KVKK ve GDPR Uyum Programınız için
Pratik Çözümler ve Uzman Tavsiyeler

Temel hak ve özgürlükler, kişisel veriler, gizlilik ve güvenlik kavramları insan hakları anlayışının ortaya çıkmasından beri hayatımızda olsa da teknolojiye ve temel hak ve özgürlüklerin uygulanmasına ilişkin gelişmelerin yaşandığı son zamanlarda günlük hayatımızda artık daha da fazla önem teşkil etmektedir. Türkiye'de, AB Genel Veri Koruma Tüzüğü'nün (GDPR) esamesi olan Kişisel Verilerin Korunması Kanunu (KVKK), bize temel hak ve özgürlüklerimiz ile beraber, kişisel verilerimizin nasıl korunacağına dair bilgiler vermektedir.

Kişisel Verilerin Korunması Kanunu 2016 yılında yürürlüğe girerek, tüm şirketlere kişisel veri içeren süreçlerini gözden geçirmeleri ve yasa ile uyum süreçlerini tamamlamaları için 2018 Nisan ayına kadar süre tanındı.

Türkiye'de şirket organizasyon yapıları veya çalışan sayıları fark etmeksizin her şirketin KVKK uyum sürecini 2018 yılı itibariyle tamamlamış olması gerekmekteydi. Uyum sürecinin tamamlanmış olması, bir şirketin; çalışanları, çalışan adayları, tedarikçileri, paydaşları vb. taraflara ait tuttuğu her türlü kişisel verinin, yani bizi tanımlayan her verinin konu olduğu sürecin, yasanın öngördüğü koşullara göre düzenlenmesi ve bu koşullar çerçevesinde yürütülmesi demektir.

Şirketiniz Türkiye sınırları içinde kurulu olup, Türkiye içerisinde hizmet gösterse bile sadece Türkiye'nin veri koruma süreçlerine ve KVKK'ya uyumlu olmanız yeterli olmayacaktır. Aynı zamanda AB'nin veri koruma uygulamalarına, yani GDPR'a da tabi olabilirsiniz. Bu durumda şirketiniz içinde uygulayacağınız ve sürekliliğini takip edeceğiniz uyum sürecinizin hem KVKK'yı hem de GDPR'ı kapsaması gereklidir. Günümüzde, hayata geçireceğiniz uyum süreciniz, bir denetim faaliyetinden daha çok rutin bir iş süreci hâline gelmeli ve kişisel verilerin korunması süreçleri, kurum kültürü olarak benimsenmelidir.

AB Veri Koruma Tüzüğü'nün Bölgesel Kapsam başlıklı 3. maddesinde gerçek veya tüzel kişilerin Avrupa Birliği sınırları içinde bulunmasa da GDPR'a tabi olabilecekleri düzenlenmiştir. Farklı bir ifade ile kişisel veriler üzerinde işlem yapan kişilerin hem KVKK hem de GDPR'a tabi olmalarının mümkün olduğu bu madde ile açıklanmaktadır. Eğer, Türkiye'de kurulu olan bir şirket; AB içinde ikamet eden bir kişi ile herhangi bir şekilde iletişim kurması ile (AB mukimlerine ürün ve/veya hizmet satarak, AB ülkelerinde kullanılan dillerden birini online sistemlerinde kullanarak) veya farklı bir yöntem ile AB mukimlerinin verilerini işliyorsa, bu durumda bu kişilerle ilgili olarak GDPR'a; Türkiye'de gerçekleştirdiği veri işleme faaliyetleri ile ilgili olarak ise KVKK'ya tabidir. Yani her iki kanunun gerekliliklerini de yerine getirmekle yükümlüdür.

2016 yılında KVKK yürürlüğe girmeden önce 12.10.2004 tarihli Türk Ceza Kanununda kişisel verilerin hukuka aykırı olarak elde edilmesi, yayılması ve yok edilmemesi yaptırıma bağlanmıştır. 12.09.2012 yılında ise T.C. Anayasasının 20. maddesine eklenen fıkra ile kişisel verilerin korunması anayasal bir hak hâline getirilmiştir. 2016 yılında ise GDPR'ın 1995 yılındaki versiyonu baz alınarak, veri üzerinde yapılan her türlü işlem olarak tanımlanabilecek "veri işleme" süreçleri detaylandırılarak daha önce Anayasa, Kanunlar ve Uluslararası Sözleşmeler ile hayatımızda olan terimlerin içi doldurulmuş oldu.

