Uygulamaya Yönelik Kişisel Verilerin Korunması Hukuku

Danışmanlık yapacağınız veri sorumlusunun hukuki statüsüne göre yükümlülükleri değişebileceği gibi; yükümlülüklerini yerine getirirken uyacağı prosedürlerde de değişiklik olabilmektedir. Bu konuda yaygın olarak gözlemlediğim husus şudur: Daha önce KVKK uyum sürecini tamamlamış bir veri sorumlusunun dökümanları "kopyala-yapıştır" yöntemi ile sadece belirli kimlik bilgilerinin değiştirilmesi suretiyle başka veri sorumlularınca kullanılmakta. Bu durumun sebep olabileceği birçok risk olmakla beraber; Sicili yanıltma, yanlış aydınlatma, saklama ve imha sürelerine uymama hukuka aykırılıklar sonucu veri sorumlusunun idari, cezai ve mali sorumluluğuna yol açabilmektedir.

Bu bakımdan burada yapacağım açıklamalar üzerinden her bir veri sorumlusunun özel olarak incelenmesinde fayda vardır.

Açıklamalarımda değindiğim üzere 6698 sayılı Kanunun uygulanmasından muaf tutulan faaliyetler için Kişisel Verileri Koruma Kurumu tarafından hazırlanan ve kamuoyu ile paylaşılan rehberi 'indirilebilir kaynak' olarak ekliyorum.

İyi dersler dilerim.

Veri sorumlusunun hukuki statüsünü belirledikten sonra işlerinizin daha sistematik ve hızlı yürüyebilmesi için parçalardan yola çıkarak tüme varım yöntemiyle hareket etmenizde fayda görüyorum. Bu bakımdan elinizde veri sorumlusunun organizasyon şemasının olması ve birim bazlı hareket etmeniz daha sağlıklı ilerlemenize yardımcı olacaktır.

Ayrıca, özel nitelikli kişisel veri işleyen veri sorumluları için bazı birimlerin daha hassas davranması gerektiğini göz önünde bulundurursak bu yöntem zaruridir diyebilirim.

Veri sorumluları bazı faaliyetlerinde kişisel verileri kullanırken bazı faaliyetlerinde herhangi bir kişisel veri kullanmadan iş ya da işlemi tamamlayabilmektedir. Bu bakımdan öncelikle veri sorumlusunun icra ettiği tüm faaliyetleri ortaya çıkarıp ardından bunlar arasında kişisel veri işleme faaliyeti olanları ayırmak gerekir.

Bu ayırımı yaptıktan sonra kişisel veri işleme faaliyetleri olarak belirli eylem ve işlemlerin icrası esnasında yerine getirilmesi gereken yükümlülükler ve yapmakta fayda olan önlemler bakımından derste açıklayacağımız analiz oldukça önem arz etmektedir. Bu analizi veri sorumlusu yahut yöneticiler ile yapılan soru-cevaplar üzerinden yapmak işinizi kolaylaştıracaktır.

Soru-cevap analiz yöntemleri olarak iki farklı kaynak ekledim, bunları indirebilir ve kullanabilirsiniz.  Bunlar dışında farklı  analiz yöntemi de ilaveten kullanılabilir.

Veri sorumlusunun KVKK Analizi yapıldıktan sonra ulaşılan veriler ile ayrı bir rapor oluşturmakta fayda vardır. Bu rapor ile hem veri sorumlusunun KVKK uyum oranı ortaya konulmuş olur hem de eksiklikleri üzerinden yapılması gereken iş ve işlemler net bir şekilde görülebilir.

Bu derste örnek bir şablon üzerinden standart tespit raporunun nasıl oluşturulacağını açıklamaya çalışacağım. Veri sorumlusuna dışarıdan hizmet sözleşmesi yoluyla KVKK Danışmanlığı yapacak kursiyerler için tespit raporu sonrası verilecek hizmetler üzerinden bir sözleşme örneğini de indirilebilir kaynak olarak derse ekleyeceğim.

