KVKK ve Yasal Sorumluluk Danışmanlığı

KVKK nedir ve kimleri kapsar?

6698 sayılı KVKK, kişisel verileri işleyen tüm gerçek ve tüzel kişileri kapsayan bir yükümlülükler bütünüdür. Müşteri, çalışan, tedarikçi ya da ziyaretçi verisi işleyen hemen her işletme kanun kapsamındadır. Uyum; sadece bir aydınlatma metni yayımlamak değil, kişisel veriyi işleme, saklama ve koruma süreçlerinin tamamını mevzuata uygun hale getirmektir.

KVKK uyumu tek seferlik bir proje değil, sürdürülebilir bir düzendir. Yeni bir yazılım, yeni bir iş ortağı veya yeni bir veri işleme faaliyeti, uyumun güncellenmesini gerektirir.

KVKK uyum süreci adımları

Uyum sürecini somut ve takip edilebilir adımlara böleriz:

• Veri envanteri: Hangi kişisel verinin, nerede, neden ve ne kadar süre işlendiğinin tespiti.
• Boşluk (gap) analizi: Mevcut durumun mevzuat gereksinimleriyle karşılaştırılması.
• VERBİS kaydı: Gerekiyorsa Veri Sorumluları Sicili’ne kayıt ve güncelleme.
• Metin ve politikalar: Aydınlatma metni, açık rıza, saklama-imha ve gizlilik politikaları.
• Teknik ve idari tedbirler: Erişim kontrolü, şifreleme, loglama, yedekleme ve yetkilendirme.
• Sürdürülebilirlik: Periyodik gözden geçirme, ihlal müdahale planı ve farkındalık eğitimi.

Teknik ve idari tedbirler neden bu kadar önemli?

KVKK, kişisel veriyi korumak için “uygun teknik ve idari tedbirleri” almayı zorunlu kılar. Bir veri ihlali yaşandığında Kurul, bu tedbirlerin alınıp alınmadığına bakar. Eksik yama, zayıf parola, şifrelenmemiş yedek veya kontrolsüz erişim doğrudan kusur sayılır. Bu yüzden biz, kâğıt üzerindeki uyumun yanında gerçek güvenliği de kurarız:

• Rol bazlı erişim ve en az yetki ilkesi,
• Aktarımda ve depolamada şifreleme,
• Erişim ve işlem loglarının tutulması,
• Güvenli, izole ve test edilen yedekleme,
• Çok faktörlü kimlik doğrulama (MFA).

Uyumsuzluğun riski nedir?

KVKK uyumsuzluğu hem mali hem itibari risktir. Veri ihlali bildirimi yükümlülüğünün yerine getirilmemesi veya yetersiz güvenlik tedbiri, her yıl yeniden değerleme oranıyla artan idari para cezalarına yol açabilir. Daha da önemlisi, bir veri ihlali müşteri güvenini ve ticari ilişkileri zedeler. Uyum, ceza korkusundan çok kurumsal itibarın korunmasıdır.

Aydınlatma metni mi, açık rıza mı?

En sık karıştırılan iki kavramı netleştirelim:

Doğru kurguda çoğu işleme “açık rıza” yerine sözleşme veya meşru menfaat gibi hukuki sebeplere dayanır; gereksiz rıza toplamak çoğu zaman hatadır. Bu ayrımı doğru yapmak uyumun temelidir.