KVKK Kapsamında Veri Sorumlusunun Temel Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verileri işleyen gerçek ve tüzel kişilere "veri sorumlusu" sıfatıyla bir dizi yükümlülük getirir. Bir şirketin çalışanlarına, müşterilerine veya web sitesi ziyaretçilerine ait bilgileri işlemesi, çoğu durumda bu yükümlülüklerin doğması için yeterlidir. Kanuna aykırılık hâlinde idari para cezaları gündeme gelebildiği gibi, kişilerin tazminat talepleri ve itibar kaybı da önemli riskler arasındadır.

Veri sorumlusu kimdir?

Kanuna göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Verileri veri sorumlusu adına ve onun talimatıyla işleyen kişi ise "veri işleyen" olarak adlandırılır. Örneğin bir işletme bordro hizmetini dışarıdan alıyorsa, kural olarak işletme veri sorumlusu, hizmet sağlayıcı ise veri işleyendir. Veri sorumlusu, veri işleyenin faaliyetlerinden de veri güvenliği bakımından birlikte sorumlu tutulur.

Başlıca yükümlülükler

Aydınlatma yükümlülüğü

Kanunun 10. maddesine göre veri sorumlusu, verileri elde ederken ilgili kişiye kimliğini, işleme amacını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bildirmelidir. Aydınlatma, açık rızadan ayrı bir yükümlülüktür; veri açık rızaya dayanmasa bile aydınlatma yapılmalıdır.

İşlemenin hukuki sebebe dayanması

Kişisel veriler ancak Kanunda sayılan şartlardan birine dayanılarak işlenebilir. Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat bu şartlardan bazılarıdır. Açık rıza, diğer şartlar mevcut değilse başvurulması gereken bir yoldur. Sağlık, biyometrik veri veya ceza mahkûmiyeti gibi özel nitelikli kişisel veriler için ise daha sıkı şartlar öngörülmüştür; bu şartlar ile yurt dışına aktarım kuralları 7499 sayılı Kanunla yapılan değişikliklerle yeniden düzenlenmiştir.

Veri güvenliği

Kanunun 12. maddesi, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirin alınmasını öngörür. Yetki matrisi, erişim kayıtları, şifreleme, personel eğitimi ve gizlilik taahhütleri bu tedbirlere örnektir.

İlgili kişi başvurularının yanıtlanması

İlgili kişi, verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir. Veri sorumlusu, başvuruları niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.

VERBİS kaydı ve ihlal bildirimi

Kurulun belirlediği istisnalar dışında kalan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) kayıt olmak zorundadır. Ayrıca verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durum, Kurul kararıyla belirlenen uygulamaya göre gecikmeksizin ve en geç yetmiş iki saat içinde Kurula, ayrıca ilgili kişilere bildirilmelidir.

Silme, yok etme ve anonim hâle getirme

İşlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Verilerin "ileride lazım olabilir" düşüncesiyle süresiz saklanması, Kanunun ölçülülük ve amaçla sınırlılık ilkeleriyle bağdaşmaz.

Uyum için pratik adımlar

• İşlenen verilerin, amaçlarının ve aktarıldığı tarafların envanterini çıkarın.
• Aydınlatma metinlerini her veri toplama kanalı için ayrı ayrı hazırlayın.
• Saklama ve imha politikası oluşturarak verileri gereğinden uzun tutmayın.
• Hizmet sağlayıcılarla veri işleme sözleşmeleri yapın.
• Başvuru ve ihlal süreçleri için sorumlu kişileri önceden belirleyin.

KVKK uyumu tek seferlik bir belge hazırlama işi değil, iş süreçlerine yerleşmesi gereken sürekli bir yönetim faaliyetidir. Envanterin düzenli güncellenmesi ve çalışanların bilinçlendirilmesi, yükümlülüklerin fiilen yerine getirildiğini göstermenin en sağlıklı yoludur.