Kvkk Kapsamında Veri Sorumlusunun Yükümlülükleri Nelerdir?

KVKK KAPSAMINDA VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ NELERDİR?

KVKK (Kişisel Verileri Koruma Yasası), verilere sahip olan kişiye ve verilerden sorumlu ve işleyen gerçek veya tüzel kişilere belirli haklar veya yaptırımlar verir. Bu yazımızda, kurumların KVKK kapsamındaki verileri korumak ve yönetmek için uyması gereken kurallardan bahsedilecektir.

KİŞİSEL VERİ NEDİR?

Kişisel veriler, kişiyle ilişkilendirilebilecek tüm bilgileri ifade eder. Doğrudan teşhis sağlayan kişisel olarak tanımlanabilir bilgilere ek olarak, yardımcı veriler yoluyla erişilebilen veriler de kişisel verilerin kapsamına dâhildir. Kişisel verilerin türü ve boyutu her geçen gün arttıkça kişisel veriler daha da önem kazanmaktadır. Bu verilerin işlenmesi, bazı bilgilerin yanı sıra özel bilgilerin gizliliği hakkında bazı endişeleri beraberinde getirmektedir. Bu durum, yetkisiz kişiler tarafından veri yakalanması, bilinçsiz davranışlardan kaynaklanan verilerin ihlali ve kişisel verilerin korunması ile çapraz tartışmalar sonucunda bireylerin veri gizliliğinin yetersizliği gibi konularda yasal düzenlemelere neden olmuştur.

KVKK KAPSAMINDA VERİ SORUMLUSUNUN HAKLARI NELERDİR?

İlgili kişinin kişisel verilerinin işlenip işlenmediğini öğrenmek, işlenmişse bilgi talep etmek, işlemenin amacını bilmek ve amacına uygun kullanılıp kullanılmadığını öğrenmek, kişisel verilerin bulunduğu üçüncü tarafları bilmek yurt içinde veya yurt dışında nakledilen, eksik veya yanlış işleme durumunda kişisel verilerin düzeltilmesini talep etme hakkı vardır. Bunun yanı sıra; verilerin silinmesini veya imha edilmesini talep etme, kişisel verilerin aktarıldığı üçüncü tarafları işlenen verileri analiz ederek kişiye karşı bir sonucun ortaya çıkması, kişisel verilerin kanuna karşı işlenmesinden kaynaklanan hasarın kaldırılmasını talep etmek hakları da vardır.

VERİ DENETÇİSİNİN KVKK KAPSAMINDAKİ SORUMLULUKLARI NELERDİR?

İlgili kişinin verilerinden sorumlu olan ve bu verileri veri denetleyicisinin kararları ile işleyen kişilerin KVKK kapsamında bazı yükümlülükleri vardır. Veri denetleyicisi “kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen ve veri kayıt sisteminin oluşturulmasından ve yönetiminden sorumlu gerçek veya tüzel kişi” olarak tanımlanır.

Aydınlatma Yükümlülüğü: Veri kontrolörünün temel yükümlülüğü aydınlatma yükümlülüğüdür. Aydınlatma yükümlülüğüne göre, veri denetleyicisi kişisel verilerin alınması sırasında ilgili kişiye bazı bilgiler vermelidir. Bunlar;

• Veri denetleyicisinin ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kişisel verilerin kime aktarılabileceği,
• Kişisel verilerin toplanma yöntemi ve yasal nedeni,
• Madde 11’de listelenen diğer haklar.

Olarak belirtilir. İlgili kişi verilerin işlendiği her durumun farkında olmalı ve bu bilgiler hakkında bilgilendirilmelidir.

