Arifiye Aydınlatma Metinleri (KVKK) Avukatları

Bu rehber, Arifiye (Sakarya) bölgesinde faaliyet gösteren işletmeler ve kişiler için KVKK aydınlatma metinleri konusunu; aydınlatma yükümlülüğünün kapsamı, açık rıza ile farkı, veri envanteri, VERBİS kaydı, ilgili kişi başvuruları, veri ihlali bildirimi, Kurul şikâyeti ve yaptırımlar açısından ele alır. Amaç, kişisel veri uyumunuzu doğru kurmanıza ve dosyanıza uygun avukatı bilinçli seçmenize yardımcı olmaktır.

Aydınlatma metni, kişisel verileri işleyen kişi veya kuruluşun (veri sorumlusunun), verisini işlediği kişiyi (ilgili kişiyi) bu işlemenin ayrıntıları hakkında önceden bilgilendirmesini sağlayan belgedir. Kişisel Verilerin Korunması Kanunu, kişisel veri işlemenin başladığı andan itibaren ilgili kişinin bu süreçten haberdar olmasını ister; çünkü kişinin haklarını kullanabilmesi, öncelikle verisinin ne şekilde işlendiğini bilmesine bağlıdır. Aydınlatma, bu şeffaflık ilkesinin somut aracıdır.

Kişisel veri, belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir: ad, soyad, telefon, e-posta, adres, kimlik numarası, kamera görüntüsü, konum, çerez bilgisi ve daha fazlası bu kapsamdadır. Sağlık, din, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veri gibi bilgiler ise özel nitelikli kişisel veri sayılır ve daha sıkı korumaya tabidir. Bir işletmenin müşteri, çalışan, ziyaretçi veya tedarikçi verisi işlemesi, onu veri sorumlusu hâline getirir ve aydınlatma yükümlülüğü altına sokar.

Burada dikkat edilmesi gereken temel kavram ayrımı, veri sorumlusu ile veri işleyen arasındaki farktır. Veri sorumlusu, verinin işlenme amaçlarını ve yöntemlerini belirleyen; yani kararı veren taraftır. Veri işleyen ise bu kararlar doğrultusunda, veri sorumlusunun talimatıyla veri işleyen (örneğin bir yazılım firması, çağrı merkezi veya muhasebe bürosu) taraftır. Bir işletme çoğu zaman aynı anda hem veri sorumlusu (kendi müşterisinin verisi için) hem de veri işleyen (bir iş ortağı adına işlediği veri için) olabilir. Aydınlatma yükümlülüğü kural olarak veri sorumlusuna aittir; bu nedenle işletmenin her ilişki için hangi sıfatla hareket ettiğini net biçimde belirlemesi, uyumun ilk adımıdır.

Aydınlatmanın bir başka önemli boyutu da dildir. Kanun, bilgilendirmenin açık, anlaşılır ve sade olmasını ister. Uzun, teknik ve hukuki terimlerle dolu, kimsenin okumadığı bir metin, biçimsel olarak var olsa bile işlevsel değildir. İlgili kişinin gerçekten anlayabileceği bir dille, hangi verisinin neden işlendiğini kavrayabileceği biçimde yazılmış bir metin, hem yükümlülüğü tam karşılar hem de işletmeye duyulan güveni artırır. Bu nedenle iyi bir aydınlatma metni, hem hukuki doğruluğu hem de okunabilirliği bir arada gözetmelidir.

Aydınlatma metni gelişigüzel bir bilgilendirme değildir; Kanun, metnin hangi başlıkları mutlaka içermesi gerektiğini belirlemiştir. Bu unsurlardan birinin eksikliği, metni yükümlülüğü karşılamaktan uzaklaştırır. Aydınlatma sırasında ilgili kişiye asgari olarak şu bilgiler açık, anlaşılır ve sade bir dille sunulmalıdır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği: İşlemeyi yapan kişi veya kuruluşun kim olduğu.
• İşleme amacı: Verilerin hangi somut amaçlarla işlendiği.
• Aktarım bilgisi: Verilerin kimlere ve hangi amaçla aktarılabileceği.
• Toplama yöntemi ve hukuki sebep: Verinin hangi kanalla ve hangi işleme şartına dayanılarak toplandığı.
• İlgili kişinin hakları: Kanunda sayılan başvuru ve talep haklarının bildirilmesi.

