KVKK Uyum Avukatı

Bu sayfa, Türkiye'de faaliyet gösteren şirketler ve Türkiye'deki kişilerin verilerini işleyen yabancı şirketler içindir. KVKK uyum avukatı olarak mevcut durum (gap) analizi yapıyor, aydınlatma ve açık rıza metinlerini, saklama ve imha politikasını hazırlıyor, yurt dışı aktarım sözleşmelerini ve VERBİS kaydını yürütüyor, veri ihlallerinde ve Kurum ile mahkemeler önünde şirketleri temsil ediyoruz.

Türkiye'de kişisel verilerin korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir. Kanun ilk bakışta GDPR'a benzer. Ayrıntılar ise farklıdır ve uyum eksiklerinin çoğu tam da bu farklarda ortaya çıkar.

KVKK uyum avukatına ne zaman ihtiyaç duyulur?

Bize gelen dosyalar genellikle şu durumlardan biriyle başlar:

• Yeni bir şirket kuruyor veya bir şirketi devralıyorsunuz ve çalışan, müşteri ve tedarikçi verilerinin ilk günden hukuka uygun işlenmesini ya da hisse devrinde neyi devraldığınızı bilmek istiyorsunuz.
• Yurt dışında yerleşik bir şirketsiniz ve Türkiye'de kullanıcılarınız var; e-ticaret sitesi, mobil uygulama veya bulut hizmeti sunuyor ve KVKK'nın sizi kapsayıp kapsamadığını merak ediyorsunuz.
• Grubunuz GDPR'a uyumlu ve aynı belgelerin Türkiye'de de yeteceğini düşünüyorsunuz. Bazıları yeter. Birçoğu yetmez.
• Verileri yurt dışına aktarıyorsunuz; ana şirkete, bir bulut sağlayıcısına veya yurt dışında barındırılan bir CRM sistemine. Bu aktarımları 2024 düzenlemesine uygun hale getirmeniz gerekiyor.
• Bir sorun çıktı: bir veri ihlali, bir müşteri veya çalışan şikâyeti ya da Kişisel Verileri Koruma Kurumundan gelen bir yazı.

KVKK'da GDPR'ın 3. maddesi gibi açık bir ülke dışı uygulama hükmü yoktur. Uygulamada ise Kurul, Türkiye'deki kişilerin verilerini işleyen yurt dışı yerleşik veri sorumlularını da Kanun kapsamında değerlendirir. Sicil mevzuatı da bu veri sorumlularının Türkiye'deki bir temsilci aracılığıyla kayıt olmasını öngörür.

KVKK şirketlerden ne ister?

Veri sorumlusu ve veri işleyen

Veri sorumlusu, verilerin hangi amaçla ve nasıl işleneceğine karar veren kişidir; yükümlülüklerin çoğu ona aittir. Veri işleyen ise veriyi veri sorumlusu adına işler: bordro firması veya barındırma (hosting) şirketi gibi. KVKK m. 12 uyarınca veri sorumlusu, veri güvenliği tedbirlerinin alınmasında veri işleyenle birlikte müteselsilen sorumludur. Veri işleyen sözleşmeleriniz bunu açıkça yansıtmalıdır.

Her faaliyet için bir hukuki sebep

KVKK m. 5, kişisel verilerin açık rıza ile veya Kanunda sayılan diğer şartlardan biriyle işlenmesine izin verir: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin veriyi alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve veri sorumlusunun meşru menfaati bunların başlıcalarıdır. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Başka bir şart uygunsa açık rıza en zayıf dayanaktır, çünkü her zaman geri alınabilir.

2024 değişikliğinden sonra özel nitelikli veriler

1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun, özel nitelikli kişisel verilere ilişkin m. 6'yı yeniden düzenledi. Sağlık, biyometrik ve genetik veriler, din, sendika üyeliği ve ceza mahkûmiyetine ilişkin veriler bu gruptadır. Değişiklikten önce işverenler bu verilerin önemli bir kısmında pratikte yalnızca açık rızaya dayanabiliyordu. Yeni metin; istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülükler ve sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlı işleme gibi yeni şartlar getirdi. Kurulun özel nitelikli veriler için belirlediği yeterli önlemler ise geçerliliğini koruyor.

