Müşteri kaydı tutan, çalışan özlük dosyası bulunduran ya da kamera kullanan her işletme kişisel veri işler ve 6698 sayılı Kanun’un yükümlülüklerine tabidir. Bu yükümlülükler yalnızca birkaç metnin internet sitesine eklenmesinden ibaret değildir; verinin toplanmasından silinmesine kadar bütün sürecin kayıt altına alınmasını gerektirir.
Büromuz şirketlere uyum çalışması ve sürekli danışmanlık verir; veri ihlali, ilgili kişi başvurusu ve Kurul incelemesi gibi durumlarda süreci yönetir.
Hangi konularda çalışıyoruz?
Uyum çalışması
Şirketin işlediği veriler ve süreçler çıkarılır; envanter, politika ve prosedürler hazırlanır, eksikler önceliklendirilir.
Aydınlatma ve açık rıza metinleri
Müşteri, çalışan, aday ve ziyaretçi gibi her veri sahibi grubu için ayrı aydınlatma metni; gerektiği yerde açık rıza metni hazırlanır.
VERBİS kaydı
Kayıt yükümlülüğünün bulunup bulunmadığı değerlendirilir; sicil kaydı envanterle uyumlu biçimde yapılır ve güncellenir.
Sözleşmeler ve yurt dışına aktarım
Veri işleyenlerle yapılacak sözleşmeler, ortak veri sorumluluğu hükümleri ve yurt dışına veri aktarımı için gerekli taahhütler hazırlanır.
Veri ihlali yönetimi
İhlalin kapsamı belirlenir, Kurula ve ilgili kişilere yapılacak bildirimler hazırlanır, alınan önlemler belgelenir.
İlgili kişi başvuruları
Veri sahiplerinden gelen bilgi, düzeltme ve silme taleplerine süresi içinde yanıt verilmesi sağlanır.
Kurul inceleme ve soruşturmaları
Şikâyet üzerine ya da resen başlatılan incelemelerde savunma hazırlanır; idari para cezalarına karşı dava açılır.
Çalışan verileri ve kamera kullanımı
İşe alım, özlük dosyası, e-posta denetimi, konum takibi ve kamera kayıtlarına ilişkin kurallar belirlenir.
Uyum çalışması hangi adımlardan oluşur?
- Mevcut durumun çıkarılması: Hangi verinin, hangi amaçla, kimden toplandığı ve kimlerle paylaşıldığı birim birim belirlenir.
- Veri işleme envanteri: Her faaliyet için hukuki sebep, saklama süresi ve alınan güvenlik önlemleri kayda geçirilir.
- Metinlerin hazırlanması: Aydınlatma ve açık rıza metinleri, saklama ve imha politikası, başvuru formu ve sözleşme hükümleri yazılır.
- Teknik ve idari tedbirler: Erişim yetkileri, kayıtların tutulması, çalışan eğitimi ve gizlilik taahhütleri düzenlenir.
- Kayıt ve güncelleme: Gerekiyorsa sicil kaydı yapılır; süreçler değiştikçe envanter ve metinler güncellenir.
Süreç nasıl ilerler?
Ön değerlendirme
Şirketin faaliyeti, veri işleme hacmi ve mevcut belgeleri incelenir; kapsam ve takvim belirlenir.
BaşlangıçEnvanter ve analiz
Birimlerle görüşülerek veri akışı çıkarılır; riskli süreçler ve eksikler raporlanır.
AnalizBelgelerin hazırlanması
Metinler, politikalar ve sözleşme hükümleri hazırlanır; çalışanlara bilgilendirme yapılır.
UygulamaSürekli destek
Yeni süreçler, başvurular, ihlal bildirimleri ve Kurul yazışmaları için danışmanlık sürdürülür.
Devamlılık
Bilinmesi gereken süreler
| İşlem | Süre | Dayanak |
|---|---|---|
| İlgili kişi başvurusuna yanıt | 30 gün | Başvurunun alındığı tarihten itibaren (KVKK m. 13) |
| Kurula şikâyet | 30 gün | Yanıtın öğrenilmesinden itibaren; her hâlde başvurudan itibaren 60 gün (KVKK m. 14) |
| Veri ihlalinin Kurula bildirimi | 72 saat | İhlalin öğrenilmesinden itibaren (Kurul kararı) |
| İdari para cezasına karşı dava | 60 gün | Kararın tebliğinden itibaren, idare mahkemesinde |
Süreler genel kuralı gösterir; başlangıç tarihi ve istisnalar her dosyada ayrıca değerlendirilmelidir.
