KVKK nedir? (Kişisel Verilerin Korunması Kanunu rehberi)

Kısa cevap: KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Türkiye’de bir gerçek kişiyi tanımlayan ya da tanımlanabilir kılan her türlü bilginin (ad, telefon, e-posta, IP adresi, kamera görüntüsü gibi) nasıl toplanacağını, işleneceğini, saklanacağını ve silineceğini düzenler. Şirketlere aydınlatma, veri güvenliği ve başvuru yanıtlama gibi yükümlülükler getirir; denetimi Kişisel Verileri Koruma Kurumu yapar.

KVKK’nın amacı nedir?

Kanunun temel amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumaktır. 2016’da yürürlüğe giren kanun, Avrupa Birliği’nin veri koruma yaklaşımından esinlenmiştir; bu yüzden GDPR ile pek çok ortak kavram taşır, ancak iki düzenleme birebir aynı değildir. Kanun ikincil mevzuat, Kurul kararları ve rehberlerle desteklenir ve zaman içinde değişikliklere uğrayabilir.

KVKK’nın temel kavramları

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Tüzel kişilere (şirketlere) ait bilgiler bu kapsamda değildir; ancak şirket çalışanının adı ve e-postası kişisel veridir.
• Özel nitelikli kişisel veri: Sağlık, biyometrik ve genetik veriler, din, mezhep, siyasi düşünce, sendika üyeliği, ceza mahkûmiyeti gibi, ifşası halinde ayrımcılığa yol açabilecek veriler. Daha sıkı şartlara ve ek güvenlik önlemlerine tabidir.
• İlgili kişi: Verisi işlenen gerçek kişi: müşteri, çalışan, aday, ziyaretçi, tedarikçi yetkilisi.
• Veri sorumlusu: Verinin işlenme amaç ve yöntemini belirleyen kişi ya da kurum; çoğu durumda şirketin kendisidir.
• Veri işleyen: Veri sorumlusu adına ve onun talimatıyla veri işleyen taraf; örneğin bordro hizmeti veren firma, bulut sağlayıcı ya da çağrı merkezi.
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Kişisel veriler hangi şartlarla işlenebilir?

Kanun, kişisel verilerin işlenmesinde bazı genel ilkeler koyar: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve gerektiğinde güncellik, belirli, açık ve meşru amaçlar, amaçla bağlantılı, sınırlı ve ölçülü olma ve yalnızca gerekli süre kadar saklama. Veri işlemek için açık rıza tek yol değildir; kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ya da meşru menfaati gibi işleme şartları da vardır. Sık yapılan bir hata, her işlem için açık rıza toplamaya çalışmaktır; başka bir hukuki sebebe dayanan işlemde açık rıza istemek yanıltıcı olabilir.

Şirketlerin KVKK kapsamındaki temel yükümlülükleri

1. Aydınlatma yükümlülüğü: Veri toplanırken kişiye kimin, hangi amaçla, hangi hukuki sebeple veri işlediği, kimlere aktarabileceği ve hakları anlatılır. Nasıl hazırlanacağını KVKK aydınlatma metni nasıl hazırlanır yazımızda anlattık.
2. Veri güvenliği: Verilere hukuka aykırı erişimi ve verilerin kaybını önlemek için uygun teknik ve idari tedbirler alınır: yetkilendirme, şifreleme, log kaydı, yedekleme, gizlilik sözleşmeleri, eğitim gibi.
3. İlgili kişi başvurularını yanıtlama: Kişiler verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme gibi haklarını kullanmak için başvurabilir; başvurular mevzuatta öngörülen süre içinde yanıtlanmalıdır.
4. Silme, yok etme veya anonimleştirme: İşleme sebebi ortadan kalkan veriler, saklama ve imha politikasına göre ortadan kaldırılır.
5. VERBİS kaydı: Kurul’un belirlediği istisnalara girmeyen veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne kaydolur. Ayrıntılar VERBİS kaydı nasıl yapılır yazımızda.
6. İhlal bildirimi: Verilerin hukuka aykırı yollarla başkalarınca elde edilmesi halinde Kurul’a ve ilgili kişilere bildirim yapılır.

İlgili kişinin hakları

Verisi işlenen kişi; verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluşmuşsa silinmesini isteme ve uğradığı zararın giderilmesini talep etme gibi haklara sahiptir. Şirketlerin bu başvuruları alacak bir kanal ve iç süreç tanımlaması gerekir.

KVKK’ya uyum nereden başlar?

Uyum çalışması genellikle bir kişisel veri envanteri ile başlar: hangi departman hangi veriyi, hangi amaçla, hangi hukuki sebeple topluyor, nerede saklıyor, kimlerle paylaşıyor ve ne kadar süre tutuyor? Bu tablo çıkarıldığında aydınlatma metinleri, açık rıza ihtiyacı, saklama ve imha politikası ve teknik güvenlik önlemleri çok daha net belirlenir. Envanterin nasıl hazırlanacağını kişisel veri envanteri rehberimizde adım adım anlattık.

KVKK ile GDPR arasındaki fark

• KVKK Türkiye’deki veri işleme faaliyetlerini düzenler; GDPR ise AB’de yerleşik olanlar ile AB’deki kişilere mal ve hizmet sunan ya da onların davranışlarını izleyen kuruluşları kapsar.
• AB’deki müşterilere satış yapan bir Türk şirketi her iki düzenlemeye birden tabi olabilir.
• Kavramlar benzer olsa da işleme şartları, kayıt yükümlülüğü ve yurt dışına aktarım kuralları farklılık gösterir.

Sık yapılan hatalar

• Web sitesine başka bir siteden kopyalanmış aydınlatma metni koymak.
• Aydınlatma ile açık rızayı tek bir onay kutusunda birleştirmek.
• Kamera kayıtlarını, eski CV’leri ve yedeklerdeki verileri envantere dahil etmemek.
• KVKK’yı yalnızca hukuki bir metin işi sanıp teknik güvenlik önlemlerini ihmal etmek.

Not: Bu yazı genel bilgilendirme amaçlıdır. Mevzuat ve Kurul kararları değişebilir; şirketinize özgü durumlar için güncel durumu avukatınıza veya KVKK danışmanınıza teyit ettirin.

Racoun nasıl yardımcı olur?

Racurity, KVKK ve GDPR uyum sürecinin özellikle teknik tarafını destekler: veri envanteri çalışması, erişim yetkileri, şifreleme, log yönetimi ve veri sızıntısı önleme (DLP) gibi tedbirler. Web tarafında ise kurumsal web sitelerimizi KVKK uyumlu formlar ve çerez yönetimiyle teslim ederiz; hukuki metinleri ise hukuk danışmanınızla birlikte konumlandırırız.

Sık sorulan sorular

KVKK sadece büyük şirketler için mi geçerli?

Hayır. Kişisel veri işleyen her gerçek ve tüzel kişi KVKK’ya tabidir. Şirket büyüklüğü bazı yükümlülüklerde, örneğin VERBİS kaydı zorunluluğunda, fark yaratabilir ama aydınlatma ve veri güvenliği yükümlülükleri herkes için geçerlidir.

Şirket bilgileri KVKK kapsamında mı?

Tüzel kişinin unvanı, vergi numarası gibi bilgileri kişisel veri değildir. Ancak şirket çalışanlarının, yetkililerinin ve şahıs şirketi sahiplerinin bilgileri kişisel veri sayılır.

KVKK’yı kim denetler?

Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler. Kurul şikâyet ve ihbarları inceler, ihlal bildirimlerini alır ve idari yaptırım uygulayabilir.

Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.