KVKK danışmanlığı ve saha tecrülerimiz
Kişisel Verilerin Korunması Kanunu ile ilgili olarak kurumlar adım atmaya başladılar. Kafalar biraz karışık olsa da adım atmanın önemli olduğuna inanıyoruz. Ülkemiz KVKK'yı GDPR'dan daha net bir anlayışla hatta oldukça insaflı bir şekilde hayata geçirmeyi başardı. KVKK danışmanlığı veya GDPR danışmanlığı sırasında birçok soru ile karşılaşıyoruz. Ülkemizin kurumlarına ve KVKK ve GDPR alanında çalışan ekiplere yardımcı olabilmek adına bazı bilgileri sizinle paylaşmak istiyoruz.
Öncelikle KVKK ve GDRP süreçlerini bilgi güvenliği kapsamında değerlendirmenizde fayda var. Türk Ceza Kanunu ve 6698 sayılı KVKK çalışmaları yaparken dikkat etmeniz gerekenleri şöyle sıralamak mümkündür;
Öncelikle kurumunuzda bir proje ekibi kurmanız gerekir. KVKK ve GDPR süreçleri görevlendirilecek birkaç insanın inisiyatifi ile yürümesi mümkün değildir. Herkesin taşın altına elini koyması gerekir. KVKK ve GDPR uyum çalışmasını sağlayacak bir proje ekibi oluşturun. Bu proje ekibi geçiş dönemini yönetmek ve daha fazla kapsayıcı olmak adına son derece faydalı olacaktır.
Bir istem kurmalı ve bu sistemi sürekli güncel tutmalısınız
KVKK danışmanlık hizmetlerimiz sürecinde şunu gördük KVKK veya GDPR süreci sadece bir proje süresini kapsamaz, devamlı ve sürekli bir çalışmayı gerektirir. Yani hem KVKK hem de GDPR için sürdürülebilir bir yönetim sistemi kurmanız gerekir. Zira yasa olduğu gibi kalmayacak sürekli gelişecektir. Siz de bu gelişmelerden etkileneceğiniz için Kişisel Verilerin Korunması Kanunu uyumu ve Genel Veri Koruma Kanunu uyumu çalışmasını sürdürülebilir bir yapı ile güncellemeniz gerekiyor. KVKK danışmanlığı süreçlerimizde şunu gördük ki bu süreçleri etkili bir komite yapısı kurmadan yönetmeniz oldukça zordur.
KVKK ve GDPR için çalışma yapmak önceliklerinizden birisi olsun
Kişisel Verileri Koruma Komitesi ile Veri Koruma Sorumlusu KVKK ve GDPR için çalışma yapmak öncelikleriniz arasında olmalıdır. Bu komitenin yetkinliğine dikkat etmeniz gerekir. Kanunu atlatmak için gelişi güzel ve yetkin olmayan bir komite kurarsanız Kişisel Verileri Koruma Uzmanları veya bu konuda yasal süreci takip eden yetkililer komitenizin işlevsiz olduğuna karar verebilir. Komitede yer alanların Kişisel Verilerin Korunması Kanunu ile ilgili kurumda karar verici düzeydeki kişilerden oluşmasında fayda var. Veri Sorumlusu kanunda şöyle tanımlanır: “Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizatihi kendileri “veri sorumlusu” olup, ilgili düzenlemelerde belirtilen hukuki sorumluluk tüzel kişinin şahsında doğacaktır. Bu konuda kamu hukuku tüzel kişileri ve özel hukuk tüzel kişileri bakımından bir farklılık gözetilmemektedir."
Veri koruma sorumlusu şirketin tüzel kişiliği olsa da iletişimi gerçekleştiren gerçek kişi anlamında bir çalışanı ve çalıştığı bir danışmanı Veri Sorumlusu olarak gösterebilir. Bu kapsamdaki Veri Sorumlusunun cezai bir yükümlüğü yoktur. Cezalar kuruma gelecektir. Bu anlamdaki Veri Sorumlusu iletişimi kurum adına gerçekleştiren kişidir. Veri Sorumlusu olarak kurumların bazı görevleri bulunmaktadır. Açık rıza bayanı almak bunların başında gelen bir çalışmadır. İkinci olarak Veri Sorumluları Sicili'ne kayıt yaptırmak başka bir çalışma olmalıdır. Kişisel Verilerin Güvenliği ile ilgili kararları almak, uygulamaları hayata geçirmek de Veri Sorumlularının görevidir. İlgili kişilere cevap verilmesi, Kişisel Verileri Koruma Kurulu ile ilgili iletişin sağlanması, kurul kararlarının yerin getirilmesi, kişisel verilerin işlenmesi, anonimleştirilmesi ve yok edilmesi Veri Sorumlularının yapması gerekenler arasında bulunmaktadır.
Veri Siciline kayıt yükümlüğü ile ilgili 2018/88 karar numarası ile kurul kararı çıkmış ve Resmi Gazete'de yayımlanmıştır. O kurul kararı şöyledir:
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.10.2018 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.09.2019 tarihine kadar süre verilmesinin kabulüne,
- Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.10.2018 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.09.2019 tarihine kadar süre verilmesinin kabulüne,
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.01.2019 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 31.03.2020 tarihine kadar süre verilmesinin kabulüne,
- Kamu kurum ve kuruluşu veri sorumluları için Veri Sorumluları Siciline kayıt yükümlülüğü başlangıç tarihinin 01.04.2019 olması ve Sicile kayıt yaptırmaları için bu veri sorumlularına 30.06.2020 tarihine kadar süre verilmesinin kabulüne,
- Bu kararın Kurum internet sayfası ile Resmi Gazetede yayımlanmasına
oybirliği ile karar verilmiştir.*
Bir sonraki blog yazımızda 6698 sayılı kaununa göre kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini anlatacağız. Unutmayınız ki KVKK ile ilgili atacağınız her olumlu adım GDPR içinde elinizi rahatlatacaktır. GDPR danışmanlığı verirken en sık rastladığımız yanlış anlayışlardan biri de GDPR'ın KVKK dan çok bağımsız, çok farklı bir yasa gibi anlatılmasıdır. AB'deki her ülkede olduğu gibi ya da bizim gibi aday ülkelerde her ülkenin kişisel verilerin korunmasını takip eden bir kurumu vardır. Türkiye'nin kurumu Kişisel Verileri Koruma Kurumu yani KVKK'dır.
VMİ Danışmanlık KVKK danışmanlık hizmetleri, GDPR danışmanlık hizmetleri vermektedir. Bilgi Güvenliği alanında 2014 yılından buyana hizmet veren VMİ Danışmanlık Kişisel Verilerin Korunması Kanunu ve Avrupa Veri Koruma Direktifi GDPR ile ilgili ilk eğitimlerini 2014 yılında vermiştir. KVKK danışmanlık hizmetleri ve GDPR danışmanlığı süreçleri içindeki tecrübelerimizi zaman zaman bu sayfadaki bloğumuzdan sizinle paylaşmaya devam edeceğiz.
Blog yazısı anahtar kelimeleri: KVKK danışmanlığı, bilgi güvenliği yönetim sistemi, GDPR danışmanlık hizmeti
*Kişisel Verileri Koruma Kurumu alıntı