Aydınlatma yükümlülüğü ve veri güvenliği

KVKK m. 10 uyarınca kişiler, verileri elde edilirken bilgilendirilmelidir: veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile m. 11'deki hakları. KVKK m. 12 ise uygun teknik ve idari tedbirlerin alınmasını ister. VERBİS'e kayıt yükümlülüğü olan veri sorumluları ayrıca bir kişisel veri saklama ve imha politikası hazırlamak zorundadır.

2024 sonrası kişisel verilerin yurt dışına aktarılması

Değişikliğin en çok etkilediği hüküm m. 9'dur. Açık rıza artık yurt dışına aktarımda genel yol değildir. Yeni sistem kademeli işler:

1. Yeterlilik kararı: Kurulun ülke, sektör veya uluslararası kuruluş için yeterlilik kararı verdiği hallerde, m. 5 veya m. 6'daki şartlardan biri de varsa aktarım yapılabilir.
2. Uygun güvenceler: yeterlilik kararı yoksa Kurulca ilan edilen standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi güvencelere dayanılabilir.
3. Arızi aktarımlar: bunların hiçbiri yoksa, yalnızca arızi (süreklilik arz etmeyen) aktarımlar için sınırlı istisnalar uygulanır.

Standart sözleşme, Kurulun ilan ettiği metne sadık kalınarak kullanılmalı ve KVKK m. 9/4 uyarınca imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir. Bildirimin yapılmaması da idari para cezası sebebi olabilir. Uygulamada grup şirketlerine ve yurt dışındaki hizmet sağlayıcılara yapılan aktarımların çoğu bugün standart sözleşmeyle yürüyor; bu nedenle her ilişki için doğru modülün seçilmesi önem taşır.

VERBİS kaydı ve Veri Sorumluları Sicili

VERBİS, Kurumun tuttuğu çevrim içi Veri Sorumluları Sicil Bilgi Sistemidir. Kayıt bir formalite değildir: işleme amaçlarını, veri kategorilerini, alıcı gruplarını, saklama sürelerini, yurt dışı aktarımları ve güvenlik tedbirlerini beyan edersiniz.

Kurul, çalışan sayısı, yıllık mali bilanço toplamı ve faaliyetin niteliği gibi ölçütlere göre bazı veri sorumlularını kayıt yükümlülüğünden muaf tuttu. Bu eşikler Kurul kararlarıyla belirlenir ve zaman içinde değişmiştir; muaf olduğunuza karar vermeden önce güncel kararı Kurumun internet sitesinden kontrol edin. Yurt dışında yerleşik veri sorumlusu, Türkiye'de yerleşik bir veri sorumlusu temsilcisi aracılığıyla kayıt olur.

Veri ihlali, ilgili kişi başvuruları ve Kurul süreci

KVKK m. 12'ye göre veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. Kurul kararıyla Kurula bildirim için ihlalin öğrenilmesinden itibaren 72 saatlik bir süre öngörülmüştür ve uygulama genellikle bu yöndedir. Etkilenen kişilere ise makul süre içinde bildirim yapılır.

İlgili kişiler m. 11'deki haklarını veri sorumlusuna başvurarak kullanır. KVKK m. 13 uyarınca başvuru en geç 30 gün içinde ve kural olarak ücret alınmaksızın sonuçlandırılır. Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi Kurula şikâyette bulunabilir.

KVKK m. 18; aydınlatma, veri güvenliği, sicil ve yurt dışı aktarım bildirimi yükümlülüklerine aykırılık ile Kurul kararlarına uymama hallerinde idari para cezası öngörür. Tutarlar her yıl yeniden değerleme oranında güncellenir; risk hesabı yaparken güncel rakamları kontrol edin. 2024 değişikliğiyle birlikte Kurulun verdiği idari para cezalarına karşı idare mahkemesinde, genellikle tebliğden itibaren 60 gün içinde dava açılır. Bazı hukuka aykırı işleme fiilleri ayrıca Türk Ceza Kanunu kapsamında suç oluşturur.

KVKK ve GDPR arasındaki önemli farklar

GDPR uyum programı iyi bir başlangıç noktasıdır. Yine de Türkçe aydınlatma metinleri, VERBİS kaydı, Türk hukukuna uygun aktarım araçları ve Türk mevzuatına göre saklama süreleri eklenmelidir.