Faydalı olması dileğiyle.

VERBİS'e kayıt yükümlülüğü bulunan veri sorumluları Veri Sorumluları Sicili Hakkında Yönetmelik'in 5. Maddesi uyarınca Kişisel Veri İşleme Envanteri hazırlamakla da yükümlüdür. Bu Envanterin nasıl hazırlanacağı yahut hangi kriterleri taşıması gerektiğine dair mevzuatta bir düzenleme bulunmamaktadır. Kişisel Verileri Koruma Kurumu tarafından hazırlanan ve "indirilebilir kaynak" olarak eklediğim Rehber doğrultusunda envanterin neden gerekli olduğu ve KVKK uyum süreci içerisinde ne gibi faydalar sağlayacağı bu derste açıklanacaktır.

Takip eden derste ise örnek envanter dosyaları üzerinden açıklamalarımı somutlaştırmaya çalışacağım.

Faydalı olması dileğiyle.

Bir önceki derste açıklandığı üzere VERBİS'e kayıt yükümlülüğü bulunan veri sorumlularının kişisel veri işleme envanteri hazırlamaları gerekmektedir. Ancak envanterin nasıl olması gerektiğine dair yasal bir düzenleme bulunmamaktadır. Ancak yönetmelikte veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak envanteri oluşturmaları gerektiği belirtilmektedir.

Bu derste bu kriterleri sağlayan ideal bir envanterin nasıl oluşturulacağını açıklamaya çalışacağım. İndirilebilir kaynak olarak elimdeki örnek şablon exel dosyalarını da sizlerle paylaşacağım.

Faydalı olması dileğiyle.

Veri sorumluları, kişisel verilerini işledikleri ilgili kişilerin mahremiyetine saygı duymak ve bu verileri korumak zorundadır. Bu bakımdan 6698 sayılı Kişisel Verilerin Korunması Kanunu ve diğer mevzuatta yer alan düzenlemelerle veri sorumlularına birtakım yükümlülükler getirilmiştir. Veri sorumluları bu yükümlülükleri bazen prosedürel idari işlemler yaparak bazen de tkenik tedbirler alarak yerine getirecektir.

Bu derste veri sorumlusunun idari ve teknik tedbirler olarak alması gereken önlemleri ve yerine getirmesi gereken yükümlülükleri ele alacağız.

İyi dersler dilerim.

Bir önceki derste belirttiğimiz ve takip eden derslerde detaylı bir şekilde açıklayacağımız idari ve teknik tedbirler yerine getirilmediği zaman hak ihlali oluşabilecek ve bu durumdan dolayı veri sorumlusu hukuk önünde hesap verecektir.

Bu dersimizde veri sorumlusunun yükümlülüklerini yerine getirmediği zaman karşılacağı durumlar açıklanacaktır. Veri sorumluları bu yaptırımlarla karşılaşmamak için hukuka uygun davranarak gerekli tedbirleri almalı, yükümlülüklerini yerine getirmelidir.

6698 sayılı Kişisel Verilerin Korunması Kanununun 12'nci maddesinin (5) numaralı fıkrasının “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmünden yola çıkarak Kurul veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapılmasına yönelik karar vermiştir.

Bu derste veri sorumlularının olası bir ihlal durumunu en kısa sürede fark edebilmeleri için neler yapması gerektiği ele alınacaktır.

İyi dersler dilerim.

6698 sayılı Kişisel Verilerin Korunması Kanununa göre:

MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

a) Veri sorumlusunun ve varsa temsilcisinin kimliği,

b) Kişisel verilerin hangi amaçla işleneceği,

c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

d) 11 inci maddede sayılan diğer hakları,

konusunda bilgi vermekle yükümlüdür.

Bu derste Kanunun ilgili hükmü gereğince veri sorumlularınca aydınlatma yükümlülüğünün nasıl yerine getirileceği açıklanacaktır.