İlk aşamada kurum içi organizasyon şemasının hazırlanması ve organizasyon içindeki departmanlarda / birimlerde hangi kişisel verilerin işlendiği, kategori bazlı (kimlik, iletişim, lokasyon, sağlık vb.) olarak belirlenmelidir. Daha sonra bir veri envanteri hazırlanarak envanterde aşağıda belirtilen başlıca bilgilere yer verilmelidir:

Kısaca, Veri Envanteri'nde detaylı olarak belirtilmesi gerekenler başlıca şunlardır:

• Belirlenen kategorilerde hangi kişisel verilerin işlendiği (Kimlik: Ad, soyad, TCKN gibi)
• Verisi işlenen gerçek kişi (müşteri, çalışan, tedarikçi, paydaş, üçüncü kişiler)
• Veri işlemenin amacı ve hukuki sebebi
• Hangi tür kişisel verinin işlendiği; özel nitelikli kişisel veri (sağlık, ırk, din) veya kişisel veri (isim, iletişim bilgisi)
• İşlenen verinin ne kadar süre ile saklanacağı
• İşlenen kişisel verilerle ilgili alınan idari ve teknik tedbirler
• Verilerin yurt dışı aktarımının bulunup bulunmadığı

Hazırlanan veri envanteri ışığında VERBİS üzerinden veri sorumluları siciline beyanda bulunulmalıdır. Unutulmamalıdır ki; VERBİS ve Kişisel Veri Envanteri birbiriyle paralel bilgileri içermeli ve güncel olmalıdır.

Kişisel Verilerin Korunması Kanunu gerekliliklerini sağlamak, uyum sürecini bir kereye mahsus geçireceğiniz denetim ve bu kapsamda alacağınız danışmanlık ve VERBİS kaydınızı tamamlamak olarak anlaşılmamalıdır. Bu şekilde yasal yükümlülüklerinizin bir kısmını yerine getirseniz de Kanuna uyumun devamlılığının sağlanması ve beyan edilen bilgilerin güncel olması gerekmektedir.

KVKK, 2016'da hayatımıza girmiş ve hâlen güncellemelerle süreçlerimize yeni uygulamaları adapte etmemizi gerektiren bir kanundur. Bu kanunun direktiflerinden biri, tüm faaliyetlerimizin her zaman KVKK hükümlerine uygun sürdürülmesi, VERBİS'teki kaydımızın, Kişisel Veri Envanterimizin ve uyum sürecinde hazırlanan diğer dokümanların her zaman güncel tutulduğundan emin olmamızdır. Ayrıca sürdürülebilirliğin sağlandığından emin olunması için periyodik olarak denetimlerin yapılması gerektiği KVKK'da yer alan bir başka husustur.

Bu noktada CottGroup^®'un sunduğu denetim, danışmanlık ve sürdürülebilirlik hizmeti; süreçlerinizin yasalarla uyumlu olup olmadığını, uyum süreci tamamlandıktan sonra ise devamlılığın sağlanıp sağlanmadığını kontrol ederek sizi karşı karşıya kalabileceğiniz idari ve hukuki yaptırımlardan koruma garantisi sağlar.

Kişisel verilerin korunması ile ilgili yasal düzenlemelere ve Kişisel Verileri Koruma Kurulu tarafından yayımlanan güncel kararlara KVKK mevzuatları sayfamızdan ulaşabilirsiniz.

Ayrıca CottGroup olarak, uyum sürecinizde size sağlayabileceğimiz danışmanlığa dair detayları ve uyum sürecinin tamamlanmasının ardından müşterilerimize sunduğumuz sürdürülebilirlik hizmetlerinin kapsamını incelemek için bizimle iletişime geçebilirsiniz.