KİŞİSEL VERİLERİN KORUNMASINDA ŞİRKETLERİN SORUMLULUĞU

Kişisel Veri Kavramının Sınırları ve Kapsamı

Dijitalleşen iş dünyasında, verilerin korunması artık sadece bir IT meselesi değil, doğrudan bir hukuk disiplinidir. Şirketlerin elinde tuttuğu her bir isim, telefon numarası veya e-posta adresi, aslında birer emanettir. Kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgiyi kapsar. Bu kapsam sadece T.C. kimlik numarasıyla sınırlı değildir; bir kişinin IP adresi, biyometrik verisi veya fiziksel konumu da bu koruma kalkanı altındadır.

İşletmelerin operasyonel süreçlerinde kullandığı müşteri listeleri, çalışan özlük dosyaları ve hatta ziyaretçi kayıtları bu tanıma girer. Verinin niteliği, onun “özel nitelikli” olup olmadığını belirler. Sağlık verileri veya dinî inanç gibi hassas bilgiler, işlenmesi sırasında çok daha sıkı güvenlik protokolleri gerektirir. Şirketlerin sorumluluğu, bu verilerin sadece saklanmasıyla değil, aynı zamanda işlenme süreçlerinin her aşamasında hukuka uygun yürütülmesiyle de doğrudan ilişkilidir.

Şirketlerin Veri Sorumlusu Olarak Rolü

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, veriyi işleme amaçlarını ve vasıtalarını belirleyen yapıya “veri sorumlusu” denir. Şirketler, iş süreçlerini yürütürken müşterilerinden, çalışanlarından veya tedarikçilerinden veri topladıkları anda bu kritik rolü üstlenmiş olurlar. Bu rol, sadece veriyi saklamayı değil, verinin hukuka uygun işlendiğini ispatlama yükümlülüğünü de beraberinde getirir. Yani, bir denetim anında “veriyi neden aldım?” sorusuna hukuki bir yanıt sunabilmeniz gerekir.

Veri sorumlusu sıfatı, şirketlerin operasyonel süreçlerinde ciddi bir dikkat gerektirir. Örneğin, bir İK departmanı çalışanların sağlık raporlarını tutarken, pazarlama departmanı ise kampanya duyuruları için telefon numaralarını işlerken farklı hukuki yükümlülükler altındadır. Şirketlerin sorumluluğu, verinin işlenme amacından sapılmamasını sağlamaktır. Eğer bir veri, sadece fatura kesmek için alındıysa, bu verinin reklam amaçlı kullanılması doğrudan bir ihlal teşkil eder.

Veri Güvenliğinde Alınması Gereken Teknik ve İdari Tedbirler

Veri güvenliğini sağlamak, tek bir yazılım satın almaktan çok daha derin bir süreçtir. Şirketler, hem teknik hem de idari tedbirleri eş zamanlı olarak hayata geçirmelidir. Teknik tedbirler, siber saldırılara karşı koruma sağlayan dijital kalkanları temsil ederken; idari tedbirler, şirket içindeki kurumsal kültürün ve politikaların oluşturulmasını kapsar. Bu iki katman birleşmediğinde, en güçlü firewall bile yetersiz kalabilir.

Alınması gereken temel tedbirleri şu şekilde kategorize edebiliriz:

• Teknik Tedbirler: Veri maskeleme, şifreleme (encryption), sızma testleri, erişim loglarının tutulması ve güçlü parola politikaları.

muhtemelen bir siber saldırı anında, log kayıtlarının eksik olması şirketin hukuki savunmasını imkansız hale getirir.

• İdari Tedbirler: Kişisel veri işleme envanterinin oluşturulması, çalışanlara KVKK eğitimlerinin verilmesi, veri imha politikalarının belirlenmesi ve gizlilik sözleşmelerinin imzalanması.

Özellikle bulut tabanlı sistemler kullanan KOBİ’ler için veri aktarımı süreçleri en riskli alanlardan biridir. Verinin yurt dışına çıkışı söz konusu olduğunda, aktarımın hangi hukuki mekanizmaya (standart sözleşmeler veya taahhütnameler gibi) dayandığı titizlikle incelenmelidir. Unutmayın, teknik bir açık kadar, bir çalışanın dikkatsizce gönderdiği bir e-posta da büyük bir veri ihlali sebebidir.

Veri İhlali Durumunda Şirketlerin Atması Gereken Adımlar

Bir veri ihlali gerçekleştiğinde, zaman en büyük düşmandır. Şirketlerin sorumluluğu, ihlali fark ettikleri andan itibaren çok kısıtlı bir süre içinde hareket etmelerini gerektirir. Kanun, veri ihlali tespit edildiğinde yetkili kuruma (KVKK Kurulu) bildirim yapılmasını zorunlu kılar. Bu süreçte panik yapmak yerine, önceden hazırlanmış bir “İhlal Müdahale Planı”na sadık kalmak, olası idari para cezalarının boyutunu hafifletebilir.

