Şirketinizde KVKK metinlerinin bulunması, KVKK’ya tamamen uyumlu olduğunuz anlamına geliyor mu?
Çoğu şirket Kişisel Verilerin Korunması Kanunu (KVKK) denildiğinde internet sitesindeki aydınlatma metnini veya çalışanlardan alınan imzalı belgeleri düşünmektedir.
Oysa KVKK uyum süreci bundan çok daha kapsamlıdır.
Bir şirket; çalışanlarının, müşterilerinin, iş başvurusunda bulunan adayların, tedarikçilerinin ve ziyaretçilerinin kişisel verilerini işlerken hem hukuki hem de teknik ve idari yükümlülüklerle karşılaşabilir.
Peki şirketlerin KVKK kapsamında dikkat etmesi gereken temel konular nelerdir?
1. Şirketin Hangi Kişisel Verileri İşlediği Belirlenmeli
KVKK uyum çalışmasının ilk adımı, şirket içerisinde hangi kişisel verilerin işlendiğinin tespit edilmesidir.
Çalışanların kimlik ve iletişim bilgileri, özlük dosyaları, banka hesapları, sağlık raporları; müşterilerin telefon ve e-posta bilgileri; kamera görüntüleri, ziyaretçi kayıtları ve iş başvurularında alınan CV’ler bu kapsama girebilir.
Önemli olan yalnızca hangi verilerin toplandığı değil; neden toplandığı, nerede saklandığı, kimlerin erişebildiği, kimlere aktarıldığı ve ne kadar süre muhafaza edildiğinin de belirlenmesidir.
2. Aydınlatma Metinleri Şirkete Özel Hazırlanmalı
İnternetten bulunan standart bir KVKK metninin şirket unvanı değiştirilerek kullanılması her zaman yeterli değildir.
Bir inşaat şirketi ile otelin, araç kiralama şirketinin, restoranın veya e-ticaret şirketinin işlediği kişisel veriler ve veri işleme süreçleri aynı olmayabilir.
Bu nedenle çalışan, çalışan adayı, müşteri, ziyaretçi veya diğer ilgili kişi grupları bakımından gerekli aydınlatma metinleri şirketin gerçek faaliyetleri dikkate alınarak hazırlanmalıdır.
3. Açık Rıza Gereken ve Gerekmeyen Durumlar Ayrılmalı
Şirketlerin yaptığı önemli hatalardan biri de her kişisel veri işleme faaliyeti için açık rıza almaya çalışmaktır.
KVKK kapsamında açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. Kanunda öngörülen diğer veri işleme şartlarının bulunduğu durumlarda açık rıza alınması gerekmeyebilir.
Bu nedenle şirketin veri işleme faaliyetleri tek tek incelenerek hangi işlemin hangi hukuki sebebe dayandığı belirlenmelidir.
Aydınlatma yükümlülüğü ile açık rıza yükümlülüğünün birbirinden farklı olduğu da unutulmamalıdır.
4. Çalışanların ve Personel Dosyalarının KVKK’ya Uygunluğu Kontrol Edilmeli
Şirketlerin en yoğun kişisel veri işlediği alanlardan biri insan kaynaklarıdır. Kimlik fotokopileri, özlük dosyaları, banka bilgileri, sağlık belgeleri, adli sicil kayıtları, izin belgeleri ve performans kayıtları gibi çok sayıda veri şirket bünyesinde tutulabilir.
Bu belgelerin tamamının süresiz şekilde saklanması veya şirket içerisindeki herkes tarafından erişilebilir olması doğru değildir.
Hangi belgenin neden alındığı, ne kadar süre saklanacağı ve kimlerin erişebileceği belirlenmelidir.
5. Kamera ve Ses Kayıtları Kontrol Edilmeli
İş yerlerinde güvenlik amacıyla kamera sistemleri kullanılması oldukça yaygındır.
Ancak kameraların bulunması, şirketin sınırsız şekilde görüntü veya ses kaydı yapabileceği anlamına gelmez.
Kameraların amacı, görüş alanları, kayıtların saklanma süreleri ve kayıtlara erişebilecek kişiler değerlendirilmelidir.
Özellikle ses kaydı yapılması, görüntü kaydından ayrıca değerlendirilmesi gereken ve ölçülülük açısından önemli riskler doğurabilecek bir veri işleme faaliyetidir.
6. Tedarikçi, Taşeron ve Hizmet Alınan Firmalarla İlişkiler İncelenmeli
Şirketler kişisel verileri yalnızca kendi bünyelerinde işlemeyebilir.
Muhasebe firmaları, insan kaynakları şirketleri, yazılım sağlayıcıları, çağrı merkezi hizmetleri, taşeronlar veya farklı hizmet sağlayıcılarla kişisel veri paylaşılması söz konusu olabilir.
