Şirketlerde KVKK Uyum Süreci: Aydınlatma, Veri İşleme ve Veri Güvenliği
Şirketler çalışan, müşteri, tedarikçi, ziyaretçi veya diğer gerçek kişilere ait çok sayıda kişisel veriyi işleyebilir. İsim ve iletişim bilgileri gibi temel verilerin yanında kimlik, finans, kamera kaydı veya çalışanlara ilişkin farklı veri kategorileri de şirket faaliyetleri sırasında gündeme gelebilir.
6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından uyum süreci yalnızca internet sitesine bir aydınlatma metni eklemekten ibaret değildir. Şirketin fiilî veri işleme faaliyetleri, hazırlanan metinler ve teknik-idari tedbirlerle birlikte değerlendirilmelidir. Bu konu, Şirketler İçin Kurumsal Hukuki Danışmanlık Rehberi kapsamındaki önemli uyum başlıklarından biridir.
Veri Sorumlusu Kimdir?
6698 sayılı Kanun’da veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi olarak tanımlanır.
Bir şirket kendi çalışanları veya müşterileriyle ilgili kişisel verilerin işlenme amaç ve yöntemlerini belirliyorsa, bu işlemler bakımından veri sorumlusu sıfatını taşıyabilir. Başka bir şirket adına ve onun talimatları doğrultusunda veri işleyen hizmet sağlayıcı ise somut ilişkiye göre veri işleyen konumunda olabilir.
Önce Veri Envanteri ve Fiilî Süreçler Belirlenmelidir
KVKK uyum çalışmasının sağlıklı yürütülebilmesi için şirketin hangi kişisel verileri, kimlerden, hangi yöntemle ve hangi amaçla topladığının belirlenmesi gerekir.
İnsan kaynakları, müşteri ilişkileri, kamera sistemleri, internet sitesi, çağrı veya iletişim kayıtları, tedarikçi süreçleri ve muhasebe uygulamaları ayrı ayrı incelenebilir. Böylece şirketin gerçekten yaptığı işlemler ile hukuki metinler arasında uyum kurulabilir.
Kişisel Veri İşleme Şartı
Kişisel verilerin işlenmesi için 6698 sayılı Kanun’da öngörülen hukuki işleme şartlarından en az birinin bulunması gerekir. Her veri işleme faaliyeti için otomatik olarak açık rıza alınması gerektiği düşüncesi doğru değildir.
Kanunda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi farklı hukuki sebepler somut işleme göre gündeme gelebilir. Açık rıza ise Kanun’da yer alan hukuki sebeplerden yalnızca biridir.
Aydınlatma Yükümlülüğü
KVKK m. 10 uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiyi belirli konularda bilgilendirmekle yükümlüdür. Aydınlatmada veri sorumlusunun kimliği, verilerin hangi amaçlarla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları yer almalıdır.
Aydınlatma metninin şirketin fiilî uygulamasıyla uyuşması gerekir. Hiç yapılmayan veri işleme faaliyetlerinin metne eklenmesi veya gerçekte yapılan işlemlerin metinde yer almaması uyum sorununa yol açabilir.
Çalışan Verileri
Şirketlerin en yoğun kişisel veri işlediği alanlardan biri insan kaynakları süreçleridir. İş başvuruları, özlük dosyaları, ücret ve banka bilgileri, sağlık verileri, performans kayıtları ve işyeri güvenliği kapsamında farklı veri kategorileri işlenebilir.
Özellikle özel nitelikli kişisel verilerin işlenmesi bakımından Kanun’daki özel düzenlemeler ve Kişisel Verileri Koruma Kurulunun güncel kararları dikkate alınmalıdır.
Müşteri ve Tedarikçi Verileri
Müşteriler veya tedarikçi temsilcilerine ait iletişim ve işlem verileri de belirli amaçlarla işlenebilir. Bu verilerin sözleşmenin yürütülmesi, faturalandırma, teslimat veya hukuki yükümlülükler kapsamında işlenip işlenmediği somut sürece göre belirlenmelidir.
Pazarlama veya ticari elektronik ileti süreçleri ise kişisel verilerin korunması yanında elektronik ticari ileti mevzuatını da gündeme getirebilir.
Saklama ve İmha
Kişisel verilerin süresiz saklanması temel kural değildir. Şirketin saklama süresini belirlerken ilgili mevzuattan kaynaklanan zorunlulukları ve veri işleme amacını dikkate alması gerekir.
İşleme sebebinin ortadan kalkması hâlinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin yükümlülükler gündeme gelebilir. Şirketin saklama ve imha süreçleri fiilî sistemlerle uyumlu biçimde yürütülmelidir.
Veri Güvenliği Tedbirleri
Veri sorumlusu yalnızca hukuki metin hazırlamakla değil, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için uygun teknik ve idari tedbirleri almakla da yükümlüdür.
Erişim yetkilerinin sınırlandırılması, kullanıcı hesaplarının yönetimi, yedekleme, güncelleme, çalışan farkındalığı ve hizmet sağlayıcılarla yapılan sözleşmeler şirketin büyüklüğü ve işlediği verilerin niteliğine göre değerlendirilmesi gereken başlıklar arasındadır.
VERBİS Yükümlülüğü Her Şirket İçin Aynı Değildir
Veri Sorumluları Siciline kayıt yükümlülüğü bakımından Kanun ve Kurul kararlarında istisna ve kriterler bulunmaktadır. Bu nedenle “her şirket VERBİS’e kayıt olmak zorundadır” şeklinde genel bir kabul doğru değildir.
Şirketin sicile kayıt yükümlülüğü, güncel Kurul kararları ve şirketin özellikleri dikkate alınarak ayrıca kontrol edilmelidir.
Sonuç
KVKK uyumu, yalnızca hazır metinlerin kullanılmasından değil; şirketin gerçek veri işleme süreçlerinin tespit edilmesi, uygun hukuki sebeplerin belirlenmesi, aydınlatma ve saklama süreçlerinin kurulması ve güvenlik tedbirlerinin uygulanmasından oluşur.
KVKK süreçlerinin diğer sözleşme ve kurumsal hukuk başlıklarıyla birlikte değerlendirilmesi için Şirketler İçin Kurumsal Hukuki Danışmanlık Rehberi incelenebilir.
Bu içerik genel hukuki bilgilendirme amacıyla hazırlanmıştır. Bir şirketin KVKK kapsamındaki yükümlülükleri işlediği verilerin niteliğine, veri işleme amaçlarına ve güncel Kurul kararlarına göre ayrıca değerlendirilmelidir.