Ataşehir’de Kurumsal Şirketlerin Kişisel Veri Yükümlülükleri

Ataşehir, İstanbul Finans Merkezi projesinin, çok sayıda şirket genel müdürlüğünün ve ofis binasının bulunduğu ilçedir. Bu yoğunluk, büyük ölçekli veri işleyen kuruluşların KVKK ile sık karşılaştığı anlamına gelir: müşteri portföyleri, çalışan bilgileri, kredi ve sigorta kayıtları, iş ortaklarıyla paylaşılan dosyalar günlük işlerin parçasıdır. Av. Bilal Alyar bu sayfada, kurumsal veri sorumlularının uyum çalışmalarında karşılaştığı sorulara genel bir çerçeve çizer; her şirketin yapısı farklı olduğundan somut yönlendirme belge incelemesinden sonra yapılır.

Kurumsal Yapıda Sorumluluk Dağılımı

Büyük bir şirketin veri uyumu tek kişiye bırakılamaz. Hukuk, bilgi güvenliği, insan kaynakları ve pazarlama birimleri aynı verilerle farklı amaçlarla çalışır. KVKK’da zorunlu veri koruma görevlisi atama yükümlülüğü yoktur, ancak VERBİS kapsamında bir irtibat kişisi bildirilmesi gerekir; bu kişi, Kurul ile iletişimi yürütür. İç yönetmelikte yetki ve sorumlulukların açıkça yazılması, olası bir Kurul incelemesinde şirketin hazırlıklı olmasını sağlar.

Yurt Dışı Aktarım ve Bulut Hizmetleri

Ataşehir’deki şirketlerin çoğu, grup şirketleri veya yazılım sağlayıcıları aracılığıyla verileri yurt dışındaki sunuculara aktarır. KVKK m.9 bu durum için üç kademeli bir sistem öngörür: Kurul’un yeterlilik kararı varsa aktarım serbesttir; yoksa standart sözleşme, bağlayıcı şirket kuralları gibi uygun güvencelerden biri aranır; bunlar da yoksa yalnızca arızi nitelikteki aktarım mümkündür. Standart sözleşme imzalandığında beş iş günü içinde Kurum’a bildirim gerekir. Sözleşmelerin yurt dışındaki sağlayıcılarla gerçekten imzalanıp imzalanmadığı sıklıkla denetimde sorulan bir konudur.

Yargı Çevresi

İstanbul Anadolu Adliyesi sayfasında adliyenin Anadolu yakasındaki ilçelere hizmet verdiği ve yetki alanında 14 ilçe bulunduğu belirtilmektedir; Ataşehir bu çevrede yer alır. Kurum kararlarına karşı açılacak davalar idari yargıda, kişilerin tazminat talepleri adli yargıda görülür. İdari para cezası kararına karşı yargı yolu KVKK m.18/3 uyarınca idari yargıdır.

Hizmet Kapsamı

• Kurumsal veri envanteri ve işleme faaliyetleri kayıt çizelgesi
• Müşteri, çalışan ve tedarikçi için ayrı aydınlatma metinleri
• Grup içi ve yurt dışı veri aktarım sözleşmeleri
• Yapay zekâ uygulamaları ve otomatik karar süreçleri için KVKK değerlendirmesi
• Kurul incelemesi veya şikâyeti sırasında savunma ve belge sunumu
• İdari para cezasına karşı dava hazırlığı

Örnek Durum: Çağrı Merkezi Kayıtları (Kurgusal)

Bir finans hizmeti şirketi, müşteri çağrılarını kaydetsin ve bu kayıtları pazarlama analizi için de kullansın. Kayıt tutma kısmı sözleşmenin ifası veya yasal yükümlülükle açıklanabilir; ancak aynı kayıtların pazarlama amacıyla işlenmesi ayrı bir hukuki sebep gerektirir. Aydınlatma metninde bu iki amaç ayrı ayrı belirtilmemişse, bir müşteri başvurusu üzerine Kurul incelemesi açılabilir. Çözüm, amaçların ayrıştırılması ve her amaç için uygun hukuki sebebin yazılı dayanakla gösterilmesidir.

Uyum Çalışması Nasıl Planlanır?

1. Veri akış haritası çıkarılır; hangi verinin nereden gelip nereye gittiği belirlenir.
2. Her işleme faaliyeti için KVKK m.5 veya m.6’daki hukuki sebep seçilir.
3. Yurt dışı aktarım yapılan her sağlayıcı için m.9 mekanizması tespit edilir.
4. İlgili kişi başvuruları için iç prosedür yazılır; yanıt süresi otuz gündür (m.13).
5. Düzenli iç denetim planı hazırlanır ve ihlal müdahale ekibi görevlendirilir.

Veri Envanteri ve Saklama–İmha Politikası

Kurumsal yapılarda uyumun ilk adımı, hangi birimin hangi veriyi, hangi amaçla ve ne kadar süreyle işlediğini gösteren bir veri envanteri çıkarmaktır. Envanter, hukuki sebebin belirlenmesine, aydınlatma metinlerinin hazırlanmasına ve saklama–imha politikasının yazılmasına temel oluşturur. Envanterde yer almayan bir veri akışı, denetimde ya da ihlal anında gözden kaçabilir.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, veri sorumlularının periyodik imha yapmasını ve imha işlemlerinin kayıt altına alınmasını öngörür. Bu yükümlülük, özellikle birden çok sistemde tekrar eden müşteri ve çalışan verileri bulunan şirketler için düzenli bir iç denetim işlevi taşır.

İç Yönetmelikler ve Çalışan Bilgilendirmesi

Çalışanların e-posta kutusu, işyeri telefonu ve bilgisayar kullanımının izlenmesi, çalışanlara önceden açıkça bildirilmedikçe sorun yaratabilir. İzleme amacı, kapsamı ve süresi iç yönetmelikte gösterilmeli, orantılılık ilkesi gözetilmelidir.

Üçüncü Taraf Sağlayıcı Denetimi

Muhasebe, bordro, çağrı merkezi ve bulut hizmeti sağlayan firmalarla yapılan sözleşmelerde veri güvenliği, gizlilik, alt yüklenici kullanımı ve ihlal bildirimi hükümleri aranır. Sağlayıcının yurt dışında bulunması hâlinde aktarım rejimi ayrıca incelenir. Yıllık dönemlerde sağlayıcıların güvenlik belgelerini ve yetkilendirme listelerini gözden geçirmek, kurumsal uyumun sürdürülmesine yardımcı olur.

Sık Sorulan Sorular

KVKK uyarınca veri koruma görevlisi atamak zorunda mıyım?

Hayır, KVKK’da böyle bir zorunluluk yoktur. VERBİS’e kayıt gereken şirketlerin bir irtibat kişisi bildirmesi gerekir.

Grup şirketimle müşteri verisini paylaşabilir miyim?

Paylaşım, aktarılan verinin amacına ve hukuki sebebe bağlıdır. Grup içi olması tek başına bir hukuki sebep oluşturmaz.

Kurul’dan bilgi talebi aldık; cevap süresi nedir?

Süre, talep yazısında belirtilir. Cevap vermemek, ayrıca yaptırım riski doğurabilir.

İdari para cezasına karşı hangi mahkemeye başvurulur?

KVKK m.18/3 uyarınca idari yargı yolu açıktır; dava süresi tebliğden itibaren kural olarak 60 gündür.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.