Kişisel Verilerin Korunması Kanununun Şirketlere Etkisi
6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016’da yürürlüğe girdi. Bu Kanun, şirketlerin kişisel veri işleme faaliyetlerini kurallara bağladı. Kanun’un şirketlere etkisi, getirdiği yükümlülükler ve bu yükümlülüklere uyulmaması halinde uygulanan yaptırımlar yoluyla ortaya çıkar. 2024’te 7499 sayılı Kanun’la yapılan değişiklikler, özel nitelikli veriler ve yurt dışına veri aktarımı konularında şirketlerin tabi olduğu rejimi değiştirdi.
Aydınlatma yükümlülüğü şirketlerin veri toplama süreçlerini değiştirdi. Kanun’un 10. maddesi, veri sorumlusu şirketin, kişisel verileri topladığı anda ilgili kişiye kimliğini, verileri hangi amaçla işleyeceğini, kime aktaracağını, toplama yöntemini ve hukuki sebebini, ayrıca ilgili kişinin haklarını bildirmesini zorunlu kılar. Bu yükümlülük, şirketlerin web sitesi üyelik formlarından iş başvuru süreçlerine, çağrı merkezi görüşmelerinden güvenlik kamerası kayıtlarına kadar her veri toplama noktasında aydınlatma metni sunmasını gerektirir. Aydınlatma metninin açık, anlaşılır ve erişilebilir olması şarttır. Yükümlülüğün yerine getirilmemesi idari para cezasına tabidir.
Veri güvenliği yükümlülüğü şirketlerin teknik ve idari altyapısını yeniden yapılandırmasına yol açtı. Kanun’un 12. maddesi, şirketlere kişisel verilerin hukuka aykırı işlenmesini, hukuka aykırı erişilmesini önlemek ve verileri muhafaza etmek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Kişisel Verileri Koruma Kurumu’nun “Kişisel Veri Güvenliği Rehberi” bu tedbirleri somutlaştırır. Teknik tedbirler; yetki matrisi, erişim kontrolleri, ağ güvenliği, şifreleme, sızma testleri, saldırı tespit sistemleri, güvenlik duvarları, log kayıtları, güvenli yedekleme, anti-virüs ve yama yönetimini içerir. İdari tedbirler; veri koruma politikalarının hazırlanması, kişisel veri envanteri, risk analizleri, çalışan eğitimi, gizlilik taahhütnameleri, veri işleyen sözleşmeleri ve periyodik denetimlerdir. Bu yükümlülük, şirketlerin bilgi teknolojileri bütçelerini, personel eğitim programlarını ve iç denetim mekanizmalarını doğrudan etkiler. Özel nitelikli kişisel veriler için Kurul’un “Yeterli Önlemler” rehberi ek tedbirler öngörür: ayrı güvenlik politikası, özel yetkilendirme ve eğitim, kriptografik şifreleme, şifre anahtarlarının ayrı ortamlarda tutulması, logların değiştirilemez olması, aktarımda VPN veya şifreleme kullanılması gibi. Bu tedbirler şirketlerin maliyetlerini artırır ve iş süreçlerini karmaşıklaştırır.
Veri Sorumluları Sicili (VERBİS) kaydı şirketlere bildirim yükümlülüğü getirdi. Kanun’un 16. maddesi uyarınca oluşturulan VERBİS, şirketlerin kişisel veri işleme faaliyetlerini kamuya açık bir sicile kaydetmesini zorunlu kılar. Kurul’un belirlediği eşikleri aşan şirketler (yıllık çalışan sayısı 50’den fazla veya mali bilançosu 25 milyon TL’den fazla olanlar ile yurt dışı yerleşikler) sicile kaydolur. Kayıt sırasında veri sorumlusunun kimliği, işleme amaçları, veri kategorileri, aktarılan alıcı grupları, yurt dışı aktarım bilgisi, güvenlik tedbirleri ve saklama süreleri gibi bilgiler girilir. VERBİS kaydı, şirketlerin kapsamlı bir veri envanteri çıkarmasını ve sürekli güncellemesini zorunlu kılar. Kayıt yükümlülüğüne uymamak idari para cezasına bağlanmıştır.
