Tuzla’da Sanayi ve Denizcilik Faaliyetlerinde KVKK

Tuzla, tersaneleri, liman ve lojistik tesisleri ile sanayi ve kimya sanayicileri bölgesi gibi yoğun üretim alanlarıyla bilinen bir ilçedir. Bu ölçekte faaliyet gösteren işletmeler yalnız ürün ve hizmet üretmez; aynı zamanda çok sayıda çalışanın, taşeron personelin, denizcinin, sürücünün ve ziyaretçinin verisini işler. Kişisel verilerin korunması hukuku bu yönüyle Tuzla’daki sanayi işletmeleri için ihmal edilemeyecek bir uyum başlığıdır.

Tuzla’daki işletmelerde veri işlemenin tipik alanları

Tersane ve liman sahalarında giriş-çıkış kartları, vardiya kayıtları, gemi mürettebatının kimlik ve belge bilgileri, iş güvenliği eğitim kayıtları ve sağlık muayene sonuçları işlenir. Bunların bir kısmı 6698 sayılı Kanun m.6 anlamında özel nitelikli veridir. İşe giriş muayenesi, iş kazası tutanağı ve sağlık raporu bu gruba girer; işleme şartları ve alınacak yeterli önlemler genel verilerden daha sıkı değerlendirilir.

Lojistik firmalarında araç takip sistemleri, sürücü konum verisi ve müşteri teslimat bilgileri öne çıkar. Kimya ve sanayi tesislerinde ise yüklenici firma çalışanlarının erişim kayıtları, kamera görüntüleri ve ziyaretçi defterleri üzerinde durulur.

Taşeron ve ortak çalışma ilişkilerinde sorumluluk

Büyük sahalarda veri çoğu zaman tek bir işletmenin elinde kalmaz. Ana yüklenici, alt yüklenici, personel temin şirketi ve güvenlik firması aynı kayıtlara erişebilir. Kanun, veri sorumlusu ile veri işleyen ayrımını yapar; veri işleyen, sorumlunun talimatı doğrultusunda onun adına veri işleyen kişidir. Bu rollerin yazılı sözleşmelerde net belirlenmesi, ihlal hâlinde kimin neyi bildireceği sorusunu da yanıtlar. Rol belirsizliği, Kurul önünde sorumluluğun karşılıklı olarak atılması sonucunu doğurur.

Yurt dışı ile veri paylaşımı

Tersane, armatör, klas kuruluşu ve yabancı müşterilerle yürütülen yazışmalar sık sık verinin yurt dışına gitmesi anlamına gelir. 7499 sayılı Kanunla yeniden düzenlenen m.9 üç kademeli bir yapı kurar: Kurulun yeterlilik kararı varsa aktarım serbesttir; yoksa uygun güvencelerden biri aranır; o da yoksa yalnız sınırlı istisnalarda arızi aktarım mümkündür. Standart sözleşme yolu seçildiğinde sözleşmenin imzadan itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Bulut e-posta hizmeti ya da yurt dışı sunuculu insan kaynakları yazılımı kullanımı da bu çerçevede değerlendirilir.

Veri güvenliği ve ihlal bildirimi

m.12 veri sorumlusuna hukuka aykırı işlemeyi, erişimi ve verinin kaybını önlemek için uygun teknik ve idari tedbirleri alma yükümlülüğü yükler. Ortak bir ağ klasörünün herkese açık kalması, personel listesinin yanlış alıcıya gitmesi veya fidye yazılımı olayı ihlal sayılabilir. İhlal öğrenildiğinde en kısa sürede Kurula bildirim yapılır; Kurul gerekli gördüğü durumlarda bildirimin 72 saat içinde yapılması yönünde karar verir. Olayın zamanı, etkilenen kayıt kategorileri ve alınan tedbirlerin belgelenmesi ilerleyen incelemede belirleyicidir.

VERBİS ve idari yaptırımlar

Kurulca belirlenen ölçütleri aşan veri sorumluları Veri Sorumluları Siciline kaydolmak zorundadır. m.18 bu yükümlülüğe, aydınlatmaya ve veri güvenliğine aykırılık için idari para cezaları öngörür. Kararlar idari yargıda dava konusu edilebilir. Savunma sürecinde işletmenin geçmiş uyum belgeleri, politikalar ve eğitim kayıtları dosyaya sunulur.

Çalışan başvuruları ve iç yazışmalar

Çalışanlar m.11 kapsamında kendileri hakkında tutulan verilere erişmek, yanlış kayıtların düzeltilmesini istemek veya amacı ortadan kalkan verilerin silinmesini talep etmek hakkına sahiptir. Başvuru veri sorumlusuna yazılı yapılır ve m.13 uyarınca en geç otuz gün içinde sonuçlandırılır. Büyük sahalarda bu başvuruların insan kaynakları, iş güvenliği ve güvenlik birimleri arasında dağılması nedeniyle tek bir sorumlunun belirlenmesi pratikte süre kaçırmayı önler. Disiplin soruşturmalarında toplanan kamera görüntüleri ve telefon kayıtlarının da hangi hukuki sebebe dayandığı ayrıca düşünülmelidir; ölçülülük burada belirleyici ilkedir. Ayrıca saha ziyaretçisi ve alt yüklenici çalışanlarının kimlik fotokopisi alınması gibi alışkanlıkların amaçla bağlantılı olup olmadığı gözden geçirilmelidir.

Uyum çalışmasının adımları

1. Hangi birimin hangi veriyi hangi amaçla tuttuğunu gösteren veri envanterinin çıkarılması.
2. Çalışan, ziyaretçi ve tedarikçi grupları için ayrı aydınlatma metinlerinin hazırlanması.
3. Yurt dışına giden akışların listelenip m.9 kademesine göre sınıflandırılması.
4. Erişim yetkileri, saklama ve imha süreleri ile ihlal müdahale planının yazılı hâle getirilmesi.
5. Yüklenici ve tedarikçi sözleşmelerine veri işleme hükümlerinin eklenmesi.

Tuzla’ya özgü sık sorulanlar

Tersane çalışanlarının sağlık raporları işveren tarafından saklanabilir mi?

İş sağlığı ve güvenliği mevzuatından doğan yükümlülükler çerçevesinde bazı sağlık kayıtları tutulur. Ancak bunlar özel nitelikli veri olduğundan erişimin sınırlandırılması ve yeterli önlemlerin alınması gerekir.

Yabancı uyruklu denizcilerin bilgileri yurt dışındaki acenteye gönderilebilir mi?

Aktarımın hukuki sebebi ve m.9 kademesi ayrıca belirlenmelidir. Yurt dışı acentenin bulunduğu ülke için yeterlilik kararı yoksa uygun güvence aranır.

Taşeron firma kendi çalışanının verisi için ayrı mı sorumludur?

Taşeron, çalışanı bakımından kendi başına veri sorumlusudur. Ana yüklenici ile paylaşılan veri için ise paylaşımın amacı ve rolleri yazılı olarak belirlenmelidir.

Kurula yapılan şikâyet işletmenin faaliyetini durdurur mu?

Şikâyet kendiliğinden faaliyeti durdurmaz; Kurul inceleme sonunda ilgili veri işleme faaliyetinin durdurulması da dahil tedbirlere karar verebilir.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.