Bu unsurların her biri, işletmenin gerçek faaliyetiyle tutarlı biçimde doldurulmalıdır. Örneğin metinde belirtilmeyen bir amaçla veri işlemek veya bildirilmeyen bir tarafa veri aktarmak, aydınlatmanın gerçeği yansıtmadığı anlamına gelir. Bu nedenle metnin altında sağlam bir veri envanteri çalışması bulunması esastır.

Aydınlatmanın yapılma zamanı da en az içeriği kadar önemlidir. Kanun, aydınlatmanın kişisel verinin elde edilmesi sırasında yapılmasını ister; yani veri toplandıktan sonra değil, tam toplanırken bilgilendirme sunulmalıdır. Bir web formunda bu, formun gönderilmesinden önce metnin erişilebilir olmasını; bir sözleşmede, imza anında metnin ekte bulunmasını; telefonla veri alınırken sesli bir bilgilendirme yapılmasını gerektirir. Sonradan e-posta ile gönderilen bir aydınlatma, verinin toplandığı anı karşılamadığı için yükümlülüğü tam yerine getirmez.

Ayrıca aydınlatma, ilgili kişi grubuna göre farklılaştırılmalıdır. Bir işletmenin müşterisine, çalışanına, iş başvurusu yapan adayına ve web sitesi ziyaretçisine yönelik veri işleme amaçları ve hukuki sebepleri birbirinden farklıdır. Bu nedenle tek bir genel metnin herkese sunulması yerine, her veri sahibi grubu için o gruba özgü ayrı bir aydınlatma metni hazırlanması doğru yaklaşımdır. Bu ayrıştırma, hem metnin doğruluğunu artırır hem de olası bir denetimde işletmenin özenli davrandığını gösterir.

Uygulamada en çok karıştırılan iki kavram aydınlatma ile açık rızadır; oysa bunlar hem işlevleri hem sonuçları bakımından tamamen farklıdır. Aydınlatma her koşulda yapılan tek yönlü bir bilgilendirmeyken, açık rıza yalnızca başka bir hukuki sebebin bulunmadığı hâllerde başvurulan bir işleme şartıdır.

Açık rızanın geri alınabilir olması da uygulamada gözden kaçan bir noktadır. İlgili kişi, verdiği rızayı dilediği zaman geri çekebilir; bu durumda o rızaya dayanan işleme faaliyeti geleceğe yönelik olarak durdurulmalıdır. İşletmenin, rızaya dayalı işlemeler ile başka hukuki sebeplere dayalı işlemeleri birbirinden ayrı tutması bu yüzden önemlidir; aksi hâlde rızasını geri çeken bir kişinin verisinin hâlâ işlenip işlenemeyeceği belirsizleşir. Rızanın alınması, saklanması ve geri alınmasının teknik olarak izlenebilir biçimde kurgulanması, sağlıklı bir uyum yapısının parçasıdır. Bu ayrımı baştan doğru kurmak, sonradan çıkabilecek uyuşmazlıkların önüne geçer.

Bir kişisel verinin açık rıza olmaksızın işlenebilmesi, Kanunda sayılan hukuki sebeplerden en az birinin bulunmasına bağlıdır. Aydınlatma metninin en teknik kısmı, her veri işleme faaliyeti için doğru hukuki sebebin belirlenmesidir. Yanlış seçilen bir hukuki sebep, tüm işlemeyi hukuka aykırı hâle getirebilir.

Özel nitelikli kişisel veriler için işleme şartları daha dardır; bu veriler kural olarak ancak kanunda öngörülen hâllerde veya açık rıza ile işlenebilir, sağlık ve cinsel hayat verileri bakımından ise daha da sınırlı bir çerçeve söz konusudur. Her faaliyet için doğru sebebin belirlenmesi, metnin geçerliliğinin temelidir.

