KVKK Uyum Rehberi: Veri Envanteri, Aydınlatma, VERBİS ve Veri İhlali

6698 sayılı Kişisel Verilerin Korunması Kanunu, büyük küçük ayrımı yapmadan kişisel veri işleyen her işletmeyi kapsar. Çalışan özlük dosyaları, müşteri listeleri, güvenlik kamerası kayıtları, internet sitesi formları ve e-posta yazışmaları kişisel veri içerir. 2024’te yapılan değişikliklerle özel nitelikli verilerin işlenmesi ve yurt dışına aktarım kuralları da yeniden düzenlenmiştir.

1. Veri envanterini çıkarın

İlk adım, şirket içinde hangi birimin hangi kişisel veriyi, hangi amaçla, hangi kaynaktan topladığını, kimlerle paylaştığını ve ne kadar süre sakladığını tablo haline getirmektir. İnsan kaynakları, muhasebe, satış, bilgi işlem ve güvenlik birimleriyle yapılan görüşmeler bu tabloyu oluşturur. Envanter, diğer tüm adımların temelidir.

2. Her işleme için hukuki sebep belirleyin

Kişisel veriler; kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi veya korunması ve meşru menfaat gibi sebeplerden birine dayanılarak işlenebilir. Bu sebeplerden biri yoksa açık rıza gerekir. Her işleme için gereksiz yere açık rıza istemek, rızanın geri alınmasıyla süreci kilitleyebilir; bu yüzden hukuki sebebin doğru seçilmesi önemlidir.

3. Aydınlatma metinlerini hazırlayın

Veri toplanan her noktada; veri sorumlusunun kimliği, işleme amacı, aktarılacak kişiler, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanmalıdır. Çalışanlar, iş başvurusu yapanlar, müşteriler, tedarikçiler, ziyaretçiler ve internet sitesi kullanıcıları için ayrı metinler hazırlanması önerilir. Aydınlatma metni ile açık rıza metni birbirine karıştırılmamalıdır.

4. Saklama ve imha politikası

Her veri kategorisi için saklama süresi belirlenmeli, süresi dolan veriler periyodik olarak silinmeli, yok edilmeli ya da anonim hale getirilmelidir. VERBİS’e kayıt yükümlülüğü bulunan veri sorumlularının yazılı bir kişisel veri saklama ve imha politikası hazırlaması gerekir.

5. Teknik ve idari tedbirler

• Yetki matrisi: her çalışan yalnızca işi için gereken veriye erişmeli,
• Şifreleme, güçlü parola, iki aşamalı doğrulama ve güncel yazılım,
• Kayıt (log) tutma ve düzenli yedekleme,
• Çalışanlara gizlilik taahhüdü ve periyodik eğitim,
• Veri işleyenlerle (muhasebe, bulut hizmeti, kargo) veri işleme sözleşmesi.

6. Yurt dışına aktarım

Bulut hizmetleri, yurt dışındaki grup şirketleri ya da yabancı tedarikçiler nedeniyle kişisel veri yurt dışına aktarılıyorsa, 2024 değişiklikleriyle getirilen sistem uygulanır: yeterlilik kararı bulunan ülkelere aktarım; yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerle aktarım; bunların da bulunmadığı durumlarda kanunda sayılan arızi haller. Standart sözleşme imzalandığında, imzadan itibaren beş iş günü içinde Kurum’a bildirim yapılmalıdır.

7. Veri ihlali olursa

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu, durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kişisel Verileri Koruma Kurulu’na bildirmeli, etkilenen kişileri de makul sürede bilgilendirmelidir. Önceden hazırlanmış bir ihlal müdahale planı bu süreyi yönetilebilir kılar.

8. İlgili kişi başvuruları

Kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklarını veri sorumlusuna başvurarak kullanır. Başvurulara en geç otuz gün içinde yanıt verilmelidir; yanıtın gecikmesi ya da yetersiz olması Kurul’a şikayete yol açabilir.

9. VERBİS kaydı

Yıllık çalışan sayısı ve yıllık mali bilanço toplamı Kurul’un belirlediği eşikleri aşan veri sorumluları ile ana faaliyeti özel nitelikli kişisel veri işlemek olanlar VERBİS’e kaydolmak zorundadır. Kayıt yükümlülüğünüzü VERBİS ve KVKK testi aracımızla kontrol edebilirsiniz.

Uyum kontrol listesi

Sık sorulan sorular

Eski makalelerimiz: Unutulma hakkı, İnternette hakaret suçu.

İlgili faaliyet alanıŞirketler Hukuku