Görüşmeye gelirken yanınızda bulunsun
Aşağıdaki belgelerin tamamı elinizde olmayabilir; bulabildiklerinizi getirmeniz ilk değerlendirmeyi hızlandırır.
- Mevcut aydınlatma, rıza ve politika metinleri
- Çalışan, müşteri ve tedarikçi sözleşme örnekleri
- Kullanılan yazılım ve hizmet sağlayıcıların listesi
- Kurul’dan ya da veri sahibinden gelen yazılar
- İhlal olayına ilişkin kayıtlar ve tutanaklar
- Varsa önceki uyum çalışmasının çıktıları
Sık sorulanlar
Her şirket VERBİS’e kaydolmak zorunda mı?
Hayır. Kurulun belirlediği çalışan sayısı ve bilanço ölçütlerinin altında kalan ve ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıt yükümlülüğünden muaftır. Ölçütler zaman zaman güncellenir. Kayıt muafiyeti, Kanun’un diğer yükümlülüklerinden muaf olunduğu anlamına gelmez.
Her veri işleme için açık rıza almak gerekir mi?
Hayır; hatta gereksiz yere açık rıza alınması hukuka aykırı sayılabilir. Sözleşmenin kurulması ve ifası, hukuki yükümlülüğün yerine getirilmesi ya da meşru menfaat gibi kanunda sayılan diğer şartlardan biri varsa rıza aranmaz. Açık rıza, bu şartların bulunmadığı işlemler için başvurulacak yoldur.
Veri ihlali yaşadık. Ne yapmalıyız?
İhlalin kapsamını ve etkilenen kişileri belirleyin, zararı sınırlayacak önlemleri alın ve yaptıklarınızı kayda geçirin. İhlal, öğrenilmesinden itibaren en geç yetmiş iki saat içinde Kurula, makul olan en kısa sürede de etkilenen kişilere bildirilmelidir.
İşyerinde kamera kullanabilir miyiz?
Güvenlik amacıyla ve ölçülü olmak koşuluyla evet. Kameraların izlediği alanlar amaçla sınırlı olmalı, soyunma odası ve tuvalet gibi mahrem alanlar izlenmemeli, çalışanlar ve ziyaretçiler açık biçimde bilgilendirilmeli, kayıtlar gereğinden uzun saklanmamalıdır.
Bir şirket verilerimi izinsiz kullanıyor. Ne yapabilirim?
Önce veri sorumlusuna yazılı olarak başvurmanız gerekir. Otuz gün içinde yanıt verilmez ya da yanıt yetersiz kalırsa Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Zarara uğradıysanız ayrıca tazminat davası açma hakkınız vardır.
Bu sayfa genel bilgi vermek amacıyla hazırlanmıştır; her olayın koşulları farklıdır. Süreler ve parasal sınırlar değişebileceğinden işlem yapmadan önce güncel durumu bir avukatla değerlendirin.
İlgili yazılar
Kişisel Veriler
Veri İhlalinde İlk 72 Saat: Şirketler İçin Yol Haritası
Kişisel veri ihlali fark edildiğinde yapılması gerekenler: kapsamın belirlenmesi, Kurula ve ilgili kişilere bildirim, kayıt altına alma.
2 dk okuma
İş Hukuku
İşe İade Davası: Şartlar, Süreler ve Arabuluculuk
İşe iade isteyebilmek için hangi koşullar aranır, arabulucuya ne zaman başvurulur, dava kazanıldığında işçi neye hak kazanır?
2 dk okuma
İcra ve İflas Hukuku
Ödeme Emrine İtiraz Nasıl Yapılır?
İcra dairesinden gelen ödeme emrine kaç gün içinde, nereye ve nasıl itiraz edilir; itiraz edilmezse ne olur?
2 dk okuma