Kısa cevap: KVKK, kişisel veri işleyen bütün şirketler için zorunludur. Tek çalışanı olan bir şahıs işletmesi de, binlerce çalışanı olan bir holding de çalışan ve müşteri verisi işlediği için kanuna tabidir. Şirketin büyüklüğü yalnızca VERBİS’e kayıt gibi bazı yükümlülüklerde fark yaratır; aydınlatma, veri güvenliği, başvuruları yanıtlama ve ihlal bildirimi herkes için geçerlidir.
“KVKK bizi kapsamaz” neden çoğu zaman yanlıştır?
Bir şirketin KVKK kapsamı dışında kalması için hiçbir gerçek kişiye ait veri işlememesi gerekir. Oysa en küçük işletme bile çalışanlarının kimlik ve bordro bilgilerini, müşterilerinin telefon numaralarını, web sitesi ziyaretçilerinin IP adreslerini ya da kamera görüntülerini işler. Bu nedenle soru “KVKK bize uygulanır mı?” değil, “Hangi yükümlülükler bize uygulanır?” olmalıdır. Kapsamın ayrıntıları için KVKK kimleri kapsar yazımıza bakabilirsiniz.
Her şirket için zorunlu olan yükümlülükler
- Aydınlatma yükümlülüğü: Veri toplanırken ilgili kişiyi bilgilendirmek. Müşteri, çalışan, aday ve ziyaretçi için ayrı metinler hazırlanmalıdır.
- Hukuki sebebe dayalı işleme: Her veri işleme faaliyetinin kanundaki işleme şartlarından birine dayanması; gerektiğinde açık rıza alınması.
- Veri güvenliği: Yetkisiz erişimi, kaybı ve hukuka aykırı işlemeyi önleyecek teknik ve idari tedbirler: erişim yetkileri, parola politikası, şifreleme, yedekleme, gizlilik taahhütleri, eğitim.
- İlgili kişi başvurularını yanıtlama: Kişilerin bilgi talebi, düzeltme ve silme gibi başvurularını mevzuattaki süre içinde cevaplamak.
- Silme, yok etme, anonimleştirme: İşleme sebebi ortadan kalkan verileri ortadan kaldırmak.
- İhlal bildirimi: Veriler hukuka aykırı olarak başkalarınca ele geçirildiğinde Kurul’a ve ilgili kişilere bildirim yapmak.
- Yurt dışı aktarım kurallarına uyum: Yurt dışında sunucusu olan bulut, e-posta veya yazılım hizmetleri kullanılıyorsa aktarım şartlarını sağlamak.
Büyüklüğe ve faaliyete bağlı yükümlülükler
VERBİS kaydı
Kurul, yıllık çalışan sayısı ve yıllık mali bilanço toplamı gibi kriterlerle bazı veri sorumlularını sicile kayıt yükümlülüğünden muaf tutmuştur. Ancak ana faaliyeti özel nitelikli kişisel veri işlemek olanlar, küçük olsalar bile kayıt yükümlüsü olabilir. Yurt dışında yerleşik veri sorumluları da genel olarak kayıt yükümlüsüdür. Adımlar için VERBİS kaydı nasıl yapılır yazımıza bakabilirsiniz.
Saklama ve imha politikası
Sicile kayıt yükümlüsü olan veri sorumlularının, kişisel verilerin saklama sürelerini ve imha yöntemlerini gösteren bir politika hazırlaması beklenir. Kayıt yükümlüsü olmayan şirketler için de böyle bir politika, verileri gereğinden uzun tutmamak açısından iyi bir uygulamadır.
Sektörlere göre dikkat edilmesi gerekenler
- Sağlık (klinik, laboratuvar, eczane, fizyoterapi): Sağlık verisi özel nitelikli veridir; ek güvenlik önlemleri ve sıkı erişim kontrolü gerekir.
- E-ticaret: Üyelik, sipariş, ödeme, kargo ve pazarlama izinleri ayrı ayrı ele alınmalı; ticari elektronik ileti kuralları ve İYS de devreye girer.
- İnsan kaynakları ve işe alım firmaları: Aday CV’leri, referanslar ve özlük dosyaları yoğun kişisel veri içerir.
- Eğitim kurumları: Çocuklara ve velilere ait veriler hassas kabul edilmeli; fotoğraf ve video paylaşımları için dikkatli olunmalıdır.
- Otel, restoran ve perakende: Kamera kayıtları, rezervasyon bilgileri ve sadakat programları başlıca konulardır.
