Şirketler arası ticari yazışmalarda kişi adı ve e-posta bilgisi kullanmak KVKK ihlali midir?

Hayır, kural olarak bir ticari ilişkinin yürütülmesi için gerekli olan ve orantılı kişisel verilerin (yetkili kişi adı, iş e-postası gibi) işlenmesi, sözleşmenin ifası veya meşru menfaat gibi hukuki sebeplere dayanabilir; ancak bu verilerin amaç dışı kullanılması KVKK ihlaline yol açabilir.

Her şirket VERBİS’e kayıt olmak zorunda mıdır?

Hayır. VERBİS’e kayıt yükümlülüğü, çalışan sayısı ve yıllık mali bilanço büyüklüğü gibi kriterlere göre Kurul tarafından belirlenen istisnalara tabidir; küçük ölçekli bazı işletmeler bu yükümlülükten muaf tutulabilir.

Veri ihlali yaşanırsa şirketin süresi ne kadardır?

Veri sorumlusu, öğrendiği tarihten itibaren gecikmeksizin ve mevzuatta öngörülen süre içinde Kurula bildirim yapmak, etkilenen kişileri de uygun yöntemlerle bilgilendirmekle yükümlüdür.

Şirketlerin KVKK Yükümlülüğü

Şirketlerin müşteri ve tedarikçi verilerini işlerken uyması gereken KVKK yükümlülükleri, aydınlatma, açık rıza ve veri güvenliği anlatılmıştır.

Ticari faaliyetlerini yürütürken şirketler, müşterilerinin, tedarikçilerinin, iş ortaklarının ve çalışanlarının kişisel verilerini yoğun biçimde işler. Bu veri işleme faaliyetlerinin KVKK’ya uygun yürütülmesi, hem yasal yaptırımlardan kaçınmak hem de ticari itibarı korumak açısından önemlidir. Bu yazıda şirketlerin ticari veri işleme faaliyetlerindeki temel KVKK yükümlülükleri ele alınmaktadır.

Kişisel Veri İşlemenin Hukuki Sebepleri

KVKK, kişisel verilerin işlenebilmesi için ilgili kişinin açık rızasının alınmasını temel kural olarak öngörür; ancak kanun, açık rıza aranmaksızın veri işlenebilecek bazı hukuki sebepleri de sayar. Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, kanunlarda açıkça öngörülmesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve veri sorumlusunun meşru menfaati için zorunlu olması gibi sebepler, ticari ilişkilerde sıkça başvurulan hukuki dayanaklardır.

Aydınlatma Yükümlülüğü

Şirketler, kişisel verilerini işledikleri gerçek kişilere (müşteri, tedarikçi yetkilisi, çalışan), verilerin hangi amaçla, hangi hukuki sebeple işlendiği, kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi ve ilgili kişinin KVKK’dan doğan haklarını içeren bir aydınlatma metnini erişilebilir biçimde sunmakla yükümlüdür. Bu yükümlülük, veri toplanmasının en başında, işlem gerçekleşmeden önce yerine getirilmelidir.

VERBİS Kayıt Yükümlülüğü

Belirli ölçeğin üzerindeki şirketler, Veri Sorumluları Sicili’ne (VERBİS) kayıt olmak ve işledikleri veri kategorilerini, amaçlarını ve aktarım yaptıkları alıcı gruplarını sicile bildirmekle yükümlüdür. Bu kayıt yükümlülüğünden muaf tutulan küçük ölçekli işletmeler de bulunmakla birlikte, muafiyet kapsamına girip girmediğinin güncel mevzuat ve Kurul kararları çerçevesinde değerlendirilmesi gerekir.

Ticari Elektronik İleti Gönderiminde KVKK ve Ayrı Mevzuat

Şirketlerin müşterilerine pazarlama amaçlı e-posta veya SMS göndermesi, hem KVKK’daki açık rıza gerekliliğine hem de ticari elektronik iletilere ilişkin ayrı mevzuata tabidir. Bu iki düzenlemenin gerekliliklerinin birlikte karşılanması, yani hem KVKK uyumlu bir açık rızanın hem de ticari elektronik ileti onayının ayrı ayrı alınması, uygulamada sıkça gözden kaçan bir husustur.

Veri Güvenliğinin Sağlanması

Şirketler, işledikleri kişisel verilerin hukuka aykırı olarak elde edilmesini, işlenmesini ve erişilmesini önlemek amacıyla uygun teknik ve idari tedbirleri almakla yükümlüdür. Bu tedbirler; erişim yetkilendirmesi, şifreleme, düzenli güvenlik testleri ve çalışan farkındalık eğitimlerini kapsayabilir. Yetersiz güvenlik tedbirleri nedeniyle yaşanan bir veri ihlali, hem idari para cezasına hem de ilgili kişilerin tazminat taleplerine yol açabilir.

