Kişisel Veriler Kanunu Sektörlere Uyarlanıyor

Kişisel Verileri Koruma Kurumu (KVKK), Kişisel Verilerin Korunması Kanunu’nun, farklı sektörlerde farklı şekillerde uygulanabilmesine yönelik olarak çeşitli çalışmalar yürütüyor. KVKK Başkanı Prof. Dr. Faruk Bilir’in 23 Temmuz 2020 tarihinde katıldığı “Bilişim STK’ları ve KVKK” başlıklı video konferansta, sosyal mühendislik çalışmaları ile birey veya toplumların, gelecekleri tasarlanabildiği için, kişisel verilerin korunması konusunun sadece şahsi değil, aynı zamanda ulusal bir mesele haline geldiği ortak görüşüne varıldı. Türkiye’nin verisinin Türkiye’de kalması için veri merkezleri konusunda çeşitli düzenlemeler yapılmasının üzerinde durulan konferansta, firmaların verilerinin tutulduğu bulut sistemleri ve yapay zeka uygulamalarının da önemli bir tehdit oluşturduğu ve buna yönelik sertifikasyon çalışmalarının yapılması gerektiğine işaret edildi.

Öte yandan, KVKK Başkanı Prof. Dr. Faruk Bilir, Veri Sorumluları Sicil Bilgi Sistemi’ne kayıtta (VERBİS) süre uzatılmasına da değinerek, bugüne kadar üç defa sürecin uzatıldığını son belirlenen sürecin ise 30 Eylül 2020 olduğunu söyledi.

BTK-KVKK Protokolü

KVKK Başkanı Prof. Dr. Faruk Bilir, Kişisel Verilerin Korunması Kanunu’nun telekomünikasyon sektörüne uyarlanması ile ilgili Bilgi Teknolojileri ve İletişim Kurumu (BTK) ve KVKK arasında yapılacak protokolle ilgili çalışmalarda sona yaklaşıldığını belirtti.

Bilir, telekomünikasyon cihazları ile ilgili saklanan veriler konusunda KVKK ile BTK arasında yürürlüğe konacak protokol metninin şu anda hazır olduğunu sözlerine ekledi.

Farklı uygulamaların yapılabilmesi için çeşitli çalışmalar olduğunu da belirten Bilir, bu konuda bankacılık sektörü için de bir girişimde bulunduklarının altını çizdi.

Avrupa Birliği ile Uyumluluk

Prof. Dr. Bilir, Kişisel Verilerin Korunması Kanunu ile Avrupa Birliği’nin bu konudaki yasal Düzenlemesi olan Genel Veri Koruma Tüzüğü’nün (GDPR) uyumluluğu hakkında da fikirlerini dile getirdi. GDPR Tüzüğü’ne uyumluluğun 11’inci Kalkınma Planı’nda da bulunduğunu söyleyen Bilir, konuyla ilgili 6 aydır çalıştıklarını kaydetti. Bilir, konuşmasını şöyle sürdürdü:

“GDPR ve Kişisel Verilerin Korunması Kanunu arasında uyumluluk, yöntem olarak bir mevzuat değişikliği ile olmalı. Yani mevzuat değişikliği ile olabilecek konular, içtihat değişikliği ile olabilecek konular ve bu konuda hiçbir uyumluluk sağlanamayacak konular var. Çünkü biliyorsunuz bu Avrupa Birliği’ne üye devletler için getirilmiş bir düzenleme ama genel olarak Kişisel Verilerin Korunması Kanunu bununla uyumlu. Ama tam uyumluluk olduğunu söylemek de mümkün değil.”

VERBİS’e Kayıt 30 Eylül’e Uzatıldı

Covid-19 salgını nedeniyle Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt ve bildirim süresi üçüncü kez uzatıldı. VERBİS’e kayıt için son belirlenen sürecin 30 Eylül 2020 tarihi olduğu açıklandı.  

Sicile kayıt yükümlülüğünün yerine getirilmesi için; veri sorumlularının gerçek kişiye ait elde ettikleri veriyi işlemesi, koruması ve saklaması; KVKK yükümlülüklerine uyulması açısından önemli kabul ediliyor. Veri sorumlularının fiziki olarak kapalı kalması ve gereken hazırlıklarını tamamlayamamasının bu kararın alınmasında etkili olduğu belirtiliyor.

Kişisel verilerin korunmasına ilişkin faaliyette bulunan Siberasist firmasının  Genel Müdürü Serap Günal, hem kişisel veri işleme envanteri hazırlama çalışmalarının hem hem de hazırlıkların tamamlanamadığına işaret etti. Günal, tanınan bu son sürenin gerçek ve tüzel kişi veri sorumlularının gereken tüm hazırlıkları bitirerek, VERBİS kayıt süreçlerini tamamlamaları için önemli olduğunun altını çizdi.

Belirli şartları taşıyan gerçek ve tüzel kişi veri sorumlularının 30 Haziran 2020 tarihine kadar VERBİS kayıt ve bildirim sürecini tamamlamaları gerekiyordu. Ancak, veri sorumluları salgın nedeniyle hazırlıklarını yapamayarak, kayıt tarihine yetişemediler. Çeşitli sektör temsilcilerinin KVKK ile görüşmeleri sonucunda alınan kararla birlikte tarih bir kez daha ertelenmiş oldu.

Küçük İşletmelere Ayrı Tarih

KVKK yıllık çalışan sayısı ve mali bilanço toplamına göre veri sorumlularına farklı tarihler belirledi. Kurulun aldığı son kararda yıllık çalışan sayısı 50’den fazla veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularının sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen süre 30 Eylül 2020 tarihine ertelenirken, yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin ise 31 Mart 2021 tarihi olduğu duyuruldu.

Kayıt Olmayanlara Para Cezası

Belirlenen yeni tarihlere kadar kayıt ve bildirim yaptırmayan veri sorumlularına 1 milyon TL’ye kadar idari para cezası uygulanabilecek. Ayrıca kişisel verilerle ilgili veri sorumlularının sadece VERBİS ile ilgili aksiyonları alması da yeterli görülmezken, VERBİS kaydı dışında da veri sorumlularının diğer gerekli KVKK yükümlülüklerini yerine getirmesi gerektiği belirtiliyor.