Kişisel Verilerin Korunması ve VERBİS

Kişisel Verilerin Korunması ve VERBİS

Kişisel veri kavramı son dönemde global çapta son derece önem arz eder bir kavram haline gelmiştir. Kullandığımız birçok bilgisayar programı, sosyal medya aplikasyonu ücretsiz olmakla birlikte kişisel verileri işlemekle faaliyetlerine devam edebilmektedir. Ülkelerin kanun koyucuları kişisel verilerin giderek daha fazla elde edilmesi ve depolanmasının kötüye kullanıma sebep olabileceği düşüncesiyle çeşitli kanunlar ihdas ederek kişisel verilerin korunmasını regüle etme amacı taşımaktadır.

Bu amacın yansıması olarak da ülkemizde 2010 yılında Anayasamızın 20. maddesine kişisel verilerin korunması ile ilgili düzenleme eklenmiş, 2016 yılında ise Kişisel Verilerin Korunması Kanunu (KVKK) yürürlüğe girmiştir.

KVKK’ya göre kişisel veri kimliği belli veya belirlenebilir gerçek kişiye ait her türlü bilgiyi ifade eder. Örneğin işletmelerin çalışanlarına, müşterilerine, tedarikçilerine, ticari faaliyette bulunduğu her türlü işletmenin yetkililerine, çalışanlarına ait her türlü bilgi kişisel veri olarak kabul edilmektedir. Bu veriler kişinin adı, soyadı, telefon numarası, adresi, e-posta adresi, mesleği, unvanı, özgeçmişi gibi gerçek kişiyi tanımlayan her türlü veridir.

Bu verilerin işletme tarafından işlenmesi halinde (Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.) kanundaki istisnalar dışında mutlaka kişi aydınlatılarak kişiden verilerin işlenmesine ilişkin açık rıza alınması gerekmektedir.

Kanun koyucu özellikle bazı işletme tiplerinde çok fazla kişisel veri işlenmesi söz konusu olduğundan Veri Sorumluları Sicil Bilgi Sistemi (VERBİS)’ne kayıt zorunluluğu getirmiştir.

Kişisel Verileri Koruma Kurulu’nun 11/03/2021 tarihli ve 2021/238 sayılı Kararı ile yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin 31.12.2021 tarihine kadar uzatılmasına karar verilmiştir.

İşletmelerin bu tarihe uyum göstermesi hususi önem arz etmektedir, zira KVKK’nın 18. maddesine göre Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanmaktadır.

VERBİS kaydının yapılmasından önce işletmeler mutlaka kişisel verilerin işlenmesine ilişkin aydınlatma metni, açık rıza metni, kişisel verilerin yok edilmesi, anonimleştirilmesi ve imha politikası, kişisel verileri koruma komitesi, alınacak teknik ve idari tedbirler konusunda aksiyon almalı ve kişisel veri envanteri oluşturmalıdır. İşletmenin çalışanlarına kişisel verilerin işlenmesine ilişkin eğitimler verilmeli ve bu konuda farkındalık oluşturulmalıdır. Ayrıca yurtdışına kişisel veri aktaran işletmeler bakımından Avrupa Birliği Genel Veri Koruma Tüzüğü’ne de uyum sağlanması gerekmektedir.