KVKK Kapsamında İşletmelerin Temel Yükümlülükleri

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), müşteri, çalışan veya ziyaretçi verisi işleyen hemen her işletmeyi doğrudan ilgilendirir. Kanun kapsamında “veri sorumlusu” sıfatını taşıyan işletmelerin yerine getirmesi gereken temel yükümlülükler aşağıda özetlenmiştir.

1. Aydınlatma yükümlülüğü

Kanunun 10. maddesi uyarınca veri sorumlusu, kişisel verileri elde ederken ilgili kişileri; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmekle yükümlüdür.

2. Hukuka uygun işleme şartları

Kişisel veriler ancak kanunda sayılan işleme şartlarından birine dayanılarak işlenebilir. Açık rıza bu şartlardan yalnızca biridir; sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi diğer şartlar varken açık rıza alınması, uygulamada sıkça yapılan bir hatadır.

3. Veri güvenliği

Kanunun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Yetki matrisleri, erişim kayıtları, şifreleme ve çalışan eğitimleri bu tedbirlere örnektir.

4. Veri ihlali bildirimi

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmelidir. Kurul kararına göre bu bildirimin, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılması gerekir.

5. İlgili kişi başvuruları

İlgili kişiler, Kanunun 11. maddesindeki haklarını kullanmak için veri sorumlusuna başvurabilir. Veri sorumlusu, başvuruyu niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür.

6. VERBİS kaydı

Kurul tarafından belirlenen istisnalar dışında kalan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) kayıt olmakla yükümlüdür. Kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusu gibi ölçütlere göre belirlenir.

Sonuç

KVKK uyumu tek seferlik bir işlem değil, süreklilik gerektiren bir süreçtir. Veri envanterinin çıkarılması, politika ve prosedürlerin hazırlanması ve düzenli denetimler, idari para cezası risklerini azaltmanın yanında müşteri güvenini de güçlendirir.