Kişisel Verilerin Korunması Kanunu ve buna bağlı olan düzenlemeler ve danışmanlık uygulamaları tüm dünyada uygulanmaya başladı. Samsun‘da; il sınırlarında pek çok firma bulundurması nedeni ile KVKK konusunda firmaların dikkat etmesi gereken şehirlerden biri. Öyle ki; eğer kanunun aradığı şartlara riayet edilmez ise firmalara büyük cezalar verilebiliyor. İlave olarak kişisel bir verinin korunmasında ihlalde bulunan kurum yalnız para cezası ödemekle de kurtulamıyor. Kurum, halka açık bir alanda olmak kaydı ile; böyle bir ihlalin gerçekleştiğini ve elinde tutmuş olduğu verileri koruyamadığına dair duyuruyu yapmak zorunda kalıyor. Kişisel Verilerin Korunması Kanunu Türk Ceza Kanunu’na da atıfta bulunarak veri korumada ihlale düşenlerin hapis cezası almasını da öngörmüştür. Tüzel kişi olan kurumların hapis cezası ile cezalandırılmaları mümkün değildir. Bu nedenle firma yetkilisi yargılanacaktır. Veri ihlali suçu ağır suçlardan biri olarak gösterilebilir zira Yeni İnfaz Yasası kapsamına dahi alınmamıştır.
Samsun’da KVKK Danışmanlığı
Çıkış tarihi 2016 yılının Nisan ayı olan Kişisel Verilerin Korunması Kanunu kısa adı ile KVKK, küçük ya da büyük olması fark etmeksizin firmaları korkutmaktadır. Elbette yazımızın giriş kısmında bahsettiğimiz cezalar düşünüldüğünde de firmaların korkusu haksız sayılmaz. Zira hem maddi hem de itibar zedeleyen cezalar öngörmüş yasa koyucu. Ancak uyum sürecini doğru bir şekilde atlatacak firmaların bu hususta herhangi bir endişe duymasına da gerek kalmayacaktır. Bunun için Samsun’da KVKK danışmanlığı yapan hukuk büroları ile çalışmak sağlıklı olacaktır. Zira Uygulama bir kanun ile doğrudan bağlantılı olduğu için süreç yine en iyi bir avukat tarafından yönlendirilebilir.
Kişisel Verilerin Korunması Kanunu çerçevesinde çalışma yapması gereken firmaların türü için kanunda herhangi bir sınırlama bulunmamaktadır. Oteller, giyim firmaları, sağlık firmaları, fabrikalar gibi aklınıza gelebilecek pek çok firma; KVKK uyum sürecini gerçekleştirmelidir.
Samsun’da VERBİS Kaydı Yapan Firmalar
Kanuna uyum sürecinde yapılması gereken işlemlerden biri de VERBİS Kaydı. Samsun ve çevre illerde faaliyet gösteren firmaların; üçüncü kişilerden aldıkları ve yine üçüncü kişilerin kişisel verisi niteliğinde olan bilgileri ilgili bakanlığa ait bir sistem olan VERBİS’e eklemesi gerekir. Ancak bu eklemeler doğrudan yapılamaz. Öncelikle VERBİS’e kayıt olunması gerekir. Kayıt başvurusu bakanlıkça onaylandıktan sonra artık verinin nasıl ekleneceğini bilmek gerekir. Aksi halde yanlış veri girilmesinin ciddi sorunları olabilir. Bu gibi durumlar ile başedebilmek için uyum süreci konusunda tecrübeli avukatlar ile birlikte çalışılması gerekir. Bu sayede firmanız için uyum sürecini hatasız olarak atlatabilirsiniz. KVKK sürecinde dikkat edilmesi gereken noktalardan biri de üçüncü kişilerden ve firma çalışanlarından alınan kişisel nitelikteki verilerin kimlerle ve hangi amaçlar ile paylaşıldığıdır.
Örnek Bir Kişisel Verilerin Korunması Kurumu Kararı
Karar Tarihi : 06/02/2020 Karar No : 2020/86
Konu Özeti :Bir uçak bileti satış firması olan veri sorumlusu hakkındaki şikayet başvurusu. İlgili kişinin “….com” internet adresi üzerinden hizmet veren bir uçak bileti satış firması olan veri sorumlusunun sistemlerinde ….@outlook.com şeklinde kayıtlı olan üyelik e-posta adresinin …@gmail.com olarak güncellenmesini talep ettiği; ancak söz konusu talebinin, üyelik e-posta adresleri üzerinde değişiklik işlemi yapılamadığı ve kullanılmak istenilen e-posta adresiyle yeni bir üyelik başlatılabileceği gerekçe gösterilerek reddedilmesi nedeniyle Kurumumuza yaptığı Eylül 2018 tarihli başvuru ile ilgili yürütülen incelemede veri sorumlusu tarafından Kurumumuza iletilen savunma yazısında, ilgili kişinin başvurusunun, esasen sisteminde kayıtlı olmayan bir e-posta adresinden gönderildiği ve bu başvurunun tebliğde sayılan yöntemlerin herhangi biri ile gerçekleşmemiş olması sebebiyle reddedildiği açıklamasında bulunulmuş olup, bu kapsamda ilgili kişinin başvurusunun veri sorumlusunun cevabı ile birlikte değerlendirilmesi neticesinde 01/03/2019 tarih ve 2019/48 sayılı Kişisel Verileri Koruma Kurulu Kararı ile Mevzuatla belirlenen usule uygun olmayan başvurusu nedeniyle kişinin kimliğinin tanımlanamadığı noktasından hareketle, ilgili kişinin talebini reddeden veri sorumlusunun bu eylemine ilişkin olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) hükümleri kapsamında yapılacak bir işlem bulunmadığına, Bununla birlikte, veri sorumlusu tarafından ilgili kişinin başvurusunun Kuruma yapılan açıklamada olduğu gibi sistemlerinde kayıtlı olmayan bir e-posta adresi üzerinden yapılması nedeniyle kişinin kimliğinin belirlenemediği gerekçesiyle değil üyelik e-posta adresleri üzerinde değişiklik işlemi yapılamadığı gerekçesiyle reddedilmesi karşısında veri sorumlusunun, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında ilgili kişi tarafından yapılan bir başvuruyu dürüstlük kuralına uygun olarak sonuçlandırmadığı dikkate alınarak, bundan böyle Tebliğ kapsamında ilgili kişiler tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri alması hususunda Şirketin talimatlandırılmasına karar verilmiş olup, bu karar ilgili kişiye ve veri sorumlusuna tebliğ edilmiştir.
