6698 Sayılı KVKK Kapsamında Özel Nitelikli Kişisel Verilerin İşlenmesi
Özel nitelikli kişisel veri nedir, hangi şartlarla işlenebilir? 6698 sayılı Kanun ile GDPR’ın karşılaştırması, Kurul kararları ve Avrupa’dan örnekler.
9 dk okumaFaaliyet alanı
Kişisel Verilerin Korunması: KVKK uyumu ve başvurular
İşletmeler için KVKK uyum çalışmaları, metinler ve veri ihlali yönetimi; bireyler için veri sorumlusuna başvuru, Kurul şikâyeti ve tazminat yolları.
Kişisel verilerin korunması, artık yalnızca büyük şirketlerin gündemi değil. Müşteri kaydı tutan bir işletme, hasta dosyası bulunan bir klinik, kamera sistemi olan bir iş yeri ya da internet sitesinden form alan bir girişim; hepsi veri sorumlusudur ve 6698 sayılı Kanun’un yükümlülüklerine tabidir.
Büromuzda bu alan, kişisel veriler hukuku üzerine çalışan ve yazan Av. Ozan Yıldırım tarafından yürütülür. İşletmelere ölçeklerine uygun, uygulanabilir bir uyum çalışması sunar; verileri hukuka aykırı işlenen bireylerin de başvuru ve şikâyet süreçlerini takip ederiz. Konuya ilişkin özel nitelikli kişisel veriler yazısını da inceleyebilirsiniz.
Kişisel veriler alanında çalıştığımız konular
KVKK uyum çalışması
Veri işleme süreçlerinin çıkarılması, envanterin hazırlanması, politika ve prosedürlerin işletmeye göre yazılması.
Aydınlatma metni ve açık rıza
Aydınlatma yükümlülüğünün yerine getirilmesi; açık rızanın gerçekten gerektiği hâllerin ayrılması ve metinlerin hazırlanması.
VERBİS kaydı
Veri Sorumluları Sicili’ne kayıt yükümlülüğünün değerlendirilmesi, kaydın yapılması ve güncel tutulması.
Özel nitelikli veriler
Sağlık, biyometrik ve benzeri hassas verilerin işlenme şartları ve alınması gereken ek önlemler.
Yurt dışına veri aktarımı
Bulut hizmetleri ve yurt dışı merkezli yazılımlar için standart sözleşme ve diğer aktarım yöntemleri.
Veri ihlali yönetimi
İhlalin tespiti, Kurul’a ve ilgili kişilere bildirim, sonrasında alınacak önlemler.
İlgili kişi başvuruları
Veri sorumlusuna başvuru, yanıtların hazırlanması ve Kişisel Verileri Koruma Kurulu’na şikâyet.
Kurul incelemesi ve idari para cezaları
Kurul’un bilgi ve belge taleplerine yanıt, savunma ve idari para cezasına karşı dava.
Çalışan verileri
İş başvurusu, özlük dosyası, kamera, e-posta denetimi ve parmak iziyle giriş gibi iş yeri uygulamaları.
Çerez ve pazarlama izinleri
İnternet sitesi çerezleri, ticari elektronik ileti onayı ve İleti Yönetim Sistemi kayıtları.
Tazminat ve suç duyurusu
Verilerin hukuka aykırı işlenmesi ya da paylaşılması nedeniyle tazminat davası ve ceza şikâyeti.
İşletmeler için: uyum nereden başlar?
Uyum, hazır bir metin setinin siteye eklenmesi değildir. Önce işletmede hangi verinin, hangi amaçla, kim tarafından işlendiğinin ve kimlerle paylaşıldığının ortaya konması gerekir; metinler bu tablonun üzerine yazılır.
- Açık rıza her zaman gerekli değildir. Sözleşmenin ifası, hukuki yükümlülük ya da meşru menfaat gibi bir işleme şartı varken ayrıca rıza almak hem gereksizdir hem de Kurul tarafından hukuka aykırı bulunabilir.
- Aydınlatma ile rıza ayrı işlemlerdir; tek bir metinde birleştirilmemelidir.
- 2024 değişikliği: 1 Haziran 2024’ten itibaren özel nitelikli verilerin işlenme şartları ile yurt dışına aktarım kuralları yeniden düzenlendi. Standart sözleşmeyle yapılan aktarımlarda sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurul’a bildirim zorunludur.
- Veri ihlali: ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde Kurul’a bildirim yapılmalı, etkilenen kişiler de en kısa sürede bilgilendirilmelidir.
Bireyler için: verileriniz üzerindeki haklarınız
Herkes, verilerini işleyen kuruma başvurarak verilerinin işlenip işlenmediğini öğrenme, işlenme amacını sorma, yanlışsa düzeltilmesini, koşulları varsa silinmesini isteme ve uğradığı zararın giderilmesini talep etme hakkına sahiptir.
Başvurunuz veri sorumlusu tarafından en geç otuz gün içinde yanıtlanmalıdır. Başvurunuz reddedilir, yanıt yetersiz kalır ya da süresinde yanıt verilmezse Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Verilerinizin hukuka aykırı biçimde ele geçirilmesi ya da yayılması ayrıca suç oluşturur ve tazminat hakkı doğurur.
Süreç nasıl ilerler?
Mevcut durumun çıkarılması
Hangi verilerin hangi süreçlerde işlendiği, kullanılan yazılımlar ve paylaşım yapılan taraflar belirlenir.