- Finans, sigorta ve aracı kurumlar: KVKK’nın yanında sektöre özgü düzenleyicilerin (BDDK, SPK gibi) kuralları da uygulanabilir.
- Serbest meslek (avukat, mali müşavir, psikolog): Meslek sırrı yükümlülükleriyle KVKK birlikte değerlendirilmelidir.
Şirket türüne göre fark var mı?
Anonim şirket, limited şirket, şahıs işletmesi, kooperatif veya dernek olmanız KVKK’nın uygulanmasını değiştirmez. Değişen, kimin veri sorumlusu sayıldığıdır: tüzel kişilerde şirketin kendisi, şahıs işletmelerinde ise işletme sahibi gerçek kişi veri sorumlusudur. Grup şirketlerinde her tüzel kişi ayrı veri sorumlusudur; grup içi veri paylaşımı da “aktarım” sayılır ve hukuki sebep gerektirir.
Uyum neden yalnızca hukuki bir konu değil?
KVKK çoğu zaman bir “metin işi” olarak görülür; oysa yükümlülüklerin önemli bir kısmı doğrudan teknolojiyle ilgilidir. Veri güvenliği yükümlülüğü; kimin hangi klasöre erişebildiğini, dizüstü bilgisayarların şifreli olup olmadığını, yedeklerin nerede tutulduğunu, ayrılan çalışanın hesaplarının ne zaman kapatıldığını ve log kayıtlarının tutulup tutulmadığını kapsar. Web sitesindeki formlar, çerezler, CRM ve e-posta pazarlama araçları da veri işleme noktalarıdır. Bu yüzden etkili bir uyum çalışması; hukuk danışmanı, BT ekibi ya da hizmet sağlayıcı ve ilgili departman yöneticilerinin birlikte çalışmasını gerektirir.
Uyuma nereden başlamalı?
- Kişisel veri envanterini çıkarın.
- Aydınlatma metinlerini ve gerekiyorsa açık rıza metinlerini hazırlayın.
- VERBİS durumunuzu netleştirin.
- Teknik ve idari güvenlik tedbirlerini gözden geçirin ve belgeleyin.
- Başvuru ve ihlal müdahale süreçlerini yazılı hale getirin.
- Çalışanlara kısa bir KVKK ve bilgi güvenliği eğitimi verin.
Sık yapılan hatalar
- VERBİS muafiyetini KVKK muafiyeti sanmak.
- Yalnızca web sitesine metin koyup şirket içindeki süreçleri ele almamak.
- Çalışan verilerini “zaten bizim” diyerek kapsam dışı görmek.
- Grup şirketleri arasında veri paylaşımını hukuki değerlendirme olmadan yapmak.
- Bulut ve SaaS hizmetlerinin verileri yurt dışında tutup tutmadığını hiç kontrol etmemek.
Not: Bu yazı genel bilgilendirme amaçlıdır. VERBİS eşikleri ve muafiyetler gibi kriterler değişebilir; şirketinize özgü yükümlülükleri mali müşavirinize ve avukatınıza teyit ettirin.
Racoun nasıl yardımcı olur?
Racurity, KVKK uyum danışmanlığı ile özellikle teknik tedbirler ve veri envanterinin sistemlere yansıması konusunda destek verir. Verinin Türkiye’de kalması öncelikliyse yerli bulut çözümlerini, bilgi güvenliğini sistematik hale getirmek istiyorsanız ISO 27001 danışmanlığını uzman çözüm ortaklarımızın altyapısıyla, tek muhatapla sunarız.
Sık sorulan sorular
Tek kişilik şahıs şirketi KVKK’ya uymak zorunda mı?
Evet. Müşteri, tedarikçi yetkilisi ya da ziyaretçi verisi işleyen her işletme veri sorumlusudur. VERBİS kaydından muaf olabilir, ancak aydınlatma ve veri güvenliği yükümlülükleri devam eder.
Sadece B2B çalışan şirketler KVKK’dan muaf mı?
Hayır. Kurumsal müşterilerinizin çalışanlarına ait ad, e-posta ve telefon bilgileri kişisel veridir. Ayrıca kendi çalışanlarınızın verileri de kanun kapsamındadır.
KVKK uyumu bir kez yapılınca biter mi?
Hayır. Yeni yazılımlar, yeni pazarlama kanalları, çalışan değişiklikleri ve mevzuat güncellemeleri nedeniyle uyum sürekli gözden geçirilmesi gereken bir süreçtir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
