Kişisel Verilerin Korunması Hukuku
Uzman hukuki danışmanlık ile düzenlemelerin önünde olun. Miran Legal, tüm Türk veri koruma gerekliliklerini karşılamanıza yardımcı olur.
Genel bakış
“Kişisel veri”, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. Kişisel verilerin işlenmesi ise, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade etmektedir.
Teknoloji ve dijitalleşme ile birlikte kişisel verilerin korunması kavramı; kurumlar, şirketler ve bireyler için çok önemli bir hal almaya başlamıştır. Hem kamu hem de özel kurum ve kuruluşlar, bir hizmetin veya ürünün piyasaya sürülebilmesi için uzun bir süredir kişisel veri niteliğindeki bilgileri toplamakta, satmakta veya paylaşmaktaydılar. Fakat veri sahibinin iznine bağlı olmadan yapılan söz konusu işlemler, veri sahibinin bazı hukuki haklarını ihlal edilmesine yol açmaktaydı.
Bu nedenle, Kişisel Verilerin Korunması amacıyla Kişisel Verilerin Korunması Kanun metni (KVKK), 24/03/2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış ve 07/04/2016 tarih ve 29677 sayılı Resmî Gazetede yayımlanarak yürürlüğe girmiştir. Söz konusu kanun ile gelen zorunlu süreçleri işletebilmek ve sürdürebilmek amacıyla KVKK bir kurum olarak meydana gelmiştir. Bununla birlikte, veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri kayıt sistemi olan VERBİS (Veri Sorumluları Sicili) ile sicile ilişkin usul ve esaslar da kurum kapsamında ortaya çıkmıştır.
Miran Legal olarak, kanun ve kişisel verilerin korunması mevzuatı çerçevesinde müvekkillerimizin Kanun’a uyum süreçlerinin tam ve eksiksiz olarak sağlanması ve kişisel veri işleme süreçlerinin hukuka uygun şekilde yürütülmesi amacıyla güncel gelişmeleri en yakından takip etmekteyiz.
Bu kapsamda Miran Legal olarak başlıca;
- VERBİS’ ne kayıt işlemlerinin yürütülmesi ve takibi,
- Müvekkil şirketlerin tabi oldukları yükümlülüklerin tespiti,
- Bu yükümlülüklere göre gerekli şirket politikalarının oluşturulması,
- Gereken veri kayıt sisteminin oluşturulması için IT departmanları ile işbirliğinin sağlanması,
- KVKK kapsamında sözleşmelerin hazırlanması ve revize edilmesi,
- Müvekkil şirketlerde KVKK ve mevzuata uyum sağlanması sürecinde, şirket içi eğitimlerin verilmesi
- Veri güvenliği ve bilişim sistemlerine ilişkin hukuki tedbirlerin alınması,
- Bilişim suçlarına ilişkin yargılama süreçlerinin başlatılması, müvekkillerin temsili gibi hizmetleri vermekteyiz.
Sıkça Sorulan Sorular
Veri ihlali yaşandığında Kurula ve etkilenen kişilere bildirim ne kadar sürede yapılmalı?
KVKK, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun en kısa sürede Kurula ve ilgililere bildirim yapmasını ister; Kişisel Verileri Koruma Kurulu bu süreyi Kurul bakımından ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlar. Etkilenen kişilere, kimlikleri belirlendikten sonra makul en kısa sürede, mümkünse doğrudan, değilse web sitesi gibi uygun bir yolla bildirim yapılır. Süre aşılırsa gecikmenin gerekçesi bildirimle birlikte açıklanmalıdır; bildirim yapmamak idari para cezasına yol açar. Bu nedenle ihlal müdahale planında 72 saatlik takvim ve bildirim formu önceden hazırlanmalıdır.
Şirketimizin VERBİS'e kayıt yükümlülüğünden muaf olup olmadığını hangi kriterlere göre anlarız?
Kişisel veri işleyen gerçek ve tüzel kişiler kural olarak VERBİS'e kaydolmak zorundadır; Kişisel Verileri Koruma Kurulu ise yıllık çalışan sayısı ve yıllık mali bilanço toplamına göre istisna tanımıştır. Yıllık çalışanı 50'den az ve mali bilanço toplamı Kurulun belirlediği eşiğin altında olan, ana faaliyeti özel nitelikli kişisel veri işleme olmayan şirketler kayıttan muaftır; ana faaliyeti özel nitelikli veri işleme olanlara daha dar eşikler uygulanır. Yurt dışında yerleşik veri sorumluları ise kayıt yükümlülüğü altındadır. Muafiyet, aydınlatma ve veri güvenliği gibi diğer KVKK yükümlülüklerini kaldırmaz.
