarak sunduğumuz KVKK danışmanlığı hizmeti kapsamında şirketlerin;

  • Veri envanterinin çıkarılması ve veri işleme faaliyetlerinin haritalandırılması
  • Aydınlatma metinlerinin ve açık rıza formlarının mevzuata uygun hazırlanması
  • VERBİS'e kayıt yükümlülüğünün değerlendirilmesi ve kayıt işlemlerinin yürütülmesi
  • Veri saklama ve imha politikalarının oluşturulması
  • Veri güvenliği tedbirlerinin gözden geçirilmesi
  • Çalışanlara yönelik KVKK farkındalık eğitimlerinin planlanması

gibi süreçler titizlikle yürütülmektedir.

Veri Sorumlusu ve Veri İşleyen Kavramları

KVKK kapsamında "veri sorumlusu", kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir. "Veri işleyen" ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Bu iki kavram arasındaki sorumluluk paylaşımının sözleşmelerle net biçimde belirlenmesi, özellikle dış kaynak kullanılan hizmetlerde (örneğin bulut depolama, muhasebe hizmetleri) büyük önem taşımaktadır.

Aydınlatma Metni ve Açık Rıza

KVKK kapsamında veri sorumlularının, kişisel verileri işlenen ilgili kişileri belirli konularda bilgilendirmesi zorunludur. Aydınlatma yükümlülüğü kapsamında; veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin sahip olduğu haklar konusunda bilgi verilmesi gerekmektedir.

Açık rıza ise, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir. Açık rızanın geçerli olabilmesi için, ilgili kişinin veri işleme faaliyeti hakkında yeterince bilgilendirilmiş olması ve rızasını serbestçe vermiş olması gerekmektedir. Uygulamada sıkça karşılaşılan hatalardan biri, aydınlatma yükümlülüğü ile açık rızanın birbirine karıştırılmasıdır; oysa bu iki kavram farklı hukuki işlevlere sahiptir ve karıştırılmaları hukuki risk doğurabilmektedir.

Hukuka Uygun Veri İşleme Şartları

KVKK, açık rıza dışında da bazı hallerde kişisel verilerin işlenebilmesine imkan tanımaktadır. Kanunda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması gibi haller, açık rıza aranmaksızın veri işlenebilecek durumlar arasında sayılmaktadır. Şirketlerin hangi veri işleme faaliyetinde hangi hukuki sebebe dayandığını doğru tespit etmesi, uyum sürecinin sağlıklı yürütülmesi açısından kritik öneme sahiptir.

Özel Nitelikli Kişisel Verilerin İşlenmesi

Sağlık verileri, cinsel hayat, din, mezhep, etnik köken, siyasi düşünce, dernek/vakıf/sendika üyeliği ve biyometrik veriler gibi özel nitelikli kişisel veriler, kişilerin mağduriyetine yol açabilecek nitelikte olduğundan kanunda daha sıkı korumaya tabi tutulmuştur. Bu tür verilerin işlenebilmesi için kural olarak açık rıza aranmakta, sağlık ve cinsel hayata ilişkin veriler bakımından ise kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis ve tedavi hizmetlerinin yürütülmesi gibi istisnai hallerde açık rıza aranmaksızın işleme yapılabilmektedir.

VERBİS Kayıt Yükümlülüğü

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), veri sorumlularının kişisel veri işleme faaliyetleri hakkında kamuoyuna ve Kişisel Verileri Koruma Kurumu'na bilgi verdiği bir sicil sistemidir. Belirli çalışan sayısı ve yıllık mali bilanço büyüklüğü kriterlerini aşan veya belirli faaliyet alanlarında yer alan veri sorumluları için VERBİS'e kayıt olma yükümlülüğü bulunmaktadır. VERBİS'e kayıt yükümlülüğüne aykırılık, idari para cezası yaptırımına tabi tutulmaktadır. Bu nedenle şirketlerin öncelikle VERBİS'e kayıt yükümlülüğü kapsamında olup olmadıklarını doğru şekilde değerlendirmesi gerekmektedir.

VERBİS'e kayıt sürecinde, veri sorumlusunun kimlik ve iletişim bilgilerinin yanı sıra; kişisel veri işleme amaçları, veri konusu kişi grupları, aktarılan alıcı grupları, yurt dışına veri aktarımı yapılıp yapılmadığı ve veri güvenliğine ilişkin alınan tedbirlerin de sisteme işlenmesi gerekmektedir. Bu bilgilerin eksiksiz ve doğru şekilde hazırlanması, hem denetim süreçlerinde hem de olası bir veri ihlali durumunda büyük önem taşımaktadır.

