KVKK Avukatı

Müşteri kayıtları, çalışan dosyaları, hasta bilgileri, kamera görüntüleri ve internet sitesi formları; bugün hemen her işletme, farkında olsun ya da olmasın, her gün kişisel veri işliyor. Mersin’de KVKK avukatı olarak hem 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyum sağlamak isteyen şirket ve kurumlara, hem de kişisel verileri hukuka aykırı biçimde işlenen, paylaşılan ya da ele geçirilen kişilere hukuki destek veriyorum. Veri sorumlusu açısından amaç, yaptırım riskini doğuran eksikleri bir ihlal yaşanmadan gidermek; verisi ihlal edilen kişi açısından ise kanunun tanıdığı başvuru ve şikâyet yollarını doğru sırayla ve süresinde kullanmaktır.

KVKK Avukatı Hangi Konularda Destek Verir?

• Veri envanteri, kişisel veri işleme politikası ve saklama-imha süreçleriyle KVKK uyum çalışması
• VERBİS kayıt yükümlülüğünün değerlendirilmesi ve kaydın yapılması
• Aydınlatma metinleri ve açık rıza metinlerinin hazırlanması
• Çalışan verilerinin ve işyeri kamera kayıtlarının hukuka uygun yönetimi
• Çerez politikası ve internet sitesi uyumu
• Veri işleyen sözleşmeleri ve yurt dışına veri aktarımı
• Veri ihlali yaşandığında Kurul’a ve ilgili kişilere bildirim süreci
• İlgili kişi başvurularının cevaplanması ve Kurul’a yapılan şikâyetlere karşı savunma
• Verileri hukuka aykırı işlenen kişiler adına başvuru, şikâyet ve tazminat talepleri

Kişisel Veri Nedir, KVKK Kimleri Kapsar?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, kimlik numarası, telefon, adres, banka bilgisi, IP adresi, konum ve kamera görüntüsü bunlardan yalnızca birkaçıdır. Sağlık verileri, biyometrik ve genetik veriler, ceza mahkûmiyeti, din ve sendika üyeliği gibi bilgiler ise özel nitelikli kişisel veri sayılır ve daha sıkı kurallara tabidir.

Kanun, verilerin işlenme amaç ve vasıtalarını belirleyen kişiyi veri sorumlusu olarak kabul eder. Bu nedenle KVKK yalnızca büyük şirketleri değil; çalışanı olan her işvereni, internet sitesi üzerinden form toplayan işletmeleri, e-ticaret sitelerini, sağlık kuruluşlarını, okulları, dernekleri ve site yönetimlerini de ilgilendirir. Veri işleme kavramı; verinin elde edilmesinden kaydedilmesine, saklanmasına, aktarılmasına ve silinmesine kadar her işlemi kapsar.

Veri Sorumlusunun Temel Yükümlülükleri

Kişisel veriler hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli, yalnızca gerekli süre kadar saklanmalıdır. Her veri işleme faaliyeti kanunda sayılan bir hukuki sebebe dayanmalıdır: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi veya korunması, veri sorumlusunun meşru menfaati ve bunların hiçbiri yoksa açık rıza. İşleme sebebi ortadan kalkan veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Veri sorumlusu ayrıca verilerin güvenliği için gerekli teknik ve idari tedbirleri almak zorundadır. Veri envanterinin çıkarılması, erişim yetkilerinin belirlenmesi ve saklama-imha politikasının hazırlanması gibi adımlar KVKK uyum süreci kapsamında birlikte planlanır.

Aydınlatma Yükümlülüğü ve Açık Rıza

Veri sorumlusu, verileri elde ederken ilgili kişiye kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve kanundan doğan haklarını bildirmek zorundadır. Bu yükümlülük, açık rıza aranmayan durumlarda da geçerlidir. Aydınlatma metinleri işletmenin gerçek veri akışına göre hazırlanmalıdır; başka bir işletmeden alınan genel metinler çoğu zaman eksik ya da yanıltıcı kalır.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Başka bir hukuki sebep varken ayrıca rıza istenmesi, rıza beyanının aydınlatma metnine gömülmesi ya da hizmetin rıza verilmesi şartına bağlanması sık yapılan hatalardır. Açık rıza süreçleri kurulurken önce hangi işlemin gerçekten rızaya ihtiyaç duyduğu belirlenmelidir; yalnızca bir onay kutusu eklemek yeterli değildir.

VERBİS Kaydı

Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt, kanunun genel kuralıdır. Kişisel Verileri Koruma Kurulu, çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusu gibi ölçütlerle bazı veri sorumlularını bu yükümlülükten istisna tutmuştur. Bu ölçütler Kurul kararlarıyla zaman içinde değiştiği için kayıt yükümlülüğü güncel kararlara göre ayrıca değerlendirilmelidir. Kayıt yapıldıktan sonra bilgilerde değişiklik olduğunda sicilin de güncellenmesi gerekir. Ayrıntılar için VERBİS sayfasına bakabilirsiniz.

Veri İşleyenler ve Yurt Dışına Aktarım

Muhasebe, bordro, yazılım, bulut, kargo veya çağrı merkezi hizmeti alınan firmalar çoğu zaman şirket adına kişisel veri işler. Veri sorumlusu, veri güvenliği tedbirleri bakımından bu veri işleyenlerle birlikte sorumludur. Verilerin hangi amaçla ve hangi sınırlar içinde işleneceğini, güvenlik yükümlülüklerini, alt hizmet sağlayıcı kullanımını ve sözleşme bitince verilerin iadesi ya da silinmesini düzenleyen veri işleyen sözleşmeleri, sorumluluk tartışmalarının önüne geçer.

