KVKK Kapsamında Şirketlerin Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen her gerçek ve tüzel kişiyi “veri sorumlusu” olarak tanımlar. Çalışan, müşteri, tedarikçi ya da ziyaretçi verisi işleyen hemen her şirket bu kapsamdadır.

1. Aydınlatma yükümlülüğü

Kişisel veriler elde edilirken ilgili kişiye; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları hakkında bilgi verilmelidir (KVKK m. 10). Aydınlatma metni, açık rıza metninden ayrı tutulmalıdır.

2. Hukuki sebep ve açık rıza

Açık rıza, veri işlemenin tek ve her zaman en doğru dayanağı değildir. Sözleşmenin ifası, hukuki yükümlülük ve meşru menfaat gibi diğer sebeplere dayanılabilecekken açık rıza alınması, rızanın geri alınması halinde süreci tıkayabilir.

Uyum, bir belge seti değil; veri envanteri, politikalar ve eğitimle sürdürülen bir yönetim sistemidir.

3. Veri güvenliği

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almakla yükümlüdür (KVKK m. 12). Yetki matrisi, erişim kayıtları, şifreleme ve gizlilik taahhütleri bu tedbirlerin başında gelir.

4. VERBİS kaydı

Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerini aşan ya da ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları, Veri Sorumluları Sicili’ne (VERBİS) kayıt olmak zorundadır. Kayıt, güncel bir veri envanterine dayanmalıdır.

5. İlgili kişi başvuruları

İlgili kişilerin başvuruları en geç otuz gün içinde ücretsiz olarak sonuçlandırılmalıdır (KVKK m. 13). Başvuru kanallarının ve yanıt şablonlarının önceden hazırlanması, sürelerin kaçırılmasını önler.

6. Veri ihlali bildirimi

İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, durum en kısa sürede ilgili kişiye ve Kurul’a bildirilmelidir. Kurul uygulamasında bu süre, ihlalin öğrenilmesinden itibaren 72 saat olarak belirlenmiştir.