Veri İhlali Bildirimi Süreci

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirmesi gerekmektedir. Kurul tarafından belirlenen süre içinde yapılmayan bildirimler idari yaptırımlara yol açabilmektedir. Veri ihlali bildirim sürecinde;

  • İhlalin kapsamının ve etkilediği veri kategorilerinin tespit edilmesi
  • İhlale karşı alınan ve alınacak önlemlerin belirlenmesi
  • Kurula ve ilgili kişilere yapılacak bildirimlerin mevzuata uygun hazırlanması
  • İhlalin tekrarını önleyecek teknik ve idari tedbirlerin gözden geçirilmesi

adımlarının hızlı ve doğru şekilde atılması büyük önem taşımaktadır. Beşiktaş'taki ofisimiz, veri ihlali yaşayan şirketlere bu süreçte acil hukuki destek sunmaktadır.

Şirketler İçin KVKK Uyum Süreci

KVKK uyum süreci, tek seferlik bir işlem olmaktan ziyade sürekli güncellenmesi gereken bir yönetim sistemidir. Uyum sürecinin sağlıklı işletilmesi için şirketlerin düzenli olarak veri işleme faaliyetlerini gözden geçirmesi, yeni faaliyet alanlarına ilişkin aydınlatma ve rıza süreçlerini güncellemesi ve veri güvenliği tedbirlerini periyodik olarak denetlemesi tavsiye edilmektedir. Bir İstanbul avukatlık ofisi olarak, şirketlere yalnızca uyum sürecinin kurulumunda değil, sürecin sürdürülebilir şekilde yönetilmesinde de destek vermekteyiz.

KVKK Uyum Sürecinde İzlenmesi Gereken Adımlar

  1. Şirket bünyesinde yürütülen kişisel veri işleme faaliyetlerinin envanterinin çıkarılması,
  2. Her bir veri işleme faaliyeti için hukuki sebebin ve amacın tespit edilmesi,
  3. Aydınlatma metinlerinin, açık rıza formlarının ve gerekli politikaların hazırlanması,
  4. VERBİS'e kayıt yükümlülüğünün değerlendirilerek gerekiyorsa kaydın yapılması,
  5. Veri güvenliğine ilişkin teknik ve idari tedbirlerin uygulanması,
  6. Çalışanlara yönelik farkındalık eğitimlerinin verilmesi,
  7. Sürecin periyodik olarak denetlenmesi ve güncellenmesi.

Yurt Dışına Veri Aktarımı

Kişisel verilerin yurt dışında bulunan üçüncü kişilere aktarılması, KVKK kapsamında özel şartlara tabi tutulmuştur. İlgili kişinin açık rızasının bulunması, yeterli korumanın olduğu ülkelere aktarım yapılması veya Kurul tarafından onaylanan taahhütnamelerin imzalanması gibi yöntemlerle yurt dışına veri aktarımı gerçekleştirilebilmektedir. Özellikle çok uluslu şirket gruplarında ve bulut tabanlı hizmet sağlayıcıları kullanan işletmelerde, yurt dışına veri aktarımı konusunun mevzuata uygun şekilde yapılandırılması önem taşımaktadır.

KVKK İhlallerinde İdari Para Cezaları

KVKK'ya aykırılık halinde Kişisel Verileri Koruma Kurulu tarafından; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi, Kurul kararlarının yerine getirilmemesi ve VERBİS'e kayıt yükümlülüğüne aykırılık gibi hallerde idari para cezaları uygulanabilmektedir. Bu cezalar her yıl güncellenmekte olup, ihlalin ağırlığına göre önemli meblağlara ulaşabilmektedir. Ayrıca hukuka aykırı veri işleme faaliyetleri nedeniyle ilgili kişilerin maddi ve manevi tazminat talebinde bulunma hakkı da saklıdır.