Veri ihlal bildirimi yükümlülüğü şirketlerin kriz yönetimi süreçlerini etkiledi. Kanun’un 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarının eline geçmesi halinde, şirketin bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmesini zorunlu kılar. Kurul, bildirimin 72 saat içinde yapılması gerektiğine karar vermiştir. Bu yükümlülük, şirketleri veri ihlali müdahale planları oluşturmaya, ihlal anında hızlı değerlendirme yapmaya ve ilgili kişileri bilgilendirme mekanizmaları kurmaya iter. Bildirimin yapılmaması veya gecikmesi, hem idari para cezasına hem de Kurul’un ihlali kamuoyuna duyurmasına yol açarak şirketin itibarını zedeler.
İlgili kişinin başvuru hakkı şirketlerin operasyonel yükünü artırdı. Kanun’un 11. maddesi, bireylere kendi verileri hakkında bilgi alma, düzeltme, silme, aktarımı öğrenme, otomatik analize itiraz etme ve zararın tazmini gibi haklar tanır. Şirketler, bu başvuruları 13. maddedeki usule göre en geç 30 gün içinde ücretsiz sonuçlandırmak zorundadır. Bu yükümlülük, özellikle büyük müşteri tabanına sahip şirketlerde başvuru yönetim sistemi kurmayı, eğitimli personel istihdam etmeyi ve her başvuruyu kayıt altına almayı gerektirir. Başvurulara süresinde cevap verilmemesi, ilgili kişiye Kurul’a şikâyet hakkı verir ve şirket hakkında idari para cezası uygulanmasına neden olur.
Özel nitelikli kişisel verilerin işlenmesi 2024 değişikliğiyle şirketler için yeniden şekillendi. Kanun’un ilk halinde, özel nitelikli veriler (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek, vakıf, sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler) ancak açık rıza ile veya kanunlarda öngörülen sınırlı hallerde işlenebiliyordu. Bu katı rejim, insan kaynakları süreçlerinde sendika üyeliği bilgisi, engellilik durumu ve sağlık raporları gibi verilerin işlenmesini neredeyse imkânsız hale getirmişti. 2024’te 7499 sayılı Kanun’la yapılan değişiklik, genel veriler için 5. maddede sayılan işleme şartlarının çoğunu (kanunlarda açıkça öngörülme, fiili imkânsızlık, alenileştirme, bir hakkın tesisi için zorunluluk gibi) özel nitelikli veriler için de geçerli kıldı. Bu değişiklik, şirketlerin insan kaynakları departmanlarında sendika aidat kesintisi, engelli kotası takibi ve iş sağlığı raporlarının işlenmesini kolaylaştırdı. Ancak Kurul’un öngördüğü ek güvenlik tedbirlerinin alınması zorunluluğu devam ediyor.
Yurt dışına veri aktarım rejimi 2024’te değişti ve şirketlerin uluslararası veri akışını etkiledi. Eski rejim, yurt dışına veri aktarımını açık rıza, yeterli koruma bulunan ülke veya Kurul izni şartlarına bağlamıştı. Kurul’un yeterli koruma listesini yayımlamaması ve izin süreçlerinin yavaşlığı, uluslararası şirketleri, bulut hizmeti kullananları ve yurt dışı iştirakleri olanları belirsizliğe sürüklemişti. Yeni 9. madde üç kademeli bir sistem kurdu: (1) Kurul’un yeterli koruma kararı verdiği ülkelere serbest aktarım. (2) Yeterli koruma yoksa standart sözleşme maddeleri, bağlayıcı şirket kuralları veya yazılı taahhüt gibi uygun güvencelerle aktarım. Standart sözleşmelerde Kurul’a bildirim yeterli; bağlayıcı kurallar için onay gerekiyor. (3) Arızi durumlarda açık rıza, sözleşmenin ifası gibi istisnalarla aktarım. Yeni rejim, şirketlerin yurt dışı veri aktarımını bürokratik izin yükünden kurtardı, ancak standart sözleşmelerin doğru kurulması ve bildirim yükümlülüklerinin yerine getirilmesi şart.
