6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen gerçek ve tüzel kişilere çeşitli yükümlülükler getirir. Bu yazıda, özellikle küçük ve orta ölçekli işletmelerin sıklıkla sorduğu temel yükümlülükleri bir arada aktarıyoruz.
Aydınlatma yükümlülüğü
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi; kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmek zorundadır. Aydınlatma metninin açık rızadan ayrı tutulması ve anlaşılır bir dille hazırlanması gerekir.
Veri güvenliği
Kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirler alınmalıdır. Yetki matrisi, erişim kayıtları, şifreleme, çalışan eğitimleri ve veri işleyenlerle yapılan sözleşmeler bu tedbirlere örnektir. Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde durum, en kısa sürede ilgili kişiye ve Kurul'a bildirilmelidir.
VERBİS kaydı
Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemine kayıt olmakla yükümlüdür. Ancak Kurul kararlarıyla, belirli çalışan sayısı ve yıllık mali bilanço eşiklerinin altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıt yükümlülüğünden istisna tutulmuştur. İstisna kapsamında olup olmadığınızın güncel eşiklere göre kontrol edilmesi önerilir.
İlgili kişi başvuruları
İlgili kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklarını veri sorumlusuna başvurarak kullanabilir. Başvurular, niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır.
2024 değişiklikleri
7499 sayılı Kanun ile özel nitelikli kişisel verilerin işlenme şartları genişletilmiş, yurt dışına aktarım için yeterlilik kararı, standart sözleşme ve bağlayıcı şirket kuralları gibi yeni mekanizmalar getirilmiştir. Standart sözleşme kullanılarak yapılan aktarımların, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurul'a bildirilmesi gerekir.
Nereden başlamalı?
Uyum çalışmasına başlarken önce hangi birimin hangi kişisel veriyi, hangi amaçla ve ne kadar süreyle işlediğini gösteren bir veri envanteri hazırlanması önerilir. Envanter; aydınlatma metinlerinin, saklama ve imha politikasının ve teknik tedbirlerin doğru kurgulanması için temel oluşturur. Ardından çalışanlara yönelik kısa bir bilgilendirme yapılması, uygulamanın günlük işleyişe yerleşmesine yardımcı olur.
Uyum çalışması her işletmenin veri envanterine göre şekillenir. Bu yazıdaki bilgiler geneldir ve somut değerlendirme yerine geçmez.
Bu yazı yayın tarihindeki mevzuata göre genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş niteliği taşımaz.
