KVKK, Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. 6698 sayılı bu kanun 2016 yılında yürürlüğe girdi ve Türkiye'de kişisel verilerin işlenmesine dair temel kuralları belirliyor. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu takip ediyor.
Kısaca özetlemek gerekirse: başkasına ait bir bilgiyi kaydediyor, saklıyor veya kullanıyorsanız bunu belirli kurallara uyarak yapmanız gerekir. Bu yükümlülük yalnızca büyük şirketler için değil, müşteri bilgisi tutan küçük işletmeler için de geçerlidir.
Bu yazı genel bilgilendirme amacı taşır; kendi durumunuz için hukuki danışmanlık yerine geçmez. Güncel mevzuat ve resmî rehberler için kvkk.gov.tr adresine bakabilirsiniz.
Kişisel veri ne demek?
Kanun, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri sayıyor.
Ad soyad, telefon numarası, e-posta adresi, TC kimlik numarası, adres, fotoğraf, araç plakası bunların hepsi kişisel veridir. Tek başına kimseyi göstermeyen ama başka bilgilerle birleştiğinde kişiyi işaret eden veriler de kapsama girer.
Özel nitelikli veriler ayrı bir kategori oluşturuyor: sağlık bilgisi, biyometrik veri, din, siyasi görüş, sendika üyeliği, ceza mahkumiyeti gibi. Bunlar için daha sıkı koşullar geçerlidir.
Şirketlere ait bilgiler kişisel veri değildir. Ancak bir şirket yetkilisinin adı ve doğrudan telefonu kişisel veridir.
Kimler kapsama giriyor?
Kişisel veri işleyen herkes. Kanun buna veri sorumlusu diyor.
Müşteri listesi tutan bir kuaför, randevu kaydı alan bir diş hekimi, çalışan özlük dosyası tutan bir işletme, e-posta bülteni gönderen bir e-ticaret sitesi. Hepsi kapsam içindedir.
Ölçek küçüldükçe yükümlülükler hafifler ama ortadan kalkmaz. Özellikle VERBİS'e kayıt zorunluluğu belirli eşiklere bağlıdır; kendi durumunuzun eşiği aşıp aşmadığını Kurumun sitesinden kontrol etmeniz gerekir.
Veriyi hangi dayanakla işleyebilirsiniz?
Kanun, veri işlemeyi belirli hukuki sebeplere bağlıyor. En bilineni açık rızadır ama tek yol değildir ve çoğu zaman en uygun yol da değildir.
Bir sözleşmenin kurulması veya ifası için gerekliyse rıza aramanıza gerek olmayabilir. Örneğin sipariş veren müşterinin adresini teslimat için kullanmak sözleşmenin ifasıyla ilgilidir.
Kanuni bir yükümlülüğünüz varsa yine rıza gerekmez. Fatura düzenlemek için müşterinin bilgilerini kaydetmeniz buna örnektir.
Açık rıza ise özgür iradeyle, belirli bir konuda ve bilgilendirmeye dayanarak verilmelidir. Hizmet almanın önkoşulu haline getirilen rıza geçerli sayılmaz. Kişi rızasını istediği zaman geri çekebilir.
Pazarlama amaçlı iletişim için rıza genellikle gereklidir; bu konuda ayrıca İleti Yönetim Sistemi düzenlemeleri devreye girer.
Temel yükümlülükler
Aydınlatma yükümlülüğü. Veriyi topladığınız anda kişiye kim olduğunuzu, veriyi neden topladığınızı, kimlerle paylaşacağınızı ve haklarını bildirmeniz gerekir. Bu genellikle bir aydınlatma metniyle yapılır.
Veri güvenliği. Verileri yetkisiz erişime karşı korumakla yükümlüsünüz. Bu teknik ve idari tedbirlerin ikisini de kapsar.
Amaçla sınırlılık. Veriyi hangi amaçla topladıysanız o amaçla kullanabilirsiniz. Randevu için aldığınız telefonu pazarlama mesajı göndermek için kullanmak farklı bir amaçtır.
Saklama süresi. Veriyi süresiz saklayamazsınız. Amaç ortadan kalktığında silmeniz veya anonim hale getirmeniz gerekir.