KVKK’nın şirketlerin operasyonel süreçlerine etkisi departmanlar bazında somutlaşır. İnsan kaynaklarında, iş başvurusundan işten ayrılışa kadar her adımda aydınlatma ve hukuki dayanak belirleme zorunluluğu doğdu. Bordrolama, performans değerlendirme, disiplin süreçleri ve özlük dosyalarının saklanması KVKK’ya uygun politikalara bağlandı. 2024 değişikliğiyle özel nitelikli verilerin işlenmesi kolaylaşsa da politika güncellemeleri ve ek güvenlik tedbirleri gerekiyor. Pazarlamada, açık rıza mekanizması elektronik ticari ileti gönderimini, sadakat programlarını ve profillemeyi şekillendirdi. Çerez kullanımı için açık rıza zorunluluğu dijital platformların kullanıcı arayüzlerini değiştirdi. Bilgi teknolojilerinde, güvenlik rehberindeki teknik tedbirler BT altyapı yatırımlarını artırdı; DLP, SIEM, IAM gibi sistemler yaygınlaştı. Tedarik zinciri yönetiminde, veri işleyenlerle yapılan sözleşmelere veri koruma hükümleri eklendi; veri sorumlusu olarak şirket, tedarikçilerinin veri güvenliği uygulamalarını denetlemek zorunda kaldı.
Uyum sürecinin finansal boyutu şirket bütçelerini etkiledi. Danışmanlık, teknoloji yatırımı, personel eğitimi, hukuki danışmanlık ve sürekli denetim masrafları doğrudan maliyetleri oluşturdu. Dolaylı maliyetler, yöneticilerin zaman harcaması ve geçici operasyonel yavaşlamalardır. Buna karşılık, uyumun sağladığı veri disiplini, azalan gereksiz depolama maliyetleri ve müşteri güvenindeki artış şirket bilançolarına olumlu yansır.
Uyumsuzluğun sonuçları şirketler için ağır yaptırımlar doğurur. Kanun’un 18. maddesi, aydınlatma yükümlülüğüne, veri güvenliğine, Kurul kararlarına ve VERBİS yükümlülüğüne aykırılık hallerinde idari para cezaları öngörür. Cezalar maktu olup her yıl yeniden değerleme oranında artar ve özellikle veri güvenliği ihlallerinde yüksek tutarlara ulaşır. Cezai yaptırımlar, Türk Ceza Kanunu’nun 135-140. maddeleri üzerinden hapis cezasına kadar uzanır; tüzel kişiler hakkında güvenlik tedbiri uygulanabilir. Ayrıca, verisi hukuka aykırı işlenen kişiler manevi tazminat davası açabilir, bu da şirketler için ek mali risk oluşturur.
KVKK’nın GDPR ile karşılaştırılması, yurt dışı bağlantılı şirketlerin durumunu etkiler. KVKK, 95/46/AT Direktifi kökenlidir; 2024 değişiklikleriyle GDPR’a yaklaşmıştır. Ancak GDPR’da bulunan veri koruma görevlisi atama, veri koruma etki değerlendirmesi, veri taşınabilirliği hakkı gibi kurumlar KVKK’da yoktur. GDPR’ın cirosal para cezalarına karşılık KVKK’daki maktu cezalar daha düşük kalır. Yurt dışına veri aktarım rejimi uyumlu hale gelse de AB’nin Türkiye için yeterlilik kararı vermemesi, AB’den Türkiye’ye veri akışında standart sözleşmelerin kullanılmasını zorunlu kılar.
