Kişisel verilerin izinsiz paylaşılması, müşteri bilgilerinin hukuka aykırı biçimde işlenmesi veya çalışanlara ait kayıtların amacı dışında kullanılması, işletmeler açısından ciddi hukuki sonuçlar doğurabilir. Türkiye’de kişisel verilerin korunmasına ilişkin temel mevzuat, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). Bu kanun, kişisel verilerin hangi şartlarda işlenebileceğini, veri sorumlularının yükümlülüklerini ve kişilerin sahip olduğu hakları belirler.
Kişisel veri yalnızca kimlik numarası, adres veya telefon bilgisiyle sınırlı değildir. Bir kişiyi doğrudan ya da dolaylı olarak belirlenebilir hâle getiren müşteri kayıtları, IP adresleri, konum bilgileri, özlük dosyaları ve bazı çevrim içi işlem kayıtları da mevzuat kapsamında değerlendirilebilir. Sağlık bilgileri, biyometrik veriler ve genetik veriler ise özel nitelikli kişisel veriler arasında yer alır ve bunların işlenmesi özel şartlara tabidir.
KVKK Kapsamında İşletmelerin Sorumlulukları
Kişisel veri işleyen şirketlerin, derneklerin, sağlık kuruluşlarının ve diğer veri sorumlularının faaliyetlerini kanuna uygun yürütmesi gerekir. Veri işleme faaliyetinin belirli, açık ve meşru bir amaca dayanması; işlenen verilerin bu amaçla bağlantılı, sınırlı ve ölçülü olması beklenir. Veriler, işleme amacı için gerekli süreyi aşacak şekilde muhafaza edilmemelidir.
Veri sorumlularının yükümlülükleri, faaliyet alanına ve işlenen verilerin niteliğine göre değişebilir. Aydınlatma yükümlülüğünün yerine getirilmesi, uygun hukuki işleme şartının belirlenmesi, gerekli teknik ve idari tedbirlerin alınması ve veri güvenliğinin sağlanması bu sorumluluklar arasındadır. Kanunda öngörülen şartlar oluştuğunda VERBİS kaydı yükümlülüğü de ayrıca incelenmelidir.
İşletmelerin kişisel veri faaliyetlerini mevzuata uygun yürütmesi ve olası ihlal iddialarına karşı hukuki durumunu değerlendirmesi için İstanbul KVKK Avukatı desteği gündeme gelebilir. İnceleme sırasında şirketin veri işleme amaçları, üçüncü taraflarla paylaşılan bilgiler ve saklama süreleri birlikte ele alınabilir.
Kişisel Verilerin Hukuka Aykırı İşlenmesi
Bir kişinin kişisel verilerinin rızası dışında işlenmesi her durumda otomatik olarak hukuka aykırılık anlamına gelmez. KVKK, açık rıza dışında da belirli hukuki işleme şartları öngörür. Ancak bu şartlardan herhangi birine dayanmayan veri işleme faaliyetleri hukuki sorumluluk doğurabilir.
Örneğin bir şirketin müşteri telefon numaralarını farklı bir amaçla kullanması, çalışan bilgilerinin yetkisiz kişilere gönderilmesi veya bir veri tabanındaki kişisel bilgilerin güvenlik açığı nedeniyle açığa çıkması incelenmesi gereken durumlar arasındadır. Böyle bir olay yaşandığında verinin hangi amaçla toplandığı, kimlerle paylaşıldığı ve ihlalin nasıl gerçekleştiği belirlenmelidir.
Kişisel verisi işlenen kişiler, kanunun 11. maddesinde sayılan hakları kapsamında kendileriyle ilgili verilerin işlenip işlenmediğini öğrenebilir, bilgi talep edebilir ve şartları oluştuğunda düzeltme veya silme gibi taleplerde bulunabilir. Veri sorumlusuna yapılacak başvurunun ardından, kanunda belirtilen koşullara göre Kişisel Verileri Koruma Kuruluna şikâyet yolu da gündeme gelebilir.