Risklerin ve eksiklerin tespiti
İşleme şartları, saklama süreleri, yurt dışı aktarımlar ve güvenlik önlemleri yönünden eksikler raporlanır.
Metin ve süreçlerin hazırlanması
Aydınlatma metinleri, rıza formları, politikalar, sözleşme ekleri ve başvuru yanıt süreci oluşturulur.
Güncelleme ve destek
Mevzuat ve Kurul kararlarındaki değişiklikler izlenir; başvuru, ihlal ve inceleme hâllerinde destek verilir.
Bilinmesi gereken süreler
| İşlem | Süre | Dayanak |
|---|---|---|
| Veri sorumlusunun başvuruyu yanıtlaması | En geç 30 gün | KVKK m. 13 |
| Kurul’a şikâyet | Yanıtın öğrenilmesinden itibaren 30 gün, her hâlde başvurudan itibaren 60 gün | KVKK m. 14 |
| Veri ihlalinin Kurul’a bildirilmesi | Öğrenmeden itibaren 72 saat | Kurul’un 2019/10 sayılı kararı |
| Standart sözleşmenin Kurul’a bildirilmesi | İmzadan itibaren 5 iş günü | KVKK m. 9 |
| İdari para cezasına karşı dava | Tebliğden itibaren 60 gün | KVKK m. 18, İYUK m. 7 |
Süreler genel kuralı gösterir; başlangıç tarihi ve istisnalar her dosyada ayrıca değerlendirilmelidir.
Görüşmeye gelirken yanınızda bulunsun
Aşağıdaki belgelerin tamamı elinizde olmayabilir; bulabildiklerinizi getirmeniz ilk değerlendirmeyi hızlandırır.
- İşletmenin faaliyet alanı ve organizasyon yapısı
- İşlenen veri türlerinin listesi
- Mevcut aydınlatma, rıza ve sözleşme metinleri
- Kullanılan yazılım ve bulut hizmetleri
- Varsa VERBİS kaydı
- Kurul’dan gelen yazılar
- Bireysel başvurularda: başvuru metni, alınan yanıt ve ihlali gösteren kayıtlar
Kişisel Veriler (KVKK) hakkında sık sorulanlar
Her işletme VERBİS’e kaydolmak zorunda mı?
Hayır. Yıllık çalışan sayısı ve mali bilanço toplamı Kurul’un belirlediği eşiklerin altında kalan ve ana faaliyeti özel nitelikli veri işlemek olmayan işletmeler kayıt yükümlülüğünden muaftır; eşikler Kurul kararlarıyla güncellenir. Kayıttan muaf olmak, Kanun’un aydınlatma, veri güvenliği ve başvuruları yanıtlama gibi diğer yükümlülüklerini ortadan kaldırmaz.
İnternet sitemizdeki iletişim formu için açık rıza almalı mıyız?
Çoğu durumda hayır. Ziyaretçinin talebini yanıtlamak için gereken bilgiler, başka bir işleme şartına dayanarak işlenebilir; yapılması gereken aydınlatma metnini sunmaktır. Aynı bilgileri pazarlama amacıyla kullanacaksanız ayrı bir onay gerekir.
Veri ihlali yaşadık; ilk yapmamız gereken nedir?
İhlalin kapsamını ve etkilenen kişileri belirleyip gerekli teknik önlemleri alın; ardından öğrenmenizden itibaren yetmiş iki saat içinde Kurul’a bildirimde bulunun ve etkilenen kişileri bilgilendirin. İhlale ilişkin bilgileri ve aldığınız önlemleri kayıt altına almanız da zorunludur.
Bir şirket bilgilerimi izinsiz kullanıyor; ne yapabilirim?
Önce şirkete yazılı olarak başvurarak verilerinizin hangi amaçla işlendiğini sorabilir, silinmesini isteyebilirsiniz. Otuz gün içinde yanıt alamaz ya da yanıtı yetersiz bulursanız Kurul’a şikâyet edebilirsiniz. Zarara uğradıysanız tazminat davası açma, fiil suç oluşturuyorsa savcılığa başvurma hakkınız da vardır.
İş yerinde parmak iziyle giriş sistemi kullanabilir miyiz?
Parmak izi biyometrik veridir ve özel nitelikli kişisel veri sayılır. Kurul, kartlı geçiş gibi daha az müdahaleci bir yöntemle aynı amaca ulaşılabilecekken biyometrik veri işlenmesini ölçülülük ilkesine aykırı bulmaktadır. Böyle bir sistemi kurmadan önce hukuki dayanağını ve alternatiflerini değerlendirmek gerekir.
Bilgilendirme
Bu sayfa genel bilgi vermek amacıyla hazırlanmıştır; her olayın koşulları farklıdır. Süreler ve parasal sınırlar değişebileceğinden işlem yapmadan önce güncel durumu bir avukatla değerlendirin.
İlgili yazılar
Gözaltına Alınan Kişinin Hakları ve Yakınlarının Yapabilecekleri
Gözaltı süresi ne kadardır, gözaltındaki kişinin hangi hakları vardır, yakınları ne yapabilir? Susma hakkı, avukat yardımı ve tutuklama kararına itiraz.
3 dk okuma
Vergi Cezası Geldiğinde: Uzlaşma, İndirim ve Dava Yolları
Vergi ve ceza ihbarnamesi geldiğinde otuz gün içinde hangi yollara başvurulabilir? Uzlaşma, cezada indirim ve dava; hangisi ne zaman tercih edilir?
2 dk okuma