Veri İhlali Bildirim Yükümlülüğü

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu öğrendiği tarihten itibaren gecikmeksizin Kurula bildirmek ve etkilenen kişileri de uygun yöntemlerle bilgilendirmekle yükümlüdür. Bu bildirim yükümlülüğünün zamanında yerine getirilmemesi, ayrıca bir idari yaptırım sebebi oluşturabilir.

Tedarikçi ve İş Ortaklarıyla Veri Paylaşımı

Şirketler, verilerini işlerken sıklıkla bulut hizmet sağlayıcıları, muhasebe büroları veya pazarlama ajansları gibi üçüncü kişilerle veri paylaşımı yapar. Bu paylaşımların, veri işleyen sıfatıyla hareket eden üçüncü kişilerle yapılan veri işleme sözleşmeleriyle güvence altına alınması ve aktarımın KVKK’daki yurt içi veya yurt dışı aktarım şartlarına uygun yapılması gerekir.

Çalışanların Kişisel Verilerinin İşlenmesi

Şirketler, yalnızca müşteri ve tedarikçi verilerini değil, çalışanlarının özlük, performans ve sağlık bilgilerini de yoğun biçimde işler. Bu tür veriler, özellikle sağlık verileri gibi özel nitelikli kişisel veri kapsamına girenler bakımından daha sıkı işleme şartlarına tabidir. İşveren, çalışan verilerini işlerken iş ilişkisinin gerektirdiği ölçüyü aşmamalı ve özellikle izleme (kamera, bilgisayar kullanımı takibi gibi) faaliyetlerinde orantılılık ilkesine uygun hareket etmelidir.

KVKK Uyumunun Ticari Sözleşmelere Yansıtılması

Şirketlerin tedarikçi, bayi ve iş ortaklarıyla yaptığı ticari sözleşmelere, veri işleme faaliyetlerine ilişkin KVKK uyumu hükümlerinin eklenmesi giderek daha yaygın bir uygulama hâline gelmektedir. Bu hükümler; veri işleme kapsamının, güvenlik önlemlerinin ve ihlal hâlinde bildirim yükümlülüklerinin taraflar arasında net biçimde paylaşılmasını sağlayarak, olası bir veri ihlalinde sorumluluğun kime ait olduğunun belirlenmesini kolaylaştırır.

Örnek Olay

Aşağıdaki örnek, kuralların işleyişini göstermek amacıyla hazırlanmıştır ve gerçek bir dosyaya dayanmaz. Bir e-ticaret şirketi, müşterilerinin sipariş verilerini pazarlama amacıyla ayrıca kullanmak istemiş, ancak bu amaç için açık rıza almamıştır. Müşterilerden birinin şikâyeti üzerine yapılan incelemede, şirketin veri işleme amacını aydınlatma metninde açıkça belirtmediği ve ayrı bir açık rıza almadığı tespit edilirse, idari yaptırım riskiyle karşılaşabilir.

KVKK Uyum Programının Kurumsallaştırılması

Şirketlerin KVKK yükümlülüklerini sürdürülebilir biçimde yerine getirebilmesi için, tek seferlik bir uyum çalışmasından öte, düzenli olarak güncellenen bir uyum programı benimsemesi önerilir. Bu program; veri envanterinin güncel tutulmasını, personel eğitimlerinin periyodik olarak tekrarlanmasını ve yeni ürün veya hizmetlerin geliştirilmesi aşamasında veri koruma etkisinin baştan değerlendirilmesini (tasarımdan itibaren veri koruma ilkesi) kapsamalıdır.

Sonuç

Şirketlerin ticari faaliyetleri kapsamında işlediği kişisel verilerin KVKK’ya uygun yönetilmesi, hem yasal risklerin azaltılması hem de müşteri güveninin korunması açısından kritik önem taşır. KVKK uyum süreçleriniz ve veri işleme sözleşmeleriniz için ticaret hukuku alanında hukuki destek almanız önerilir.

Şirket Birleşme ve Devir İşlemlerinde Veri Aktarımı

Şirket birleşmesi, devralma veya işletme devri gibi yapısal işlemlerde, devredilen işletmeye ait müşteri ve çalışan verilerinin devralan şirkete aktarılması da KVKK kapsamında değerlendirilmesi gereken bir husustur. Bu tür işlemlerde verilerin hangi hukuki sebeple aktarılacağının önceden netleştirilmesi, devir sürecinin KVKK uyumluluğu açısından sorunsuz tamamlanmasını sağlar.

Denetim ve Yaptırım Süreci

Kurul, şikâyet üzerine veya resen yaptığı incelemelerde KVKK’ya aykırılık tespit ederse, veri sorumlusu şirket hakkında idari para cezası uygulayabilir, veri işleme faaliyetinin durdurulmasına karar verebilir veya belirli düzeltici önlemlerin alınmasını isteyebilir. Bu süreçte şirketin, Kurul’un talep ettiği bilgi ve belgeleri süresinde ve eksiksiz sunması, hem yaptırımın kapsamının hem de sürecin uzunluğunun belirlenmesinde önemli rol oynar.

Şirketlerin KVKK Yükümlülüğü: Ticari Veri İşleme

Kısaca