KVKK VE KAPSAMI
2010 yılında Anayasanın 20. Maddesine eklenen fıkra ile herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı anayasal bir hak olarak teminat altına alınmıştır. Bu kapsamda 2016 yılında 6698 sayılı Kanun yürürlüğe girmiş ve Kanuna göre asıl amaç kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir. Bunun yanı sıra Kanunun kişisel verilerin sınırsız bir biçimde ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, açıklanması veya amaç dışı ya da kötüye kullanımı sonucu kişilik haklarının ihlal edilmesinin önüne geçilmesi gibi başka işlevleri de bulunmaktadır. Kişisel verilerin kısmen ya da tamamen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi bakımından da uygulama alanı bulmaktadır. Veri kayıt sisteminin bir parçası olmasından kastımız kişisel verilerin belirli kriterlere göre kategorize edilmiş ve belirli kriterlere göre yapılandırılarak işlendiği sistemdir.
ŞİRKETLERİN KVKK KAPSAMINDA YÜKÜMLÜLÜKLERİ
Bu kanun, şirket bünyesinde bulunan tüm çalışanlara ilişkin kişisel verilerinin işlenmesinde ve muhafaza edilmesinde 3. Şahıslara ve gerekse şirkete karşı koruma alanı oluşturmaktadır. Bu kapsamda şirketler;
- Aydınlatma Yükümlülüğü
- Veri Güvenliğine İlişkin Yükümlülükler
- Kurul Kararlarını Yerine Getirme
- Kişisel Veri Güvenliği Politikalarının ve Prosedürlerinin Belirlenmesi
- Siber Güvenliğin Sağlanması
- Bilgi Teknolojileri Sistemlerini Geliştirme Ve Bakımı
- Kişisel Verilerin Yedeklenmesi
şeklinde belirli yükümlülükler altında bulunmaktadır. Bunların en önemlisi ise şirkette bulunması gereken veri sorumlusudur.
ŞİRKETTE VERİ SORUMLUSUNUN ROLÜ
Veri kayıt sisteminden sorumlu olan kişi veri sorumlusu sıfatında bulunmaktadır. Veri sorumlusu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir. Elbette bunu yaparken tek bir kişinin yönetim alanında olduğunun düşünülmesi yanlış olur. Veri sorumlusu kendi denetim ve gözetimi altında belirli çizgiler dâhilinde verdiği yetkiye dayanarak kendi adına kişisel verileri işleyen gerçek veya tüzel kişi yetkilendirebilir, bu kişi karşımıza veri işleyen olarak çıkmaktadır.
Kişisel verilerin işlenmesinde;
- Hukuka ve dürüstlük kurallarına uygun olma
- Doğru ve gerektiğinde güncel olma
- Belirli, açık ve meşru amaçlar için işlenme
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
- Gerekli olan süre kadar muhafaza edilme
gibi hususların göz önünde bulundurulması gerekmektedir. Bununla birlikte veri sorumlusu kişinin bu vasfı kazanabilmesi ve verileri işlemeye başlayabilmesi için öncelikle Veri Sorumluları Siciline ( VERBİS ) kaydolması gerekmektedir.
VERİ SORUMLUSUNUN AYDINLATMA YÜKÜMLÜLÜĞÜ
Kişisel verilerin elde edilmesi sırasında;
- Veri sorumlusu ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçlarla işleneceği
- İşlenen verilerin kimlere hangi amaçlarla aktarılabileceği
- Kişisel veri toplama yöntemi ve hukuki sebebi
- Kanunun 11. Maddesinde sayılan haklara ilişkin bilgi vermek zorundadır. 11. Madde kapsamında ise ilgili ( kişisel verileri işlenen ) ;
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse bilgi talep etme,
- İşlenme amacını ve amaca uygun kullanıp kullanılmadığını öğrenme,
- Yurt içinde ya da yurt dışında aktarılan kişileri bilme,
- Kişisel verilerin eksik ya da yanlış işlenmesi halinde düzeltilmesini isteme,
- Kişisel verilerinin silinmesini isteme ve
- Kişisel verilerin kanuna aykırı işlenmesi halinde zarara uğramışsa zararının talep etme gibi hakları bulunmaktadır.
VERİ GÜVENLİĞİNE İLİŞKİN YÜKÜMLÜLÜKLER
Veri sorumlusu;
- Kişisel verilerin hukuka aykırı işlenmesini önlemek
- Kişisel verilerin hukuka aykırı erişilmesini önlemek
- Kişisel verilerin muhafazasını sağlamakla yükümlüdür.
