KVKK Uyum Süreci Rehberi: Şirket Yükümlülükleri, VERBİS ve İdari Para Cezaları
Dijitalleşen iş dünyasında bireylerin temel hak ve özgürlüklerini, özellikle özel hayatın gizliliğini korumak amacıyla yürürlüğe konulan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), ticari faaliyet yürüten tüm gerçek ve tüzel kişilere kapsamlı yasal yükümlülükler getirmektedir. Müşteri bilgilerinden çalışan özlük dosyalarına, web sitesi çerezlerinden kamera kayıtlarına kadar işlenen her veri parçası, kanunun doğrudan koruma alanı içerisindedir.
Uygulamada pek çok işletme; internetten indirilen şablon metinlerle veya yalnızca bir “Aydınlatma Metni” yayımlayarak KVKK uyumunun tamamlandığını varsaymaktadır. Oysa Kişisel Verileri Koruma Kurulu tarafından gerçekleştirilen denetimler ve uygulanan milyonlarca liralık idari para cezaları, sürecin sadece bir metin düzenlemesinden ibaret olmadığını; teknik, idari ve hukuki tedbirlerin bir bütün olarak inşa edilmesi gerektiğini somut biçimde ortaya koymaktadır.
KVKK Kapsamında Temel Kavramlar Nelerdir?
Kanunun getirdiği mekanizmayı anlayabilmek için kanuni tanımların doğru bilinmesi şarttır:
- Kişisel Veri (m. 3/1-d): Kimliği belirli veya belirlenebilir gerçek bir kişiye ilişkin her türlü bilgidir. Ad-soyad, T.C. kimlik numarası, telefon, e-posta, IP adresi, araç plakası ve hatta alışveriş alışkanlıkları kişisel veridir.
- Özel Nitelikli Kişisel Veri (m. 6): Öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete yol açabilecek nitelikteki hassas verilerdir. Sağlık verileri, biyometrik/genetik veriler, ceza mahkûmiyeti bilgileri, din, mezhep, siyasi düşünce ve sendika üyeliği bu kapsamdadır ve işlenmesi çok daha sıkı şartlara tabidir.
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir (Şirketler, klinikler, avukatlar, mali müşavirler, e-ticaret siteleri vb.).
- İlgili Kişi: Kişisel verisi işlenen gerçek kişidir (Müşteri, çalışan, tedarikçi, ziyaretçi).
Şirketlerin ve Veri Sorumlularının Yasal Yükümlülükleri
6698 sayılı Kanun kapsamında veri sorumlusu sıfatına haiz işletmelerin yerine getirmekle mükellef olduğu temel yükümlülükler şunlardır:
1. Aydınlatma Yükümlülüğü (KVKK m. 10)
Veri sorumlusu, kişisel verileri elde ettiği esnada ilgili kişiyi bilgilendirmek zorundadır. Bu bilgilendirme; verinin kim tarafından, hangi hukuki sebeple, hangi amaçla işleneceğini, kimlere aktarılabileceğini ve ilgili kişinin kanuni haklarını tereddütsüz bir dille içermelidir.
2. Açık Rıza Alma Kuralı ve İstisnaları (KVKK m. 5 ve m. 6)
Kişisel verilerin işlenmesinde kural “açık rıza” alınmasıdır. Ancak kanunda sayılan istisnai hallerde (Örn: Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, kanunlarda açıkça öngörülmesi, veri sorumlusunun meşru menfaati) açık rıza aranmaksızın veri işlenebilir. Önemli Kural: Açık rıza, bir hizmetin sunulması için ön şart (dayatma) olarak ileri sürülemez.
3. Veri Güvenliğini Sağlama Yükümlülüğü (Teknik ve İdari Tedbirler)
Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini, erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik (şifreleme, güvenlik duvarı, sızma testleri vb.) ve idari (veri politikaları, gizlilik taahhütnameleri, çalışan eğitimleri vb.) tedbirleri almak zorundadır.
VERBİS Kayıt Zorunluluğu Kimleri Kapsar?
