6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verileri işleyen gerçek ve tüzel kişilere çeşitli yükümlülükler yüklemektedir. Kanun'da veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi olarak tanımlanır. Şirketler, dernekler, serbest meslek mensupları ve kamu kurumları, faaliyetleri sırasında kişisel veri işledikleri ölçüde veri sorumlusu sıfatını taşır.
Bu yazıda veri sorumlularının uygulamada en sık karşılaşılan dört temel yükümlülüğü ele alınmaktadır.
1. Aydınlatma yükümlülüğü (m.10)
Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiyi aşağıdaki konularda bilgilendirmekle yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- İlgili kişinin Kanun'un 11. maddesinde sayılan hakları.
Aydınlatma yükümlülüğü, kişisel veri işlemenin açık rızaya dayandığı hâllerle sınırlı değildir; işleme başka bir hukuki sebebe dayansa bile yerine getirilmelidir. Kurul uygulamasında aydınlatma metni ile açık rıza metninin birbirinden ayrı tutulması, aydınlatma metninin açık, anlaşılır ve sade bir dille hazırlanması beklenmektedir.
2. Veri güvenliğine ilişkin yükümlülükler (m.12)
Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Bu tedbirler arasında yetki ve erişim yönetimi, kayıt tutma, şifreleme, personel eğitimi ve gizlilik taahhütleri sayılabilir.
Kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, veri sorumlusu bu tedbirlerin alınması hususunda veri işleyen ile birlikte müştereken sorumludur. Veri sorumlusu ayrıca Kanun hükümlerinin uygulanmasını sağlamak amacıyla kendi kurum veya kuruluşunda gerekli denetimleri yapmak veya yaptırmak zorundadır.
Veri ihlali bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirir. Kurul, bu "en kısa süre" ifadesini ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak yorumlamaktadır.
3. Veri Sorumluları Sicili (VERBİS)
Kanun'un 16. maddesi uyarınca kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Kurul, objektif kriterleri gözeterek bu yükümlülüğe istisnalar getirebilmektedir. Kurul kararlarında çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işleme olup olmadığı gibi ölçütler esas alınmaktadır. Bu nedenle kayıt yükümlülüğünün güncel Kurul kararları çerçevesinde değerlendirilmesi gerekir.
Sicile kayıt yükümlülüğü bulunan veri sorumluları, ilgili yönetmelik uyarınca bir kişisel veri saklama ve imha politikası hazırlamakla da yükümlüdür.
4. İlgili kişi başvurularının yanıtlanması (m.13)
İlgili kişi, Kanun'un 11. maddesinde sayılan haklarına ilişkin taleplerini yazılı olarak veya Kurulun belirlediği diğer yöntemlerle veri sorumlusuna iletebilir. Bu haklar arasında kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, düzeltilmesini veya silinmesini isteme ve kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme yer alır.
Veri sorumlusu, başvuruda yer alan talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmak zorundadır. Kural olarak bu işlem için ücret alınmaz; ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret talep edilebilir. Başvuru kabul edilir veya gerekçesi açıklanarak reddedilir.
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna gidilemez.
Güncel düzenlemeler
2024 yılında yürürlüğe giren değişikliklerle özel nitelikli kişisel verilerin işlenme şartları ve kişisel verilerin yurt dışına aktarılmasına ilişkin hükümler yeniden düzenlenmiştir. Uyum çalışmalarında yalnızca Kanun metninin değil, Kurul kararlarının, yönetmeliklerin ve rehberlerin de güncel hâlleriyle takip edilmesi önem taşır.
Uyum süreçlerine ilişkin sorularınızı iletişim sayfası üzerinden iletebilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Somut durumunuza ilişkin değerlendirme için bir avukata danışmanız önerilir.