KVKK uyumu için hangi belgeler zorunludur?

Asgari olarak kişisel veri envanteri, süreç bazlı aydınlatma metinleri, gerekli hâllerde açık rıza metinleri, kişisel veri saklama ve imha politikası, veri işleyenlerle yapılmış yazılı sözleşmeler, ihlal müdahale planı ve teknik-idari tedbirleri belgeleyen kayıtlar bulunmalıdır. VERBİS kayıt yükümlülüğü bulunan veri sorumluları için sicil bildirimi de zorunludur.

Küçük işletmeler de KVKK kapsamında mı?

Evet. Kanun, kişisel veri işleyen tüm gerçek ve tüzel kişileri kapsar; işletme büyüklüğüne göre bir muafiyet öngörülmemiştir. Ancak VERBİS'e kayıt yükümlülüğü, çalışan sayısı ve malî bilanço gibi ölçütlere bağlı olarak farklılık gösterebilir. Kayıt yükümlülüğünün bulunmaması, aydınlatma, veri güvenliği ve imha gibi diğer yükümlülükleri ortadan kaldırmaz.

Çalışanlardan açık rıza almak zorunda mıyım?

Kural olarak hayır. İş sözleşmesinin kurulması ve ifası ile işverenin kanuni yükümlülükleri kapsamındaki veri işleme faaliyetleri açık rıza gerektirmez. Ayrıca iş ilişkisindeki bağımlılık nedeniyle çalışan rızasının özgür iradeye dayandığı tartışmalıdır. Sağlık verisi gibi özel nitelikli veriler bakımından ise Kanun'un öngördüğü özel şartlar dikkate alınmalıdır.

İşyerinde kamera kaydı almak için ne yapmalıyım?

Kamera izlemesi bir veri işleme faaliyetidir. Öncelikle izlemenin meşru amacı belirlenmeli, ölçülülük değerlendirmesi yapılmalı, izleme alanları soyunma odası ve dinlenme alanı gibi mahremiyeti yüksek yerleri kapsamamalıdır. İzleme yapılan noktalarda görünür bilgilendirme levhaları bulundurulmalı, katmanlı aydınlatma yapılmalı, kayıtların saklama süresi belirlenip süre sonunda imha edilmelidir.

KVKK Uyum Sürecinde Karşılaşılan 7 Temel Hata

Kişisel Verileri Koruma Kurulu kararları, uyumun kâğıt üzerinde değil fiilî süreçlerde arandığını gösteriyor. Uygulamada en sık tekrarlanan yedi hatayı ve hukuki sonuçlarını inceliyoruz.

Kişisel Verilerin Korunması Kanunu'nun (6698 sayılı Kanun) yürürlüğe girmesinin üzerinden yıllar geçmiş olmasına rağmen, uygulamada pek çok işletmenin uyum sürecini hâlâ bir "evrak işi" olarak ele aldığı görülmektedir. Oysa Kişisel Verileri Koruma Kurulu'nun yayımladığı ilke kararları ve verdiği idari para cezaları, uyumun kâğıt üzerinde değil, fiilî veri işleme süreçlerinde aranan bir yükümlülük olduğunu açıkça ortaya koymaktadır.

Kahramanmaraş'ta faaliyet gösteren üretim tesislerinden sağlık kuruluşlarına, emlak ofislerinden e-ticaret işletmelerine kadar geniş bir yelpazede benzer hataların tekrarlandığını gözlemliyoruz. Bu makalede, uygulamada en sık karşılaştığımız yedi temel hatayı ve bunların hukuki sonuçlarını ele alacağız.

1. Her Veri İşleme Faaliyetini Açık Rızaya Dayandırmak

En yaygın ve en maliyetli hata budur. Kanun'un 5. maddesinin ikinci fıkrası, açık rıza aranmaksızın veri işlenebilecek altı ayrı hukuki sebep saymaktadır: kanunlarda açıkça öngörülme, fiilî imkânsızlık, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin kendisi tarafından alenileştirilme, bir hakkın tesisi veya korunması ve nihayet meşru menfaat.

Bir işveren, çalışanının SGK bildirimini yaparken açık rıza almaz; bunu kanuni yükümlülüğü gereği yapar. Bir kiraya veren, kira sözleşmesi düzenlerken kiracının kimlik bilgisini sözleşmenin kurulması amacıyla işler. Bu tür işlemlerde açık rıza alınması yalnızca gereksiz değil, aynı zamanda hatalıdır: çünkü açık rıza her zaman geri alınabilir bir irade beyanıdır. Rızaya dayandırılan bir işlemde ilgili kişi rızasını geri çektiğinde, veri sorumlusu kanuni yükümlülüğünü yerine getiremez duruma düşer.

Açık rıza, veri işlemenin son çaresidir; ilk başvurulacak hukuki sebep değildir. Doğru yaklaşım, önce diğer beş sebebin uygulanabilir olup olmadığını değerlendirmektir.

2. Aydınlatma Yükümlülüğü ile Açık Rızayı Aynı Metinde Birleştirmek

Kanun'un 10. maddesinde düzenlenen aydınlatma yükümlülüğü ile 3. maddesindeki açık rıza, birbirinden bağımsız iki kurumdur. Aydınlatma, veri sorumlusunun tek taraflı bilgilendirme borcudur ve her hâlükârda yerine getirilmelidir. Açık rıza ise ilgili kişinin özgür iradesiyle verdiği bir onaydır.

Uygulamada sıkça karşılaştığımız "Aydınlatma metnini okudum, kişisel verilerimin işlenmesine onay veriyorum" şeklindeki tek kutucuklu tasarım, Kurul kararlarında açıkça hatalı bulunmuştur. Bu tasarım, rızanın "belirli bir konuya ilişkin ve bilgilendirmeye dayalı" olması şartını zedeler. Aydınlatma metni ile rıza metni ayrı ayrı sunulmalı, rıza ayrı bir iradeyle alınmalıdır.

