Kısa cevap: KVKK iki tarafı kapsar. Bir yanda kişisel veri işleyen herkes vardır: şirketler, şahıs işletmeleri, serbest meslek sahipleri, dernekler, vakıflar ve kamu kurumları. Diğer yanda verisi işlenen gerçek kişiler vardır: müşteriler, çalışanlar, adaylar, ziyaretçiler. Ev içi kişisel faaliyetler gibi bazı durumlar ise kanunun istisnaları arasında yer alır.
KVKK’nın kapsamı iki soruyla anlaşılır
Bir faaliyetin KVKK kapsamında olup olmadığını anlamak için iki soru sorulur: İşlenen bilgi bir gerçek kişiyi tanımlıyor ya da tanımlanabilir kılıyor mu? ve Bu bilgi otomatik yollarla ya da bir kayıt sisteminin parçası olarak mı işleniyor? İki sorunun cevabı da evetse, kanun büyük olasılıkla uygulanır. “İşleme” kavramı çok geniştir: veriyi elde etmek, kaydetmek, saklamak, değiştirmek, aktarmak, sınıflandırmak ve hatta silmek bile işlemedir. Temel kavramlar için KVKK nedir yazımıza bakabilirsiniz.
KVKK kimleri yükümlü kılar?
Veri sorumluları
Kişisel verilerin hangi amaçla ve nasıl işleneceğine karar veren gerçek veya tüzel kişilerdir. Pratikte neredeyse her işletme veri sorumlusudur:
- Şirketler: Anonim, limited ve diğer ticari şirketler; çalışan, müşteri ve tedarikçi yetkilisi verisi işledikleri için.
- Şahıs işletmeleri ve esnaf: Müşteri telefonu, randevu kaydı, kamera görüntüsü tutan bir kuaför ya da bakkal da veri sorumlusudur.
- Serbest meslek sahipleri: Avukatlar, mali müşavirler, doktorlar, psikologlar; çoğu zaman özel nitelikli veri de işledikleri için ayrıca dikkatli olmalıdır.
- Dernek, vakıf ve sendikalar: Üye, bağışçı ve gönüllü verileri nedeniyle.
- Kamu kurum ve kuruluşları: Vatandaş verilerini işleyen tüm kamu birimleri.
- Apartman ve site yönetimleri: Sakin bilgileri, aidat kayıtları ve kamera görüntüleri nedeniyle.
Veri işleyenler
Veri sorumlusunun talimatıyla ve onun adına veri işleyen taraflardır: bordro firması, muhasebe bürosu, bulut ve barındırma sağlayıcısı, çağrı merkezi, kargo firması, yazılım hizmet sağlayıcısı. Veri işleyenler de kanun kapsamındadır ve veri güvenliğinden veri sorumlusuyla birlikte sorumlu tutulur. Bu nedenle aralarındaki ilişkinin yazılı bir sözleşmeyle tanımlanması önerilir.
KVKK kimleri korur?
Kanun yalnızca gerçek kişileri korur. Şirketlerin ticari unvanı, vergi numarası veya bilanço bilgileri kişisel veri değildir; ancak:
- Şirket çalışanlarının ve yetkililerinin ad, e-posta, telefon bilgileri,
- Şahıs şirketlerinde işletme sahibinin bilgileri,
- Web sitenizi ziyaret eden kişilerin IP adresleri ve çerez verileri,
- Ofise giren ziyaretçilerin kamera görüntüleri ve giriş kayıtları,
- İş başvurusu yapan adayların CV’leri
kişisel veri sayılır ve kanunun koruması altındadır. Yabancı uyruklu kişilerin Türkiye’de işlenen verileri de korunur.
KVKK’nın istisnaları nelerdir?
Kanun bazı durumları tamamen ya da kısmen kapsam dışında bırakır. Genel hatlarıyla:
- Ev içi ve kişisel faaliyetler: Bir kişinin yalnızca kendisini veya aynı konutta yaşayan aile bireylerini ilgilendiren faaliyetler için veri işlemesi, verilerin üçüncü kişilere verilmemesi ve güvenliğe ilişkin yükümlülüklere uyulması şartıyla.
- Anonim istatistik: Resmi istatistik ile anonim hale getirilerek araştırma, planlama ve istatistik amacıyla işlenmesi.
- Sanat, tarih, edebiyat ve bilimsel amaçlar: Belirli sınırlar içinde, millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni, ekonomik güvenlik, özel hayatın gizliliği ve kişilik haklarını ihlal etmemek ya da suç oluşturmamak kaydıyla.
