KVKK kapsamında veri sorumlusunun yükümlülükleri
KVKK KAPSAMINDA VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ
Giriş
Kişisel Verilerin Korunması Kanunu’nun 3. maddesine göre, veri sorumlusu; kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin oluşturulması ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Tüzel kişiler, kişisel verileri işleme süreçlerinde doğrudan veri sorumlusu konumunda olup, bu kapsamda doğan hukuki yükümlülükler tüzel kişiliğin kendisine aittir. Bu durum, kamu hukuku tüzel kişileri ile özel hukuk tüzel kişileri arasında herhangi bir farklılık göstermemektedir.
Veri Sorumlusunun Yükümlülükleri Nelerdir?
Aydınlatma Yükümlülüğü
Kişisel Verilerin Korunması Kanunu (‘‘KVKK’’ ve/veya ‘‘Kanun’’), bireylere kişisel verilerinin kim tarafından, hangi amaçlarla, hangi hukuki sebeplerle işlendiğini, kimlere ve hangi amaçlarla aktarılabileceğini öğrenme hakkı tanır. Bu hak, veri sorumlusunun aydınlatma yükümlülüğü çerçevesinde sağlanır. Aydınlatma yükümlülüğü, veri sorumlusunun veya yetkilendirdiği kişinin kişisel verilerin elde edilmesi aşamasında ilgili kişiye; (i) veri sorumlusunun kimliği, (ii) kişisel verilerin işlenme amacı, (iii) kimlere ve hangi amaçlarla aktarılacağı, (iv) kişisel verilerin nasıl toplandığı, (v) veri işleme faaliyetinin dayandığı hukuki sebeplerin neler olduğu ve (vi) bireylerin Kanun kapsamında sahip olduğu haklara ilişkin bilgilendirme yapılmasını zorunlu kılmaktadır.
Kanun’un 11. maddesi uyarınca bireyler, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bu veriler hakkında bilgi talep etme, verilerin işlenme amacını sorgulama, verilerin kimlere aktarıldığını öğrenme, eksik veya hatalı işlenmiş verilerin düzeltilmesini isteme, verilerin silinmesini veya yok edilmesini talep etme, kişisel verilerinin aktarılmasına ilişkin yapılan işlemlerin bildirilmesini isteme, ve otomatik sistemlerle analiz edilen veriler sonucunda aleyhine bir durum oluşursa itiraz etme gibi haklara sahiptir. Ayrıca, ilgili kişinin Kanun’a aykırı işleme nedeniyle zarara uğraması durumunda, zararların giderilmesini talep etme hakkı da mevcuttur.
Veri sorumlusu, aydınlatma yükümlülüğünü yerine getirirken, tüm bilgilendirmeleri açık, anlaşılır ve sade bir dille yapmalıdır. Ayrıca, kişisel verilerin işlenme amacı değişirse, bu yeni amaç için yeniden bilgilendirme yapılmalıdır. Eğer veri sorumlusunun farklı birimleri verileri farklı amaçlarla işliyorsa, her bir birim için ayrı ayrı aydınlatma yapılması gerekir. Veri sorumlusu, aydınlatma yükümlülüğünü yerine getirdiğini ispatlamak zorundadır ve bu yükümlülük, ilgili kişinin talep etmesine gerek kalmadan yerine getirilmelidir.
Aydınlatma yükümlülüğünün yerine getirilmemesi, Kanun’a aykırı bir işlem olarak kabul edilir ve veri sorumlusuna 2025 yılı itibariyle 68.083,00 TL ile 1.362.021,00 TL arasında idari para cezası uygulanabilir.
Veri Sorumluları Siciline Kayıt Yükümlülüğü
Veri Sorumluları Sicili (VERBİS), veri sorumlularının kayıt altına alındığı ve veri işleme faaliyetlerini beyan ettikleri bir sistemdir. Kanun gereği, veri sorumlularının belirlenen tarihler doğrultusunda bu sicile kaydolması zorunludur. Başvurular; veri sorumlusunun kimlik bilgileri, veri işleme amaçları, işlenen veri kategorileri, alıcı grupları ve veri güvenliği tedbirlerini içeren bir bildirimle yapılır.
Belirli durumlarda VERBİS’e kayıt zorunluluğu bulunmamaktadır. Kişisel verilerin sadece kişisel veya aile içi amaçlarla işlenmesi, anonim hale getirilerek bilimsel araştırma ve istatistik amaçlı kullanılması, milli güvenlik, kamu düzeni ve yargı süreçleri gibi konular bu kapsamda değerlendirilir.
