KişiselVerilerinKorunması
Kişisel verilerin işlenmesi, aktarılması ve korunmasına ilişkin uyum, sözleşme ve Kurul süreçlerinde hukuki danışmanlık.
Kişisel verilerin korunması hukuku; kimliği belirli veya belirlenebilir kişilere ilişkin verilerin işlenmesinin şartlarını, veri sorumlusunun yükümlülüklerini ve ilgili kişilerin haklarını düzenler.
Kapsam
Kişisel verilerin korunması hukuku, kimliği belirli veya belirlenebilir gerçek kişilere ilişkin verilerin işlenmesinin şartlarını, veri sorumlusu ve veri işleyenin yükümlülüklerini ve ilgili kişilerin haklarını düzenler. Temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve karar organı olan Kişisel Verileri Koruma Kurulu yürütür; Kurul’un kararları ve rehberleri uygulamada belirleyicidir. Şirketler, kamu kurumları, dernekler ve vakıflar gibi veri sorumluları müşteri, çalışan, ziyaretçi ve tedarikçi verilerini bu çerçevede işler.
Kanun, verilerin tamamen veya kısmen otomatik yollarla işlenmesini ve veri kayıt sisteminin parçası olması koşuluyla otomatik olmayan yollarla işlenmesini kapsar. Verilerin işlenebilmesi için Kanun’un 5. maddesindeki hukuki sebeplerden birinin bulunması gerekir; açık rıza bunlardan yalnızca biridir. Sağlık, biyometrik ve genetik veriler gibi özel nitelikli kişisel veriler 6. madde uyarınca daha sıkı kurallara tabidir. Bilişim sistemlerine yetkisiz erişim ve veri sızıntısı gibi olaylar ise 5237 sayılı Türk Ceza Kanunu’nun bilişim suçlarına ilişkin hükümleri ve siber güvenlik mevzuatı bakımından da değerlendirilebilir.
Sık karşılaşılan konular
- Veri envanteri çıkarılması ve işleme faaliyetlerinin hukuki sebeplere bağlanması.
- Aydınlatma metinlerinin ve gerektiğinde açık rıza metinlerinin hazırlanması.
- Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğünün değerlendirilmesi.
- Yurt içi ve yurt dışına veri aktarımı; standart sözleşme ve diğer güvence yöntemleri.
- Veri işleyen sözleşmeleri ve tedarikçi ilişkileri.
- Saklama, silme, yok etme ve anonim hale getirme politikaları.
- Çalışan verileri, işyerinde kamerayla izleme ve özel nitelikli veri işleme.
- İlgili kişi başvurularının yanıtlanması.
- Veri güvenliği tedbirleri ve veri ihlali hâlinde Kurul’a ve ilgili kişilere bildirim.
- Kurul’a şikâyet, inceleme süreçleri ve idari yaptırım kararlarına karşı yargı yolu.
Süreç ve dikkat edilecek noktalar
Uyum çalışması, işlenen verilerin ve işleme amaçlarının haritalanmasıyla başlar. Bu çalışmada hangi verinin hangi hukuki sebebe dayandığı, kimlere aktarıldığı ve ne kadar süre saklandığı belirlenir. Aydınlatma yükümlülüğü verinin elde edilmesi sırasında yerine getirilmelidir. Yurt dışına aktarım, 2024 yılında yapılan değişiklikle yeniden düzenlenen 9. maddeye göre yeterlilik kararı, standart sözleşme gibi güvencelerden birine dayandırılır; standart sözleşmenin Kurum’a bildirilmesi gerekir.
İlgili kişinin veri sorumlusuna yaptığı başvuru, talebin niteliğine göre en geç otuz gün içinde sonuçlandırılır (m. 13). Başvurunun reddi, yanıtın yetersiz olması veya süresinde yanıt verilmemesi hâlinde ilgili kişi, yanıtı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunabilir (m. 14). Veri ihlali hâlinde Kurul’a bildirim, Kurul kararında ihlalin öğrenilmesinden itibaren yetmiş iki saat olarak öngörülmüştür; bu sürenin güncel düzenlemeden kontrol edilmesi gerekir.
Kanun’un 18. maddesi idari para cezalarını düzenler; bu cezalar her yıl yeniden değerleme oranında güncellenir. Kurul kararlarına karşı idari yargıda, para cezası kararlarına karşı ise ilgili kanundaki yolla başvurulur. Verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya yok edilmemesi ayrıca Türk Ceza Kanunu’nun 135, 136 ve 138. maddelerinde suç olarak düzenlenmiştir.
Büromuzun yaklaşımı
Kişisel veri uyumu çalışmasında önce veri akışları ve mevcut belgeler gözden geçirilir; ardından eksik politika, aydınlatma ve sözleşme metinleri hazırlanır. İhlal ve Kurul başvurularında süreler öncelikle belirlenir.