Şirketler İçin KVKK: 16 Soru ve Cevap

KVKK, kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak işleyen gerçek ve tüzel kişileri kapsar. Çalışan, müşteri veya ziyaretçi verisi işleyen işletmeler de bu kapsamda değerlendirilir. Sicile kayıt istisnası, KVKK'nın bütün yükümlülüklerinden muafiyet sağlamaz. Kanunun özel istisnaları saklı olmak üzere aydınlatma, veri güvenliği ve ilgili kişi başvuruları ayrıca ele alınmalıdır.

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, telefon, e-posta, IP adresi ve kamera görüntüsü bunlara örnektir. Sağlık, biyometrik ve genetik veriler, din, mezhep, siyasi düşünce, sendika üyeliği, ceza mahkûmiyeti gibi veriler ise özel nitelikli kişisel veridir. Bu verilerin işlenmesi daha sıkı şartlara bağlıdır ve ek güvenlik tedbirleri alınmasını gerektirir. 2024 yılındaki değişiklikle bu verilerin işlenebileceği haller genişletilmiş ve somut şartlara bağlanmıştır.

Veri sorumlusu, kişisel verilerin işlenme amaç ve araçlarını belirler; veri işleyen ise onun verdiği yetkiye dayanarak onun adına işlem yapar. Hizmet sağlayıcının sıfatı yalnızca sözleşmedeki unvana göre belirlenmez; fiilen hangi kararları aldığı önemlidir. Veri güvenliği tedbirleri bakımından kanundaki müşterek sorumluluk kuralları, veri işleme sözleşmesi, erişim yetkileri ve denetim imkânıyla birlikte değerlendirilmelidir.

Hayır. Sözleşmenin ifası, kanuni yükümlülük, bir hakkın tesisi veya korunması ve meşru menfaat gibi Kanun'da sayılan hukuki sebeplerden biri varsa açık rıza alınmasına gerek yoktur. Açık rıza ancak bu sebeplerin hiçbiri bulunmadığında başvurulması gereken bir hukuki sebeptir. Gereksiz yere açık rıza alınması ve özellikle hizmetin açık rıza verilmesi şartına bağlanması Kurul tarafından hukuka aykırı kabul edilmektedir.

Her veri işleme faaliyetinin hangi hukuki sebebe dayandığını veri envanterinde ayrı ayrı belirleyin; açık rızayı yalnızca gerçekten gerekli olan süreçlerle sınırlayın.

Aydınlatma metninde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları yer almalıdır. Metin veri toplanırken sunulmalı, açık ve anlaşılır olmalıdır. Aydınlatma metni ile açık rıza metni aynı belgede birleştirilmemeli, birbirinden ayrı sunulmalıdır.

VERBİS yükümlülüğü çalışan sayısı, yıllık mali bilanço, faaliyet konusu, yerleşiklik ve Kurulun istisna kararları birlikte incelenerek belirlenir. Genel istisna kapsamında ana faaliyeti özel nitelikli veri işleme olmayanlarda 50'den az çalışan ve 100 milyon TL'den az bilanço ölçütleri birlikte aranır. 2025/1572 sayılı kararla ana faaliyeti özel nitelikli veri işleme olanlarda da 10'dan az çalışan ve 10 milyon TL'den az bilanço şartlarıyla istisna tanınmıştır. Diğer istisnalar ve hesaplama usulleri ayrıca kontrol edilmelidir; kayıt istisnası veri güvenliği yükümlülüğünü kaldırmaz.

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanabilir. Bu süre sona erdiğinde veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. VERBİS'e kayıtlı veri sorumluları kişisel veri saklama ve imha politikası hazırlamak ve en fazla altı aylık aralıklarla periyodik imha yapmakla yükümlüdür.

Güvenlik amacıyla kamera ile izleme yapılabilir; ancak kameraların bulunduğu alanlarda aydınlatma yapılmalı, kayıtlar amaçla sınırlı süre saklanmalı ve kayıtlara erişim yetkisi sınırlandırılmalıdır. Tuvalet, soyunma odası ve dinlenme alanları gibi özel hayatın yoğun yaşandığı yerlerde kamera bulundurulamaz. Ses kaydı yapılması ise kural olarak ölçülülük ilkesine aykırı kabul edilmektedir.