Kanunun yürürlüğe girmesi sonrasında, kişisel veri ve bu verinin işlenmesi ile birlikte hayatımıza giren kavramlardan birisi de “açık rıza” kavramıdır. Kanunun 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmıştır. Ayrıca Anayasanın 20. maddesinin 3. fıkrasında, kişisel verilerin, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hüküm altına alınmıştır. Açık rıza, Kanunda hem özel nitelikli kişisel veriler, hem de özel nitelikli olmayan kişisel veriler bakımından hukuka uygunluk sebeplerinden bir tanesidir.

Bu derste "açık rıza hukuka uygun nasıl alınır" sorusu üzerinde duracağız.

Faydalı olması dileğiyle.

Çerezler (cookies), bir internet sayfası ziyaret edildiğinde kullanıcılara ilişkin birtakım bilgilerin kullanıcıların internete erişim sağladıkları cihazlarında depolanmasına izin veren düşük boyutlu zengin metin dosyalarıdır. Çerezler fonksiyon ve amaçlarına göre birçok farklı türe ayrılabilir. Bazıları internet sitesinin çalışması için gerekli iken; bazıları reklam, pazarlama yahut başka amaçlarla kullanılmaktadır. İşte bu noktada internet kullanıcılarının internet sitesi operatörlerine karşı hukuk sistemlerince korunma ihtiyacı daha fazla hissedilmektedir. Çünkü internet sitesinin türüne ve sunduğu hizmetlere göre değişkenlik gösteren yoğunlukta kullanıcıların farklı birçok kişisel verisi işlenebilmektedir.

Kişisel verilerin korunması hususunda esas sorumluluk bizzat veri sorumlusunda olup; veri sorumluları bu güvenliği sağlamak için gerekli idari ve teknik tedbirleri almak zorundadır. Bu tedbirlerden biri de çalışanlarına yönelik eğitim ve farkındalık faaliyetleri vermek ve ardından olası bir ihlal durumuna karşı gizlilik sözleşmeleri yapmaktır.

Bu sözleşmeler ile elbette kişisel verilerin güvenliğine yönelik tüm tehditler ortadan kalkmayacaktır. Ancak veri sorumlusunun temsilcileri, yöneticileri ve çalışanlarına karşı hukuki bir teminat alınmaktadır.

Başta İş Hukuku mevzuatı olmak üzere birçok farklı kanuni düzenleme uyarınca özel sektör çalışanlarının belirli kişisel verileri açık rızaları olmasa dahi 6698 sayılı Kanunun verdiği yetkiye dayanarak hukuka uygun bir şekilde işlenebilmektedir. Ancak bu tür verileri sadece kanunda düzenlenen hususlarda, amaçla bağlı ve ölçülü bir şekilde işlenmekte, süresi geçenler Veri Sorumlusunca hazırlanacak Kişisel Veri Saklama ve İmha Politikası hükümleri uyarınca imha edilmektedir.

Mevzuatın yetki vermediği diğer kişisel verilerinin işlenebilmesi için ilgili kişilerin açık rızasını almak zaruridir. Veri sorumlusu olarak Şirket ve çalışanların menfaatleri dahilinde ve mevzuatın öngördüğü sınırlar dahilinde (ölçülü ve amaçla bağlı) açık rıza alınarak çalışanların kişisel verileri işlenebilir.

Bu derste çalışanlardan hukuka uygun şekilde nasıl açık rıza alınacağı anlatılacaktır.

İyi dersler dilerim.

