Kişisel Verilerin Korunması Kanunu Kapsamında Şirketlerin Yükümlülükleri

Kişisel Verilerin Korunması Kanunu (KVKK), 2016 yılında yürürlüğe girmesiyle birlikte şirketler için yeni bir dönemin kapılarını aralamıştır. Günümüzde veri işleme faaliyetlerinin hızla dijitalleşmesi, kişisel verilerin korunmasını yalnızca yasal bir zorunluluk değil, aynı zamanda kurumsal itibarın ayrılmaz bir parçası haline getirmiştir. Kanun kapsamında şirketler, veri sorumlusu sıfatıyla bir dizi teknik ve idari tedbiri hayata geçirmekle yükümlüdür.

Bu yükümlülüklerin başında aydınlatma yükümlülüğü gelmektedir. Veri sorumluları, kişisel verileri elde etme aşamasında ilgili kişilere; verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebebi ve kanuni hakları konusunda açık ve anlaşılır bir şekilde bilgi vermek zorundadır. Aydınlatma metinleri, matbu şablonlar yerine şirketin faaliyet alanına ve spesifik veri işleme süreçlerine özgü olarak hazırlanmalıdır.

Öte yandan, kanunda belirtilen istisnai haller dışında kişisel verilerin işlenebilmesi için açık rıza alınması şarttır. Ancak uygulamada sıkça karşılaşılan bir hata, kanunda açıkça işleme şartı bulunan (örneğin sözleşmenin ifası) durumlarda dahi açık rıza alınarak hukuki sürecin sakatlanmasıdır. Açık rıza, 'belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza' olarak tanımlanmakta olup, bir hizmetin sunulmasının açık rızaya bağlanması açıkça hukuka aykırıdır.

Son olarak, VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğü büyük önem taşımaktadır. Yıllık çalışan sayısı veya mali bilanço toplamı gibi kriterleri sağlayan veri sorumluları, sicile kayıt olmakla mükelleftir. Kurul tarafından gerçekleştirilen denetimlerde eksik veya hatalı bildirimler ile aydınlatma yükümlülüğünün ihlali ciddi idari para cezalarına yol açabilmektedir. Bu sebeple, şirketlerin KVKK uyum süreçlerini bütüncül bir yaklaşımla, hukuki ve teknik bir denetim sürecinden geçirerek tamamlaması hayati önem taşımaktadır.