KVKK nedir?

KVKK neyi düzenler?

Bir kişinin bilgisi, onun emanetidir. Kanun, bu emaneti alan herkesin onu neden aldığını açıklamasını, yalnızca o amaçla kullanmasını, güvende tutmasını ve gerektiğinde sahibine hesap vermesini ister. Uygulamayı Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kurul denetler. Temel kavramlar şunlardır:

İşletmeden beklenen temel yükümlülükler

• Hukuka uygun işleme: Veriyi kanunda sayılan işleme şartlarından birine dayanarak işlemek. Açık rıza bu şartlardan yalnızca biridir; sözleşmenin ifası veya hukuki yükümlülük gibi başka şartlar da vardır.
• Aydınlatma: Veri toplanırken kişiyi bir aydınlatma metni ile bilgilendirmek.
• Veri güvenliği: Yetkisiz erişimi önleyecek teknik ve idari tedbirleri almak.
• Başvurulara cevap: Kişinin verisinin işlenip işlenmediğini öğrenme, düzeltme, silme gibi taleplerini yanıtlamak.
• Saklama ve imha: Amacı sona eren veriyi silmek, yok etmek veya anonim hâle getirmek.
• Kayıt yükümlülüğü: Belirli kriterleri karşılayan veri sorumlularının VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kaydolması gerekir.

VERBİS muafiyet ölçütleri, yurt dışına veri aktarımı kuralları ve idari para cezası tutarları zaman içinde değişmiştir; kanunda son yıllarda önemli değişiklikler de yapılmıştır. Kendi durumunuz için güncel mevzuatı ve Kurul kararlarını kontrol edin, gerekirse bir hukukçudan destek alın.

İşletmeniz için ne anlama gelir?

Web sitenizdeki her iletişim formu, her sipariş kaydı, her çerez ve her reklam pikseli kişisel veri işler. Müşteri listesini kişisel telefonunuzda tutmak, çalışanların ortak bir e-posta şifresini paylaşması veya eski müşteri dosyalarını süresiz saklamak da KVKK açısından risk oluşturur. İyi haber şu ki, çoğu küçük işletme için uyum bir dizi düzenli alışkanlıktan ibarettir.

Örnek: Bir güzellik salonunun uyum adımları

Ankara'da bir güzellik salonu, online randevu sistemine geçerken şu adımları atıyor: Randevu formunun yanına aydınlatma metni bağlantısı ekleniyor. Cilt bakımı öncesi doldurulan ve sağlık bilgisi içeren formlar özel nitelikli veri olarak değerlendirilip erişimi yalnızca uzman personelle sınırlandırılıyor. Kampanya SMS'leri için ayrı bir izin alınıyor. Personelin ortak kullandığı yönetim paneli hesabı kişisel hesaplara bölünüyor ve iki adımlı doğrulama açılıyor. Son olarak, belirli bir süre randevu almayan müşterilerin verilerinin ne zaman silineceğini gösteren basit bir saklama tablosu hazırlanıyor.

Sık yapılan hatalar

• Her işlem için açık rıza istemek ve hizmeti rızaya bağlamak.
• İnternetten bulunan başka bir firmanın metnini kendi işine uyarlamadan kopyalamak.
• Aydınlatma ile açık rızayı tek bir onay kutusunda birleştirmek.
• Veri ihlali yaşandığında Kurul'a ve ilgili kişilere bildirim yükümlülüğünü bilmemek.
• Uyumu bir kez yapılıp biten bir proje sanmak.