6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verileri işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişileri "veri sorumlusu" olarak tanımlar. Çalışan, müşteri veya ziyaretçi verisi işleyen hemen her işletme bu kapsamdadır.
Aydınlatma yükümlülüğü
KVKK m. 10 uyarınca veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmekle yükümlüdür. Bu bilgilendirme genellikle "aydınlatma metni" ile yapılır.
Veri güvenliği
KVKK m. 12, veri sorumlusuna kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri alma yükümlülüğü getirir.
İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirir. Kurul kararına göre bu bildirimin, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılması gerekir.
VERBİS kaydı
Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kaydolmakla yükümlüdür. Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerinin altında kalan ve ana faaliyeti özel nitelikli kişisel veri işleme olmayan bazı veri sorumluları bu yükümlülükten istisna tutulmuştur. İstisnadan yararlanılıp yararlanılamayacağı güncel Kurul kararları dikkate alınarak değerlendirilmelidir.
İlgili kişi başvuruları
Kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklarını veri sorumlusuna başvurarak kullanabilir. KVKK m. 13 uyarınca bu başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır.
Uyum için ilk adımlar
- Hangi birimde hangi verilerin, hangi amaçla işlendiğini gösteren bir veri envanteri hazırlanması,
- Aydınlatma metinlerinin ve gerekli hâllerde açık rıza metinlerinin oluşturulması,
- Kişisel veri saklama ve imha politikasının belirlenmesi,
- Teknik ve idari güvenlik tedbirlerinin gözden geçirilmesi,
- Yurt dışına veri aktarımı varsa, 2024 yılında değişen aktarım kurallarına uygunluğun kontrol edilmesi.