3. VERBİS Kaydını İhmal Etmek veya Güncellememek

Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü, Kanun'un 16. maddesinde düzenlenmiştir. Yükümlülüğün kapsamı; yıllık çalışan sayısı, yıllık malî bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işlemeyi gerektirip gerektirmediği gibi ölçütlere göre belirlenir.

Burada iki ayrı hata gözlemliyoruz. Birincisi, kayıt yükümlülüğü bulunduğu hâlde hiç kayıt yaptırmamak. İkincisi ve daha sinsi olanı ise kaydı bir defa yaptırıp güncellememektir. VERBİS bildirimi, işletmenin fiilen işlediği veri kategorilerini, aktarım yaptığı üçüncü tarafları ve saklama sürelerini yansıtmalıdır. Yeni bir kamera sistemi kurulduğunda, yeni bir insan kaynakları yazılımına geçildiğinde veya yeni bir tedarikçiyle veri paylaşımına başlandığında bildirim güncellenmelidir.

4. Saklama ve İmha Politikasını Yazıp Uygulamamak

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca, VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür. Ancak politikanın hazırlanmış olması tek başına yeterli değildir.

Uygulamada, saklama süreleri tablosu hazırlanmış olmasına rağmen periyodik imha işleminin hiç yapılmadığı, on yıl öncesine ait iş başvurusu formlarının hâlâ arşivde durduğu durumlarla karşılaşıyoruz. Bu, politikanın varlığından daha ağır bir ihlal oluşturur: çünkü veri sorumlusu, saklama süresinin dolduğunu kendi belgesiyle kabul etmiş, buna rağmen imha yükümlülüğünü yerine getirmemiştir.

Periyodik imha süresi altı ayı geçemez; bu süre yönetmelikte açıkça belirlenmiştir.
İmha işlemleri kayıt altına alınmalı ve bu kayıtlar en az üç yıl saklanmalıdır.
Yedek ortamlardaki veriler de imha kapsamına dâhildir; yalnızca canlı sistemin temizlenmesi yeterli değildir.

5. Veri İşleyenlerle Yazılı Sözleşme Yapmamak

Muhasebe hizmeti aldığınız malî müşavir, bordro yazılımını sağlayan firma, bulut sunucu hizmeti veren şirket, kargo firması ve hatta bina güvenlik hizmeti veren şirket, çoğu zaman sizin adınıza kişisel veri işlemektedir. Kanun'un 12. maddesinin ikinci fıkrası uyarınca veri sorumlusu, veri işleyenle birlikte veri güvenliğinin sağlanmasından müştereken sorumludur.

Bu ilişki mutlaka yazılı bir sözleşmeyle düzenlenmelidir. Sözleşmede veri işlemenin konusu ve süresi, işlenen verilerin niteliği, veri işleyenin talimatla bağlılığı, gizlilik yükümlülüğü, alt işleyen kullanımına ilişkin şartlar ve ilişki sona erdiğinde verilerin iadesi veya imhası açıkça düzenlenmelidir.

6. Yurt Dışına Aktarımda Yeni Rejimi Gözden Kaçırmak

2024 yılında yapılan kanun değişikliğiyle yurt dışına veri aktarımı rejimi köklü biçimde yenilenmiştir. Artık aktarım; yeterlilik kararı bulunan ülkelere doğrudan, yeterlilik kararı bulunmayan hâllerde ise uygun güvencelerin sağlanması koşuluyla yapılabilmektedir. Standart sözleşme kullanılması hâlinde, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurul'a bildirim yapılması gerekmektedir.

Yurt dışı merkezli bir e-posta hizmeti, bulut depolama çözümü, müşteri ilişkileri yönetimi yazılımı veya reklam platformu kullanan her işletme fiilen yurt dışına veri aktarmaktadır. Bu durumun farkında olmamak, uyumsuzluğu ortadan kaldırmaz.

7. İhlal Bildirimini Zamanında Yapmamak

Kanun'un 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmekle yükümlüdür. Kurul, bu süreyi ihlalin öğrenildiği andan itibaren yetmiş iki saat olarak belirlemiştir.

Fidye yazılımı saldırısı, çalınan bir dizüstü bilgisayar, yanlış alıcıya gönderilen bir e-posta listesi veya yetkisiz bir çalışanın veri tabanına erişmesi birer ihlal oluşturabilir. Kriz anında bildirim süresini kaçırmamak için, ihlal müdahale planının önceden hazırlanmış ve sorumluların belirlenmiş olması kritik önemdedir.

Uyum Sürecine Doğru Yaklaşım

KVKK uyumu, tek seferlik bir proje değil, sürekli yürütülmesi gereken bir yönetim faaliyetidir. Sağlıklı bir uyum programı, veri envanterinin çıkarılmasıyla başlar; her veri işleme faaliyeti için hukuki sebep tespit edilir, aydınlatma metinleri süreç bazında hazırlanır, teknik ve idari tedbirler belgelenir, çalışanlar eğitilir ve tüm yapı düzenli aralıklarla denetlenir.

İdari para cezalarının yanı sıra, Kanun'a aykırı veri işleme faaliyetleri Türk Ceza Kanunu'nun 135 ilâ 140. maddeleri kapsamında cezai sorumluluk da doğurabilir. Ayrıca ilgili kişilerin tazminat talepleri gündeme gelebilir. Bu nedenle uyum sürecinin, işletmenin fiilî iş akışlarını bilen bir hukukçu eşliğinde yürütülmesi yerinde olacaktır.

KVKK Uyum Sürecinde Karşılaşılan Temel Hatalar