Hukuki sebeplerin doğru seçilmesi, sadece metni geçerli kılmakla kalmaz; aynı zamanda işletmenin fazladan yükümlülük altına girmesini de önler. Örneğin bir çevrimiçi mağazada teslimat için toplanan ad ve adres verisi, sözleşmenin ifası hukuki sebebine dayanır ve bu işlem için ayrıca açık rıza istenmesine gerek yoktur. Buna karşılık aynı müşteriye sonradan pazarlama e-postası göndermek, sözleşmenin ifasıyla ilgili olmadığından ayrı bir açık rızaya (ve ticari ileti onayına) tabidir. Bu ayrımın doğru kurulması, hem işletmeyi gereksiz onay yükünden kurtarır hem de gerçekten rıza gereken yerlerde geçerli onay alınmasını sağlar.

Meşru menfaat sebebi ise en dikkatli kullanılması gereken şarttır. Bu sebebe dayanmak için, veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge testi yapılması ve menfaatin ilgili kişinin haklarına zarar vermeyecek ölçüde olması gerekir. İşyeri güvenliği için ölçülü bir kamera sistemi bu sebebe dayanabilirken, çalışanları aşırı ve orantısız biçimde izleyen bir uygulama bu dengeyi bozar ve hukuka aykırı hâle gelir. Bu değerlendirmenin belgelenmesi, olası bir denetimde işletmenin lehine bir dayanak oluşturur.

Aydınlatma yükümlülüğü yalnızca büyük şirketlerle sınırlı değildir. Kişisel veri işleyen hemen her faaliyet bu kapsamdadır. Aşağıdaki örnekler, Arifiye gibi bir bölgede sıkça karşılaşılan durumları göstermektedir:

• E-ticaret ve web sitesi sahipleri: Üyelik, sipariş, iletişim formu ve çerezler yoluyla veri toplayan her site.
• Klinik, muayenehane ve eczaneler: Hasta sağlık verisi işleyen ve özel nitelikli veriye dokunan işletmeler.
• Emlak, sigorta ve danışmanlık ofisleri: Müşteri kimlik ve iletişim verilerini yoğun işleyen hizmet sağlayıcılar.
• Kafe, restoran ve mağazalar: Kamera kaydı, rezervasyon ve sadakat programı verisi toplayan işletmeler.
• İşverenler: Çalışan ve iş başvurusu yapan aday verilerini işleyen her kuruluş.
• Site ve apartman yönetimleri: Sakin bilgisi, aidat kaydı ve güvenlik kamerası verisi işleyenler.

Bu örneklerin ortak noktası, hepsinin en az bir kanaldan gerçek kişilere ait veri toplaması ve işlemesidir. Faaliyetin küçük olması yükümlülüğü ortadan kaldırmaz; yalnızca metnin kapsamını ve VERBİS gibi ek yükümlülüklerin gerekip gerekmediğini etkiler.

Serbest meslek erbabı da bu kapsamın dışında değildir. Muhasebeci, mali müşavir, mimar, doktor, diş hekimi, psikolog ve avukat gibi meslek mensupları; danışan ve müvekkil verilerini yoğun biçimde işledikleri için veri sorumlusu sayılır. Özellikle sağlık ve hukuk gibi alanlarda işlenen verilerin özel nitelikli olması, bu meslek gruplarının uyum yükümlülüğünü ağırlaştırır. Meslek sırrı ve mesleki gizlilik yükümlülükleri, kişisel veri koruma kurallarıyla birlikte değerlendirilmeli; iki rejim birbirini tamamlayacak biçimde kurgulanmalıdır.

Kişisel veri uyuşmazlıklarında başvurulacak merci, talebin niteliğine göre değişir; idari denetim ile tazminat yolları birbirinden ayrıdır:

Kişisel verilerin korunmasına ilişkin kurallara aykırılık, birden çok yaptırım türünü aynı anda gündeme getirebilir. Bu nedenle uyum, yalnızca bir bürokratik gereklilik değil, işletmeyi gerçek mali ve hukuki risklerden koruyan bir tedbirdir. Yaptırımlar üç ana başlıkta toplanır:

İdari para cezaları; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliği tedbirlerinin alınmaması, Kurul kararlarının yerine getirilmemesi ve VERBİS kayıt yükümlülüğüne aykırılık gibi farklı fiiller için ayrı ayrı ve farklı aralıklarda öngörülmüştür. Bu tutarlar kanunda her yıl belirlenen yeniden değerleme oranıyla güncellendiğinden, sabit bir rakam vermek yerine güncel tarifenin kontrol edilmesi gerekir. Cezalar çoğu zaman işletme büyüklüğünden bağımsız olarak uygulandığından, küçük bir eksiklik dahi önemli mali sonuçlar doğurabilir.

