KVKK
Gelişen teknolojinin etkisiyle birçok kişisel veri, farklı platformlarda kaydedilmekte, saklanmakta veya aktarılmakta, kısaca işlenmektedir. Bu süreçte kişisel verilerin işlenmesi, mal ve hizmet sunan işletmelere bazı kolaylık ve avantajlar sağlasa da kişisel verilerin istismar edilmesini beraberinde getirmektedir. Bu mağduriyeti önlemek ve bir koruma oluşturmak üzere 07.04.2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile kişisel veri sahiplerine haklar tanınmış, kişisel verileri işleyen şirketlere/kurumlara ise yükümlülükler getirilmiştir.
Kısaca KVKK ile kişisel verilerin; sınırsız biçimde ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşa edilmesinin, amaç dışı ya da kötüye kullanımının önlenmesi hedeflenmektedir.
KVKK Uyarınca İşletmelerin/Kurumların Yükümlülükleri
Kişisel verilerin işlenmesi, saklanması ve korunmasında KVKK ve alt düzenlemelerine uyulması yasal bir zorunluluktur. Bu uyum çerçevesinde veri sorumluları, gerekli idare ve teknik önlemleri almalı ve sürdürülebilir bir KVKK uyumu gerçekleştirmelidir. Veri sorumlularının yükümlülükleri;
►Aydınlatma Yükümlülüğü; kişisel verinin elde edildiği sırada (kişisel veri sahibi) ilgili kişiler, mevzuatın öngördüğü biçim ve esaslara göre bilgilendirilmelidir.
►Başvuruları Yanıtlama; veri sorumlusu için doğrudan bir yükümlülük değildir. Ancak ilgili kişilerin Kişisel Verileri Koruma Kurulu’na şikâyette bulunması öncesinde veri sorumlusuna başvurması gerekliliğinden hareketle, ilgili kişilerden gelen başvuruların yanıtlanmasına yönelik gerekli iş akış ve süreçlerin proaktif bir bakış açısıyla veri sorumlusu tarafından oluşturulması gerekmektedir.
►Kişisel Verileri Korunma Kurulu İlke Kararlarına Uyma; Kurul tarafından verilen ilke kararları tıpkı bir Kanun hükmü gibi uyulması zorunlu kararlardandır. Bu yönüyle veri sorumlusu nezdinde KVKK uyum yönetiminin sürekliliği ön plana çıkmaktadır.
►Veri Güvenliğini Sağlama; veri sorumlusunun yapısına, faaliyetlerine ve tabi olduğu risklere uygun ölçüde veri güvenliğine ilişkin olarak hem idari hem teknik yönlerden önlemler alınmalı ve alınan önlemlerin dinamik olarak yönetilmelidir.
►Periyodik Denetim ve İdari-Teknik Yönden Kontroller; Veri sorumlusu, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu denetim, veri sorumlusu nezdinde gerçekleşebileceği gibi bir üçüncü kişi vasıtasıyla da gerçekleştirebilir. Bu yönüyle veri sorumlusu nezdinde KVKK uyum yönetiminin sürekliliği ön plana çıkmaktadır.
►Veri Envanteri Oluşturma ve Veri Sorumluları Sicili (VERBİS) Kaydı; Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce VERBİS’e kaydolmak zorundadır. Kişisel Verileri Koruma Kurulu tarafından VERBİS kayıt zorunluluğu 31.12.2021 tarihinde sona ermiştir.
KVKK Uyumu Sağlanmadığında Uygulanacak Yaptırım
►İdari Para Cezaları
2023 yılı itibarıyla işletmelere uygulanacak idari para cezaları aşağıda gösterilmiştir.
♦Kişisel verisi alınan veri sahibinin, yasa ve alt düzenlemelerde belirtilen şekilde aydınlatılmaması durumunda 29.857 TL ilâ 597.198 TL arasında idari para cezası düzenlenir.
♦Veri sorumlusu işletmeler tarafından veri güvenliğine ilişkin yükümlülükler yerine getirilmediğinde 89.579 TL ilâ 5.972.040 TL arasında idari para cezası düzenlenir.
♦KVK Kurulu tarafından alınan kararlar, veri sorumlusu işletmeler tarafından uygulanmadığı takdirde 149.300 TL ilâ 5.972.040 TL arasında idari para cezası düzenlenir.
♦Belirlenen sürede VERBİS kaydını yaptırmayan veri sorumlularına 119.436 TL ilâ 5.972.040 TL arasında idari para cezası düzenlenir.
Bahse konu eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır.
►Hapis Cezaları
Yasaya uyum sağlanmadığında karşılaşılacak hapis cezaları aşağıda gösterilmiştir.
♦Hukuka aykırı olarak kişisel verileri kaydeden kimseye 1 yıldan 3 yıla kadar hapis cezası verilir. (TCK 135/1)
♦Hukuka aykırı olarak özel nitelikli kişisel verileri kaydeden kimseye 1,5 yıldan 4,5 yıla kadar hapis cezası verilir. (TCK 135/2)
♦Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, 2 yıldan 4 yıla kadar hapis cezası ile cezalandırılır. (TCK 136)
♦Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde 1 yıldan 2 yıla kadar hapis cezası verilir. (TCK 138)
Bahsi geçen suçların soruşturulması ve kovuşturulması şikâyete bağlı olmayıp, Cumhuriyet Savcılıklarınca resmen soruşturma başlatılabilmektedir.
KVKK Uyumu için Ne Yapıyoruz?
İşletmenizin tüm iş süreçleri ve operasyonları analiz edilerek işletmeye özgü Kişisel Veri Envanterini hazırlanmaktadır. Kişisel Veri Envanteri ile tüm süreçlerde işlenen kişisel veriler tespit edilerek kategorize edilmekte, işlenen kişisel verilerin işlenme amaçları, hukuki sebepleri, saklanma süreleri, kişisel verilerin işletme dışına veya yurtdışına aktarım durumları ile idari ve teknik tedbirlerin tespiti yapılmaktadır.
Veri Envanteri hazırlanması aşamasında tespit edilen kişisel verilerin toplanma süreçleri için gerekli Aydınlatma metinleri ve gerekiyorsa Açık Rıza metinleri hazırlanmaktadır. Aydınlatma metinlerinin bir parçası olarak ilgili kişilerin Kanun’da belirtilen hakları doğrultusunda yaptıkları başvuruların yanıtlanması süreci oluşturulmakta ve bu yönde gerekli dokümantasyon hazırlanmaktadır.
Veri Envanteri hazırlanması aşamasında mevcut sözleşme ve süreçlerin KVKK bakış açısıyla uyumlulaştırılması kapsamında alınması gerekli idari tedbirlere yönelik görüş ve önerilerin paylaşılması ile birlikte veri güvenliği analiz edilerek teknik tedbirlere yönelik görüş ve öneriler hazırlanmaktadır. KVKK kapsamında alınması ve uygulanması gerekli tüm tedbirlerin sürdürülebilirliğini sağlamak üzere gerekli politika dokümanlarının oluşturulması sağlanmakta ve KVKK uyumunun yönetilebilmesi için çalışanlara iş tanımları doğrultusunda eğitim verilmektedir. Tüm çalışmalar sonrası nihai şekli verilen Veri Envanteri üzerinden VERBİS bildirimi yapılmaktadır.