Bu durumda tarafların veri işleme sürecindeki rolleri belirlenmeli ve gerekli KVKK hükümleri, gizlilik yükümlülükleri ve veri güvenliğine ilişkin sözleşmesel düzenlemeler yapılmalıdır.
7. Çalışanlara KVKK Eğitimi Verilmeli
KVKK uyumunun en önemli unsurlarından biri çalışan farkındalığıdır.
Şirketin bütün sözleşmeleri ve metinleri eksiksiz olsa dahi bir çalışanın yanlış kişiye gönderdiği e-posta, açıkta bıraktığı personel dosyası veya yetkisiz kişiyle paylaştığı müşteri bilgisi veri güvenliği sorununa neden olabilir.
Çalışanların özellikle;
- kişisel verilerin korunması,
- e-posta ve WhatsApp üzerinden veri paylaşımı,
- müşteri bilgilerinin üçüncü kişilerle paylaşılmaması,
- personel dosyalarının korunması,
- güçlü parola ve erişim güvenliği,
- şirket belgelerinin kişisel cihazlarda saklanması,
- yapay zekâ uygulamalarına müşteri, çalışan veya şirket belgelerinin kontrolsüz şekilde yüklenmemesi
konularında bilinçlendirilmesi önemlidir.
Bu nedenle hukuk büromuz tarafından şirketlerin faaliyet alanlarına ve çalışanların görevlerine uygun şekilde KVKK farkındalık ve uyum eğitimleri de verilmektedir.
8. Kişisel Verilerin Ne Kadar Süre Saklanacağı Belirlenmeli
KVKK açısından kişisel verilerin bir kez hukuka uygun şekilde elde edilmiş olması, bu verilerin süresiz olarak saklanabileceği anlamına gelmez.Verilerin işlenmesini gerektiren sebebin ortadan kalkması hâlinde uygulanacak silme, yok etme veya anonim hâle getirme süreçleri değerlendirilmelidir.
Bu nedenle şirketlerin fiziksel ve dijital arşivlerinin belirli aralıklarla gözden geçirilmesi önem taşır.
9. VERBİS Yükümlülüğü Kontrol Edilmeli
Her şirket açısından otomatik olarak aynı sonuca varılmamalıdır.
Şirketin Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü bulunup bulunmadığı güncel mevzuat ve Kişisel Verileri Koruma Kurulu kararları kapsamında ayrıca değerlendirilmelidir.
Kayıt yükümlülüğü bulunan şirketlerde kişisel veri işleme envanteri ile VERBİS bildirimlerinin şirketin gerçek veri işleme faaliyetleriyle uyumlu olması özellikle önemlidir.
10. KVKK Uyum Süreci Düzenli Olarak Güncellenmeli
KVKK uyumu bir kez belgeler hazırlanarak tamamlanan ve bir daha kontrol edilmesi gerekmeyen bir süreç değildir.
Şirketin yeni personel takip sistemi kullanmaya başlaması, kamera sistemini değiştirmesi, yeni bir taşeronla çalışması, internet sitesini yenilemesi, yurt dışındaki hizmet sağlayıcılardan yararlanması veya yapay zekâ tabanlı uygulamaları iş süreçlerine dahil etmesi yeni kişisel veri işleme faaliyetleri oluşturabilir.
Bu nedenle şirketlerin KVKK süreçlerinin belirli aralıklarla yeniden değerlendirilmesi gerekir.
Şirketinizin KVKK Süreçlerini Kontrol Ettiniz mi?
KVKK uyumu yalnızca birkaç standart metnin imzalatılmasından ibaret değildir.
Şirketin mevcut işleyişinin incelenmesi, risklerin belirlenmesi ve hukuki dokümantasyonun fiili uygulamayla uyumlu hale getirilmesi gerekir.
Hukuk büromuz tarafından şirketlere yönelik olarak;
KVKK uyum ve mevcut durum incelemesi, şirkete özel aydınlatma ve açık rıza metinlerinin hazırlanması, çalışan ve tedarikçi sözleşmelerinin KVKK açısından düzenlenmesi, mevcut sözleşmelerin güncellenmesi, personel ve kamera süreçlerinin incelenmesi, saklama ve imha süreçlerinin değerlendirilmesi, internet sitesi KVKK ve gizlilik metinlerinin hazırlanması ve çalışanlara yönelik KVKK eğitimlerinin verilmesi konularında hukuki danışmanlık hizmeti sunulmaktadır.
Şirketinizde daha önce KVKK çalışması yapılmış olsa dahi, mevcut belgelerin güncel işleyişle uyumlu olup olmadığının belirli aralıklarla kontrol edilmesi; hukuki risklerin ve olası veri ihlallerinin önceden tespit edilmesi açısından önem taşımaktadır.
KVKK yalnızca hazırlanması gereken belgelerden değil, şirket içerisinde sürekli uygulanması gereken bir kişisel veri koruma sisteminden oluşur.