Kanun, verisi işlenen kişiye güçlü ve somut haklar tanır. Aydınlatma metninin bir amacı da bu hakların varlığını kişiye duyurmaktır. İlgili kişi, veri sorumlusuna başvurarak bu haklarını kullanabilir:

• Kişisel verisinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme.
• İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya dışında aktarıldığı üçüncü kişileri bilme.
• Eksik veya yanlış işlenmişse düzeltilmesini isteme.
• İşlenmesini gerektiren sebep ortadan kalktığında silinmesini veya yok edilmesini isteme.
• Otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve zararın giderilmesini isteme.

Bu haklar, öncelikle veri sorumlusuna yapılan bir başvuruyla kullanılır. Veri sorumlusu talebi kural olarak en geç otuz gün içinde sonuçlandırır. Başvuru yazılı olarak veya Kurul'un öngördüğü diğer yöntemlerle iletilebilir; başvurunun içeriğinin ve tarihinin belgelenmesi, sonraki aşamalarda önem taşır.

Veri sorumlusuna yapılan başvurudan sonuç alınamaması hâlinde devreye Kişisel Verileri Koruma Kurulu girer. Süreç, hak kaybını önlemek için belirli sürelere bağlanmıştır ve adım adım ilerler:

Kişisel verisi hukuka aykırı işlenen kişi, idari sürecin yanında bağımsız olarak tazminat da talep edebilir. Tazminat davası, kişinin uğradığı somut zararların giderilmesini amaçlar ve Kurul kararından ayrı yürür. Talep edilebilecek başlıca kalemler şunlardır:

• Maddi zarar: Verinin hukuka aykırı işlenmesi veya ele geçirilmesi nedeniyle uğranılan somut mal varlığı kaybı (örneğin dolandırıcılıkla uğranan zarar).
• Manevi zarar: Özel hayatın gizliliğinin ihlali, itibar kaybı, huzursuzluk ve psikolojik etkiler için manevi tazminat.
• İhlalin sürekliliği: Verinin yayılmaya devam etmesi veya tekrar tekrar işlenmesi hâlinde artan zarar.

Tazminat miktarı; ihlalin ağırlığına, yayılma derecesine, ilgili kişinin uğradığı somut etkilere ve tarafların durumuna göre mahkemece takdir edilir. Manevi tazminatta amaç zenginleşme değil, uğranılan manevi zararın hakkaniyete uygun biçimde giderilmesidir. Zararın ve nedensellik bağının belgelerle ortaya konması, davanın sonucunu belirleyen unsurlardır.

Tazminat yolu, Kurul'a şikâyet yolundan bağımsızdır ve ikisi aynı anda yürütülebilir. Kurul'un verdiği idari para cezası devlete ödenir ve zarar gören kişiye bir ödeme sağlamaz; oysa tazminat davası doğrudan zarar görenin uğradığı kaybı gidermeyi amaçlar. Bu nedenle verisi hukuka aykırı işlenen bir kişi, hem Kurul'a başvurarak ihlalin idari olarak yaptırıma bağlanmasını hem de mahkemede kendi zararının karşılanmasını talep edebilir. İki sürecin birlikte yürütülmesi, hem kamusal denetimi harekete geçirir hem de bireysel hak kaybını telafi eder.

Tazminat davasının başarısı, büyük ölçüde delillere bağlıdır. İhlalin gerçekleştiğine, işletmenin veri sorumlusu olduğuna, verinin hukuka aykırı işlendiğine ve bu yüzden bir zarara uğrandığına ilişkin kayıtların (ekran görüntüleri, yazışmalar, Kurul kararı, bilirkişi tespiti gibi) toplanması gerekir. Özellikle manevi zararda, ihlalin kişinin özel hayatına, itibarına veya ruh sağlığına etkisinin somut biçimde ortaya konması tazminatın miktarını etkiler. Bu delil çalışmasının bir avukat eşliğinde yürütülmesi, davanın sağlam bir zemine oturmasını sağlar.