Adım adım KVKK uyum süreci

1. Başlangıç ve kapsam: kapsamdaki şirketleri, birimleri, sistemleri ve veri akışlarını belirleriz.
2. Veri envanteri: insan kaynakları, satış, pazarlama, bilgi işlem ve finans birimleriyle görüşmeler ve soru formlarıyla her işleme faaliyetini, hukuki sebebini ve saklama süresini çıkarırız.
3. Gap analizi raporu: eksikleri risk sırasına göre ve her biri için çözüm önerisiyle yazılı olarak raporlarız.
4. Belgeler: aydınlatma metinleri, gerçekten gerekli olduğu yerde açık rıza metinleri, saklama ve imha politikası, veri işleyen sözleşmeleri ve aktarım sözleşmeleri.
5. Kayıt ve bildirimler: VERBİS girişleri ve standart sözleşmelerin Kuruma bildirilmesi.
6. İhlal ve başvuru prosedürleri: veri ihlali ve ilgili kişi başvuruları için iç prosedür ve bu prosedürü uygulayacak çalışanlara eğitim.

Yapısı net, küçük veya orta ölçekli bir şirkette ilk beş adım genellikle dört ila on hafta sürer. Birden fazla şirketi ve çok sayıda yabancı tedarikçisi olan gruplarda bu süre uzayabilir. Aynı başlıkları daha kısa bir formatta görmek için KVKK uyumu hukuki kontrol listemize bakabilirsiniz.

Sizden istediğimiz belgeler ve bilgiler

• Şirket belgeleri, organizasyon şeması ve grup şirketlerinin listesi.
• Mevcut aydınlatma metinleri, rıza formları, internet sitesi ve çerez metinleri, gizlilik politikanız.
• İş sözleşmeleri, insan kaynakları formları ve varsa kamera, giriş kontrol veya izleme sistemleri.
• Kişisel veriye temas eden hizmet sağlayıcı sözleşmeleri (bulut ve bilgi işlem tedarikçileri dahil).
• Verilerin nerede saklandığı ve hangi ülkelere gittiği.
• Bilgi güvenliği politikalarınız ve geçmişteki ihlal veya şikâyetler.

Gizlilik politikanızı sıfırdan yazıyorsanız şirketinizin gizlilik politikasına neler dahil edilmelidir yazımız iyi bir başlangıçtır.

KVKK uyum avukatı olarak neler yapıyoruz?

• Değerlendirme: KVKK gap analizi, veri envanteri ve yazılı risk raporu.
• Hazırlık: aydınlatma metinleri, açık rıza metinleri, saklama ve imha politikası, veri işleyen sözleşmeleri, yurt dışı veri aktarım sözleşmeleri ve iç prosedürler.
• Başvuru ve bildirim: VERBİS kaydı ve güncellemeleri, standart sözleşmelerin Kuruma bildirimi.
• İhlal yönetimi: olayın değerlendirilmesi, Kurula bildirim ve etkilenen kişilere yapılacak bildirim.
• Temsil: Kurulun bilgi taleplerine ve şikâyetlere cevap, Kurul kararları ve idari para cezalarına karşı idare mahkemesinde dava.
• Takip: mevzuat, Kurul kararları veya işleme faaliyetleriniz değiştiğinde belgelerin güncellenmesi.

Yurt dışındaki müvekkillerin Türkiye'ye gelmesi gerekmez. Çalışmaları uzaktan yürütüyor, başvuru veya dava gerektiğinde Türk noterinde ya da konsoloslukta, yurt dışında ise apostilli olarak düzenlenen vekaletnameyle işlem yapıyoruz. Şirketinizle ilgili diğer konular bilişim hukuku ve ticaret hukuku hizmetlerimiz kapsamındadır. Durumunuzu görüşmek için büromuzla iletişime geçebilirsiniz.