Veri Güvenliğine İlişkin Yükümlülükler: Yasaya göre, veri güvenliği ile ilgili aşağıdaki konulardan veri denetleyicisi sorumludur:

• Kişisel verilerin yasalara aykırı olarak işlenmesini önlemek,
• Kişisel verilere yasa dışı bir şekilde erişilmesini önlemek,
• Kişisel verilerin korunmasını sağlamak

Veri sorumlusu, bu yükümlülükleri yerine getirmek için her türlü önlemi almak ve yasanın işleyişine ilişkin incelemeler yapmakla yükümlüdür. Kişisel veriler veri denetleyicisi adına başka bir kişi tarafından işlenmişse, her ikisi de güvenlikten sorumludur. Hem veri denetleyicisi hem de verileri işleyen kişi verileri paylaşamaz veya görev bittikten sonra işlemek dışında amaçlar için kullanamaz. Veriler üçüncü taraflarca ele geçirilmişse, bu mümkün olan en kısa sürede rapor edilmelidir.

Veri Kontrolörleri Siciline Kayıt Zorunluluğu: Veri görevlilerini kamuoyu ile paylaşmak ve böylece kişisel verileri daha etkin koruma haklarını kullanabilmek için veri görevlilerinin (VERBİS) sistemine kayıt yaptırması gerekmektedir. Bu sistemde, veri işleme faaliyetleri ile ilgili bilgiler kayıt altına alınmaktadır. VERBİS‘e kaydolma başvurusu şu süreçler içinde geçer:

• Veri kontrolörünün kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçla işleneceği,
• İlgili veri grubu ve bunlara ait veri kategorileri hakkında açıklamalar,
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarılması öngörülen kişisel veriler,
• Kişisel veri güvenliği için alınan önlemler,
• Kişisel verilerin işlenmesi için gereken maksimum süre.

Kişiler Tarafından Yapılan Başvurulara Cevap Verme Yükümlülüğü: Veri amirleri, bildirilen kanunun uygulanması için talepleri kesinleştirmelidir Öğrenmeden sonraki otuz gün içinde kurula şikâyette bulunabilir. Genellikle ücretsiz olan bu işlem gerektiğinde ücret karşılığında da yapılabilir.

Kurul Kararlarını Yerine Getirme Yükümlülüğü: Veri sorumlusu, kurulun şikâyeti halinde veya kurulun bir ihlal tespit etmesi durumunda yasa dışı ihlallerin ortadan kaldırılmasından sorumludur.

KVKK KAPSAMINDAKİ SUÇLAR VE KABAHATLER

Kişisel Verilerin Korunması Kanunu’na uymayanlar için de cezai yaptırımlar vardır. Bu yaptırımlar suçlara ve kabahatlere ayrılmıştır.

Suçlar: Türk Vergi Kanunu’nun 135 ila 140. maddeleri, kişisel verilerle ilgili suçlar için geçerlidir. Türk Ceza Kanunu’nda;

• Bir yıldan üç yıla kadar, kişisel verileri yasaya aykırı olarak kaydedenlere,
• Kişisel verileri iki yıldan dört yıla kadar yasa dışı bir şekilde başkalarına ileten, yayan ya da ileten kişi,
• Kanunda belirtilen sürelere rağmen sistemdeki verileri imha etmekle yükümlü olanlar görevlerini yerine getirmedikleri takdirde bir ila iki yıl hapse mahkûm edildiler.

Kabahatler: Kişisel Verilerin Korunması Hakkında Kanunda;

• Aydınlatma yükümlülüğünü yerine getirmeyenler için 5.000 Türk lirasından 10.000 Türk lirasına,
• Veri güvenliği ile ilgili yükümlülükleri yerine getirmeyenlerden 15.000 Türk lirasından 1.000.000 Türk Lirasına,
• Kurul tarafından alınan kararları yerine getirmeyenler için 25.000 Türk lirasından 1.000.000 Türk Lirasına,
• Veri memurlarının kayıt ve siciline kayıt yapma yükümlülüğüne aykırı davranışlarda bulunan kişilere 20.000 Türk lirası ile 1.000.000 Türk Lirası arasında idari para cezası uygulanır.