KVKK kaynaklı tazminat davalarında sabit bir tarife yoktur; her dosya kendi koşullarında değerlendirilir. Mahkemenin takdir edeceği tutarı etkileyen başlıca etkenler şunlardır:

Özel nitelikli verilerin (sağlık, cinsel hayat, inanç gibi) sızması, genel verilere göre çok daha ağır bir ihlal sayılır ve manevi tazminat değerlendirmesini yukarı çeker. Öte yandan veri sorumlusunun ihlali fark eder etmez müdahale etmesi, ilgilileri ve Kurul'u zamanında bilgilendirmesi, sorumluluğunu hafifleten bir etken olarak dikkate alınabilir.

Bu süreler, talebin niteliğine göre farklı başlangıç anlarına bağlanmıştır ve bir kısmı hak düşürücü niteliktedir. Özellikle Kurul'a şikâyet için öngörülen süreler kısa olduğundan, veri sorumlusuna yapılan başvurunun tarihi ve alınan cevabın tarihi dikkatle kayıt altına alınmalıdır. Süre hesaplarındaki hatalar telafisi güç sonuçlar doğurabileceğinden, bu takibin bir avukatla yürütülmesi önerilir.

Aydınlatma yükümlülüğü, farklı veri işleme kanallarına göre özel biçimler alır. Uygulamada en çok soru doğuran üç alan çerezler, güvenlik kameraları ve ticari elektronik iletilerdir; her biri kendine özgü kurallar içerir.

Ticari elektronik ileti (SMS, e-posta, arama yoluyla pazarlama) göndermek, hem kişisel veri mevzuatı hem de ayrı bir düzenleme (ileti yönetim sistemi) kapsamındadır ve kural olarak alıcının önceden onayını gerektirir. Aydınlatma metni bu faaliyeti kapsamalı, onay ise ayrı ve açık biçimde alınmalıdır. Bu üç alanda yapılan eksiklikler, KVKK denetimlerinde ve şikâyetlerde en sık karşılaşılan konular arasındadır.

Sağlam bir KVKK uyumu, tek bir metinden ibaret değildir; birbirini tamamlayan belgeler ve süreçlerden oluşan bir bütündür. Arifiye'daki bir işletmenin uyum dosyasında bulunması beklenen temel belgeler:

• Kişisel veri envanteri: Hangi verinin, hangi amaçla, hangi hukuki sebeple işlendiğini gösteren analiz.
• Aydınlatma metinleri: Müşteri, çalışan, ziyaretçi gibi her veri sahibi grubu için ayrı metinler.
• Açık rıza metinleri: Yalnızca gerçekten rıza gerektiren işlemeler için, ayrı ve koşulsuz metinler.
• Saklama ve imha politikası: Verilerin ne kadar saklanacağı ve nasıl silineceği.
• Veri güvenliği tedbirleri: Teknik ve idari önlemlerin belgelenmesi.
• VERBİS kaydı (gerekiyorsa): Kayıt yükümlüsü ise sicile tescil.

Bu belgeler bir kez hazırlanıp rafa kaldırılacak evraklar değildir; işletmenin faaliyeti değiştikçe (yeni bir kanal, yeni bir yazılım, yeni bir iş ortağı) güncellenmelidir. Uyumun canlı bir süreç olarak yürütülmesi, hem denetimlerde hem de olası uyuşmazlıklarda işletmeyi korur.

Uyum çalışmasının kalbi, kişisel veri envanteridir. Bu envanter çıkarılırken işletmenin her departmanı, her yazılımı ve her iş akışı tek tek incelenir; hangi noktada hangi verinin toplandığı, nereye kaydedildiği, kimlerle paylaşıldığı ve ne kadar süreyle saklandığı haritalanır. Bu haritalama tamamlanmadan yazılan bir aydınlatma metni, gerçekte var olan işlemeleri eksik bırakma veya olmayan işlemeleri metne yansıtma riski taşır. Bu nedenle envanter, sadece bir belge değil; tüm uyum yapısının üzerine kurulduğu temeldir ve genellikle en emek isteyen aşamadır.

