6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili ikincil mevzuat, ticari hayatta veri işleyen tüm gerçek ve tüzel kişiler için bağlayıcı uyum yükümlülükleri getirmektedir. Şirketlerin idari para cezaları ve yaptırımlarla karşılaşmaması adına kişisel veri işleme süreçlerini güncel mevzuata uygun hale getirmeleri zorunludur.

Temel Kavramlar

  • Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (isim, TC kimlik no, telefon, plaka, e-posta, IP adresi, resim, ses kaydı, aile bilgileri vb.).
  • Kişisel Verilerin İşlenmesi: Verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.
  • Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Şirketlerin bizzat tüzel kişiliği "veri sorumlusu" sıfatını taşır.
  • VERBİS: Veri Sorumluları Sicil Bilgi Sistemini ifade eder.

I. Veri Sorumlusunun Aydınlatma Yükümlülüğü (KVKK m. 10)

Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişilere (müşteriler, çalışanlar, ziyaretçiler vb.) aşağıdaki konularda bilgi vermekle yükümlüdür:

  • Veri sorumlusunun ve varsa temsilcisinin kimliği,
  • Kişisel verilerin hangi amaçla işleneceği,
  • İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
  • Kişisel veri toplamanın yöntemi ve hukuki sebebi,
  • İlgili kişinin Kanun’un 11. maddesinde sayılan hakları.

II. Veri Sorumluları Siciline (VERBİS) Kayıt ve Muafiyetler

Kanun uyarınca kişisel veri işleyen veri sorumlularının veri işlemeye başlamadan önce VERBİS’e kaydolmaları gerekmektedir. Ancak KVK Kurulu kararları doğrultusunda; ana faaliyeti özel nitelikli kişisel veri işleme olmayan, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan veri sorumluları ile sadece gayrimenkul / noter / muhasebe gibi kısıtlı alanlarda faaliyet gösteren bazı meslek mensupları VERBİS kayıt yükümlülüğünden muaf tutulmuştur.

III. Güncel Mevzuat Değişiklikleri: Özel Nitelikli Veriler ve Yurtdışına Veri Aktarımı

Yapılan son kanuni düzenlemeler (7499 sayılı Kanun) ile KVKK uygulamalarında iki temel reform gerçekleşmiştir:

  • Özel Nitelikli Verilerin İşlenmesi (KVKK m. 6): Sağlık, biyometrik veri, din, siyasi düşünce gibi hassas verilerin işlenmesinde tek şart olan "açık rıza" zorunluluğu esnetilmiş; kanunlarda açıkça öngörülme, bir hakkın tesisi veya kullanımı ile fiili imkânsızlık gibi alternatif hukuki sebepler eklenmiştir.
  • Yurtdışına Veri Aktarımı (KVKK m. 9): Yurtdışına veri aktarımında açık rıza alma zorunluluğu ikinci plana çıkarılmış; KVK Kurulu tarafından verilecek **Yeterlilik Kararları**, taraflar arasında imzalanacak **Standart Sözleşmeler (STK)** veya **Bağlayıcı Şirket Kuralları** gibi güvence mekanizmaları esas alınmıştır.

IV. İdari Yaptırımlar ve Görevli Yargı Yolu

Aydınlatma yükümlülüğünü yerine getirmeyen, veri güvenliğine ilişkin tedbirleri almayan veya VERBİS kayıt yükümlülüğüne uymayan veri sorumluları hakkında her yıl güncellenen yeniden değerleme oranlarına göre milyonlarca TL'ye varan idari para cezaları uygulanmaktadır. Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezaları ve kararlara karşı başvuru mercii **İdare Mahkemeleridir**.

Yukarıdaki açıklamalar genel bilgilendirme amaçlı olup somut hukuki durumlara doğrudan çözüm teşkil etmez. Şirketinizin KVKK uyum süreçleri ve risk analizleri için bir avukata danışmanız tavsiye edilir.