Yukarıda sayılan hususların tamamını gerçekleştirebilmek için her türlü teknik ve idari tedbirleri almak zorundadır. Bu kapsamda alınacak idari tedbirler şunlardır;
- Kişisel veri işleme envanteri hazırlama
- Saklama ve imha politikası hazırlama
- Veri işleme sözleşmesinin revize edilmesi
- Gizlilik taahhütnamesi imzalama
- Kurum içi periyodik ve rastgele denetim gerçekleştirme
Alınabilecek teknik tedbirler ise;
- Erişim logları (tüm kullanıcı işlem hareketlerinin kaydedilmesi)
- Ağ güvenliği
- Uygulama güvenliği
- Sızma testi
- Saldırı, tespit ve önleme sistemi
- Veri kaybı önleme yazılımları
- Güncel anti-virüs sistemleri kullanma
- Silme, yok etme, anonim hale getirme şeklinde olmaktadır.
Veri sorumlusu ya da veri işleyen tarafından edinilen bilgilerin başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde bu kişiler müştereken sorumlu olacaktır. Veri sorumlusu kendi kurumunda bu kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak ve yaptırmak zorundadır. Veri sorumlusu ve veri işleyen kişilere ait öğrendikleri bilgileri başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülükleri görevden ayrılmaları halinde de geçerli olacaktır. İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve kurula bildirmek zorundadır. Kurula yapılacak bildirimler sadece veri sorumlusu tarafından Kişisel Verileri Koruma Kuruluna internet üzerinden yapılabilecektir.
BAŞVURU, ŞİKAYET, VERİ SORUMLULARI SİCİLİ
Kişisel verilerinin Kanunda yazan yükümlülüklere aykırı davranıldığını öğrenen ilgili veri sorumlusuna başvurarak ilgili taleplerini yazılı olarak veya kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletecektir. Ver sorumlusu başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve 30 gün içinde ücretsiz olarak sonuçlandıracaktır. Ancak işlem herhangi bir maliyet gerektiriyorsa kurulca belirlenen tarifeye göre ücret alınacaktır.
Veri sorumlusu başvuruyu kabul ettiği takdirde durumu yazılı olarak ya da elektronik ortamda ilgilisine bildirecek ve talepleri yerine getirecektir.
Başvurunun veri sorumlusu tarafından reddedilmesi halinde ya da verilen cevabın ilgilisi tarafında yetersiz bulunmasında ilgili kişi reddi öğrendiği tarihten itibaren 30 ve her halükarda 60 gün içerisinde Kurula şikayet edecektir. Bu hususta kişilik haklarının ihlal edilmesi durumunda tazminat hakkı saklı tutulmaktadır.
ŞİKAYET ÜZERİNE KURULCA YAPILACAK OLAN RESEN İNCELEME USUL VE ESASLARI
Kurul şikayet üzerine veya ihlal durumunu öğrenmesi durumunda resen gerekli incelemeyi yapacaktır. Eğer kurul tarafından gerekli görülürse kurumdan gerekli belge ve evraklar istenecektir. İş yeri istenilen belgeleri 15 gün içerisinde göndermek zorundadır. Şikayet esasa yönelik incelendikten sonra 60 gün içerisinde ilgiliye cevap verilir. Ancak bu süre zarfında cevap verilmemesi halinde istek reddedilmiş sayılacaktır.
AYDINLATMA YÜKÜMLÜLÜĞÜNÜN YERİNE GETİRİLMEMESİ HALİNDE
- Veri sorumlusunun ve varsa temsilcisinin kimliği, Kişisel verilerin hangi amaçla işleneceği, İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, Kişisel veri toplamanın yöntemi ve hukuki sebebi ve 11 inci maddede sayılan diğer haklara ilişkin aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 2023 yılı için 857,00 Türk lirasından 597.198,000 Türk lirasına kadar,
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirlere ve veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 2023 yılı için 89.579,00 Türk lirasından 5.972.040 Türk lirasına kadar,
- maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 149.300,00 Türk lirasından 5.972.040 Türk lirasına kadar,
- Kanunun 16. maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 119.436,00 Türk lirasından 5.972.040 Türk lirasına kadar idari para cezası verilir.
Bu maddelerde öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