Saklama ve imha politikası da çoğu işletmenin ihmal ettiği kritik bir başlıktır. Kişisel veri, işlenme amacı ortadan kalktığında silinmeli, yok edilmeli veya anonim hâle getirilmelidir; süresiz saklama kural olarak hukuka aykırıdır. Bu nedenle her veri kategorisi için makul bir saklama süresi belirlenmeli ve bu sürenin sonunda verinin nasıl imha edileceği (fiziksel imha, güvenli silme, anonimleştirme) yazılı bir politikayla düzenlenmelidir. Periyodik imha süreçlerinin işletilmesi, hem hukuki riski azaltır hem de gereksiz veri birikiminin doğurduğu güvenlik zafiyetlerini önler.

Kişisel verilerin hukuka aykırı biçimde başkalarınca ele geçirilmesi (veri ihlali), her işletmenin karşılaşabileceği bir kriz senaryosudur. Siber saldırı, fidye yazılımı, çalışanın yetkisiz erişimi, kaybolan bir dizüstü bilgisayar veya yanlış alıcıya gönderilen bir e-posta dahi ihlal doğurabilir. Bu durumda veri sorumlusunun sessiz kalması, ihlalin kendisinden daha ağır sonuçlar doğurabilir; çünkü Kanun, ihlalin en kısa sürede ve Kurul tarafından belirlenen süre içinde Kurul'a bildirilmesini emreder.

Bildirim yalnızca Kurul'a değil, ihlalden etkilenen ilgili kişilere de yapılmalıdır. İlgili kişiler, verilerinin risk altında olduğunu öğrenmeli ki kendi tedbirlerini (şifre değiştirme, kart iptali, dikkatli olma gibi) alabilsinler. Bildirimde ihlalin niteliği, etkilenen veri kategorileri, olası sonuçlar ve alınan/alınacak tedbirler açıklanır. İyi yönetilen bir ihlal süreci, işletmenin sorumluluğunu hafifletebilirken; gizlenen veya geç bildirilen bir ihlal, idari para cezasını ağırlaştırır ve itibar kaybını büyütür.

İhlal anında atılan ilk adımların doğruluğu, hem idari süreçte hem de olası tazminat davalarında işletmenin durumunu belirler. Bu nedenle bir ihlal müdahale planının önceden hazırlanması ve kriz anında bir avukatla hareket edilmesi büyük önem taşır.

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), belirli ölçütleri karşılayan veri sorumlularının kişisel veri işleme faaliyetlerini kaydettikleri bir kamu sicilidir. Bu kayıt, aydınlatma metninden bağımsız ve ayrı bir yükümlülüktür; bir işletmenin aydınlatma metni olması, VERBİS yükümlülüğünü otomatik olarak ortadan kaldırmaz veya doğurmaz. İki yükümlülük ayrı ayrı değerlendirilir.

Kayıt yükümlüsü olup olmadığınız; yıllık çalışan sayısı, yıllık mali bilanço toplamı, ana faaliyet konusunun özel nitelikli veri işlemek olup olmaması ve kamu kurumu olma gibi ölçütlere göre belirlenir. Örneğin ana faaliyeti özel nitelikli veri (sağlık verisi gibi) işlemek olan bir işletme, çalışan sayısı düşük olsa dahi kayıt yükümlüsü olabilir. Kayıt yaptırırken işletme, işlediği veri kategorilerini, işleme amaçlarını, aktarım yaptığı tarafları, saklama sürelerini ve aldığı güvenlik tedbirlerini sisteme beyan eder.

Birçok işletme, verilerini üçüncü kişilerle paylaşır: bulut hizmeti sağlayıcıları, muhasebe ofisleri, kargo firmaları, pazarlama ajansları ya da grup şirketleri bu kapsamdadır. Kişisel verinin bir başkasına aktarılması da bir veri işleme faaliyetidir ve kendi kurallarına tabidir. Aydınlatma metninde bu aktarımların kimlere ve hangi amaçla yapıldığının belirtilmesi zorunludur; bildirilmeyen bir aktarım, hukuka aykırılık oluşturur.

Yurt içi aktarım, kural olarak veri işlemeye ilişkin genel şartların varlığında yapılabilir. Yurt dışına aktarım ise daha sıkı koşullara bağlıdır; kanunda öngörülen güvence mekanizmalarının (yeterlilik, uygun güvenceler veya istisnai hâller gibi) sağlanması gerekir. Özellikle yurt dışı merkezli bulut ve yazılım hizmetleri kullanan işletmelerin, bu hizmetlerin veri aktarımı boyutunu dikkatle değerlendirmeleri gerekir. Aktarım zincirinin doğru haritalanması ve gerekli sözleşmesel güvencelerin kurulması, uyumun teknik olarak en zorlayıcı kısımlarından biridir.