Özel hukuk tüzel kişiliğini haiz veri sorumluları ya da gerçek kişi veri sorumluları yasal olarak yükümlülüklerinin tamamını yerine getirse de; bazı durumlarda çalışanlarının ihmal yahut kasıtlı davranışlarından kaynaklı oluşan ihlaller sebebiyle de yaptırımla karşılaşabilmektedir. Bu durumda hukuki düzenlemeler ışığında rücu ilişkisi doğmakla beraber, işverenin o çalışan ya da çalışanlarla çalışmama hakkı da doğmaktadır. İşverenin bu hakkını rahat kullanabilmesi için iş sözleşmesi akdedilirken yahut sonradan yapılacak yeni bir sözleşme ile bu hükümler konulabileceği gibi; işyeri için özel olarak hazırlanan ve çalışanlara duyurulan düzenleyici işlemler ile de bu durum hukuka uygun hale getirilebilir.

Bu derste İş Kanununa ve Borçlar Kanununa dayanarak işverenlerce bünyesinde çalışan personelin disiplin işlemlerini ve cezalarını düzenlemek amacıyla hazırlanan disiplin yönergelerine KVKK hükümlerinin konulması ele alınacaktır.

Kişisel Verilerin Korunması Kanunu bağlamında yükümlülükleri yerine getirme görevi veri sorumlusundadır. Veri sorumlusunun kendi imkanlarınca yahut dışarıdan hizmet alımı yoluyla KVKK uyumu sağlandıktan sonra, bu durumu korumak ve olası ihlal durumlarına karşı önceden tedbir almak ve hızlı refleks göstermek de bir o kadar ehemmiyetlidir. Bu bakımdan veri sorumlularının kendi personelinden yahut bağımsız üçüncü kişilerden (veya karma olarak) oluşturulacak bir komite ile bu denetim sağlanabilir.

Bu derste kişisel verileri koruma komitesi olarak adlandırılabilecek bir heyet üzerine açıklamalarda bulunacağım.

İyi dersler dilerim.

Yetki matrisi, veri sorumlusu bünyesinde paylaşılan her dosyaya ve veri tabanı için kimin erişime yetkisi olduğu, kimin ne zaman ne biçimde hangi vasıtalarla ulaşım sağladığı veya ulaşım yetkisinin olduğu yazılan tablolardır. Veri minimizasyonu olarak adlandırılan ve olabildiğince sınırlı ve ölçülü bir şekilde veri işleme esasına dayanan ilke doğrultusunda, veri sorumluları kişisel veri işleme faaliyetlerinde görevli personelin yetki alanını net bir şekilde belirlemelidir. Kişisel verilerin güvenliğinin sağlanması ve olası bir ihlal durumunda sorumlunun en hızlı ve doğru bir şekilde belirlenebilmesi için de bu yöntem elzemdir.

Bu derste erişim yetki matrisi hakkında genel açıklamalarda bulunacağım ve sizler için 'indirilebilir kaynak' olarak bir şablon vereceğim.

İyi dersler dilerim.

Günümüz iletişim araçları arasında elektronik postalar (e-posta) ilk sıralarda gelmektedir. Başta döküman paylaşımı ve haberleşme olmak üzere İnternet sitelerine üye olurken, dijital hizmetlerden faydalanırken ve başka birçok amaç dahilinde kişiler e-posta kullanmaktadır.

Veri sorumluları da faaliyetlerini yerine getirirken sıklıkla e-posta kullanmaktadır. Belirli durumlarda ise bu e-postaların içeriğinde müşterilerinin, hizmet verdiği diğer kişilerin yahut çalışanlarının kişisel verileri bulunmaktadır. Bünyesinde bulunan kişisel verilerin güvenliğini sağlamak zorunda olan veri sorumluları e-posta platformu tercihlerinde ve dahi e-posta kullanım esnasında oldukça hassas ve tedbirli davranmalıdır.

Bu derste e-posta güvenliğine yönelik belirli açıklamalarda bulunacağım.

İyi dersler dilerim.

6698 sayılı Kişisel Verilerin Korunması Kanununun 16'ncı maddesine göre kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının kişisel veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması gerekmektedir. Bu kapsamda, Başkanlığımızca Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) hazırlanmış olup veri sorumluları bu sisteme kayıt olacaklardır.

