KVKK Uyumu: Yükümlülükler, Adımlar ve Kontrol Listesi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), müşteri, çalışan, tedarikçi ya da ziyaretçi fark etmeksizin gerçek kişilere ait verileri işleyen hemen her işletmeyi ilgilendirir. Uyum çoğu zaman bir aydınlatma metni yayımlamak ya da VERBİS'e kayıt olmakla bitmiş sanılır; oysa Kanun, verinin toplandığı andan imha edildiği ana kadar tüm yaşam döngüsünün hukuka uygun ve güvenli yönetilmesini bekler. Bu rehberde KVKK uyumunu hukuki ve teknik boyutlarıyla birlikte, uygulanabilir adımlar ve bir kontrol listesi hâlinde ele alıyoruz. Metin genel bilgilendirme amaçlıdır; işletmenize özgü hukuki değerlendirme için bir hukuk danışmanıyla birlikte çalışmanızı öneririz.

KVKK Kimleri Kapsar? Veri Sorumlusu ve Veri İşleyen

Kanun, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak tanımlar. Ad soyad ve T.C. kimlik numarasının yanında e-posta adresi, telefon, IP adresi, kamera görüntüsü, araç plakası ve bir kişiye bağlanabilen satın alma geçmişi de bu kapsama girer. Tüzel kişilere ait bilgiler Kanun'un kapsamı dışındadır; ancak bir şirket yetkilisinin adı ve iletişim bilgisi kişisel veridir.

İki rolü doğru ayırmak, sorumlulukları doğru dağıtmanın ön koşuludur:

• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Müşterilerinin ve çalışanlarının verisini işleyen işletmeniz, bu veriler bakımından veri sorumlusudur.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir. Bordro hizmeti veren muhasebe bürosu, bulut barındırma sağlayıcısı ya da bakım anlaşmasıyla sistemlerinize erişen BT firması tipik örneklerdir.

Veri işleyen kullanmak sorumluluğu ortadan kaldırmaz; veri sorumlusu, güvenlik tedbirlerinin alınması konusunda veri işleyenle birlikte sorumludur. Bu nedenle her tedarikçiyle verinin hangi amaçla işlenebileceğini, güvenlik yükümlülüklerini, alt işleyen kullanımını ve sözleşme sonunda verinin iadesini ya da imhasını düzenleyen bir veri işleme sözleşmesi yapılmalıdır.

Temel Yükümlülükler: Aydınlatma, Açık Rıza, VERBİS, Veri Güvenliği

İşleme şartları ve genel ilkeler

Kişisel veri, Kanun'da sayılan işleme şartlarından en az birine dayanmalıdır: açık rıza, kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi veya korunması, veri sorumlusunun meşru menfaati gibi. Bunun yanında hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ile gerekli süre kadar saklama ilkelerine her durumda uyulmalıdır.

Aydınlatma yükümlülüğü

Veri toplanırken ilgili kişiye veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile sahip olduğu haklar bildirilmelidir. Aydınlatma, işleme şartı ne olursa olsun her durumda yapılır.

Açık rıza

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Sık yapılan hata her işlemeyi açık rızaya bağlamaktır. Sözleşmenin ifası veya kanuni yükümlülük gibi başka bir şart varsa rıza istemek gereksizdir ve kişi rızasını geri aldığında işlemeyi sürdürememe gibi bir çelişki yaratır. Açık rıza yalnızca gerçekten gerekli işlemeler için ve aydınlatma metninden ayrı olarak alınmalıdır.

VERBİS kaydı

Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt, Kişisel Verileri Koruma Kurulu (Kurul) kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerini aşan veri sorumluları için zorunludur. Ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar için muafiyet koşulları farklıdır. Kayıt yükümlülüğünüz olmasa bile diğer tüm yükümlülükler geçerlidir; güncel eşikleri Kişisel Verileri Koruma Kurumu'nun (Kurum) duyurularından kontrol edin.

Veri güvenliği

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Bu yükümlülük, BT ekibinin en doğrudan katkı sunduğu alandır.