Aktarımın hukuka uygunluğu yalnızca işletmenin değil, verisi aktarılan kişinin de menfaatini korur. Bu nedenle bir avukatın, işletmenin kullandığı tüm dış hizmetleri ve iş ortaklarını inceleyerek aktarım envanterini çıkarması ve gerekli veri işleme sözleşmelerini hazırlaması, sağlam bir uyumun ayrılmaz parçasıdır.

KVKK uyumunda yapılan hatalar çoğu zaman kötü niyetten değil, yükümlülüklerin yanlış anlaşılmasından kaynaklanır. Bu hatalar, bir denetim veya şikâyet anına kadar fark edilmez; ancak o noktada telafisi zorlaşır. Uygulamada en sık karşılaşılan yanlışlar:

• İnternetteki şablonu olduğu gibi kullanmak: İşletmenin gerçek faaliyetini yansıtmayan metin, geçersiz sayılabilir.
• Aydınlatma ile rızayı karıştırmak: Her işleme için gereksiz yere rıza istemek veya rızayı koşula bağlamak.
• Aktarımları bildirmemek: Muhasebeci, kargo, bulut gibi tarafların metinde belirtilmemesi.
• Saklama süresi belirlememek: Verilerin süresiz saklanması ve imha politikasının olmaması.
• VERBİS yükümlülüğünü atlamak: Kayıt yükümlüsü olunduğu hâlde kayıt yaptırmamak.
• Güncellememek: Yeni bir kanal veya yazılım eklendiğinde metni ve envanteri güncellemeyi unutmak.

Bu hataların ortak paydası, uyumu bir kerelik bir işlem olarak görmektir. Oysa kişisel veri uyumu, işletmenin faaliyeti değiştikçe yaşayan bir süreçtir. Baştan doğru kurulmuş ve düzenli güncellenen bir uyum yapısı, hem cezalardan hem de itibar kaybından koruyan en etkili tedbirdir.

Kişisel veri uyumu, hem teknik hem hukuki bir alandır; bu nedenle avukat seçiminde alan deneyimi belirleyicidir. Metnin kopyala-yapıştır değil, işletmenizin gerçek faaliyetine göre şekillendirilmesi sonucu doğrudan etkiler. Değerlendirmede öne çıkan ölçütler ve ilk görüşmede sorabileceğiniz sorular aşağıda özetlenmiştir:

• KVKK deneyimi: Veri envanteri, aydınlatma-rıza ayrımı ve VERBİS süreçlerine hâkimiyet.
• Sektör bilgisi: İşletmenizin bulunduğu alana (sağlık, e-ticaret, üretim gibi) özgü veri risklerini tanıma.
• Yerel yargı bilgisi: Sakarya Adliyesi ve bölge mahkemelerinin uygulamalarına aşinalık.
• Şeffaf bilgilendirme: Kapsam, süreç ve ücret konusunda vekâlet öncesi açık iletişim.

İlk görüşmede avukata sorabileceğiniz sorular

• İşletmem hangi veri sahibi grupları için aydınlatma metni hazırlamalı?
• Hangi işlemelerde açık rıza gerekli, hangilerinde gereksiz?
• VERBİS kayıt yükümlüsü müyüm; süresi ne zaman?
• Bir veri ihlali yaşarsam ilk hangi adımları atmalıyım?
• Uyum sürecinin aşamaları, teslim süresi ve ücretlendirme nasıl işler?

• Kişisel Verilerin Korunması Kanunu (6698)
  Aydınlatma, işleme şartları, ilgili kişi hakları ve yaptırımlar
• Türkiye Cumhuriyeti Anayasası m.20
  Özel hayatın gizliliği ve kişisel verilerin korunması hakkı
• Türk Ceza Kanunu (5237) m.135-140
  Kişisel verilerin hukuka aykırı kaydı, ele geçirilmesi ve yayılması
• İlgili yönetmelik ve Kurul kararları
  Aydınlatma yükümlülüğü, VERBİS ve veri ihlali bildirimi usulleri