KVKK Uyum Süreçleri

Uyum süreci hangi adımlardan oluşur?

1. Kişisel veri envanteri: Hangi verilerin, hangi amaçla, kimlerden toplandığı, nerede saklandığı ve kimlere aktarıldığı tespit edilir.
2. Hukuki dayanak analizi: Her işleme faaliyeti için KVKK m. 5 ve 6'daki şartlardan hangisine dayanıldığı belirlenir.
3. Aydınlatma metinleri: Müşteri, çalışan, ziyaretçi ve tedarikçi gibi gruplar için ayrı aydınlatma metinleri hazırlanır.
4. Açık rıza: Yalnızca başka bir işleme şartı bulunmayan faaliyetler için, belirli konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza alınır.
5. Politikalar: Kişisel veri saklama ve imha politikası, veri güvenliği politikası hazırlanır.
6. Teknik ve idari tedbirler: Erişim yetkileri, şifreleme, yedekleme ve çalışan eğitimleri.
7. VERBİS: Kayıt yükümlülüğü varsa Veri Sorumluları Sicili'ne kayıt yapılır.

VERBİS kaydı kimler için zorunlu?

Kurul, yıllık çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumlularını sicile kayıt yükümlülüğünden muaf tutmuştur. Avukatlar, noterler ve mali müşavirler gibi bazı meslek grupları için de özel muafiyet kararları vardır. Muafiyet koşulları Kurul kararlarıyla değişebileceğinden güncel kararların kontrol edilmesi gerekir.

Web siteleri ve çerezler

Web sitelerinde analitik ve pazarlama amaçlı çerezler kural olarak kullanıcının açık rızasıyla kullanılabilir; zorunlu çerezler ise rıza gerektirmez. Kurul'un çerez rehberine göre çerez banner'ında kabul ve reddetme seçenekleri eşit görünürlükte sunulmalı ve rıza alınmadan analitik çerezler çalıştırılmamalıdır. İletişim formlarında aydınlatma metni formün yanında gösterilmelidir.

Aydınlatma metninde neler bulunmalı?

Aydınlatma metni sade ve anlaşılır bir dille yazılmalı, genel ifadeler yerine somut işleme amaçlarını içermelidir. Aydınlatma, verilerin elde edildiği anda yapılmalıdır; örneğin bir iletişim formunda aydınlatma metni form gönderilmeden önce kullanıcıya gösterilmelidir. Aydınlatma yükümlülüğü, açık rızaya dayanılmayan tüm işlemler için de aynen geçerlidir.

Açık rıza ne zaman gerekir?

Açık rıza, kanundaki diğer işleme şartlarından hiçbirinin bulunmadığı durumlarda başvurulan bir hukuki sebeptir. Örneğin pazarlama amaçlı ileti göndermek, müşteri verilerini iş ortaklarıyla reklam amacıyla paylaşmak veya analitik çerezleri çalıştırmak için çoğu durumda açık rıza gerekir. Buna karşılık sözleşmenin ifası veya kanuni yükümlülük için zorunlu olan veri işlemeleri için açık rıza alınması hem gereksizdir hem de rızanın geri alınması halinde hukuki belirsizlik yaratır. Açık rıza hizmet şartına bağlanamaz; rıza vermeyen kişiye temel hizmetin sunulmaması rızanın özgür iradeye dayandığını tartışmalı hale getirir.

Veri güvenliği için hangi tedbirler alınmalı?

Kurul'un kişisel veri güvenliği rehberi, alınması gereken asgari tedbirleri ayrıntılı olarak açıklar. Özel nitelikli kişisel veriler için Kurul ayrıca ek önlemler belirlemiştir; bu verilere erişen çalışanların sınırlandırılması ve düzenli eğitim alması gerekir.

Veri işleyenlerle sözleşme

Muhasebe, bordro, bulut depolama, IT destek ve kargo gibi hizmetler için kişisel verileri dış hizmet sağlayıcılarla paylaşan veri sorumluları, bu şirketlerle veri işleme sözleşmesi yapmalıdır. Sözleşmede verilerin yalnızca veri sorumlusunun talimatıyla ve belirlenen amaçla işleneceği, güvenlik tedbirleri, gizlilik yükümlülüğü, alt işleyen kullanılması ve ilişki sona erdiğinde verilerin iadesi veya imhası düzenlenir. Veri işleyenin yaptığı ihlallerden veri sorumlusu da müşterek sorumludur (KVKK m. 12/2).

Uyum sürecinde hangi belgeler hazırlanır?

• Kişisel veri işleme envanteri: Her süreç için veri kategorileri, amaçlar, hukuki sebepler, saklama süreleri ve alıcı grupları.
• Aydınlatma metinleri: Müşteri, çalışan, çalışan adayı, ziyaretçi, tedarikçi ve web sitesi kullanıcıları için ayrı metinler.
• Açık rıza metinleri: Pazarlama, yurt dışı aktarım veya özel nitelikli veri işleme gibi rızaya dayanan faaliyetler için.
• Saklama ve imha politikası: Verilerin saklama süreleri ve periyodik imha takvimi.
• Veri güvenliği politikası: Teknik ve idari tedbirlerin yazılı hale getirilmesi.
• Çerez politikası ve yönetim aracı: Web sitesinde kullanılan çerezlerin listesi ve tercih paneli.
• İlgili kişi başvuru formu ve prosedürü: Başvuruların 30 gün içinde cevaplanması için iç süreç.
• Veri ihlali müdahale planı: İhlal halinde kimin ne yapacağı ve 72 saat içinde Kurul'a bildirim adımları.

Uyum sonrası düzenli kontroller

KVKK uyumu, yazılı belgelerin hazırlanmasıyla tamamlanmış sayılmaz. Veri işleme faaliyetleri değiştikçe envanterin ve aydınlatma metinlerinin güncellenmesi, periyodik imha işlemlerinin takvime uygun yapılması, çalışanlara düzenli eğitim verilmesi ve teknik tedbirlerin etkinliğinin denetlenmesi gerekir. Yılda en az bir kez yapılacak iç denetimde; ilgili kişi başvurularının süresinde cevaplanıp cevaplanmadığı, erişim yetkilerinin güncel olup olmadığı, veri işleyenlerle sözleşmelerin yenilenip yenilenmediği ve VERBİS kayıtlarının güncelliği kontrol edilmelidir. Bu kontrollerin sonuçlarının yazılı olarak kayıt altına alınması, Kurul incelemesinde veri sorumlusunun gerekli özeni gösterdiğinin ispatı için önem taşır.

Uyum sürecinde sık yapılan hatalar

• Her işlem için açık rıza alınması: Kanuni dayanağı bulunan işlemler için rıza alınması, rızanın geri alınmasında işlemi hukuksuz hale getirme riski doğurur.
• Aydınlatma ile açık rızanın aynı metinde birleştirilmesi: Kurul, bu iki metnin ayrı olması gerektiğini belirtmiştir.
• Şablon metinlerin uyarlanmadan kullanılması: İşletmenin gerçek veri işleme faaliyetlerini yansıtmayan metinler aydınlatma yükümlülüğünü karşılamaz.
• Uyumun bir kez yapılıp bırakılması: Yeni yazılım, hizmet veya iş ortağıyla birlikte envanter ve metinler güncellenmelidir.