6698 Kişisel Verilerin Korunması Kanunu Uyum Süreci Çalışmaları
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de kişisel verilerin işlenmesi ve korunmasına ilişkin esasları düzenleyen bir kanundur. 7 Nisan 2016 tarihinde yürürlüğe girmiştir.
KVKK’nın amacı, kişisel verilerin işlenmesinde bireylerin temel hak ve özgürlüklerini korumak, özellikle özel hayatın gizliliğini sağlamak ve kişisel verileri işleyen kişi ya da kurumların uyacakları kuralları belirlemektir.
a. Temel Kavramlar
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (isim, T.C. kimlik numarası, adres, IP adresi, fotoğraf, ses kaydı vb.)
- Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, din, mezhep, sağlık bilgisi, cinsel hayat gibi daha hassas veriler.
- Veri Sorumlusu: Kişisel verilerin işlenme amaç ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
b. 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun Kapsadığı Konular
- Kişisel verilerin işlenme şartları
- İlgili kişinin hakları (veri sahibi bireyin hakları)
- Veri sorumlusunun yükümlülükleri
- Veri güvenliğine ilişkin önlemler
- Veri ihlalleri ve yaptırımlar
- Kişisel Verileri Koruma Kurumu (KVKK) ve Kurulu’nun görevleri
c. 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun Avantajları
Bireyler (Veri Sahipleri) Açısından Avantajları
- Özel hayatın gizliliği korunur
- Haklarını kullanma imkânı sunar
- Şeffaflık sağlar
- Güvenliğin artması
Kurumlar (Veri Sorumluları) Açısından Avantajları
- Yasal uyum sağlanır
- Müşteri güveni artar
- Kurumsal riskler azalır
- Uluslararası uyum avantajı
- Dijitalleşme ve veri yönetimi kültürü gelişir
d. 6698 Sayılı KVKK Uyum Süreci Çalışmaları Aşamaları
- Mevcut Durum Analizi (Gap Analizi)
- Kurumun kişisel veri işleme faaliyetleri detaylıca incelenir.
- Yürürlükteki uygulamalar KVKK ile karşılaştırılır.
- Eksiklikler ve risk alanları belirlenir.
- Veri Envanteri ve Kategorizasyonu (VERBİS’e Hazırlık)
- Kurumda hangi kişisel veriler işleniyor?
- Hangi amaçla, hangi yöntemle, ne kadar süreyle, kimlere aktarılıyor?
- Bu bilgilerle bir kişisel veri işleme envanteri oluşturulur.
Bu envanter, VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı için zorunludur.
- Hukuki Değerlendirme ve Dokümantasyon
Mevcut sözleşmeler, aydınlatma metinleri, açık rıza formları, gizlilik politikaları gözden geçirilir.
- Gerekiyorsa yeni metinler hazırlanır:
- Aydınlatma Metni
- Açık Rıza Beyanı
- Gizlilik Politikası
- İmha Politikası
- İç Yönergeler ve Prosedürler
- Eğitim ve Farkındalık Çalışmaları
- Personelin KVKK hakkında bilgilendirilmesi
- Uygulamada yapılması ve yapılmaması gerekenlerin öğretilmesi
- İç denetim ve farkındalık artırıcı kampanyalar düzenlenmesi
- İdari ve Teknik Tedbirlerin Alınması
İdari tedbirler:
- Personel yetkilendirme
- Erişim sınırlandırmaları
- Eğitim verilmesi
- Görev tanımlarının netleştirilmesi
Teknik tedbirler:
- Veri şifreleme
- Antivirüs, firewall sistemleri
- Erişim logları tutulması
- Yetkisiz erişimin engellenmesi
- Yedekleme ve veri kurtarma sistemleri
- Veri Saklama ve İmha Politikası Oluşturma
- Kişisel verilerin saklama süreleri belirlenir.
- Süresi dolan verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sağlanır.
- Bu süreç yazılı bir politika haline getirilir.
- VERBİS Kaydı
- Veri Sorumlusu sıfatıyla belirli kriterleri sağlayan kurumlar, Kişisel Verileri Koruma Kurulu’nun belirlediği sürelerde VERBİS’e kayıt olmak zorundadır.
- Kayıt sırasında veri envanteri bilgileri girilir.
- Sürekli İzleme, Denetim ve Güncelleme
- Uyum çalışmaları tek seferlik değildir.
- Mevzuattaki değişiklikler ve kurum içi yenilikler doğrultusunda güncellemeler yapılmalıdır.
- Periyodik iç denetimler yapılmalı ve eksiklikler giderilmelidir.