Her veri işleme faaliyeti için çalışanlardan veya müşterilerden açık rıza almak gerekli mi?
Hayır. KVKK açık rızayı işleme şartlarından yalnızca biri olarak düzenler; kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, bir hakkın tesisi ya da meşru menfaat gibi şartlardan biri varsa rıza aranmaz. Kişisel Verileri Koruma Kurulu, başka bir şart varken açık rızaya dayanılmasını aldatıcı ve hakkın kötüye kullanılması niteliğinde görmekte, hizmetin rızaya bağlanmasının da rızayı sakatlayacağını belirtmektedir. Her işleme faaliyeti için doğru hukuki sebep belirlenmeli; aydınlatma her durumda yapılmalı, rızaya dayanılan işlemlerde ise aydınlatma ile açık rıza ayrı ayrı yerine getirilmelidir.
Müşterinin kişisel verilerine ilişkin başvurusuna şirket kaç gün içinde cevap vermek zorunda?
Veri sorumlusu, ilgili kişinin başvurusunu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırmalıdır; işlem ayrıca maliyet gerektiriyorsa yalnız Kurul tarifesindeki ücret alınabilir. Talep kabul edilir ya da gerekçesi açıklanarak reddedilir ve cevap yazılı olarak veya elektronik ortamda bildirilir; Kişisel Verileri Koruma Kurumuna göre telefonla veya yüz yüze verilen sözlü bilgi cevap sayılmaz. Cevap verilmez ya da yetersiz bulunursa ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kurula şikâyet edebilir. Başvuru kanalları tek takip sistemine bağlanmalı, cevaplar ispatlanabilir biçimde saklanmalıdır.
Yurt dışındaki grup şirketine veri aktarırken imzalanan standart sözleşme Kuruma kaç günde bildirilmeli?
Kişisel Verileri Koruma Kurulunun ilan ettiği standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmelidir. Standart sözleşme, aktarım yapılan ülke için yeterlilik kararı bulunmadığında kullanılabilecek uygun güvencelerden biridir; grup şirketleri arasındaki aktarımlarda Kurul onaylı bağlayıcı şirket kuralları da tercih edilebilir. Aktarım ayrıca KVKK'daki işleme şartlarından birine dayanmalıdır. Beş iş günü içinde bildirim yapmamak, veri sorumlusu kadar veri işleyen için de idari para cezası sebebidir.
Sağlık verisi gibi özel nitelikli kişisel veriler hangi şartlarla açık rıza olmadan işlenebilir?
Özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak 2024 değişikliğiyle açık rıza dışında da sınırlı işleme şartları tanınmıştır. Kanunda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülükler ve sır saklama yükümlülüğü altındaki kişilerce yürütülen sağlık hizmetleri bu şartlar arasındadır. Örneğin işveren, iş sağlığı ve güvenliği yükümlülüğü için zorunlu olan sağlık raporlarını rıza olmadan işleyebilir. Her durumda Kurulun belirlediği yeterli önlemler ayrıca alınmalıdır.
Miran Legal, KVKK uyum sürecinde VERBİS kaydından şirket içi eğitime kadar hangi adımları yürütüyor?
VERBİS kayıt işlemlerini yürütüp takip ediyor, şirketin tabi olduğu yükümlülükleri tespit ederek bu yükümlülüklere uygun şirket politikalarını oluşturuyoruz. Veri kayıt sisteminin kurulması için IT departmanlarıyla iş birliği yapıyor, KVKK kapsamındaki sözleşmeleri hazırlıyor ve revize ediyoruz. Uyum sürecinde şirket içi eğitimler veriyor, veri güvenliği ve bilişim sistemlerine ilişkin hukuki tedbirlerin alınmasını sağlıyoruz. Bilişim suçu niteliğindeki ihlallerde yargılama süreçlerini başlatıp müvekkillerimizi temsil ediyoruz.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Somut durumunuza ilişkin değerlendirme için bizimle iletişime geçebilirsiniz.
Bağlantılı yayınlar