İlgili kişi başvuruları. Kişiler verilerine erişme, düzeltme ve silinmesini isteme hakkına sahiptir. Bu başvurulara belirli sürede yanıt vermeniz gerekir.
Veri ihlali bildirimi. Bir veri sızıntısı yaşandığında Kuruma ve etkilenen kişilere bildirim yapılması gerekir.
Küçük bir işletme pratikte ne yapmalı?
İşe elinizde hangi verilerin olduğunu yazarak başlayın. Çoğu işletme sahibi bu listeyi çıkardığında beklediğinden fazla veri tuttuğunu fark eder.
Her veri için neden tuttuğunuzu ve ne kadar süre tutacağınızı belirleyin. Gerekçesi olmayan verileri silin; tutmadığınız veri sizin için risk oluşturmaz.
Müşteriyle temas ettiğiniz noktalara bir aydınlatma metni koyun. Web siteniz, randevu formunuz, sözleşmeleriniz.
Erişimi sınırlayın. Müşteri listesine her çalışanın erişmesi gerekmiyor olabilir.
WhatsApp gruplarına ve ortak Excel dosyalarına dikkat edin. Uygulamada en sık veri sızıntısı bu tür kontrolsüz paylaşımlardan doğuyor.
VERBİS kayıt yükümlülüğünüz olup olmadığını kontrol edin.
Kartvizit ve iletişim bilgileri
Sık sorulan bir konu: fuarda topladığınız kartvizitler kişisel veri mi?
Evet. Kart üzerindeki ad ve telefon kişisel veridir. Kartı size veren kişi iletişim kurmanız için vermiştir; ancak bu, o bilgiyi kalıcı bir pazarlama listesine ekleyip toplu e-posta göndermeniz için yeterli bir dayanak oluşturmaz.
Dijital kartvizit tarafında da benzer bir durum var. Sayfanızı ziyaret edenlerin bilgilerini topluyorsanız bu bir veri işleme faaliyetidir. Kartvizit verileri ve KVKK ilişkisini ayrı bir yazıda daha ayrıntılı ele aldık.
Nereden bakılmalı?
Mevzuatın kendisi, kurul kararları ve rehberler Kişisel Verileri Koruma Kurumu'nun resmî sitesinde yayımlanıyor. İkincil kaynaklardan okuduğunuz bilgileri oradan doğrulamanız iyi bir alışkanlık.
İşletmenizin durumu karmaşıksa (özel nitelikli veri işliyorsanız, yurt dışına veri aktarıyorsanız ya da çok sayıda kişinin verisini tutuyorsanız) bu alanda çalışan bir hukukçuyla görüşmek yerinde olur.
Sık sorulanlar
Sadece birkaç müşterim var, yine de kapsama giriyor muyum?
Evet. Kanun ölçek ayrımı yapmaz; kişisel veri işleyen herkes veri sorumlusudur. Ancak yükümlülüklerin ağırlığı işlediğiniz verinin niteliğine ve miktarına göre değişir. VERBİS kayıt zorunluluğu belirli eşiklere bağlıdır.
Aydınlatma metnini nereye koymalıyım?
Veriyi topladığınız her noktaya. Web sitenizdeki iletişim formu, randevu defteri, sözleşmeleriniz, kayıt formlarınız. Metnin fiziksel ortamda da bulunabilir olması gerekir.
Çalışanlarımın verileri de kapsamda mı?
Evet. Özlük dosyaları, bordro bilgileri, işe giriş çıkış kayıtları kişisel veridir. Sağlık raporu gibi belgeler özel nitelikli veri kategorisine girer ve daha sıkı koşullara tabidir.
Bir kişi verilerinin silinmesini isterse ne yapmalıyım?
Talebi değerlendirip yanıt vermeniz gerekir. Silme yükümlülüğü mutlak değildir; yasal saklama süresi devam eden veriler için gerekçenizi açıklayarak talebi reddedebilirsiniz. Örneğin fatura kayıtları vergi mevzuatı gereği belirli süre saklanır.
Ceza riski nedir?
Kanunda idari para cezaları öngörülmüştür ve tutarlar her yıl yeniden değerleme oranına göre güncellenir. Güncel tutarlar için kvkk.gov.tr adresindeki duyurulara bakmak gerekir.