6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), hem özel sektör hem de kamu sektöründe başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumak amacıyla kişisel veri işleyen gerçek ve tüzel kişilerin uyum yükümlülüklerini düzenlemektedir.

I. Temel Kavramlar

  • Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (Ad-soyad, TC kimlik no, e-posta, sosyal medya hesapları, adres, telefon, alışveriş geçmişi, kamera görüntüleri, IP adresi, iş başvuru formları vb.).
  • Özel Nitelikli (Hassas) Kişisel Veri: Öğrenildiğinde ilgili kişinin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olabilecek nitelikteki verilerdir (Irk, etnik köken, siyasi görüş, felsefi inanç, din, mezhep, kılık-kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler).
  • Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilerdir (Şirketler bizzat tüzel kişilik olarak veri sorumlusudur).
  • Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.
  • VERBİS: Veri Sorumluları Sicil Bilgi Sistemini ifade eder.

II. Şirketinizin KVKK Kapsamındaki Durumu

Kurumunuz kişisel verileri tamamen veya kısmen otomatik olan yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işliyorsa Kanun kapsamına girmektedir. Bu durumda hukuki ve teknik idari uyum sürecinin tamamlanması yasal zorunluluktur.

III. Ceza ve Yaptırımlar

1. Türk Ceza Kanunu (TCK) Kapsamındaki Suçlar ve Hapis Cezaları

Kişisel verilere ilişkin hukuka aykırı eylemlerde 5237 sayılı Türk Ceza Kanunu'nun 135 ila 140. maddeleri arasında düzenlenen hapis cezaları uygulanır:

  • Kişisel Verilerin Hukuka Aykırı Olarak Kaydedilmesi (TCK m. 135/1): 1 yıldan 3 yıla kadar hapis cezası.
  • Özel Nitelikli Verilerin Kaydedilmesi (TCK m. 135/2): Cezanın yarı oranında artırılması (1,5 yıldan 4,5 yıla kadar hapis).
  • Verileri Hukuka Aykırı Olarak Verme, Yayma veya Ele Geçirme (TCK m. 136/1): 2 yıldan 4 yıla kadar hapis cezası.
  • Verileri Yok Etmeme (TCK m. 138): Kanunların belirlediği sürelerin geçmiş olmasına rağmen verileri sistemden silmeyen veya anonim hale getirmeyenler hakkında 1 yıldan 2 yıla kadar hapis cezası.

Suçların kamu görevlisi tarafından veya belirli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde verilecek cezalar yarı oranında artırılır (TCK m. 137).

2. Kabahatler ve İdari Para Cezaları (KVKK m. 18)

Kanundaki yükümlülüklerin ihlali halinde Kişisel Verileri Koruma Kurulu tarafından her yıl güncellenen yeniden değerleme oranlarına göre milyonlarca TL'ye ulaşan idari para cezaları uygulanır:

  • Aydınlatma yükümlülüğünün yerine getirilmemesi,
  • Veri güvenliğine ilişkin idari ve teknik tedbirlerin alınmaması,
  • KVK Kurulu tarafından verilen kararların yerine getirilmemesi,
  • VERBİS kayıt ve bildirim yükümlülüğüne aykırı hareket edilmesi.

KVK Kurulu kararlarına ve idari para cezalarına karşı başvuru mercii İdare Mahkemeleridir.

IV. KVKK Uyum Sürecinde Yapılması Gereken İşlemler

Kurumunuzun yasalara uygun olarak kişisel veri toplayabilmesi, işleyebilmesi ve saklayabilmesi için yürütülen uyum projesinde şu adımlar izlenmelidir:

  • Mevcut Durum Analizi: Toplanan verilerin, toplanma amaçlarının, saklama sürelerinin, aktarılan üçüncü tarafların ve mevcut güvenlik önlemlerinin tespiti.
  • Kişisel Veri Envanteri Hazırlanması: Tüm departmanların veri işleme süreçlerini içeren detaylı Veri Envanterinin oluşturulması ve şartları taşıyan şirketler için VERBİS kaydının tamamlanması.
  • Aydınlatma Metinleri ve Açık Rıza Mekanizmaları: Müşteriler, çalışanlar ve tedarikçiler için aydınlatma metinlerinin hazırlanması; açık rıza gerektiren durumlar için mevzuata uygun onay mekanizmalarının kurgulanması.
  • Sözleşme ve Prosedürlerin Revizyonu: İş akitleri, gizlilik sözleşmeleri, tedarikçi metinleri, veri saklama ve imha politikalarının güncellenmesi.
  • Teknik ve İdari Tedbirler: Siber güvenlik altyapısının güçlendirilmesi, erişim yetki matrislerinin oluşturulması ve çalışanlara KVKK farkındalık eğitimlerinin verilmesi.

Yukarıdaki açıklamalar genel bilgilendirme amaçlı olup somut hukuki durumlara doğrudan çözüm teşkil etmez. Kurumunuzun KVKK uyum süreçleri ve risk analizleri için uzman bir avukata danışmanız tavsiye edilir.