Sultangazi’de Kişisel Verilerin Korunması ve KVKK Uyumu

Sultangazi’de küçük ve orta ölçekli atölyeler, mahalle esnafı, çevrim içi satış yapan evden işletmeler ve apartman-site yönetimleri gündelik işleyişleri sırasında kimlik, telefon, adres, sipariş ve görüntü kaydı gibi kişisel verileri sürekli işler. Bu işleyişin 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından nasıl değerlendirildiği, çoğu zaman bir şikâyet, bir kamera kaydı talebi ya da bir veri sızıntısı haberiyle gündeme gelir. Bu sayfa, Sultangazi’de faaliyet gösteren veri sorumlularının ve verisi işlenen kişilerin karşılaşabileceği başlıca durumları genel hukuki çerçevede anlatır.

Küçük işletmelerde veri işleme: hangi kayıtlar KVKK kapsamına girer

Kanun, verinin otomatik ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesini kapsar. Bir kumaş atölyesinin çalışan puantaj listesi, bir gıda üreticisinin kurye ve müşteri telefon defteri, bir sosyal medya mağazasının kargo adres tablosu bu kapsamdadır. Verinin kâğıtta ya da bir hesap tablosunda tutulması durumu değiştirmez. Önemli olan, verinin belirli veya belirlenebilir bir gerçek kişiye ait olmasıdır.

İşletmenin ilk sorusu çoğunlukla “hangi veriyi, neden tutuyorum” sorusudur. m.4 genel ilkeleri hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma ile gerekli süre kadar muhafaza etmeyi sayar. Siparişin teslimi için adres almak ölçülüdür; aynı müşterinin yakınlarının bilgisini toplamak ölçülü olmayabilir.

Aydınlatma yükümlülüğü ve işleme şartları

m.10 uyarınca veri toplanırken veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kimlere hangi amaçla aktarılabileceği, toplama yöntemi ile hukuki sebep ve ilgili kişinin hakları bildirilmelidir. Aydınlatma, açık rıza ile aynı şey değildir. Pek çok işleme faaliyeti m.5/2’de sayılan şartlardan birine, örneğin sözleşmenin kurulması ya da ifası veya hukuki yükümlülüğün yerine getirilmesine dayanır ve ayrıca rıza gerektirmez. Rıza gereken hâllerde ise belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması aranır.

Sağlık raporu, sendika üyeliği, biyometrik veri gibi özel nitelikli kişisel veriler için m.6 daha sıkı bir rejim getirir. Bir atölyede parmak izi ile giriş-çıkış sistemi kurulacaksa bunun hangi hukuki sebebe dayandığı ve verinin nasıl korunduğu ayrıca değerlendirilir.

Güvenlik kamerası ve çalışan izleme

Sultangazi’de iş yeri, site ve apartman girişlerindeki kameralar sık gündeme gelen bir başlıktır. Kamera ile görüntü kaydı kişisel veri işlemesidir. Kameranın amacı, konumu ve kayıt süresi belirlenmeli, çalışanlar ve ziyaretçiler uygun biçimde bilgilendirilmelidir. Dinlenme ya da soyunma alanı gibi özel hayatın yoğun olduğu yerlerde kamera kullanımı ölçülülük bakımından ciddi sorun doğurur. Kayıtların izinsiz üçüncü kişilere verilmesi veya sosyal medyada paylaşılması hâlinde Türk Ceza Kanunu m.135 ve m.136 gündeme gelebilir.

Veri ihlali yaşandığında izlenecek yol

Bir hesabın ele geçirilmesi, müşteri listesinin yanlış kişiye gönderilmesi veya bir bilgisayarın çalınması ihlal sayılabilir. m.12/5 uyarınca ihlalin öğrenilmesinden sonra en kısa sürede Kurula bildirim yapılır; Kurul, ihlalin gerektirdiği hâllerde bunu 72 saat içinde yapılması gerektiğine karar verir ve gerekirse ilgili kişilere duyurulması da sağlanabilir. Bu aşamada olayın ne zaman öğrenildiği, hangi veri kategorilerinin etkilendiği ve alınan önlemlerin yazılı kaydı önem taşır.

Verisi işlenen kişi olarak yapılabilecekler

• m.11 çerçevesinde verinin işlenip işlenmediğini öğrenmek, düzeltme veya silme talep etmek.
• m.13 uyarınca önce veri sorumlusuna yazılı başvuru yapmak; sorumlu en geç otuz gün içinde yanıt verir.
• Yanıtın yetersiz bulunması ya da süresinde verilmemesi hâlinde Kurula şikâyette bulunmak.
• Kişilik hakkının ihlali söz konusuysa Türk Medeni Kanunu m.24-25 ve Türk Borçlar Kanunu m.58 çerçevesinde adli yargıda tazminat yolunu değerlendirmek.

Kurul süreci ve idari para cezaları

Kurul, şikâyet üzerine veya resen inceleme yapar. m.18 aydınlatma, veri güvenliği, Kurul kararlarının yerine getirilmesi ve sicile kayıt yükümlülüklerine aykırılık için idari para cezaları öngörür; VERBİS’e kayıt yükümlülüğüne aykırılık da bunlardandır. Kurul kararlarına karşı idari yargıda dava yolu açıktır. Sürelerin hesabı kararın tebliğ tarihine bağlı olduğundan tebligat evrakının saklanması gerekir.

Sultangazi için dosya hazırlığında önerilen belgeler

1. İşletmenin veri envanteri veya en azından hangi kayıtların tutulduğuna dair liste.
2. Mevcut aydınlatma metni, çerez ve kamera bilgilendirme levhaları.
3. Varsa Kurul ya da ilgili kişiden gelen yazı ve tebligat.
4. İhlal söz konusuysa olay zaman çizelgesi, sistem kayıtları ve yazışmalar.

Sultangazi ve KVKK hakkında sık sorulanlar

Mahalledeki küçük bir dükkânın da aydınlatma metni hazırlaması gerekir mi?

Evet; kişisel veri işleyen her veri sorumlusu için aydınlatma yükümlülüğü vardır. Biçim işletmenin ölçeğine göre sade olabilir, ancak m.10’daki unsurları içermelidir.

VERBİS’e kayıt herkes için zorunlu mudur?

Hayır. Yükümlülük Kurulca belirlenen ölçütlere, yani çalışan sayısı, mali büyüklük ve faaliyet niteliğine bağlıdır. İşletmenin bu ölçütlerin neresinde kaldığı, güncel Kurul kararlarına göre ayrıca belirlenir.

Müşteri telefon numarasına izinsiz reklam mesajı gönderilebilir mi?

Ticari elektronik ileti ayrı bir mevzuata, 6563 sayılı Kanuna tabidir ve genel kural olarak alıcının onayını gerektirir. Kişisel veri boyutu bakımından ayrıca KVKK değerlendirilir.

Kamera kaydını isteyen komşuya görüntü verilebilir mi?

Kayıtta üçüncü kişiler de görünüyorsa kaydın paylaşılması veri aktarımı niteliği taşır. Talep resmî bir makamdan geliyorsa yasal dayanak aranır; özel kişiye gönderim ise hukuki sebep gerektirir.

Veri sorumlusu başvuruya yanıt vermezse ne yapılır?

Otuz günlük sürenin geçmesiyle birlikte Kurula şikâyet yolu doğar. Başvurunun yazılı yapıldığına dair kanıt bu aşamada önemlidir.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.