Adım Adım KVKK Uyum Projesi: Envanterden Politikalara

1. Proje sahipliğini belirleyin: Hukuk, İK, BT ve iş birimlerinden temsilcilerin yer aldığı küçük bir uyum ekibi kurun ve bir sorumlu atayın.
2. Kişisel veri envanteri çıkarın: Her süreç için hangi veri kategorilerinin, hangi amaçla ve hangi hukuki sebebe dayanarak işlendiğini; nerede saklandığını, kimlere aktarıldığını ve ne kadar süre tutulduğunu yazın. İK, muhasebe, satış, pazarlama, web sitesi ve güvenlik kamerası gibi süreçleri tek tek ele alın.
3. Veri akışlarını sistemlerle eşleştirin: Envanterdeki her kaydın hangi sunucuda, bulut hizmetinde, e-posta kutusunda veya kâğıt dosyada durduğunu belirleyin. Yurt dışında barındırılan bulut hizmetleri, yurt dışına aktarım kurallarını gündeme getirir.
4. Hukuki sebepleri doğrulayın: Gereksiz açık rızaları kaldırın, eksik olanları tamamlayın, amaçla ilgisi olmayan veri toplamayı durdurun.
5. Metinleri hazırlayın: Müşteri, çalışan, çalışan adayı, ziyaretçi ve web sitesi için ayrı aydınlatma metinleri ve gerekli yerlerde ayrı açık rıza metinleri oluşturun.
6. Politikaları yazın: Kişisel veri işleme ve koruma politikası, saklama ve imha politikası, erişim yetki matrisi, ihlal müdahale prosedürü ve ilgili kişi başvuru prosedürü.
7. Sözleşmeleri güncelleyin: Tedarikçilerle veri işleme sözleşmeleri, çalışanlarla gizlilik taahhütleri imzalayın.
8. VERBİS kaydını yapın veya güncelleyin: Kayıt bilgilerinin envanterle tutarlı olduğundan emin olun.
9. Eğitim verin ve periyodik denetim planlayın: Uyum, süreçler değiştikçe güncellenmesi gereken canlı bir yapıdır.

Saklama sürelerinin belirlenmesi ve periyodik imha ayrı bir disiplin gerektirir; ayrıntıları saklama ve imha politikası rehberimizde bulabilirsiniz.

Teknik ve İdari Tedbirler: BT Tarafında Yapılması Gerekenler

Kurum'un yayımladığı kişisel veri güvenliği rehberi, beklenen tedbirleri teknik ve idari olarak iki grupta toplar. BT tarafında öncelikli gördüğümüz tedbirler şunlardır:

• Erişim yönetimi: Yetkiler görev gereğine göre verilmeli, rol bazlı gruplar kullanılmalı, işten ayrılan veya görev değiştiren kişilerin yetkileri hemen kaldırılmalıdır. Dosya sunucularındaki herkese açık paylaşımlar en sık karşılaştığımız açıklardır.
• Kimlik doğrulama: Güçlü parola politikası ve özellikle uzaktan erişim, e-posta ve yönetici hesaplarında çok faktörlü doğrulama.
• Şifreleme: Dizüstü bilgisayarlarda disk şifreleme, veri aktarımında şifreli bağlantılar, yedeklerde şifreleme.
• Kayıt ve izleme: Kişisel veri içeren sistemlere kimin, ne zaman eriştiğine dair log kayıtlarının tutulması ve değiştirilemez biçimde saklanması.
• Zafiyet yönetimi: İşletim sistemi ve uygulama yamalarının düzenli uygulanması, periyodik zafiyet taraması ve sızma testi.
• Uç nokta ve ağ güvenliği: Güncel uç nokta koruması, güvenlik duvarı ve ağ segmentasyonu.
• Yedekleme: Düzenli, test edilmiş ve şifreli yedekler; yedeklerin de kişisel veri barındırdığı unutulmamalıdır.
• Özel nitelikli veriler için ek önlemler: Sağlık, biyometrik veya adli sicil gibi verilerde Kurul'un ayrıca belirlediği ek güvenlik önlemleri uygulanmalıdır.

İdari tarafta ise gizlilik taahhütleri, eğitim, iç denetim, disiplin prosedürü ve tedarikçi denetimi yer alır.

İlgili Kişi Hakları ve Başvuruların 30 Gün İçinde Yanıtlanması

Kanun, ilgili kişiye şu hakları tanır:

• Kişisel verisinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme
• İşleme amacını ve verinin amacına uygun kullanılıp kullanılmadığını öğrenme
• Verinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verinin düzeltilmesini isteme
• Şartları oluştuğunda verinin silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine bir sonuç çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme

Veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmak zorundadır; başvuru kural olarak ücretsizdir. Başvurusu reddedilen, cevabı yetersiz bulan veya süresinde yanıt alamayan kişi Kurul'a şikâyette bulunabilir. Bu nedenle:

• Başvuruların hangi kanallardan alınacağını aydınlatma metninde açıkça belirtin.
• Gelen başvuruları kayıt altına alan, sorumlusu ve son tarihi belli bir iş akışı kurun.
• Başvuranın kimliğini doğrulamadan veri paylaşmayın; yanlış kişiye veri vermek başlı başına bir ihlaldir.
• Envanteriniz sayesinde bir kişinin verisinin hangi sistemlerde olduğunu hızla bulabildiğinizden emin olun.
• Talep edilen verileri düz e-posta eki yerine şifreli bir dosya veya güvenli bir portal üzerinden iletin.

Veri taşınabilirliği konusunda bir not: AB'nin GDPR düzenlemesinde açıkça yer alan veri taşınabilirliği hakkı, KVKK'da bu adla ayrıca düzenlenmemiştir. Yine de erişim taleplerini yaygın ve makine tarafından okunabilir bir formatta karşılayabilmek iyi bir uygulamadır. AB'de yerleşik kişilere mal veya hizmet sunuyorsanız GDPR kapsamındaki yükümlülükleriniz ayrıca değerlendirilmelidir.