KVKK uyumunda sık yapılan hatalar

• Her şey için açık rıza almak. İşleme bir sözleşmeye veya hukuki yükümlülüğe dayanıyorsa ayrıca rıza istemek karışıklık yaratır ve rıza geri alındığında sorun çıkarır. Her faaliyet için doğru hukuki sebebi seçin.
• Aydınlatma ile açık rızayı birleştirmek. Kurul bu ikisinin ayrı ayrı yerine getirilmesini bekler. Tek bir "okudum, kabul ediyorum" kutusu çoğu zaman ikisini de karşılamaz.
• GDPR metinlerini kopyalamak. Çevrilmiş bir AB metni çoğu zaman m. 10'daki unsurları atlar veya KVKK'da bulunmayan hukuki sebeplere atıf yapar.
• Beş iş günlük bildirimi unutmak. Standart sözleşmeyi imzalayıp dosyaya kaldırmak, aktarımı korumasız bırakır.
• İhlal planı olmaması. Pratiğimizde en sıkıntılı ihlal dosyaları, bildirime kimin karar vereceğinin belli olmadığı ve politika aranırken 72 saatin dolduğu dosyalardır.

Konunun ayrıntıları için şirketlerin veri gizliliği yükümlülükleri, veri ihlallerinin yasal yollarla ele alınması, KVKK hakkında önemli noktalar ve bilişim hukuku ve kişisel verilerin korunması yazılarımıza göz atabilirsiniz.

Sık Sorulan Sorular

Türkiye'de ofisi olmayan yabancı bir şirket KVKK'ya tabi midir?

Olabilir. KVKK'da açık bir ülke dışı uygulama hükmü yoktur, ancak Kurul uygulamada Türkiye'deki kişilerin verilerini işleyen yabancı veri sorumlularını, örneğin Türkiye'deki müşterilere internet üzerinden satış yapanları, Kanun kapsamında değerlendirir. Sicil mevzuatı da bu şirketlerin Türkiye'deki bir temsilci aracılığıyla kayıt olmasını öngörür.

GDPR uyumu KVKK için yeterli midir?

Tek başına yeterli değildir. Esasın önemli kısmını karşılar; ancak KVKK'nın kendine özgü aydınlatma içeriği, VERBİS sicili, bildirim yükümlülüğü olan aktarım araçları vardır ve veri taşınabilirliği hakkı yoktur. Sıfırdan başlamaktan çok uyarlama yapmanız gerekir.

Yurt dışındaki ana şirkete veri göndermek için açık rıza gerekir mi?

2024 değişikliğinden sonra genel kural olarak hayır. Yurt dışına aktarım artık yeterlilik kararına veya Kurulun standart sözleşmesi gibi uygun güvencelere dayanır; standart sözleşme beş iş günü içinde Kuruma bildirilmelidir. Açık rıza yalnızca arızi aktarımlara ilişkin dar istisnalar arasında kalmıştır.

Her şirket VERBİS'e kayıt olmak zorunda mı?

Hayır. Kurul, çalışan sayısı, yıllık mali bilanço toplamı ve faaliyet türüne göre bazı veri sorumlularını muaf tutmuştur. Ölçütler Kurul kararlarıyla belirlenir ve değişebilir; güncel kararı Kurumun internet sitesinden kontrol edin.

Veri ihlali ne kadar sürede bildirilmelidir?

KVKK "en kısa sürede" der. Kurul kararına göre Kurula bildirim, genellikle ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmalı; etkilenen kişilere ise makul süre içinde bildirim yapılmalıdır.

İlgili kişi başvurusuna ne kadar sürede cevap verilmelidir?

KVKK m. 13, başvurunun alınmasından itibaren en geç 30 gün içinde sonuçlandırılmasını öngörür ve kural olarak ücret alınmaz. Reddedilen, eksik veya geç verilen cevap Kurula şikâyete yol açabilir.

KVKK idari para cezasına itiraz edilebilir mi?

Evet. 2024 değişikliğinden sonra Kurulun verdiği idari para cezalarına karşı idare mahkemesinde, genellikle tebliğden itibaren 60 gün içinde dava açılır. KVKK m. 18'deki ceza tutarları her yıl güncellenir.

Türkiye'de veri koruma görevlisi (DPO) atamak zorunlu mu?

KVKK, GDPR'daki gibi bir veri koruma görevlisi zorunluluğu getirmez. VERBİS'e kayıt olan veri sorumluları bir irtibat kişisi belirler; yurt dışında yerleşik veri sorumluları ise Türkiye'de bir veri sorumlusu temsilcisi atar.