Çerezler zorunlu işlev, analiz, reklam ve kişiselleştirme amaçlarına göre ayrılmalı; her biri için uygun hukuki sebep belirlenmelidir. Açık rızaya dayanan çerezler rıza verilmeden etkinleştirilmemeli, reddetme ve rızayı geri alma kolay olmalıdır. Zorunlu çerezler ile belirli koşullarda istisna kapsamında değerlendirilebilen ölçüm araçları otomatik olarak reklam çerezleriyle aynı sayılmaz. Kullanıcıya amaç, saklama süresi ve üçüncü taraflar anlaşılır biçimde açıklanmalıdır.

Evet. Sunucuları yurt dışında bulunan e-posta, bulut depolama, CRM veya yazılım hizmetlerinin kullanılması yurt dışına kişisel veri aktarımı niteliğindedir ve Kanun'daki aktarım şartlarına uyulmasını gerektirir.

Kullandığınız tüm yazılım ve hizmet sağlayıcılarının sunucu konumlarını tespit edin; her biri için hangi aktarım mekanizmasına dayandığınızı belgeleyin.

1 Haziran 2024'ten itibaren uygulanan sisteme göre aktarım; öncelikle Kurul'un yeterlilik kararı bulunan ülkelere yapılabilir. Yeterlilik kararı yoksa Kurul'un ilan ettiği standart sözleşmeler, grup şirketleri için bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden biri sağlanmalıdır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi zorunludur. Bu şartların hiçbiri bulunmadığında yalnızca arızi nitelikteki aktarımlar için sınırlı istisnalar uygulanabilir.

Veri ihlali, öğrenilmesinden itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilmelidir. İhlalden etkilenen kişilere de makul en kısa süre içinde, doğrudan veya uygun yöntemlerle bilgi verilmelidir. Bildirim süreci ihlalin kapsamının tespiti, etkilerin sınırlandırılması ve alınan tedbirlerin kayıt altına alınmasıyla birlikte yürütülmelidir. Gecikmeli veya eksik bildirim, ihlalin kendisinden bağımsız olarak yaptırım sebebidir.

İhlal anında kimin, hangi sırayla, neyi yapacağını belirleyen yazılı bir müdahale planı oluşturun; 72 saatlik süre, plan yokken çoğu zaman yetersiz kalır.

İdari para cezası; aydınlatma, veri güvenliği, Kurul kararlarına uyma, VERBİS ve yurt dışı aktarımda standart sözleşme bildirim yükümlülüğü gibi farklı ihlallere göre değişir. Alt ve üst sınırlar her yıl yeniden değerleme nedeniyle güncellenir; somut olayda fiil tarihi ve uygulanacak hüküm esas alınmalıdır. Ayrıca aynı olayın kişisel verilere ilişkin bir suç oluşturup oluşturmadığı ayrı incelenir. İdari para cezası ile tazminat sorumluluğu birbirinden farklıdır.

1 Haziran 2024'ten itibaren Kurul tarafından verilen idari para cezalarına karşı sulh ceza hâkimliğine değil, idare mahkemesine dava açılır. Dava açma süresi kural olarak kararın tebliğinden itibaren 60 gündür. Dava açılması cezanın tahsilini kendiliğinden durdurmadığından gerekli hallerde yürütmenin durdurulması da talep edilmelidir.

Evet. Herkes veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini, hangi amaçla işlendiğini ve kimlere aktarıldığını öğrenebilir; eksik veya yanlış verilerin düzeltilmesini, şartları varsa silinmesini ve uğradığı zararın giderilmesini isteyebilir. Veri sorumlusu başvuruyu en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırmak zorundadır.

Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde, cevabın öğrenilmesinden itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunulabilir. Şikâyet yoluna gidilebilmesi için önce veri sorumlusuna başvurulmuş olması şarttır. Uğranılan zararın tazmini için ayrıca genel hükümlere göre dava açılabilir.

Başvurunuzu kayıtlı elektronik posta, noter veya şirketin belirlediği kanal üzerinden, ispatlanabilir şekilde yapın; şikâyet süreleri başvuru tarihine göre hesaplanır.