KVKK: Şirketlerin temel yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu, müşteri ya da çalışan verisi işleyen hemen her işletmeyi ilgilendirir. Uyumun özünde şu soru vardır: Hangi veriyi, hangi hukuki sebeple, ne kadar süreyle ve kimlerle paylaşarak işliyorsunuz?

1. Aydınlatma yükümlülüğü

Veri elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile sahip olduğu haklar anlatılmalıdır (m. 10). Aydınlatma, açık rızadan ayrı bir yükümlülüktür.

2. Veri güvenliği

Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ve verinin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır (m. 12). Veri adına başkası işliyorsa, tedarikçiyle birlikte müştereken sorumluluk doğar. Bu nedenle tedarikçi sözleşmeleri de kapsamdadır.

3. İlgili kişi başvuruları

Kişiler verileri hakkında bilgi isteyebilir, düzeltme ya da silme talep edebilir (m. 11). Veri sorumlusu, başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır (m. 13). Başvurunun şirket içinde kime ulaşacağı önceden belli olmalıdır.

4. VERBİS

Kanun, veri sorumlularının veri işlemeye başlamadan önce sicile kaydolmasını kural olarak öngörür, Kurul’a ise objektif ölçütlerle istisna getirme yetkisi verir (m. 16). Eşikler Kurul kararlarıyla değiştiği için güncel durum şirket özelinde kontrol edilmelidir. İstisna kapsamında olmak diğer yükümlülükleri kaldırmaz.

5. Veri ihlali

Veriler kanuni olmayan yollarla başkalarınca elde edilirse, durum en kısa sürede ilgili kişiye ve Kurul’a bildirilir (m. 12/5). Kurul, 2019/10 sayılı kararında “en kısa süre”yi yetmiş iki saat olarak yorumlamıştır. Bu yüzden ihlal anında kimin ne yapacağı önceden yazılı olmalıdır.

Yurt dışına aktarım

Yurt dışına aktarım kuralları 2024 değişiklikleriyle yenilenmiştir (m. 9). Yurt dışında barındırılan yazılım ve bulut hizmetleri kullanılıyorsa, aktarımın hangi güvenceye dayandığı ayrıca değerlendirilmelidir.