Bir müşterinin adını faturaya yazdığınızda, bir çalışanın maaş bilgisini bordroya girdiğinizde ya da misafir Wi-Fi’ye bağlanan birinin telefon numarasını kaydettiğinizde kişisel veri işlemiş olursunuz. Türkiye’de bu işlemlerin kurallarını 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) belirler. Kanun yalnızca büyük şirketleri değil, kişisel veri işleyen her kurumu ilgilendirir. Bu yazıda KVKK’nın temel kavramlarını, ilkelerini ve işletmelerin somut yükümlülüklerini sade bir dille anlatıyoruz. Uyum çalışmasının teknik tarafı için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuza ilişkin değerlendirme için bir hukuk danışmanıyla çalışmanızı öneririz.
KVKK nedir, kimleri kapsar?
6698 sayılı Kanun 2016 yılında yürürlüğe girdi. Amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve veri işleyenlerin uyacağı kuralları belirlemektir. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler.
Kanun, gerçek kişilere ait verileri tamamen ya da kısmen otomatik yollarla veya bir kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen herkesi kapsar. Yani bir Excel tablosundaki müşteri listesi de, dolaptaki personel dosyaları da kanunun konusudur. Tüzel kişilere ait bilgiler ise kişisel veri sayılmaz; ancak bir şirketin yetkilisinin adı, e-posta adresi ya da telefon numarası kişisel veridir.
Temel kavramlar
Kişisel veri
Kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad soyad, T.C. kimlik numarası ve telefon numarasının yanında IP adresi, kamera görüntüsü, araç plakası ya da bir çalışanın sisteme giriş kayıtları da tek başına veya başka bilgilerle birleştiğinde kişiyi belirlenebilir kıldığı için kişisel veridir.
Özel nitelikli kişisel veri
İşlenmesi durumunda kişinin ayrımcılığa uğramasına yol açabilecek veriler bu gruptadır: sağlık, biyometrik ve genetik veriler, ceza mahkûmiyeti, din, mezhep, siyasi düşünce, sendika üyeliği gibi. Parmak izli giriş sistemi ya da işe giriş sağlık raporu, sıradan bir işletmede de bu tür verilerin işlendiğini gösterir. Bu veriler için kanun daha sıkı şartlar ve Kurulun belirlediği ek güvenlik önlemlerini arar.
Veri sorumlusu ve veri işleyen
Verinin hangi amaçla ve hangi yöntemle işleneceğine karar veren kişi ya da kurum veri sorumlusudur. Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen ise veri işleyendir. Bordro hizmeti aldığınız muhasebe bürosu, kullandığınız bulut hizmeti ya da sunucularınızı yöneten BT firması çoğu durumda veri işleyen konumundadır. Bu ayrım, sözleşmelerde sorumlulukların nasıl dağıtılacağını belirler.
Açık rıza
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Sık yapılan hata, her veri işleme için açık rıza istemektir. Oysa kanun, sözleşmenin kurulması, hukuki yükümlülük ya da meşru menfaat gibi başka işleme şartları da tanır. Açık rıza bu şartlardan biridir, tek yol değildir. Hangi işlemenin hangi şarta dayanacağı hukuki bir değerlendirmedir.
Veri işlemenin genel ilkeleri
Kanun, her türlü veri işlemede uyulması gereken ilkeleri sayar. Bunlar uyum çalışmasının iskeletidir:
- Hukuka ve dürüstlük kurallarına uygunluk.
- Doğru ve gerektiğinde güncel olma. Eski bir adrese gönderilen fatura yalnızca operasyonel bir hata değildir.
- Belirli, açık ve meşru amaçlar için işlenme.
- Amaçla bağlantılı, sınırlı ve ölçülü olma. İhtiyaç duymadığınız veriyi toplamayın.
- Gerekli süre kadar muhafaza edilme. Amaç ortadan kalktığında veri silinir, yok edilir ya da anonim hâle getirilir.
Son ilke BT tarafında sık gözden kaçar. Yıllardır silinmeyen yedekler, ayrılan çalışanların dosya sunucusunda duran klasörleri ve kimsenin açmadığı eski e-posta arşivleri, saklama süresi planlanmadığında birikir.
İşletmelerin başlıca yükümlülükleri
Aydınlatma
Veri sorumlusu, veriyi toplarken kişiyi kimliği, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin hakları konusunda bilgilendirmek zorundadır. Web sitesindeki aydınlatma metni, işe alım formundaki bilgilendirme ve misafir ağındaki karşılama sayfası bu yükümlülüğün karşılıklarıdır.