- Kamu güvenliği ve yargı faaliyetleri: Kanunla yetkilendirilmiş kamu kurumlarının belirli görevleri ve yargı merciilerinin işlemleri.
- Kısmi istisnalar: Bazı durumlarda aydınlatma, ilgili kişi hakları ve VERBİS gibi yükümlülükler uygulanmayabilir.
İstisnalar dar yorumlanır. Bir faaliyetin istisna kapsamında olduğunu varsaymadan önce hukuki değerlendirme yapılmalıdır.
Kapsam ile VERBİS zorunluluğu aynı şey değil
En sık karıştırılan konu budur: Bir işletmenin VERBİS’e kayıt zorunluluğu olmaması, KVKK’dan muaf olduğu anlamına gelmez. Kurul, çalışan sayısı ve mali büyüklük gibi kriterlerle bazı veri sorumlularını sicile kayıt yükümlülüğünden muaf tutmuştur; ancak bu işletmeler de aydınlatma, veri güvenliği ve başvuru yanıtlama yükümlülüklerine tabidir. Ayrıntılar için KVKK hangi şirketler için zorunlu yazımıza göz atın.
Pratik bir örnek
İstanbul’da on kişilik bir mimarlık ofisi düşünelim. Çalışanların özlük dosyaları, müşterilerin iletişim bilgileri, şantiye fotoğraflarında görünen kişiler, web sitesindeki iletişim formuna gelen mesajlar ve ofis girişindeki kamera kayıtları kişisel veridir. Ofis, bu veriler için veri sorumlusudur; bordroyu yapan mali müşavir ve projeleri sakladığı bulut sağlayıcı ise veri işleyen konumundadır. Ofis VERBİS kaydından muaf olsa bile aydınlatma ve güvenlik yükümlülükleri geçerlidir.
Yurt dışındaki şirketler KVKK’ya tabi mi?
Türkiye’deki kişilere ait verileri Türkiye’de işleyen ya da Türkiye’deki kişilere yönelik faaliyet gösteren yabancı veri sorumluları da kanunun kapsamına girebilir; bu durumda bazı yükümlülükler için Türkiye’de temsilci atanması gündeme gelir. Türk şirketlerinin yurt dışındaki bulut veya yazılım hizmetlerini kullanması ise “yurt dışına veri aktarımı” kurallarını gündeme getirir. Bu kurallar son yıllarda değişikliğe uğradığından, güncel aktarım şartlarını mutlaka hukuk danışmanınızla teyit edin.
Sık yapılan hatalar
- “Sadece kurumsal müşterilerle çalışıyoruz, KVKK bizi ilgilendirmez” demek; muhatap kişilerin bilgileri yine kişisel veridir.
- Çalışan verilerini unutmak; özlük dosyaları, sağlık raporları ve bordro en hassas veriler arasındadır.
- Hizmet aldığınız yazılım ve bulut firmalarını veri işleyen olarak tanımlamamak.
Not: Bu içerik genel bilgilendirme amaçlıdır; kapsam ve istisnaların şirketinize uygulanışını güncel mevzuata göre avukatınıza teyit ettirin.
Racoun nasıl yardımcı olur?
Racurity, KVKK uyum sürecinin teknik ayağında yanınızdadır: hangi sistemde hangi kişisel verinin tutulduğunu çıkaran envanter çalışması, yetkilendirme, şifreleme ve verinin Türkiye’de kaldığı yerli bulut seçenekleri. Daha geniş bir bakış için bilişim ve teknoloji hizmetlerimizi inceleyebilirsiniz.
Sık sorulan sorular
Şahıs şirketi KVKK’ya tabi mi?
Evet. Müşteri, çalışan veya ziyaretçi verisi işleyen şahıs işletmeleri de veri sorumlusudur. VERBİS kaydından muaf olabilirler, ancak aydınlatma ve veri güvenliği yükümlülükleri devam eder.
Muhasebe bürosu veya yazılım firması veri sorumlusu mu, veri işleyen mi?
Duruma göre değişir. Sizin adınıza ve talimatınızla bordro veya kayıt işlemi yapan firma genellikle veri işleyendir; kendi amaçları için veri işlediği alanlarda ise kendisi veri sorumlusudur.
Vefat eden kişilerin verileri KVKK kapsamında mı?
Kanun yaşayan gerçek kişileri korumayı amaçlar; ancak vefat eden kişiye ait verilerin yakınlarını tanımlayabilmesi gibi durumlar ayrıca değerlendirilmelidir. Somut durum için hukuki görüş alınması önerilir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
