Şirketlerin ve işletmelerin KVKK sürecine uyumunda belki de en önemli aşama Kişisel Veri Envanteri hazırlama aşamasıdır. Kuruluştaki departmanların hangi verileri, ne amaçla ve ne kadar süre boyunca saklayacakları gibi konularda yol gösterici olduğu gibi, açık rıza, aydınlatma yükümlülüğü, yurtiçi – yurtdışına veri aktarımı, yok etme – imha ve tabii ki VERBİS kaydı konusundaki temel gösterici söz konusu bu envanter olmaktadır.

Envanter hazırlama sürecinde, işletmenin büyüklüğüne ve kapasitesine bağlı olarak işlenen kişisel verilerin sayısı ve niteliği değişmekte olduğundan, büyük şirketlerde veya kurumlarda işlenen kişisel verilerin çokluğu sebebiyle departman bazında ele alınarak incelenmesi hem kolaylık hem de detay bakımından gereklidir.

KVKK’ya uyum konusunda kuruluşların baz alması gereken temel ilkeler bu sürecin kanuna uygun yürütülmesi için fazlasıyla önemlidir. Veri işleme faaliyetinin mutlaka hukuka ve dürüstlük kurallarına uygun olması gerekmekle birlikte, işlenen kişisel veriler güncel olmalı, kullanılmayan veriler yok edilmeli, işe yaramayan hiçbir veri işlenmemelidir. Veri işlerken açık, belirgin ve meşru bir amacınız olmalı ve sadece o amaçla sınırlı şekilde veri işlenmelidir. Çünkü veri işlerken dayandığınız kanun hükmünü veya açık rızayı, belirttiğiniz işleme amacı doğrultusunda almış olacaksınız ve amacı aşan her işleme faaliyeti kanuna aykırı olduğu gibi dürüstlük kurallarına da aykırı olacaktır. Amacınız mutlaka işlediğiniz veriyle orantılı olmalıdır, amacı aşan nitelikte ve sayıda veri işlenmesi yine yasak kapsamındadır.

Envanter hazırlanırken veri sorumlusunun kanuni yükümlülükleri kapsamında veri işleme faaliyetlerini tüm süreçler bazında detaylandırması gerekmektedir. Bu konuda düzenlenen yönetmelik uyarınca, tüm süreçlerin ve faaliyetlerin incelenmesi, belge, doküman, kayıtlar gibi kişisel veri içeren tüm fiziksel veya elektronik ortamlarda işlenen kişisel verilerin tek tek belirlenmesi öncelikle yapılması gereken hazırlık olmalıdır. Daha sonra;

• verilerin kategorilendirilmesi (normal,özel,hassas),
• bu kişisel verilerin hangi amaçlar ve hukuki sebeple işlendiği,
• aktarılıp aktarılmadığı, aktarılmış ise kimlere aktarıldığı,
• işlenen kişisel verinin kimlere ait olduğu,
• her bir kişisel veri için kanun veya veri sorumlusu tarafından belirlenen azami muhafaza süresi,
• yurt dışına aktarım yapılıp yapılmadığı,
• veri güvenliği için hangi teknik veya idari tedbirlerin alındığı,

detaylı şekilde gösterilmek zorundadır. Tabi bu bilgiler sayılanlarla sınırlı değildir, veri sorumluları gerekli ve önemli gördüğü diğer bilgileri de envantere kaydetmekte özgürdür. Önemli olan kanuni yükümlülüklerin gerektirdiği kadar veriyi ve bilgiyi kaydetmektir. Kanun, tüm bu süreçleri hukuka uygun şekilde yürütecek hukuk, bilgi işlem ve insan kaynakları gibi birimlerde görev yapan kişilerden oluşan bir ekip oluşturulmasını tavsiye etmektedir.

Envanter konusunda belirlenmiş bir şekil şartı bulunmadığı gibi, tüm bilgiler detaylı şekilde hazırlandığından,  kamuya kapalı olmalı ve herkese açılmamalıdır.

İşlenen verilerin niteliklerinin belirlenmesi ve kategorilenmesi envanter kaydı sırasında oldukça önemlidir, çünkü normal/özel/hassas kişisel veriler arasında işleme şartları, işleme amaçları, yurt içine aktarım, yurt dışına aktarım ve alınması gereken güvenlik tedbirleri açısından farklılıklar bulunmaktadır.

