Bizden Haberler

Kişisel Verilerin Korunması Hakkında Kanun Gereğince Şirketlerin Yükümlülükleri

6698 Sayılı Kişisel Verilen Korunması Kanunu (KVKK) 07.04.2016 tarih 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girmiştir. Kanunun amacı,  kişisel verilerin işlenmesinde  başta  özel  hayatın gizliliği  olmak  üzere  kişilerin  temel  hak  ve  özgürlüklerini  korumak  ve  kişisel  verileri  işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.  

Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya  kısmen  otomatik  olan  ya  da  herhangi  bir  veri  kayıt  sisteminin  parçası  olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişileri kapsamaktadır.

KVKK gereğince, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Kişisel verilerin işlenmesi; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilen, kaydedilen, depolanan, değiştirilen, yeniden düzenlenen, açıklanan, aktarılan, devralınan, sınıflandırılan ya da kullanılması engellenen her türlü işlemi kapsar. Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez, aktarılamaz.

Örneğin bir şirkete iş başvurusunda bulunan personelin öz geçmişindeki bilgiler, telefon numarası, adresi, cinsiyeti, okuduğu okullar, bitirdiği kitaplar, hobileri gibi her türlü bilgi kişisel veri kapsamındadır ve kişinin kendi rızası olmadan bir başkasıyla paylaşılması halinde cezai müeyyide söz konusu olacaktır. Veri sahiplerinin hakları vardır. Veri sahipleri;

• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• Veriler işlenmiş ise, buna ilişkin bilgi ve yanlış işlenen verilerin düzeltilmesini talep etme,
• Verilerin işlenme amacını ile bunların amaca uygun kullanılıp kullanılmadığını öğrenme,
• İşlenme amacı ortadan kalkan verilerin silinmesini veya yok edilmesi ile 3. kişilere bildirim yapılmasını isteme,
• Yurt içi ve dışında verilerin aktarıldığı 3. kişileri bilme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendileri aleyhine bir sonucun çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı şekilde işlenmesi nedeniyle uğradıkları tüm zararlarının giderilmesini talep etme haklarına sahiptirler.

Veri sorumlusu

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ile yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade ederken, veri işleyen veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi tanımlamaktadır. Veri sorumlusu kişisel verileri elde ettiği sırada veri sahibini aydınlatmalıdır. Veri sahibinin aydınlatılmasından anlaşılması gereken

• Kişisel verilerin veri sahibinden hangi hukuki sebeple ve hangi yöntemle toplanacağının açıklanması,
• Hangi amaçla işleneceği,
• İşlenen verilerin kimlere hangi amaçla aktarılabileceği konusunda bilgi verilmesidir.

Dolayısıyla veri sorumlusu olan şirket, iş için başvuran bir kişiden aldığı öz geçmişin ne amaçla kullanılacağını, bu verinin hangi hukuki sebeple kullanıldığını, hangi amaçla işleneceğini, işlenen verilerin kimlerle paylaşacağını iş başvurusunda bulunan kişiye açıklamak zorundadır. Bu açıklama, doğal olarak ispat edilebilir nitelikte olmalı, yani yazılı olarak kişiye açıklanmalıdır. Dolayısıyla kişinin dolduracağı öz geçmiş formunun standart bir form olarak baştan düzenlenmesi ve KVKK’na uygun hale getirilerek iş başvurusunda bulunan kişiye imzalatılması gerekmektedir.

Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Kişisel verilerin silinmesine,  yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.

Dolayısıyla basit bir personel alımı konusunda bile Şirketlerin KVKK’ya göre uyması gereken onlarca prosedür ortaya çıkmış durumdadır. Bu prosedürleri uyulmaması, kişisel verilerin 3. Şahıslarla paylaşılması gibi durumlarda şirketler çok ciddi cezai müeyyidelerle karşılaşabilirler. Bu basit bir örnek olup, şirketlerin ya da gerçek kişilerin 3. Şahıslarla paylaştığı tüm veriler aynı kapsamda değerlendirilmelidir.

Kişisel Verileri Koruma Kurumu/Kurulu

Kişisel Verileri Koruma Kurumu; KVKK gereğince kurulan idari ve mali özerkliğe sahip bir kamu tüzel kişiliğidir. Kişisel Verileri Koruma Kurulu, Kurum’un karar organıdır. Kurul; 12 Ocak 2017 tarihinde Yargıtay’da yemin ederek göreve başlamıştır. Kurul, kanunun altındaki ikincil mevzuatı yaratmak ve uygulanmasını sağlamakla, veri sorumluları sicilini tutmakla, kişisel veri sahiplerinin şikayetlerini değerlendirmekle ve kişisel verilerin temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamakla, gerektiğinde idari yaptırım uygulamakla görevlidir.