İlgili Kişinin Kurul'a veya Yargıya Başvuru Süreci

KVKK ihlali nedeniyle mağdur olan ilgili kişi, öncelikle veri sorumlusuna başvurarak talebini iletmek zorundadır. Veri sorumlusunun otuz gün içinde cevap vermemesi veya cevabın yetersiz bulunması halinde, ilgili kişi Kişisel Verileri Koruma Kurulu'na şikayette bulunabilmektedir. Kurul'un vereceği karara karşı ise idari yargı yoluna başvurulabilmektedir. Bu süreçte başvuru ve şikayet sürelerine dikkat edilmesi, hak kaybının önlenmesi açısından önemlidir.

Zamanaşımı ve Başvuru Süreleri

İlgili kişinin veri sorumlusuna yaptığı başvuruya otuz gün içinde cevap verilmesi gerekmektedir. Veri sorumlusunun cevabının yetersiz bulunması veya hiç cevap verilmemesi halinde, ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikayette bulunabilmektedir. Kurul kararlarına karşı idari dava açma süresi ise genel idari yargılama usulüne tabi olup, kararın tebliğinden itibaren işlemeye başlamaktadır. Tazminat davalarında ise haksız fiil ve sözleşmesel sorumluluğa ilişkin genel zamanaşımı süreleri dikkate alınmaktadır.

Gerekli Belgeler ve Deliller

  • Veri sorumlusuna yapılan başvuru dilekçesi ve buna verilen cevaplar,
  • Aydınlatma metni ve açık rıza formlarının örnekleri,
  • Veri ihlaline ilişkin teknik raporlar ve log kayıtları,
  • VERBİS kayıt belgeleri,
  • Veri işleme faaliyetine ilişkin sözleşmeler,
  • Kurul kararları ve tebligat belgeleri.

Masraf ve Harçlar

Kişisel Verileri Koruma Kurulu'na yapılan şikayet başvurusu herhangi bir harca tabi değildir. Ancak Kurul kararına karşı açılacak idari davalarda ve tazminat davalarında, dava değerine göre hesaplanan harçlar, bilirkişi ücretleri ve tebligat giderleri gibi yargılama giderleri söz konusu olabilmektedir. KVKK uyum sürecinde şirketlerin, hukuki danışmanlık, teknik altyapı yatırımları ve eğitim maliyetlerini de göz önünde bulundurması gerekmektedir.

Sık Yapılan Hatalar

  • Aydınlatma metni ile açık rıza formunun birbirine karıştırılması,
  • VERBİS'e kayıt yükümlülüğünün gözden kaçırılması,
  • Veri ihlali bildiriminin süresi içinde yapılmaması,
  • Veri saklama sürelerinin belirlenmemesi ve imha politikalarının oluşturulmaması,
  • Üçüncü kişilerle yapılan veri paylaşımı sözleşmelerinde sorumluluk paylaşımının net olarak belirlenmemesi,
  • Çalışanlara yönelik farkındalık eğitimlerinin verilmemesi.

Örnek Senaryolar

Senaryo 1: E-ticaret Şirketinde Veri Sızıntısı

Bir e-ticaret şirketinin müşteri veri tabanının siber saldırı sonucu ele geçirilmesi durumunda, şirketin derhal ihlali tespit ederek Kurul'a ve etkilenen müşterilere bildirimde bulunması, aksi halde hem idari para cezası hem de müşterilerden gelebilecek tazminat talepleriyle karşılaşması söz konusu olabilmektedir.

Senaryo 2: İşe Alım Sürecinde Aday Verilerinin Saklanması

Bir şirketin işe alım sürecinde değerlendirdiği ancak işe almadığı adayların özgeçmiş bilgilerini süresiz olarak saklaması, KVKK'nın veri saklama süresi ilkesine aykırılık teşkil edebilmektedir. Bu nedenle şirketlerin, iş başvuru süreçlerine ilişkin veri saklama ve imha politikalarını net olarak belirlemesi gerekmektedir.

Senaryo 3: Pazarlama Amaçlı İletişim İzni Alınmadan Kampanya Gönderilmesi

Bir şirketin, müşterilerinden ticari elektronik ileti izni almadan tanıtım amaçlı SMS veya e-posta göndermesi hem KVKK hem de Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında sorumluluk doğurabilmektedir. Bu tür durumlarda şirketlerin açık rıza ve izin süreçlerini ayrı ayrı yönetmesi gerekmektedir.

