KVKK Kapsamında Bir Şirketin Yapması Gerekenler

 2016 yılında yürürlüğe giren Kişisel Verileri Koruma Kanunu kapsamında veri

güvenliğine ilişkin yükümlülükleri yerine getirmek zorunluluktur. Yükümlülükleri yerine

getirmeyenler hakkında Kişisel Verileri Koruma Kanunu madde 18’de idari para cezalarına

ilişkin düzenleme yer almaktadır. “KVKK madde 18’e göre;”  (1) Bu Kanunun;

a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler

hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,

b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine

getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,

c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler

hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,

ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim

yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk

lirasına kadar, idari para cezası verilir. “

Kanunun veri güvenliğine ilişkin 12. maddesine göre veri sorumlusu; kişisel verilerin hukuka

aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

kişisel verilerin muhafazasını sağlamak ile yükümlüdür. Veri sorumlusu, kişisel verilerin

kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, gerekli tedbirlerin

alınması hususunda bu kişilerle birlikte müştereken sorumludur. Dolayısıyla veri işleyenler de

veri güvenliğinin sağlanması için tedbir alma yükümlülüğü altındadır. Veri sorumlusu bu

yükümlülüklerini yerine getirmek amacıyla uygun güvenlik düzeyini temin etmeye yönelik

gerekli her türlü teknik ve idari tedbirleri almak zorundadır.  Bu doğrultuda kişisel verilerin

korunması hukuku kapsamında bir şirket;

1- Veri envanterini oluşturmalı,

2- Kurumsal politika prosedürlerini belirlemeli (veri işleme ve saklama politikası,

imha politikası, bilgi güvenliği politikası, özel nitelikli veri politikası vs. ),

3- Çalışan, müşteri, tedarikçi vs. kişi grupları ile kişisel verilerin gizliliğine ilişkin

gizlilik sözleşmeleri ve taahhütnameler imzalamalı,

4- Bu kişi gruplarını aydınlatma metinleri ile bilgilendirmeli,

5- Bu kişi gruplarından kişisel verilerinin işlenmesine yönelik açık rızasını almalı,

6- Kişisel verilerin güvenliği ile ilgili risk analizi yapmalı,

7- Şirket çalışanlarına farkındalık eğitimi vermeli,

8- Nihayetinde VERBİS kaydı yapılmalıdır.

1.ADIM: VERİ İŞLEME VE SAKLAMA POLİTİKASI, İMHA POLİTİKASI, BİLGİ

GÜVENLİĞİ POLİTİKASI, ÖZEL NİTELİKLİ VERİ POLİTİKASI

Kanunun 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve

ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar

muhafaza edilmesi gerektiği belirtilmiştir. Buna göre, kişisel veriler, ilgili mevzuatta

öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

Kişisel veri saklama ve imha politikasında asgari olarak aşağıdaki hususların bulunması

zorunludur:

• Kişisel veri saklama ve imha politikasının hazırlanma amacı

• Kişisel veri saklama ve imha politikası ile düzenlenen kayıt ortamları

• Kişisel veri saklama ve imha politikasında yer verilen hukuki ve teknik terimlerin tanımları

• Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere

ilişkin açıklamalar

• Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve

erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler

• Kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari

tedbirler

• Kişisel verileri saklama ve imha süreçlerinde yer alanların unvanları, birimleri ve görev

tanımları

• Saklama ve imha sürelerini gösteren tablo

• Periyodik imha süreleri

• Mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu

değişiklik.

Veri sorumlusu tarafından hazırlanan veri güvenliğine ilişkin iç disiplin hükümlerinin ve diğer

politikaların sağlıklı bir şekilde yürümesi için görev tanımları ve verilere erişimi olacak

pozisyonlardaki kişilerin net bir şekilde belirlenmesi gerekmektedir. Burada kişi (isim/soy

isim) temel bir tanımlama yerine pozisyon gereği bir tanımlama yapmak işin sürekliliğine

daha uygun olacaktır. Örneğin insan kaynakları yöneticisi pozisyonundaki bir kişinin

erişebileceği veriler ile insan kaynakları elemanı pozisyonundaki bir kişinin erişebileceği

veriler farklı olabilir. Yönetici pozisyonundaki kişiye daha çok veriye ulaşma yetkisi

verilebilir. Ayrıca bu politika ile verilerin fiziksel ve dijital olarak bulunduğu ortamlara giriş

çıkışlar ve bu konudaki yetkilendirme de düzenlenebilir.

2. ADIM: ÇALIŞAN, MÜŞTERİ, TEDARİKÇİ VS. KİŞİ GRUPLARI İLE KİŞİSEL

VERİLERİN GİZLİLİĞİNE İLİŞKİN GİZLİLİK SÖZLEŞMELERİ VE

TAAHHÜTNAMELER İMZALANMALI (EK-1)

3. ADIM: BU KİŞİ GRUPLARINI AYDINLATMA METNİ İLE BİLGİLENDİRMELİ

(EK-2)

4. ADIM: KİŞİSEL VERİLERİN GÜVENLİĞİ İLE İLGİLİ RİSK ANALİZİ

YAPILMALI

5. ADIM: ŞİRKET ÇALIŞANLARINA FARKINDALIK EĞİTİMİ VERİLMELİ