Aşağıdaki sorular aydınlatma yükümlülüğü, ilgili kişinin hakları ve kişisel veri ihlali şüphesinde ilk adımlar konularında genel bir çerçeve sunar. Somut olayda süreler, belgeler ve yürürlükteki düzenlemeler ayrıca değerlendirilir.
6 sorudan 1–6 gösteriliyor
Kişisel veri işleme faaliyetinde aydınlatma yükümlülüğü nasıl yerine getirilir?
Veri sorumlusu, kişisel verilerin toplanması sırasında kimliği, işleme amacı, hukuki sebep, aktarım alıcıları ve ilgili kişi hakları konusunda anlaşılır aydınlatma yapmalıdır.
6698 sayılı Kanun m.10’a göre aydınlatma, kişisel veri işleme faaliyetinin hukuki sebebinden ayrı bir yükümlülüktür. Açık rıza her veri işleme faaliyetinin zorunlu dayanağı değildir; kanundaki diğer işleme şartları mevcutsa bunlar kullanılabilir. Aydınlatma metninin yalnızca web sitesinde yayımlanması, belirli veri işleme anında usulüne uygun bilgilendirmenin yapıldığını tek başına kanıtlamaz. Çalışan, müvekkil, ziyaretçi, iş başvurusu ve çerezler gibi faaliyetler için işleme amaçları somut ve tutarlı olmalıdır. Özellikle özel nitelikli kişisel veri veya yurt dışına veri aktarımı içeren işlemlerde ayrıca özel koşullar ve gerekli güvenceler incelenmelidir.
İlgili kişi kişisel verileri hakkında hangi hakları kullanabilir?
İlgili kişi KVKK m.11 kapsamındaki bilgi, düzeltme, silme ve diğer haklarını veri sorumlusuna başvurarak kullanabilir; Kurula şikâyet öncesinde bu yol tüketilmelidir.
Veri sorumlusu, KVKK m.13 uyarınca başvuruyu en geç 30 gün içinde sonuçlandırır. Cevabın reddi veya yetersizliği halinde Kurula şikâyet cevabın öğrenilmesinden itibaren 30 gün içinde yapılabilir; kanunun 60 günlük üst sınırı ve Kurulun 2019/9 sayılı süre hesaplama kararındaki özel olasılıklar ayrıca gözetilmelidir. Veri sorumlusunun hiç cevap vermemesi halinde başvurudan itibaren 60 günlük süre önemlidir. Talepte hangi verinin, hangi işlemenin veya hangi yanlış kaydın tartışıldığı açıklanmalıdır. Mahkemeye doğrudan başvuru imkânı bulunan tazminat ve kişilik hakkı talepleriyle Kurula idari şikâyet aynı yol değildir.
Kişisel veri ihlali şüphesinde hangi ilk adımlar değerlendirilir?
Veri ihlali şüphesinde öncelikle olayın kapsamı belirlenir, teknik güvenlik önlemleri alınır ve KVKK kapsamındaki bildirim yükümlülüğü süratle değerlendirilir.
KVKK m.12/5 ve Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararında, kanuni olmayan yollarla üçüncü kişilerin verileri elde etmesi hâlinde Kurula bildirimin öğrenmeden itibaren gecikmeksizin, en geç 72 saat içinde yapılması ilkesi benimsenmiştir. Etkilenen kişiler de koşullara uygun şekilde bilgilendirilir. Hangi verilerin etkilendiği, saldırının nasıl gerçekleştiği, tespit zamanı, erişim kayıtları, alınan önlemler ve ihlalin devam edip etmediği belgelenmelidir. Olayın örtülmesi veya kayıtların düşünülmeden silinmesi hem teknik incelemeyi hem savunmayı zorlaştırır. Her güvenlik olayı aynı kapsamda veri ihlali olmayabilir; somut hukuki nitelendirme yapılmalıdır.
Kişisel verilerin silinmesi talebi her durumda kabul edilir mi?
Hayır; işleme şartları ortadan kalkmışsa silme, yok etme veya anonimleştirme gündeme gelir.
KVKK m.7 ve ilgili yönetmelik kapsamında saklama yükümlülükleri, hukuki uyuşmazlığın ispatı ve kişisel veri işleme sebepleri ayrı incelenir. Veri sorumlusu gerekçeli cevap vermeli ve başvuru yollarını bildirmelidir.
İşveren çalışanların iş e-postalarını dilediği gibi okuyabilir mi?
Hayır; meşru amaç, bilgilendirme, gereklilik ve ölçülülük sınırları bulunur.
İşyerinin e-posta politikası, çalışana önceden yapılan açıklama, denetim kapsamı ve daha az müdahaleci seçenekler değerlendirilir. Haberleşmenin gizliliği ve kişisel veri koruması birlikte gözetilmelidir.
KVKK kapsamında şikâyet önce doğrudan Kurula yapılabilir mi?
Kural olarak önce veri sorumlusuna başvuru gerekir.
Veri sorumlusunun cevabı veya cevap vermemesi üzerine KVKK m.14'teki otuz ve altmış günlük şikâyet süreleri ayrı hesaplanır. Başvurunun gönderim ve tebliğ belgeleri saklanmalıdır.