Kayıt yükümlülüğüne uymayan veri sorumlularına uygulanacak idari para cezaları 2025 yılı itibariyle 272.380,00 TL ile 13.620.402,00 TL arasında düzenlenmiştir. Sicile zamanında kaydolmamak, yanlış bilgi vermek veya değişiklikleri bildirmemek yaptırım sebebidir.
Veri Güvenliğine İlişkin Yükümlülükler
Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek, verilerin güvenli şekilde muhafazasını sağlamakla yükümlüdür. Bu kapsamda, uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almalıdır. Kişisel veriler başka bir kişi veya kurum tarafından işleniyorsa, veri sorumlusu bu kişilerle birlikte müştereken sorumludur. Kanun, veri sorumlusuna denetim yükümlülüğü de getirmektedir. Bu denetimler kurum içinde yapılabileceği gibi, dışarıdan bir kişi veya kuruluş aracılığıyla da gerçekleştirilebilir. Ayrıca, kişisel veriler hukuka aykırı şekilde ele geçirildiğinde, durum en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na bildirilmelidir.
Veri güvenliği tedbirleri, veri sorumlusunun faaliyet alanı, iş büyüklüğü ve işlediği verinin niteliğine göre belirlenmelidir. Kanuna aykırı hareket edenler hakkında 204.285,00 TL ile 13.620.402,00 TL arasında idari para cezası uygulanabilir.
İlgili Kişiler Tarafından Yapılan Başvuruların Cevaplanması Yükümlülüğü
Veri sorumlusu, ilgili kişilerin taleplerini en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmalıdır. Ancak, işlemin ek bir maliyet gerektirmesi durumunda, Kurul tarafından belirlenen tarifeye göre ücret talep edilebilir. Talep kabul edilir veya gerekçesi açıklanarak reddedilir ve sonuç, yazılı ya da elektronik ortamda ilgili kişiye bildirilir. Talep veri sorumlusunun hatasından kaynaklanıyorsa, alınan ücret iade edilir. Başvurunun reddedilmesi, eksik cevap verilmesi veya süresinde yanıtlanmaması hâlinde, ilgili kişi 30 gün içinde veri sorumlusunun cevabını öğrendiği tarihten itibaren ve her durumda 60 gün içinde Kurula şikâyette bulunabilir.
Kurul Kararlarının Yerine Getirilmesi Yükümlülüğü
Kurul, şikâyet üzerine veya bir ihlal iddiasını öğrenmesi hâlinde inceleme yaparak hukuka aykırılık tespit ederse, veri sorumlusunun durumu düzeltmesine karar verir ve bunu ilgililere bildirir. Veri sorumlusu, en geç 30 gün içinde bu kararı yerine getirmek zorundadır. Kanun’a aykırı hareket edenler hakkında 340.476 TL ile 13.620.402 TL arasında idari para cezası uygulanabilir.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi
Veri sorumlusu, kişisel verilerin işlenme sebepleri ortadan kalktığında bu verileri silmek, yok etmek veya anonim hale getirmekle yükümlüdür. Burada farklı şekilde tanımlanan üç kavram mevcuttur. Kişisel verilerin silinmesi, ilgili kullanıcıların hiçbir şekilde erişemeyeceği ve tekrar kullanamayacağı hale getirilmesidir. Yok etme işlemi, verilerin tamamen geri getirilemez ve erişilemez hale getirilmesini ifade eder. Anonim hale getirme ise verilerin başka verilerle eşleştirilse dahi hiçbir şekilde gerçek bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. Veri sorumlusu, tüm bu işlemler için gerekli teknik ve idari tedbirleri almak zorundadır. Veri sorumlusunun ilgili kişinin başvurusunu beklemeden her halükârda bu yükümlülüğü yerine getirme zorunluluğu mevcuttur. Ancak veri sorumlusu bu yükümlülüğünü yerine getirmezse ilgili kişi talepte bulunabilir.
Sonuç ve Değerlendirme
KVKK kapsamında veri sorumlusu, kişisel verilerin işlenmesine ilişkin tüm süreçlerin planlanması, yürütülmesi ve denetlenmesinden sorumludur. Bu nedenle veri sorumlularının, hukuki yükümlülükleri ve uygulanabilecek yaptırımların bilinciyle, mevzuata uygun veri işleme faaliyetleri yürütmesi ve etkin bir kişisel veri koruma uyum sistemi kurup sürdürmesi gerekmektedir.
Saygılarımızla,
Atabay Hukuk Bürosu