Şirketler
Şirketlerin KVKK Yükümlülükleri: Aydınlatma, Veri Güvenliği ve VERBİS
Çalışan, müşteri ve tedarikçi verisi işleyen şirketlerin temel yükümlülükleri: aydınlatma metni, açık rıza, veri güvenliği, başvurular ve ihlal bildirimi.
Kısaca
- Kişisel veri işleyen her şirket veri sorumlusudur ve aydınlatma yükümlülüğü vardır.
- İlgili kişinin başvurusu en geç otuz gün içinde yanıtlanır.
- Veri ihlali öğrenildikten sonra en kısa sürede ve en geç yetmiş iki saat içinde Kurula bildirilir.
- VERBİS kaydı belirli eşikleri aşan veri sorumluları için zorunludur.
Çalışan özlük dosyaları, müşteri iletişim bilgileri, kamera kayıtları… Hemen her şirket kişisel veri işler. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu işlemleri belirli ilkelere ve yükümlülüklere bağlar; aykırılıklar idari para cezasıyla yaptırıma bağlanmıştır.
Temel yükümlülükler
- Aydınlatma: Veri toplanırken kişiye; veri sorumlusunun kimliği, işleme amacı, aktarılan kişiler, toplama yöntemi ve hukuki sebep ile hakları bildirilir.
- Hukuki sebep: Veriler kanunda sayılan şartlardan birine dayanarak işlenir. Açık rıza, diğer şartlar yoksa başvurulan bir yoldur ve her işlem için gerekmez.
- Veri güvenliği: Hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirler alınır.
- Başvuruların yanıtlanması: İlgili kişinin talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırılır.
- İmha: İşleme amacı ortadan kalkan veriler silinir, yok edilir ya da anonim hâle getirilir.
Veri ihlali
İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirir. Kurul uygulamasına göre bildirim, ihlalin öğrenilmesinden itibaren en geç yetmiş iki saat içinde yapılmalıdır.
Yurt dışına aktarım
2024’te yapılan değişiklikle yurt dışına aktarım yeniden düzenlendi. Yeterlilik kararı bulunmayan ülkelere aktarımda standart sözleşme gibi uygun güvenceler kullanılabilir; standart sözleşme imzalandıktan sonra belirli süre içinde Kurula bildirilmelidir. Bulut hizmetleri ve yurt dışındaki grup şirketleri bu açıdan kontrol edilmelidir.
VERBİS’e kayıt zorunluluğu, çalışan sayısı ve yıllık mali bilanço eşiklerine ya da ana faaliyet konusunun özel nitelikli veri işlemeye dayanmasına göre belirlenir. Şirketinizin durumunu VERBİS ve KVKK testiyle kontrol edebilirsiniz.
Uyum için kontrol listesi
- Veri envanteri
- Aydınlatma metinleri
- Gerekli yerlerde açık rıza metinleri
- Saklama ve imha politikası
- Çalışan gizlilik taahhütleri
- İlgili kişi başvuru formu
Sık sorulan sorular
İş yerindeki kamera kayıtları kişisel veri midir?
Evet. Kamera kayıtları kişisel veridir; kamera bulunan alanlarda aydınlatma yapılmalı ve kayıtlar amaca uygun süre saklanmalıdır.
Her işlem için çalışandan açık rıza almalı mıyım?
Hayır. İş sözleşmesinin ifası ya da kanuni yükümlülük gibi başka bir hukuki sebep varsa açık rıza alınmaz; gereksiz rıza talebi de uygulamada sorun yaratabilir.
Bu yazı genel bilgilendirme amacı taşır ve yayımlandığı tarihteki mevzuata göre hazırlanmıştır. Her olayın kendine özgü koşulları farklı sonuçlar doğurabileceğinden, somut durumunuz için bir avukata danışmanızı öneririz.