Yurt dışındaki sunucular ve yazılımlar ya da yabancı iş ortaklarıyla yapılan paylaşımlar yurt dışına veri aktarımı sayılabilir. 2024’te yapılan değişiklikle aktarım; Kurul’un yeterlilik kararı verdiği ülkelere, yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerle, bunlar da yoksa kanunda sayılan arızi hâllerde yapılabilir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi gerekir.

Çalışan Verileri ve Kamera Kayıtları

İşveren; özlük dosyası, bordro, izin ve performans kayıtları, sağlık raporları ve işe giriş muayenesi sonuçları gibi çok sayıda veri işler. Sağlık verileri özel nitelikli olduğundan bunlara erişim yetkili kişilerle sınırlanmalıdır. Kurumsal e-posta ve bilgisayarların denetimi, araç takip sistemleri ve biyometrik giriş-çıkış uygulamaları ölçülülük ilkesine göre değerlendirilir ve çalışanlar önceden aydınlatılmalıdır. Ayrıntılar için çalışan verilerinin korunması sayfasına bakabilirsiniz.

Güvenlik kameraları görüntü kaydettiği için kişisel veri işler. Kameraların bulunduğu alanlarda bilgilendirme yapılmalı, kayıtlar amaçla sınırlı bir süre saklanmalı ve kayıtlara erişim yetkili kişilerle sınırlanmalıdır. Tuvalet ve soyunma odası gibi özel hayatın korunmasının öne çıktığı alanlara kamera yerleştirilmesi ölçülülük ilkesiyle bağdaşmaz.

Web Siteleri ve Çerez Uyumu

İletişim formları, üyelik sistemleri, analiz araçları ve reklam teknolojileri internet sitesi üzerinden kişisel veri toplar. Sitenin çalışması için zorunlu olan çerezler dışındaki analiz ve pazarlama çerezleri için kullanıcının açık rızası aranır; bu çerezler kullanıcı onay vermeden çalıştırılmamalı, reddetme seçeneği de kabul etmek kadar kolay sunulmalıdır. Çerez ve web sitesi uyumu kapsamında sitede kullanılan araçlar tek tek incelenir ve çerez politikası buna göre hazırlanır.

Veri İhlali ve Yaptırımlar

Kişisel verilerin yetkisiz kişilerce ele geçirilmesi, kaybolması ya da hukuka aykırı biçimde paylaşılması hâlinde veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurul’a bildirmek zorundadır. Kurul’a bildirim süresi, Kurul kararıyla ihlalin öğrenilmesinden itibaren 72 saat olarak belirlenmiştir. Veri ihlali yönetimi; olayın tespitini, etkilenen kişi ve veri türlerinin belirlenmesini, bildirimlerin yapılmasını ve tekrarını önleyecek tedbirlerin alınmasını kapsar.

Aydınlatma yükümlülüğüne, veri güvenliğine ilişkin yükümlülüklere, Kurul kararlarına ve VERBİS kayıt ve bildirim yükümlülüğüne aykırılık kanunda idari para cezasına bağlanmıştır. Ceza tutarları her yıl yeniden değerleme oranına göre güncellenir. Bunun yanında ilgili kişilerin tazminat talepleri ve kişisel verilerin hukuka aykırı kaydedilmesi, başkasına verilmesi ya da ele geçirilmesi nedeniyle Türk Ceza Kanunu kapsamında cezai sorumluluk gündeme gelebilir. Veri sızıntısı bir siber saldırıdan kaynaklandığında bilişim suçlarına ilişkin süreçler için bilişim hukuku sayfasına da bakabilirsiniz.

Verileri İhlal Edilen Kişilerin Hakları

Herkes, kendisiyle ilgili veri işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve verilerin aktarıldığı üçüncü kişileri öğrenme, eksik veya yanlış verilerin düzeltilmesini ve silinmesini isteme, otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan sonuca itiraz etme ve hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme hakkına sahiptir.

Bu haklar için önce veri sorumlusuna yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle başvurulur. Veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde, kural olarak ücretsiz sonuçlandırmak zorundadır. Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse, cevabın öğrenildiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul’a şikâyette bulunulabilir. Kişilik hakkı ihlal edilenlerin genel hükümlere göre maddi ve manevi tazminat isteme hakkı ayrıca saklıdır.

Mersin’de KVKK Uyumu ve Veri Koruma

Mersin’de hastaneler, klinikler ve laboratuvarlar sağlık verisi; kıyıdaki oteller ve yazlık bölgelerdeki konaklama tesisleri misafirlerin kimlik bilgileri; Mersin Limanı ve Mersin Serbest Bölgesi çevresinde çalışan lojistik, gümrük ve dış ticaret şirketleri yurt dışındaki iş ortaklarıyla paylaşılan veriler; e-ticaret işletmeleri müşteri ve sipariş verileri; okullar ve kurslar ise öğrenci ve veli bilgileri üzerinden yoğun biçimde kişisel veri işler. Bu işletmelerde uyum çalışması, sektörün kendine özgü veri akışına göre şekillenir.

Verisi hukuka aykırı işlenen bir kişi, haksız fiilden doğan tazminat davasını kendi yerleşim yeri mahkemesinde de açabilir; Mersin’de yaşayan biri bu davayı Mersin’deki asliye hukuk mahkemelerinde açabilir. Tarsus, Erdemli, Silifke, Mut ve Anamur gibi ilçelerde yaşayanlar için ise o ilçenin mahkemeleri yetkilidir. Suç oluşturan eylemler için Cumhuriyet başsavcılığına şikâyette bulunulabilir. Kurul’a yapılacak şikâyetler yazılı olarak iletilebildiğinden Ankara’ya gitmek gerekmez; başka şehirde yaşayanlar için süreç vekâletnameyle buradan yürütülebilir.

Sıkça Sorulan Sorular