Şikâyet Süreci

Öncelikle veri sorumlusuna başvuru

Kişisel verilerinin ihlal edildiğini düşünen bir kişi öncelikle veri sorumlusuna başvurur. eri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç  otuz  gün  içinde  ücretsiz  olarak  sonuçlandırır. Veri  sorumlusu  talebi  kabul  eder  veya  gerekçesini  açıklayarak  reddeder  ve  cevabını ilgili  kişiye  yazılı  olarak  veya  elektronik  ortamda  bildirir. 

Kurula şikâyet

Başvurunun reddedilmesi,  verilen  cevabın  yetersiz  bulunması  veya süresinde  başvuruya  cevap  verilmemesi hâllerinde;  ilgili  kişi,  veri  sorumlusunun  cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.

Kurul, şikâyet üzerine re’sen inceleme yapar. Devlet  sırrı  niteliğindeki  bilgi  ve  belgeler  hariç;  veri  sorumlusu,  Kurulun,  inceleme konusuyla  ilgili  istemiş  olduğu  bilgi  ve  belgeleri  on  beş  gün içinde  göndermek  ve  gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır. Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde  Kurul,  tespit  ettiği  hukuka  aykırılıkların  veri  sorumlusu  tarafından  giderilmesine  karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

Veri Sorumluları Sicili

Kurulun  gözetiminde,  Başkanlık  tarafından  kamuya  açık  olarak  Veri Sorumluları Sicili tutulur. Kişisel  verileri  işleyen gerçek  ve  tüzel  kişiler,  veri  işlemeye  başlamadan  önce  Veri Sorumluları  Siciline  kaydolmak  zorundadır.  Veri  Sorumluları  Siciline  kayıt  başvurusu  aşağıdaki  hususları  içeren  bir  bildirimle yapılır:

• Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri
• Kişisel verilerin hangi amaçla işleneceği
• Veri  konusu  kişi  grubu  ve  grupları  ile  bu  kişilere  ait  veri  kategorileri  hakkındaki açıklamalar
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Kişisel veri güvenliğine ilişkin alınan tedbirler
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

Suçlar ve Kabahatler

Kişisel  verilere  ilişkin  suçlar  bakımından  26/9/2004  tarihli  ve  5237 sayılı Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır. Kanunun  7  nci  maddesi  hükmüne  aykırı  olarak;  kişisel  verileri  silmeyen  veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.

Kabahatler bakımından ise aşağıdaki cezalar uygulanır:

• Aydınlatma  yükümlülüğünü  yerine  getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,
• Veri   güvenliğine  ilişkin   yükümlülükleri   yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar
• Kurul  tarafından  verilen  kararları  yerine  getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar
• Veri   Sorumluları   Siciline   kayıt   ve   bildirim yükümlülüğüne  aykırı  hareket edenler hakkında  20.000  Türk lirasından  1.000.000  Türk lirasına kadar idari para cezası verilir.

Öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Sayılan  eylemlerin  kamu  kurum  ve  kuruluşları  ile  kamu  kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili  kamu  kurum  ve  kuruluşunda  görev  yapan  memurlar ve  diğer  kamu  görevlileri  ile  kamu kurumu  niteliğindeki  meslek  kuruluşlarında  görev  yapanlar  hakkında  disiplin  hükümlerine  göre işlem yapılır ve sonucu Kurula bildirilir.

Sonuç

Kişisel verileri elde eden, saklayan, işleyen, transfer eden ya da bunlardan birini/hepsini yapan tüm gerçek/tüzel kişilerin bilgi toplama, işleme, arşivleme, aktarma, imha etme proseslerini Kişisel Verilerin Korunması Hakkında Kanun’a uygun olarak gerçekleştirmesi için tüm ilgili proseslerini bilişim hukukçuları ile ve gerekirse dışarıdan profesyonel destek alarak gözden geçirmek/güncellemek/Kanuna uygun hale getirmek zorundadırlar. Aksi halde işine son verilen öfkeli bir çalışanın herhangi bir şikâyette bulunması durumunda çok ciddi yaptırımlarla karşı karşıya kalma ihtimali yüksektir.