İlgili kişinin hakları
Kişiler, verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini ya da silinmesini isteme ve verinin aktarıldığı üçüncü kişileri bilme gibi haklara sahiptir. Bu başvurulara cevap verebilmek için hangi verinin hangi sistemde durduğunu bilmeniz gerekir.
Veri güvenliği
Kanunun 12. maddesi, veri sorumlusuna verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verileri muhafaza etmek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Veri işleyenin kusurunda da veri sorumlusu birlikte sorumludur. Teknik tarafta bu; yetki yönetimi, kayıt tutma, şifreleme, yedekleme, zararlı yazılım koruması ve veri sızıntısı önleme gibi somut uygulamalara dönüşür. Ayrıntılı liste için KVKK teknik tedbirler kontrol listesi yazımıza bakabilirsiniz.
İhlal bildirimi
İşlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu bu durumu en kısa sürede ilgili kişilere ve Kurula bildirir. Kurul, “en kısa süre” ifadesini 2019 tarihli kararıyla 72 saat olarak yorumlamıştır. Bir ihlalde ilk saatlerde neler yapılacağını veri ihlalinde ilk 72 saat yazımızda anlattık.
VERBİS ve yurt dışına aktarım
Kurulun belirlediği istisnalar dışında kalan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmakla yükümlüdür. Kayıt yükümlülüğü ve istisnalar çalışan sayısı, mali bilanço ve faaliyet alanına göre değişir. Kişisel verilerin yurt dışına aktarılmasına ilişkin kurallar ise 2024 yılında yapılan kanun değişikliğiyle yeniden düzenlendi; yeterlilik kararı, standart sözleşme gibi uygun güvenceler ve istisnai durumlar tanımlandı. Yurt dışında barındırılan bir e-posta, CRM ya da yedekleme hizmeti kullanıyorsanız bu konu doğrudan sizi ilgilendirir. Kayıt ve aktarım için güncel mevzuatı ve Kurul kararlarını hukuk danışmanınızla birlikte değerlendirmenizi öneririz.
KVKK’da sık yapılan hatalar
- Uyumu yalnızca metin hazırlamak sanmak. Aydınlatma metni yayında ama dosya sunucusunda herkes her klasörü açabiliyor.
- Her şey için açık rıza almak. Rıza geri alındığında işlemin durması gerekir; yanlış hukuki sebep seçimi işi zorlaştırır.
- Veri envanterini güncellememek. Yeni bir yazılım, yeni bir bulut hizmeti ya da yeni bir departman envanterde görünmüyor.
- Kayıt tutmamak. Bir ihlal şüphesinde kimin hangi veriye eriştiğini gösteremiyorsanız olayın kapsamını da belirleyemezsiniz.
- Yedekleri unutmak. Canlı sistemden silinen veri, şifresiz bir yedekte yıllarca kalabilir.
Cezalar ve idari yaptırımlar güncel mevzuata göre belirlenir; tutarlar düzenli olarak güncellendiği için burada rakam vermiyoruz.
Nereden başlamalı?
KVKK uyumu hukuk ve teknoloji ekiplerinin birlikte yürüttüğü bir çalışmadır. Hukuki değerlendirme, aydınlatma metinleri ve işleme şartları hukuk danışmanınızın alanıdır. Verinin nerede durduğu, kimin erişebildiği ve nasıl korunduğu ise BT altyapısında cevaplanır. İlk adım olarak şu üç soruyu sorun: Hangi kişisel verileri işliyoruz? Bu veriler hangi sistemlerde duruyor? Bu sistemlere kim erişebiliyor?
- Önce dinleriz. Kişisel verilerinizi hangi sistemlerde, hangi ekiplerle işlediğinizi birlikte haritalarız.
- Birlikte planlarız. Risk analizine göre erişim yetkilendirmesi, kayıt tutma, şifreleme ve yedekleme gibi teknik tedbirleri önceliklendiririz.
- Uygular ve belgeleriz. Tedbirleri altyapınıza uygular, denetimde gösterebileceğiniz şekilde kayıt altına alırız. Hukuki süreçte hukuk danışmanınızla birlikte çalışırız.
- Yanınızda kalırız. Sistemleriniz değiştikçe tedbirleri ve envanteri birlikte güncelleriz.
Teknik tedbirlerin kapsamını konuşmak için ISO 27001 ve KVKK sayfamıza göz atabilir ya da bize yazabilirsiniz.