Sık Yapılan Hatalar ve İdari Para Cezası Riskleri

Kanun; aydınlatma yükümlülüğünün, veri güvenliği yükümlülüğünün, Kurul kararlarının ve VERBİS kayıt ve bildirim yükümlülüğünün ihlal edilmesi hâllerinde idari para cezası öngörür. Ceza tutarları her yıl yeniden değerleme oranında güncellenir; ayrıca Türk Ceza Kanunu'ndaki kişisel verilere ilişkin suç hükümleri de saklıdır. Sahada en sık gördüğümüz hatalar şunlardır:

• Web sitesine şablon bir aydınlatma metni koyup iç süreçleri hiç incelememek
• Aydınlatma metni ile açık rıza metnini tek belgede birleştirmek veya rızayı hizmetin ön şartı yapmak
• Envanteri bir kez hazırlayıp güncellememek
• Tedarikçilerle veri işleme sözleşmesi yapmamak
• Eski çalışan ve müşteri verilerini, yedekler ve e-posta arşivleri dahil süresiz saklamak
• Paylaşımlı klasörlerde herkese açık kişisel veri dosyaları bırakmak
• Yazılı bir veri ihlali prosedürü olmadan olaya yakalanmak

Bir ihlal yaşandığında ne yapılacağını önceden bilmek kritik önem taşır; adımları veri ihlali bildirim süreci rehberimizde ele aldık.

KVKK Uyum Kontrol Listesi

• Kişisel veri envanteri hazır ve son değişiklikleri yansıtıyor
• Her işleme faaliyeti için hukuki sebep belirlenmiş
• Tüm ilgili kişi grupları için aydınlatma metinleri yayımlanmış
• Açık rıza yalnızca gerekli işlemeler için ve ayrı bir metinle alınıyor
• VERBİS kaydı yapılmış veya muafiyet durumu belgelenmiş
• Saklama ve imha politikası hazırlanmış, periyodik imha uygulanıyor
• Tedarikçilerle veri işleme sözleşmeleri imzalanmış
• Yurt dışına aktarım yapan hizmetler tespit edilmiş ve değerlendirilmiş
• Yetki matrisi uygulanıyor, erişimler düzenli gözden geçiriliyor
• Çok faktörlü doğrulama, şifreleme, log yönetimi ve yedekleme devrede
• İlgili kişi başvuru süreci ve kayıt sistemi çalışıyor
• Veri ihlali müdahale prosedürü yazılı ve ekip tarafından biliniyor
• Web sitesindeki çerezler rızaya bağlanmış
• Çalışanlara KVKK ve veri güvenliği eğitimi verilmiş, kayıt altına alınmış
• Yıllık iç denetim planlanmış

Web sitesindeki çerez uygulamaları ve çalışan verileri ayrı dikkat isteyen iki başlıktır. Çerez politikası rehberimiz web tarafındaki adımları, çalışan verileri rehberimiz ise İK süreçlerini özetler.

Danışman ve BT Ortağı Seçerken Dikkat Edilecekler

KVKK uyumu hukuk ve teknolojinin kesiştiği bir alandır. Yalnızca hukuki metin hazırlayan bir çalışma, sistemlerdeki gerçek veri akışını görmeden eksik kalır; yalnızca teknik ürün kuran bir çalışma ise hukuki sebep, aydınlatma ve süreç tarafını boşta bırakır. Doğru model, hukuk danışmanı ile BT ortağının birlikte çalıştığı yapıdır. Bir BT ortağında şunlara bakın:

• Envanter çalışmasına sistem tarafında katkı sunabiliyor mu; dosya sunucuları, bulut hizmetleri ve uygulamalardaki kişisel veriyi tespit edebiliyor mu?
• Önerdiği tedbirler risk temelli ve işletmenizin ölçeğine uygun mu, yoksa ihtiyaç dışı ürün mü öneriyor?
• Log yönetimi, yedekleme, erişim yönetimi ve ihlal müdahalesinde operasyonel destek verebiliyor mu?
• Sistemlerinize erişen bir veri işleyen olarak veri işleme sözleşmesi imzalamaya ve kendi güvenlik tedbirlerini belgelemeye hazır mı?
• Uyumun sürekliliği için periyodik kontrol ve raporlama sunuyor mu?

Sonuç

KVKK uyumu; doğru bir envanterle başlayan, hukuki metinlerle görünür hâle gelen ve teknik tedbirlerle ayakta duran sürekli bir süreçtir. Küçük bir işletme için bile ilk adım, hangi veriyi neden ve nerede tuttuğunu dürüstçe ortaya koymaktır; gerisi bu haritanın üzerine inşa edilir. Ümraniye Bilişim olarak siber güvenlik ve veri koruma hizmetlerimiz kapsamında envanterin teknik tarafından erişim yönetimine, log ve yedekleme altyapısına kadar uyumun BT ayağını hukuk danışmanınızla birlikte yürütüyoruz. Mevcut durumunuzu birlikte değerlendirmek için ücretsiz bir ön görüşme talep edebilirsiniz.