İtiraz ve Yargı Yolu

Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezası kararlarına karşı, kararın tebliğinden itibaren belirli süre içinde idare mahkemelerinde iptal davası açılabilmektedir. Ayrıca Kurul'un şikayeti reddetmesi halinde de bu karara karşı yargı yoluna başvurulması mümkündür. İdari yargılama sürecinde, kararın hukuka uygunluğu esastan incelenmekte olup, gerekli hallerde bilirkişi incelemesi de yaptırılabilmektedir.

Sıkça Sorulan Sorular

Her şirket VERBİS'e kayıt olmak zorunda mıdır?

Hayır, VERBİS'e kayıt yükümlülüğü çalışan sayısı, mali bilanço büyüklüğü ve faaliyet alanına göre belirlenen kriterlere bağlıdır. Bu nedenle her şirketin öncelikle bu kriterler kapsamında değerlendirme yapması gerekmektedir.

Açık rıza olmadan kişisel veri işlenebilir mi?

Evet, kanunda öngörülen belirli şartların varlığı halinde açık rıza aranmaksızın kişisel veri işlenebilmektedir.

Veri ihlali yaşandığında ne kadar sürede bildirim yapılmalıdır?

Kurul tarafından belirlenen süreler içinde, gecikmeksizin bildirim yapılması gerekmektedir; gecikme idari yaptırımlara yol açabilmektedir.

KVKK ihlali nedeniyle tazminat talep edebilir miyim?

Hukuka aykırı veri işleme nedeniyle zarara uğrayan kişiler, maddi ve manevi tazminat talebiyle dava açabilmektedir.

KVKK kapsamında ilgili kişinin hakları nelerdir?

İlgili kişi; kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerin düzeltilmesini veya silinmesini isteme ve işlemenin amacına uygun kullanılıp kullanılmadığını öğrenme gibi haklara sahiptir.

Şirketim küçük ölçekli, yine de KVKK'ya uymam gerekir mi?

Evet, KVKK'nın temel yükümlülükleri (aydınlatma, açık rıza, veri güvenliği gibi) şirket ölçeğinden bağımsız olarak tüm veri sorumlularını kapsamaktadır; yalnızca VERBİS'e kayıt yükümlülüğü belirli kriterlere bağlanmıştır.

Çalışan özlük dosyalarının saklanması için açık rıza gerekir mi?

İş sözleşmesinin ifası ve kanuni yükümlülüklerin yerine getirilmesi kapsamında değerlendirilebilecek veriler için açık rıza aranmayabilir; ancak bu durum somut olaya göre değerlendirilmelidir.

Kamera kayıtları kişisel veri sayılır mı?

Evet, bir kişinin görüntüsünün kaydedilmesi kişisel veri işleme faaliyeti olup, işyerlerinde kamera kullanımı için orantılılık ilkesine uygun aydınlatma yapılması gerekmektedir.

KVKK Kurul kararına nasıl itiraz edilir?

Kurul kararlarına karşı idari yargı yoluna, kararın tebliğinden itibaren öngörülen süre içinde idare mahkemesinde dava açılarak itiraz edilebilmektedir.

Web sitemde çerez kullanıyorum, KVKK'ya uygun mudur?

Çerez kullanımı da kişisel veri işleme faaliyeti sayılabileceğinden, çerez politikası hazırlanması ve gerektiğinde kullanıcı onayının alınması önerilmektedir.

Bir çalışanın izinsiz olarak müşteri verilerini kopyalaması ne anlama gelir?

Bu eylem hem KVKK kapsamında veri güvenliği ihlali hem de bazı hallerde bilişim suçları kapsamında değerlendirilebilecek bir eylemdir; şirketin bu durumu tespit ettiğinde derhal hukuki sürece başvurması önerilir.

Sonuç

KVKK uyumu, günümüzde şirketlerin hukuki güvenliği ve kurumsal itibarı açısından vazgeçilmez bir gerekliliktir. Aydınlatma metni ve açık rıza süreçlerinden VERBİS kaydına, veri ihlali bildirimlerinden idari para cezalarına kadar birçok konuda uzman desteği alınması, olası hukuki risklerin önüne geçilmesinde önemli rol oynamaktadır. Beşiktaş, İstanbul'da faaliyet gösteren Av. Berfug Kıran Hukuk Bürosu olarak, KVKK uyum süreçlerinizde ve kişisel verilerin korunmasına ilişkin uyuşmazlıklarınızda yanınızdayız. Detaylı bilgi için +90 554 544 58 57 numaralı telefondan veya avberfugkiran@gmail.com adresinden bize ulaşabilirsiniz.