- in United States
- within Energy and Natural Resources, Employment and HR and Real Estate and Construction topic(s)
Türkiye’de Şirketler İçin KVKK Uyum Süreci
- Giriş
Dijitalleşmenin hız kazanmasıyla birlikte şirketler; çalışanları, müşterileri, tedarikçileri ve iş ortakları hakkında her geçen gün daha fazla kişisel veri işlemektedir. Bu durum, kişisel verilerin hukuka uygun, güvenli ve şeffaf şekilde işlenmesini sağlayacak kapsamlı bir uyum mekanizmasının oluşturulmasını zorunlu hale getirmiştir.
Bu kapsamda Türkiye’de kişisel verilerin korunmasına ilişkin temel hukuki çerçeve, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile oluşturulmuştur. KVKK, Avrupa Birliği veri koruma yaklaşımıyla paralel birçok ilkeyi benimsemekte ve şirketlere veri işleme süreçlerini hukuka uygun hale getirme yükümlülüğü getirmektedir.
Şirketler açısından KVKK uyumu, yalnızca belirli belgelerin hazırlanmasından ibaret olmayıp; insan kaynakları, bilgi teknolojileri, pazarlama, müşteri ilişkileri ve tedarik zinciri gibi birçok departmanı kapsayan sürekli bir süreçtir.
- KVKK Kapsamında Şirketlerin Temel Yükümlülükleri
KVKK kapsamında kişisel veri işleyen gerçek ve tüzel kişiler genel olarak “veri sorumlusu” sıfatıyla çeşitli yükümlülüklere tabidir.
- Hukuka Uygun Veri İşleme Süreçlerinin Oluşturulması
Şirketlerin öncelikle hangi kişisel verileri, hangi amaçlarla, hangi hukuki sebebe dayanarak ve ne kadar süreyle işlediğini belirlemesi gerekir.
KVKK uyarınca kişisel verilerin işlenmesinde; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlarla işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyulması gerekmektedir.
Bu kapsamda şirketlerin mevcut veri işleme faaliyetlerini analiz ederek bir veri envanteri oluşturması, uyum sürecinin temel adımlarından biridir.
- Veri Envanteri ve Veri İşleme Faaliyetlerinin Haritalandırılması
KVKK uyum sürecinin ilk aşamalarından biri, şirket bünyesinde gerçekleştirilen kişisel veri işleme faaliyetlerinin tespit edilmesidir.
Bu çalışma kapsamında genellikle; veri sahipleri (çalışanlar, müşteriler, ziyaretçiler vb.), veri işleme amaçları, veri aktarımı yapılan üçüncü kişiler, veri saklama süreleri, teknik ve idari güvenlik tedbirleri işlenen kişisel veri kategorileri kapsamındadır.
- Aydınlatma Yükümlülüğü ve Açık Rıza Yönetimi
KVKK kapsamında şirketlerin en önemli yükümlülüklerinden biri, kişisel verileri işlenen kişileri bilgilendirmektir.
Bu doğrultuda veri sorumluları; veri sorumlusunun kimliği, kişisel verilerin hangi amaçlarla işlendiği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi, ilgili kişinin KVKK kapsamındaki hakları konularında ilgili kişileri aydınlatmalıdır.
Öte yandan, KVKK kapsamında her veri işleme faaliyeti için açık rıza alınması gerektiği yönündeki yaklaşım doğru değildir. Açık rıza, yalnızca kanunda öngörülen diğer işleme şartlarının bulunmadığı durumlarda başvurulması gereken hukuki dayanaklardan biridir.
Bu nedenle şirketlerin her veri işleme faaliyeti bakımından uygun hukuki sebebi belirlemesi önem taşımaktadır.
- Kişisel Veri Saklama ve İmha Politikaları
KVKK kapsamında kişisel verilerin sınırsız süreyle muhafaza edilmesi mümkün değildir.
Şirketlerin; veri saklama sürelerini belirlemesi, gereksiz veya süresi dolmuş verileri silmesi, yok etmesi veya anonim hale getirmesi, bu süreçleri yazılı prosedürlerle düzenlemesi gerekmektedir.
Bu kapsamda Kişisel Veri Saklama ve İmha Politikası hazırlanması, şirketlerin uyum süreçlerinde önemli bir uygulama alanı oluşturmaktadır.
- VERBİS Kayıt Yükümlülüğü
KVKK kapsamında belirli kriterleri sağlayan veri sorumlularının, Veri Sorumluları Sicili’ne (“VERBİS”) kaydolması gerekmektedir.
VERBİS yükümlülüğü kapsamında şirketlerin veri kategorilerini, işleme amaçlarını, aktarım yapılan kişi gruplarını, saklama sürelerini, alınan güvenlik tedbirlerini bildirmesi gerekir.
Bununla birlikte, VERBİS kaydı KVKK uyumunun tamamlandığı anlamına gelmemektedir. Şirketlerin kayıt yükümlülüğü dışında kalan diğer tüm hukuki ve teknik tedbirleri de yerine getirmesi gerekmektedir.
- Teknik ve İdari Güvenlik Tedbirleri
KVKK’nın 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve verilerin güvenli şekilde muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Bu kapsamda şirketler tarafından alınabilecek önlemlere, erişim yetkilendirme sistemlerinin oluşturulması, çalışanlara veri koruma eğitimleri verilmesi, bilgi güvenliği politikalarının hazırlanması, veri ihlali müdahale prosedürlerinin oluşturulması ve tedarikçilerle yapılan sözleşmelerin KVKK açısından incelenmesi örnek gösterilebilir.
Özellikle dış hizmet sağlayıcılarla gerçekleştirilen veri aktarımı süreçleri, şirketlerin dikkatle değerlendirmesi gereken alanlardan biridir.
- Çalışan Verileri Bakımından KVKK Uyumunun Önemi
Şirketlerin iş süreçlerinde en yoğun kişisel veri işleme alanlarından biri insan kaynakları süreçleridir. Bu süreçte çalışanlara ilişkin kimlik bilgileri, iletişim bilgileri, finansal bilgiler, performans kayıtları, sağlık verileri gibi birçok veri kategorisi işlenebilmektedir.
Bu nedenle iş sözleşmeleri, çalışan bilgilendirme metinleri, yan hak süreçleri ve insan kaynakları uygulamalarının KVKK ile uyumlu hale getirilmesi gerekmektedir.
- Sonuç
Türkiye’de faaliyet gösteren şirketler açısından KVKK uyumu, yalnızca idari yaptırımlardan kaçınmak amacıyla yerine getirilen bir yükümlülük değildir. Etkin bir veri koruma sistemi; şirketlerin güvenilirliğini artıran, müşteri ilişkilerini güçlendiren ve kurumsal risk yönetimine katkı sağlayan önemli bir unsurdur.
Şirketlerin KVKK kapsamında sürdürülebilir bir uyum modeli oluşturabilmesi için kişisel veri işleme faaliyetlerini düzenli olarak gözden geçirmesi, çalışan farkındalığını artırması ve teknik-idari tedbirleri güncel tutması gerekmektedir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