Müteakiben, ilgili kişinin aynı veri sorumlusu hakkındaki ikinci şikayet başvurusunda özetle, İlgili kişinin 12.04.2019 tarihinde KEP hesabını kullanarak veri sorumlusunun KEP adresi olan “…@….kep.tr” adresine e-posta göndererek sistemlerinde kayıtlı “…@outlook.com” adresinin “…@gmail.com” olarak güncellenmesini talep ettiği, Kayıtlı elektronik posta aracılığıyla gönderilen e-postanın aynı gün içerisinde veri sorumlusu tarafından okunduğu ancak 30 gün içerisinde ilgili kişiye veri sorumlusu tarafından cevap verilmediği belirtilerek, 6698 sayılı Kanun kapsamında gereğinin yapılması talep edilmiştir. Veri sorumlusu savunmasında özetle; “…@gmail.com” adlı e-posta adresinden müvekkili firmaya bir e-posta gönderilerek bu e-postada sisteme kayıtlı bir kullanıcı olan ilgili kişinin bir takım kişisel verisini yazarak sistemdeki e-posta adresinin güncellenmesini talep ettiği, İlgili kişinin, veri sorumlusuna ilk başvurusunun, veri sorumlusunun sisteminde kayıtlı olmayan bir e-posta adresinden gönderilen ve kayıtlı bir kullanıcının hesap yönetimini talep eden bir e-posta olduğundan şikayete konu başvurunun tebliğde sayılan yöntemlerin herhangi biri ile gerçekleşmemiş olduğunu, bu sebeple söz konusu e-posta adresi değişikliği talebinin işleme alınmadığı, Daha sonra ilgili kişinin KEP adresi yoluyla 12.04.2019 tarihinde veri sorumlusuna tekrar başvuruda bulunduğu ancak yoğunluk sebebi ile başvurunun bir süre sonra gözden kaçtığı, ilgili kişinin talebi fark edildiğinde yerine getirilerek e-posta adresinin talebi doğrultusunda güncellendiği ve bu güncellemenin ilgili kişiye de bildirildiği, ilgili kişinin “…@gmail.com” e-posta adresiyle sisteme giriş yapabilmekte olduğu belirtilmiştir. Konunun incelenmesi neticesinde Kişisel Verileri Koruma Kurulunun 06.02.2020 tarih ve 2020/86 sayılı Kararı ile; Kanunun 13 üncü maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğin 6 ncı maddesinde veri sorumlusunun ilgili kişi başvurularını etkin bir şekilde sonuçlandırma yükümlülüğünün düzenlediği, veri sorumlusu tarafından ilgili kişinin başvurularına cevap verilmemesi ya da cevabın yetersiz bulunması halinde ilgili kişiye Kurula şikayet hakkı tanınmışsa da sadece başvuruya cevap verilmemesi sebebiyle veri sorumlusuna uygulanabilecek bir idari yaptırım türüne Kanunda yer verilmediği, Ancak, somut olaydaki başvurunun, ilgili kişinin veri sorumlusuna yaptığı ikinci başvuru olduğu, ilk başvuru sonrasındaki şikayet doğrultusunda Kurul tarafından alınan 01/03/2019 tarihli ve 2019/48 sayılı Kararda veri sorumlusunun, Tebliğ kapsamında ilgili kişiler tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri alması hususunda talimatlandırılmasına karar verildiği, Şikayet dilekçesi ekinde sunulan KEP delilinden veri sorumlusunun ilgili kişinin başvurusunu, kendisine iletilmesinden yedi dakika sonra okuduğunun anlaşıldığı, Kurulun talimatına rağmen ilgili kişinin KEP adresinden yaptığı ikinci başvurusunun cevaplandırılmadığı, başvurunun cevaplandırılmamasının ise veri sorumlusunun savunmasında, yoğunluk sebebiyle gözden kaçtığı şeklinde gerekçelendirildiği, buna göre, veri sorumlusu tarafından başvuruların etkin, hukuka ve dürüstlük kuralına uygun cevaplandırılması için gerekli idari tedbirlerin alınmadığı ve Kurul tarafından verilen talimata uygun davranılmadığı değerlendirilmiş olup, Kanunun 15 inci maddesinin (5) numaralı fıkrası hükümlerine aykırı hareket eden veri sorumlusu hakkında Kanunun 18 inci maddesinin 1 inci fıkrasının (c) bendi uyarınca 50.000 TL idari para cezası uygulanmasına karar verilmiştir.