Kişisel Verileri Koruma Kurulu kararları doğrultusunda, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt yaptırmakla yükümlü olan taraflar genel olarak şunlardır:
- Yıllık çalışan sayısı 50’den çok VEYA yıllık mali bilanço toplamı 100 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları,
- Yurt dışında yerleşik olan tüm gerçek ve tüzel kişi veri sorumluları,
- Ana faaliyet konusu özel nitelikli kişisel veri işleme olan (çalışan sayısı veya bilançosuna bakılmaksızın) eczaneler, özel hastaneler, poliklinikler, muayenehaneler, tıp merkezleri vb. sağlık kuruluşları.
VERBİS kaydının usulüne uygun yapılmaması veya sicildeki bilgilerin güncellenmemesi Kurul tarafından doğrudan yüksek idari para cezası kesilmesine sebep olmaktadır.
KVKK İdari Para Cezaları ve Yaptırımlar
6698 sayılı Kanun’un 18. maddesinde düzenlenen idari para cezaları, her takvim yılı başında Vergi Usul Kanunu genel tebliğleri doğrultusunda belirlenen Yeniden Değerleme Oranı nispetinde artırılmaktadır. Bu sebeple ceza miktarları ciddi boyutlara ulaşmıştır.
Başlıca ihlal kalemleri ve yaptırımlar şunlardır:
- Aydınlatma yükümlülüğünü yerine getirmeyenler hakkında,
- Veri güvenliğine ilişkin teknik ve idari tedbirleri almayanlar (veri sızıntısına yol açanlar) hakkında,
- Kurul tarafından verilen kararları yerine getirmeyenler hakkında,
- VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında yüz binlerce liradan başlayıp milyonlarca liraya ulaşan idari para cezaları tesis edilmektedir.
Ayrıca kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir başkasına verilmesi veya ele geçirilmesi Türk Ceza Kanunu’nun 135-140. maddeleri kapsamında 1 yıldan 4 yıla kadar hapis cezasını gerektiren adli bir suçtur.
Kapsamlı Bir KVKK Uyum Süreci Hangi Aşamaları İçerir?
Bir kurumun veya işletmenin KVKK mevzuatına tam uyumlu hale getirilmesi şu adımlarla yürütülür:
- Kişisel Veri Envanterinin Çıkarılması: Şirket bünyesindeki tüm departmanların işlediği veriler, işleme amaçları, saklama süreleri, alıcı grupları ve hukuki sebepleri tek tek haritalandırılır.
- Hukuki Metinlerin Hazırlanması: Müşteri, çalışan, stajyer ve tedarikçilere özel aydınlatma metinleri, açık rıza beyanları, Veri Saklama ve İmha Politikası, Web Sitesi Çerez (Cookie) Politikası tanzim edilir.
- Sözleşmelerin Revizyonu: Mevcut iş sözleşmeleri, tedarikçi anlaşmaları ve üçüncü taraf hizmet protokolleri KVKK gizlilik klozları ile güçlendirilir.
- Şirket İçi Prosedürler ve Eğitimler: Veri ihlali müdahale planları hazırlanır ve personellere farkındalık eğitimleri verilir.
- VERBİS Entegrasyonu: Envantere dayalı olarak sicil kaydı noksansız şekilde tamamlanır.
KVKK Uyumunda Avukat Desteğinin Önemi
Kişisel Verilerin Korunması Kanunu, bilişim ve siber güvenlik boyutunun yanı sıra temelinde tamamen usul ve borçlar hukuku mantığı barındıran bir hukuk dalıdır. Şablon metinlerle hazırlanan uyum paketleri, bir denetim veya şikâyet anında şirketi idari yaptırımlardan korumaya yetmemektedir. Şirketinizin ticari faaliyetlerini kesintiye uğratmadan, yasal zırh oluşturmak ve ağır idari para cezası risklerini bertaraf etmek adına sürecin bir KVKK avukatı danışmanlığında yürütülmesi gerekmektedir.
KVKK Uyum Süreci ve Şirket Danışmanlığı Hizmetleri
Kişisel Veri Envanteri tanzimi, VERBİS kaydı, aydınlatma ve açık rıza metinlerinin hazırlanması ile Kurul denetimlerine karşı hukuki koruma kalkanı oluşturmak için Bitmez Hukuk ve Danışmanlık ile iletişime geçebilirsiniz.
Ön Görüşme Talebi OluşturWhatsApp Kurumsal Destek
