Eti Mah. Toros Sok. No: 15/5 Hikmet Ünal İş Merkezi, 06570 Çankaya / Ankara
Faaliyet alanı
Şirketlerin KVKK uyumu, veri ihlalleri ve kişisel verileri hukuka aykırı işlenen kişilerin hakları.
Bu sayfayı dinleyinYaklaşık 4 dk · sesli okuma
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), müşteri, çalışan ve tedarikçi verisi işleyen hemen her işletmeyi ilgilendirir. Uyum yalnızca bir aydınlatma metni yayımlamak değildir; hangi verinin, hangi amaçla, ne kadar süre ve kimlerle paylaşılarak işlendiğinin belgelenmesini gerektirir.
Büro; şirketlere uyum programı kurulması, VERBİS kaydı, veri işleyen sözleşmeleri ve veri ihlali yönetiminde danışmanlık verir; kişisel verileri hukuka aykırı işlenen kişiler adına veri sorumlusuna başvuru, Kurula şikâyet ve suç duyurusu süreçlerini yürütür.
Kısaca
Uyum çalışması kişisel veri envanteriyle başlar: hangi birimin hangi veriyi hangi amaç ve hukuki sebeple işlediği, nerede sakladığı ve kimlerle paylaştığı tek tek belirlenir. Ardından aydınlatma metinleri, gerekiyorsa açık rıza metinleri, saklama ve imha politikası, çalışan taahhütleri ve teknik-idari tedbirler hazırlanır.
Uyum bir kerelik değil, süreklidir; yeni bir yazılım, kamera sistemi ya da pazarlama faaliyeti başlatıldığında envanterin güncellenmesi gerekir.
Kurulun belirlediği çalışan sayısı ve yıllık mali bilanço eşiklerini aşan ya da ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları VERBİS’e kayıt olmak zorundadır. Kayıt yükümlülüğü olmasa bile aydınlatma yükümlülüğü her veri sorumlusu için geçerlidir.
Açık rıza, ancak kanundaki diğer işleme şartları (sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi) yoksa istenmelidir; gereksiz yere açık rıza almak hem hukuken sorunlu hem de pratikte yönetilemez bir yapı yaratır.
Kişisel verilerin kanuna aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula, en kısa sürede de ilgili kişilere bildirmelidir. Bildirimde ihlalin kapsamı, etkilenen kişi ve veri kategorileri ile alınan önlemler yer alır.
İhlal anında yapılacakların önceden belirlendiği bir müdahale planı, hem süre baskısını hem de idari yaptırım riskini azaltır.
Kişisel verileri işlenen kişi önce veri sorumlusuna yazılı olarak başvurur; veri sorumlusu en geç otuz gün içinde yanıt verir. Başvuru reddedilirse, yanıt yetersizse ya da süresinde yanıt verilmezse, yanıtın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunulabilir (KVKK m. 14).
Kişilik haklarının ihlali nedeniyle ayrıca tazminat davası açılabilir.
Aydınlatma yükümlülüğünün, veri güvenliğine ilişkin yükümlülüklerin ve VERBİS kaydının ihlali her yıl yeniden değerleme oranında artan idari para cezalarına yol açar. Kişisel verileri hukuka aykırı olarak kaydetmek, başkasına vermek veya yaymak ve süresi geçen verileri yok etmemek ise Türk Ceza Kanunu’nda suç olarak düzenlenmiştir (TCK m. 135–138).
1 Haziran 2024’te yürürlüğe giren değişiklikle yurt dışına aktarım rejimi yeniden düzenlendi: yeterlilik kararı bulunan ülkelere aktarım yapılabilir; yeterlilik kararı yoksa Kurulun yayımladığı standart sözleşme gibi uygun güvencelerle aktarım mümkündür. Standart sözleşmenin imzadan itibaren beş iş günü içinde Kurula bildirilmesi gerekir.
Bulut hizmetleri, yurt dışındaki grup şirketleri ve e-posta altyapıları bu kapsamda en sık değerlendirilmesi gereken aktarımlardır.
Güvenlik amacıyla ve ölçülü olmak kaydıyla evet; ancak kameraların varlığı hakkında aydınlatma yapılmalı, soyunma odası ve tuvalet gibi alanlarda kamera kullanılmamalı ve kayıtların saklama süresi belirlenmelidir.
Kayıt yükümlülüğü olduğu hâlde kayıt yaptırmayan veri sorumlusuna idari para cezası uygulanır. Ceza tutarları her yıl yeniden değerleme oranında güncellenir.
Verilerin işlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini isteyebilirsiniz. Ancak işverenin yasal saklama yükümlülükleri (SGK, vergi kayıtları gibi) bulunan veriler bu süreler boyunca saklanabilir.
Kişisel Verilerin Korunması Hukuku alanında bir sorunuz mu var?
Yaşadığınız durumu ve işleyen bir süre olup olmadığını kısaca anlatın; seçenekleri ve atılması gereken adımları birlikte değerlendirelim.
Rehber yazılar
Kişisel Verilerin Korunması Hukuku2 dk okuma
Kişisel veri ihlali yaşandığında Kurula 72 saat içinde bildirim, ilgili kişilere bilgilendirme, ihlal müdahale planı, idari para cezası riski ve sık yapılan hatalar.
Görüşme
Süre işliyorsa beklemeyin; bugün konuşalım.
Konu araAlanlar, makaleler, sözlük, araçlar ve sık sorulan sorular içinde arayın.