VERBİS; kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel veri işlemeye başlamadan önce kaydolmaları gereken ve işlemekte oldukları kişisel verilerle ilgili kategorik bazda bilgi girişi yapacakları bir kayıt sistemidir.

Bu derste VERBİS hakkında bilgiler verilecektir. Kimlerin kayıt yükümlülüğü olduğu, kimlerin istisna kapsamında olduğu ayrıca açıklanacaktır.

İyi dersler dilerim.

KVK Kurulu kararıyla VERBİS'e kayıt yükümlülüğünden muaf tutulan veri sorumluları arasında yıllık cirosu 25.000.000TL'nin altında olanlar yahut çalışan sayısı 50'nin altında olanlar da yer almaktadır. Peki bu iki kriterin hesabı nasıl yapılacaktır?

Sorunun cevabı ve detaylı açıklamalar videoda...

İyi seyirler dilerim.

Bu derste Veri Sorumluları Sicil Bilgi Sistemine nasıl kayıt yapılacağını öğretmeye çalışacağım. VERBİS'e kayıt kendi içinde üç farklı aşamadan oluşmakta olup; bu derste ilk aşama olarak VERBİS Başvuru Formu üzerinde duracağız.

İrtibat kişisi: Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişiyi ifade eder.

Veri sorumlusunun VERBİS kaydı yapıldıktan sonra Sicile kayıt yani bildirimde bulunabilmek için muhakkak bir gerçek kişinin irtibat kişisi olarak atanması gerekmektedir.

Türkiye Cumhuriyeti vatandaşı olmak zorunda olan bu gerçek kişinin kimlik numarası ile sisteme kayıt yapılabilmektedir.

Bu iş ve işlemlerin usulü bu derste görsel olarak sizlere anlatılacaktır.

İyi dersler dilerim.

Bir önceki derste yaptığım açıklamalar doğrultusunda TC vatandaşı olan gerçek bir kişinin VERBİS üzerinden irtibat kişisi olarak atanmasının ardından yine VERBİS ekranında ayrı bir sekme ile e-devlet uzantısıyla VERBİS bildirimi tamamlanabilmektedir.

KVKK uyum sürecinin en başında hazırlanan kişisel veri işleme envanteri, veri koruma politikası, saklama ve imha politikası ile diğer dökümanlardan faydalanılarak VERBİS Bildirimi tamamlanmakta ve Sicil üzerinden kamuoyu ile paylaşılmaktadır.

Bu derste tüm bu işlemleri DETAYLI OLARAK görsel video eşliğinde anlatmaya çalışacağım.

Faydalı olması dileğiyle.

6698 sayılı Kişisel Verilerin Korunması Kanununun "ilgili kişinin hakları" başlıklı 11'inci maddesi şöyledir:

"(1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

a) Kişisel veri işlenip işlenmediğini öğrenme,

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

haklarına sahiptir."

Yine Kanunun 13'üncü maddesine göre bu başvuruların veri sorumlusu tarafından en geç 30 gün içinde cevaplanması gerekmektedir.

Bu dersimizde Kurum tarafından çıkarılan VERİ SORUMLUSUNA BAŞVURU USUL VE ESASLARI HAKKINDA TEBLİĞ uyarınca ilgili kişiler tarafından yapılacak başvuruların sistematik ve hızlı bir şekilde cevaplanması için form hazırlamayı anlatacağım.

Faydalı olması dileğiyle.

"VERBİS bildirim yükümlülüğü bulunmayanların" 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil mevzuat hükümleri uyarınca getirilen diğer yükümlülükleri devam etmektedir.

Burada 6698 sayılı Kanunun 28'inci maddesinde düzenlenen istisnalara da ayrıca değinilecektir. Bu istisna durumlarında dahi Kanunun uygulaması devam etmektedir.

Konuya dair açıklamalarımın faydalı olması dileğiyle, iyi dersler...