Üyelik Sözleşmelerinin Kaderi Kişisel Verilere Bağlı

7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) uyum süreci 7 Nisan 2018 itibariyle doldu. KVKK, özel hayatın gizliliği, temel hak ve özgürlükleri koruma, kişisel verilerin işlenmesi hakkında usul ve esasları belirliyor.

Türkiye'de kişisel verilerin korunması için işletmelere tanınan iki yıllık sürenin dolmasının ardından, üyelik sözleşme ve koşullarının yenilenmesi gerekiyor. Özel sektör ve kamu kurumu olmak üzere tüm kurumlara ciddi iş ve sorumluluk yükleyen, yükümlülükler getiren KVKK’ya uyum süreci çalışmaları tamamlandı. İşletmeler, müşteri ve üyelerinden yasal izinleri alabilmek için SMS ile onay linkleri gönderiyor. Linklerde yeni üyelik sözleşmeleri ve bunun “kabul” edilebildiği onay seçenekleri yer alıyor. Kullanıcıların iletilen mesajlara olumlu cevap vermemesi halinde işletmenin müşterisine ait verileri silmesi ve üyeliğini, aboneliğini sonlandırması kaçınılmaz gözüküyor.

KVKK kapsamında, kişisel verileri tutan ve işleyen işletmelere yükümlülüklerine uymamaları durumunda 5 bin TL ile 100 bin TL arasında idari para cezası uygulanacak. İdari para cezaları 1 milyon TL'ye kadar da çıkarılabilecek.

Kişisel Verileri Koruma Kurulu’nun önünde şu anda bulunan şikayetlerin büyük çoğunluğunu veri güvenliği ihlal iddiaları oluşturuyor.

İki tebliğ yayımlandı

Kişisel Verileri Koruma Kurumu tarafından 10 Mart 2018 tarihli Resmi Gazete'de Kişisel Verileri Koruma Kurumu Aydınlatma Yükümlülüğü’ne ilişkin iki tebliğ yayımlandı.

Aydınlatma Yükümlülüğü’nün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (Aydınlatma Yükümlülüğü Tebliği) ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ (Başvuru Tebliği), 6698 sayılı Kişisel Verilerin Korunması Kanunu’na dayanıyor.

Kurumların, Aydınlatma Yükümlülüğü Tebliği uyarınca, veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünü yerine getirmeleri gerekiyor. 

Başvuru Tebliği uyarınca da ilgili kişilerin başvurularını Türkçe olarak yapması uygun görülüyor.

Özel nitelikli kişisel veri işleme

Kişisel veri işleme faaliyetleri kapsamında; özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken önlemler, 7 Mart 2018 tarihli Resmi Gazete’de yayımlandı. Önlemler, Kişisel Verileri Koruma Kurulu’nun kararı ile belirlendi.

Yoğunluklu olarak özel nitelikli kişisel veri işleyen şirketler, Kişisel Veri Güvenliği Rehberi’nde belirtilen güvenlik önlemlerinin yanında, özel nitelikli kişisel verilere istinaden belirlenen kararda yer alan tüm önlemleri de almaları gerekiyor.

Kişisel Veri Güvenliği Rehberi

Kişisel Verileri Koruma Kurumu, 19 Ocak 2018 tarihinde Kişisel Veri Güvenliği Rehberi’ni yayımladı. Kurumun internet sitesinde yer alan rehberde, uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler sıralandı.

Rehberin hukuki olarak bağlayıcılığının bulunmadığı, KVKK’ya ek olarak çıkarıldığı ve dolayısıyla herhangi bir yaptırım öngörmediği belirtiliyor. Ancak, Kişisel Verileri Koruma Kurulu ve mahkemelerin, kişisel veri güvenliğine ilişkin kuralları uygularken, rehbere başvurmaları beklendiğinden veri sorumlularının rehbere uymalarının  önem taşıdığının üzerinde duruluyor. Rehberin amacı şöyle açıklanıyor:

“Kişisel verilerin işlenmesi sürecinde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi uyarınca veri sorumlularının alması gereken teknik ve idari tedbirler konusunda uygulamada açıklık sağlanması ve iyi uygulama örnekleri oluşturulması amacıyla hazırlanmıştır.”

Veri sorumlularının sorumluluğu

Kişisel Verileri Koruma Kurumu tarafından çıkarılan Veri Sorumluları Sicili Hakkında Yönetmelik 30 Aralık 2017 tarihinde yayımlandı. Veri Sorumluları Sicili’ne kayıt yükümlülüğünü düzenleyen yönetmelik, 1 Ocak 2018 tarihi itibariyle yürürlüğe girdi.

Yönetmeliğe göre, veri sorumluları, Kişisel Verileri Koruma Kurumu Başkanlığı Veri Yönetimi Daire Başkanlığı tarafından oluşturulması öngörülen ve internet üzerinden erişilebilen Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) gerekli bilgileri yüklemek suretiyle Sicile kaydolmak zorundalar.

Öte yandan, Veri sorumlularının Kişisel Veri Güvenliği Rehberi’nde yer alan güvenlik önlemlerini hayata geçirmeleri; ileride meydana gelebilecek olası kişisel veri ihlallerinde 

Kurul veya mahkemeler nezdinde öne sürülecek savunmalar açısından çok önemli rol oynayacak.

Ayrıca Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik de yayımlandı.