Aydınlatma, VERBİS, veri güvenliği, ihlal bildirimi ve yurt dışına aktarım: uyum için kontrol listesi.
Kişisel verilerin korunması, yalnızca büyük şirketlerin değil; müşteri listesi tutan her işletmenin yükümlülüğüdür. 6698 sayılı Kanun'a aykırılık idari para cezası ve itibar kaybı doğurur. İşte işletmelerin gözden geçirmesi gereken temel yükümlülükler.
1. Aydınlatma yükümlülüğü
Veri toplanırken ilgili kişiye; verilerin kim tarafından, hangi amaçla, kimlere aktarılmak üzere ve hangi hukuki sebeple işlendiği bildirilmelidir. Web sitesindeki formlar, müşteri kayıtları ve çalışan dosyaları için ayrı aydınlatma metinleri gerekir.
2. Hukuki sebep ve açık rıza
Her işleme faaliyeti Kanun'un 5. veya 6. maddesindeki bir şarta dayanmalıdır. Açık rıza yalnızca gerektiğinde alınır; sözleşmenin ifası veya hukuki yükümlülük gibi sebeplerin geçerli olduğu durumlarda rıza istemek hatalıdır.
3. VERBİS kaydı
Kurul'un belirlediği çalışan sayısı veya mali bilanço eşiklerini aşan ya da ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları Veri Sorumluları Sicili'ne kayıt olmak zorundadır.
4. Veri güvenliği tedbirleri
Erişim yetkilendirmesi, şifreleme, yedekleme, log kaydı ve çalışan gizlilik taahhütleri gibi teknik ve idari tedbirler alınmalıdır. Kurul kararlarında en sık görülen eksiklik, yetkisiz erişimin önlenmemesidir.
5. Saklama ve imha politikası
Verilerin işlenme amacı ortadan kalktığında silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir. Periyodik imha süreleri yazılı bir politikaya bağlanmalıdır.
6. İlgili kişi başvuruları
Başvurular en geç 30 gün içinde yanıtlanmalıdır. Başvuru kanalı (e-posta, KEP, form) açıkça duyurulmalıdır.
7. Veri ihlali bildirimi
İhlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a, mümkün olan en kısa sürede de ilgili kişilere bildirim yapılmalıdır.
8. Yurt dışına aktarım
2024'te yürürlüğe giren değişiklikle yurt dışına aktarım; yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi güvencelerden birine dayanmalıdır. Standart sözleşmenin imzalanmasından sonra Kurul'a bildirim süresi vardır.
9. Çalışan ve aday verileri
Özgeçmişler, personel özlük dosyaları ve kamera kayıtları da kişisel veridir. İşe alım süreçlerinde aday aydınlatması yapılmalıdır.
10. Üçüncü taraf hizmet sağlayıcılar
Bulut, muhasebe veya CRM sağlayıcılarıyla veri işleyen sözleşmesi yapılmalı, sağlayıcının güvenlik düzeyi denetlenmelidir.
İdari para cezaları
Kurul, aydınlatma yükümlülüğüne aykırılık, veri güvenliği tedbirlerinin alınmaması, ihlal bildirim ve VERBİS yükümlülüklerinin ihlali için her yıl yeniden değerleme oranında güncellenen idari para cezası uygular. Güncel tutarlar için Kurul duyurularını takip edin.
Uyum çalışması, bir envanter çıkarılarak başlar; sonrasında politika ve sözleşmeler, en son eğitim ve düzenli denetim gelir.