KVKK Kapsamında Şirketlerin Hukuki Yükümlülükleri ve İdari Yaptırımlar

Dijitalleşen ticari hayatta veri güvenliği, yalnızca teknik bir konu olmaktan çıkmış, hukuki bir zorunluluk haline gelmiştir. 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verileri işleyen gerçek ve tüzel kişileri “Veri Sorumlusu” olarak tanımlamakta ve şirketlere kapsamlı yasal yükümlülükler getirmektedir.

Özellikle ticari işletmelerin, yasal denetimlerde veya veri ihlali şikayetlerinde yüksek idari yaptırımlarla karşılaşmamaları adına, KVKK uyum süreçlerini mevzuata tam uygunlukla yürütmeleri gerekmektedir.

Şirketlerin ( Veri Sorumlularının ) Temel Yükümlülükleri

KVKK, veri işleme süreçlerini belirli ilkelere ve şartlara bağlamıştır. Bir şirketin kanuna tam uyumlu sayılabilmesi için aşağıdaki idari ve teknik tedbirleri hayata geçirmiş olması aranmaktadır:

1. Aydınlatma Yükümlülüğü;

Veri sorumluları; kişisel verilerini işledikleri çalışanları, müşterileri, tedarikçileri ve ziyaretçileri Kanun’un 10. maddesine uygun olarak bilgilendirmek zorundadır. Aydınlatma metinlerinde; verinin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi açıkça belirtilmelidir.

2. Kişisel Veri İşleme Envanteri Hazırlanması;

Şirket bünyesindeki tüm departmanların (İK, Muhasebe, Pazarlama vb.) iş süreçleri analiz edilerek; hangi verinin, ne amaçla, ne kadar süreyle işlendiğini gösteren detaylı bir envanter oluşturulması yasal bir gerekliliktir.

3. VERBİS Kaydı;

Kişisel Verileri Koruma Kurulu tarafından belirlenen kriterleri (Yıllık mali bilanço toplamı veya çalışan sayısı sınırlarını) aşan veri sorumlularının, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olmaları ve envanter bilgilerini bu sisteme işlemeleri zorunludur.

4. Veri Güvenliği Tedbirleri;

Kanun’un 12. maddesi gereğince veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri almak zorundadır. Bu kapsamda siber güvenlik önlemlerinin yanı sıra, çalışanlarla gizlilik sözleşmelerinin yapılması ve şirket içi politika belgelerinin (Saklama ve İmha Politikası vb.) oluşturulması gerekmektedir.

Yükümlülüklerin İhlali ve İdari Yaptırımlar

Yükümlülüklerin yerine getirilmemesi durumunda, Kişisel Verileri Koruma Kurulu (Kurul) tarafından Kabahatler Kanunu hükümleri saklı kalmak kaydıyla, KVKK’nın 18. maddesi uyarınca idari para cezaları uygulanmaktadır.

Cezalar, her yıl yeniden değerleme oranına göre artırılmaktadır. 2024-2025 dönemi itibarıyla;

• Aydınlatma yükümlülüğünün yerine getirilmemesi,
• Veri güvenliğine ilişkin yükümlülüklerin (teknik/idari tedbirler) yerine getirilmemesi,
• Kurul kararlarına muhalefet edilmesi,

hallerinde uygulanan cezalar, ihlalin niteliğine göre şirketlerin mali yapılarını sarsacak boyutlara ulaşabilmektedir. Ayrıca Türk Ceza Kanunu (TCK) kapsamında verileri hukuka aykırı olarak verme veya ele geçirme fiilleri, hapis cezası gerektiren suçlar arasındadır.

KVKK Uyum Sürecinde Hukuki Desteğin Önemi

KVKK uyumu, tek seferlik bir işlem değil, yaşayan ve sürekli denetim gerektiren bir süreçtir. Şirket içi farkındalığın artırılması, sözleşmelerin revize edilmesi ve olası bir veri ihlali durumunda 72 saat içinde Kurul’a bildirim yapılması gibi süreçler, hukuki uzmanlık gerektirmektedir.

Şirketlerin yasal risklerini minimize edebilmesi ve KVKK mevzuatına tam uyum sağlayabilmesi için bünyelerinde bu süreci yürütecek nitelikli bir birim oluşturmaları veya konuya ilişkin profesyonel hukuki danışmanlık hizmeti almaları önem arz etmektedir.