KVKK Danışmanlığı Hangi Konuları Kapsar?
Kişisel veri mevzuatına uyum, yalnızca internet sitesine bir aydınlatma metni eklemekten ibaret değildir. Veri işleyen kuruluşun faaliyetleri, çalışan ilişkileri, müşteri kayıtları, tedarikçilerle bilgi paylaşımı ve bilgi güvenliği tedbirleri birlikte incelenmelidir.
Bu çalışmalar kapsamında şu konular ele alınabilir:
Kişisel veri işleme faaliyetlerinin ve hukuki dayanaklarının incelenmesi
Aydınlatma metinleri ile açık rıza metinlerinin hazırlanması
Çalışan ve müşteri verilerinin korunmasına yönelik hukuki değerlendirmeler
Veri saklama ve imha politikalarının oluşturulması
Veri ihlali durumunda izlenecek hukuki yolun belirlenmesi
İlgili kişi başvurularının mevzuata uygun yanıtlanması
Yurt içi ve yurt dışı veri aktarımına ilişkin şartların incelenmesi
İşletmenin faaliyetlerine özgü yükümlülüklerin belirlenmesi için KVKK Danışmanı desteğinden yararlanılabilir. Her kuruluşun veri işleme faaliyetleri farklı olduğundan, hazırlanacak metinlerin ve alınacak tedbirlerin gerçek faaliyetlerle örtüşmesi gerekir.
Kişisel Veri İhlalinde Hukuki Başvuru Yolları
Kişisel verilerin hukuka aykırı işlendiğini düşünen kişiler, öncelikle veri sorumlusuna başvurarak kanunda tanınan haklarını kullanabilir. Veri sorumlusunun yanıtı yetersiz kalırsa veya kanuni süre içinde yanıt verilmezse, şikâyet şartları ve süreleri dikkate alınarak Kurula başvuru değerlendirilebilir.
İhlalin niteliğine göre tazminat talebi veya başka hukuki yollar da gündeme gelebilir. Kişisel verilerin hukuka aykırı olarak ele geçirilmesi ya da yayılması, olayın koşullarına göre ceza hukuku bakımından da sonuç doğurabilir. Bu nedenle başvuru öncesinde olayın tarihinin, delillerin, yazışmaların ve varsa ihlal bildirimlerinin korunması yararlı olacaktır.
Sık Sorulan Sorular
KVKK hangi bilgileri korur?
Kimliği belirli veya belirlenebilir gerçek kişiye ait bilgiler kişisel veri sayılabilir. Sağlık ve biyometrik veriler gibi özel nitelikli veriler için ayrıca belirlenmiş şartlar uygulanır.
Kişisel verilerim izinsiz paylaşıldıysa ne yapabilirim?
Öncelikle veriyi işleyen kuruluşa başvurarak olay hakkında bilgi ve kanuni haklarınız kapsamında işlem talep edebilirsiniz. Şartları oluştuğunda Kurula şikâyet veya diğer hukuki yollar değerlendirilebilir.
Her şirket VERBİS’e kayıt yaptırmak zorunda mıdır?
Hayır. Kayıt yükümlülüğü, KVKK ve ilgili Kurul kararlarında belirtilen şartlara göre belirlenir. Kuruluşun niteliği ve faaliyetleri ayrıca incelenmelidir.
Kısa Özet
KVKK, kişisel verilerin hukuka uygun işlenmesini ve kişilerin verileri üzerindeki haklarının korunmasını amaçlar. Veri sorumlularının yükümlülükleri ile veri sahiplerinin başvuru hakları, somut olayın koşullarına göre değerlendirilmelidir. İhlal iddialarında belgelerin korunması, kanuni sürelerin gözetilmesi ve uygun başvuru yolunun belirlenmesi önemlidir.
Hiç yorum yok:
Yorum Gönder