İhlal anında izlenmesi gereken kritik adımlar şunlardır:

1. İhlalin kapsamını ve etkilenen veri türlerini belirlemek için hızlı bir teknik inceleme başlatın.
2. İhlalin tespitinden itibaren en geç 72 saat içerisinde Kişisel Verileri Koruma Kurulu’na resmi bildirimi gerçekleştirin.

muhtemelen veri sahiplerine (ilgili kişilere) yapılacak bildirim, ihlalin niteliğine göre derhal yapılmalıdır.

3. İhlalin neden kaynaklandığını saptayın ve benzer bir durumun tekrarlanmaması için güvenlik açıklarını kapatın.

İhlal sonrası süreçte, sadece kuruma bildirim yapmak yetmez. Eğer ihlal, bireylerin hak ve özgürlüklerini ciddi şekilde etkileme riski taşıyorsa, etkilenen kişilere de (müşteriler, çalışanlar vb.) şeffaf bir şekilde bilgi verilmelidir. Bu şeffaflık, markanın itibar kaybını önlemek adına hayati bir önem taşır.

Veri İşleme Şartları ve Hukuki Dayanaklar

Şirketlerin her türlü veriyi toplama özgürlüğü yoktur. Veri işleme faaliyetlerinin meşru bir zemine oturması için kanunda belirtilen şartlardan en az birinin varlığı şarttır. En yaygın kullanılan dayanak, “açık rıza” olsa da, her durum için rıza almak operasyonel olarak mümkün olmayabilir. Kanun, belirli şartlar altında rıza olmaksızın veri işlenmesine de olanak tanır.

Veri işleme faaliyetlerinin dayanakları şunlardır:

Hukuki Dayanak	Kullanım Alanı Örneği
Açık Rıza	Pazarlama bültenlerine kayıt, kampanya duyuruları.
Sözleşmenin Kurulması	Müşteri siparişinin tamamlanması için adres bilgisi kullanımı.
Kanuni Yükümlülük	Vergi mevzuatı gereği fatura bilgilerinin saklanması.
Bir Hakkın Tesisi	İş hukuku kapsamında çalışan özlük dosyalarının tutulması.

Şirketlerin sorumluluğu, hangi veriyi hangi hukuki dayanakla işlediğini net bir şekilde dökümante etmektir. Eğer bir veri işleme faaliyeti için açık rıza alınmışsa, bu rızanın “belirli bir konuya ilişkin”, “bilgilendirmeye dayanan” ve “özgür iradeyle açıklanan” nitelikte olması gerekir. Belirsiz veya genel ifadelerle alınan rızalar, hukuken geçersiz sayılmaktadır.

Veri Güvenliği ve Şifet Sorumluluğu Karşılaştırması

Birçok yönetici, veri güvenliğini sadece bir siber güvenlik meselesi olarak görür. Ancak gerçekte, veri güvenliği teknik bir araç, şirket sorumluluğu ise hukuki bir yükümlülüktür. Teknik güvenlik (firewall, şifreleme vb.) bir koruma kalkanı sunar; ancak şirket sorumluluğu, bu kalkanın nerede, nasıl ve hangi kurallarla kullanılacağını belirleyen yönetimsel iradedir. Teknik bir hata (örneğin bir sunucunun açık unutulması) bir siber saldırı sonucudur, ancak bu hatanın denetim mekanizmalarında yakalanamamış olması bir yönetimsel (idari) zafiyettir.

Şirketlerin sorumluluğu kapsamında, sadece verinin çalınmasını engellemek değil, verinin işlenme sürecindeki tüm yaşam döngüsünü (toplama, saklama, aktarma, imha) denetlemek de yer alır. Dolayısıyla, teknik olarak çok güçlü bir altyapıya sahip olsanız bile, eğer veri imha politikanız yoksa ve süresi dolmuş verileri hala sistemlerinizde tutuyorsanız, hukuki bir risk altındasınız demektir.

Sıkça Sorulan Sorular (SSS)

Hukuki Danışmanlık ve Uyum Süreci

Kişisel verilerin korunması, dinamik ve sürekli takip gerektiren bir süreçtir. Mevzuat değişiklikleri, yeni yargı kararları ve gelişen siber tehditler, şirketlerin uyum stratejilerini sürekli güncellemesini zorunlu kılar. Bu noktada, Av. Oğuz Kaan Kuru Hukuk ve Danışmanlık olarak, şirketlerin veri envanterlerinin oluşturulmasından, veri işleme politikalarının hazırlanmasına ve olası ihlal süreçlerinin yönetilmesine kadar geniş bir yelpazede profesyonel destek sunuyoruz.

Şirketlerin sorumluluğu altında olan bu karmaşık süreci, hukuki bir risk yönetimi perspektifiyle ele almak, işletmenizi sadece cezalardan değil, aynı zamanda itibar kaybından da koruyacaktır. Doğru yapılandırılmış bir uyum süreci, şirketinizin dijital dünyadaki güvenilirliğini artıracak en önemli varlıklarınızdan biridir. Hukuki süreçlerinizde profesyonel bir rehberle çalışmak, operasyonel yükünüzü hafifletirken, yasal güvence altında kalmanızı sağlar.