Sonraki süreçte, envantere dayanarak aydınlatma metinleri ile kişisel veri saklama ve imha politikası hazırlanması gerekmektedir. Ne tür kişisel verilerin ne amaçlarla işlendiği envanter kaydı sırasında açıkça görüleceği için, işleme amacıyla uyumlu açıklama metinleri her kişisel verinin özelliğine bağlı olarak hazırlanmalı; süresi geçmiş veya artık kullanılmayan veriler belirlenen sürelere bağlı olarak gecikmeksizin yok edilmelidir.

Saklama süreleriyle ilgili olarak, öncelikle işlenen kişisel verilerle ilgili mevzuatta herhangi bir saklama süresi öngörülüp öngörülmediğine bakılmalıdırlar. Eğer öngörülmüşse saklama süresi olarak bu süre kabul edilmeli, öngörülmemişse veri sorumluları tarafından işlendikleri amaç ile orantılı bir saklama süresinin belirlenmesi gerekmektedir .

Bu kapsamda, Veri Sorumluları Sicili Hakkında Yönetmeliği’nde;

                “…Sicile açıklanacak kişisel verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan azami muhafaza edilme süresine ilişkin bilgiler veri kategorileri ile eşleştirilerek Sicile bildirilir…
Mevzuatta azami muhafaza edilme süresi öngörülmüşse öngörülen bu süre yoksa bunlardan en uzun süre esas alınarak bu veri kategorisi için Sicile bildirim yapılır. Kişisel verilerin işlendikleri amaç için gerekli olan azami muhafaza edilme süresi belirlenirken;

• faaliyet gösterilen sektörde genel teamül gereği kabul edilen süre,
• hukuki ilişkinin devam edeceği süre,
• veri sorumlusunun elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak geçerli olacağı süre,
• saklanmanın yaratacağı risk, maliyet ve sorumlulukların hukuken devam edeceği süre,
• belirlenecek azami sürenin ilgili veri kategorisinin doğru ve gerektiğinde güncel tutulmasına elverişli olup olmadığı,
• veri sorumlusunun hukuki yükümlülüğü gereği ilgili veri kategorisinde yer alan kişisel verileri saklamak zorunda olduğu süre,
• veri sorumlusu tarafından, ilgili veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zamanaşımı süresi,

dikkate alınır.” denilmektedir.

Daha sonrasında ise, envanter bilgileri baz alınarak veri sorumluları “Veri Sorumluları Sicil Bilgi Sistemi – VERBİS”e  kayıt olmak zorundadır. VERBİS kaydı konusunda şekil serbestisi bulunmamakta, Kişisel Verilerin Korunması Kurumu’nun internet sitesinde yer alan VERBİS sitemi aracılığı ile kayıt yapılması gerekmektedir. VERBİS kaydı envanterden farklı olarak kamuya açıktır, bu sebeple de detaylı bilgi yerine, sadece veri kategoriler halinde başlık bilgileri girilmesi zorunludur.

Sicile kayıtta:

• veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri,
  • kişisel verilerin hangi amaçla işleneceği,
  • veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
  • kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
  • yabancı ülkelere aktarımı öngörülen kişisel veriler,
  • kişisel veri güvenliğine ilişkin alınan tedbirler ve
  •  kişisel verilerin işlendikleri amaç için gerekli olan azami süreye

ilişkin giriş yapılması gerekmektedir.

Sicile kayıt için, son güncellemeler ışığında,

“Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları” ile “Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları” açısından VERBİS’e kayıt süresi 31.12.2019 tarihinde sona erecektir.

“Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’ den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları” açısından son kayıt süresi 31.03.2020;

“Kamu Kurum ve Kuruluşu veri sorumluları” bakımından ise son süre 30.06.2020 olarak belirlenmiştir.

YAPTIRIMLAR

Aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 TL’den 100.000 TL’ye kadar,

Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 TL’den 1.000.000 TL’ye kadar,

Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 TL’den 1.000.000 TL’ye kadar,

Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 TL’den 1.000.000 TL’ye kadar, idari para cezası verilir.

Söz konusu idari para cezası miktarları, her yıl “yeniden değerleme” oranında artırılabilecektir.