Kişisel Verilerin Korunması Hukuku

Türkiye'de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur (KVKK). Mevzuatın uygulanması ve denetiminde Kişisel Verileri Koruma Kurumu ile Kişisel Verileri Koruma Kurulu görev yapmaktadır.

Kanun, kişisel verilerin işlenme şartlarını, özel nitelikli kişisel verileri, aydınlatma yükümlülüğünü, veri güvenliğini ve yurt dışına veri aktarımını düzenlemektedir. Şirketin faaliyetleri ve coğrafi kapsamına göre Avrupa Birliği'nin 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) de değerlendirmeye alınabilmektedir.

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), kayıt yükümlülüğüne tabi veri sorumluları açısından uygulanmaktadır. Kayıt istisnaları, Kurul kararları çerçevesinde çalışan sayısı, mali bilanço ve veri işleme faaliyetinin niteliği gibi ölçütlere göre belirlenmektedir.

Veri işleme süreçlerinin incelenmesi. Şirketin çalışan, müşteri, tedarikçi, internet sitesi ziyaretçisi ve iş ortaklarına ilişkin kişisel veri işleme faaliyetlerini değerlendiriyoruz. Veri kategorileri, işleme amaçları, hukuki sebepler, saklama süreleri ve üçüncü kişilere yapılan aktarımlar bu incelemenin konuları arasındadır.

Uyum belgelerinin hazırlanması. Aydınlatma metinleri, kişisel veri işleme politikaları, saklama ve imha politikaları, veri işleme sözleşmeleri ve ilgili diğer dokümanların hazırlanması veya gözden geçirilmesi süreçlerinde çalışıyoruz. Metinlerin şirketin fiilî veri işleme faaliyetleriyle uyumu önem taşımaktadır.

VERBİS yükümlülükleri. Sicile kayıt gerekliliği, veri sorumlusunun özellikleri ve güncel Kurul kararları dikkate alınarak belirlenmektedir. Kayıt yükümlülüğü bulunan şirketler bakımından veri kategorileri, işleme amaçları, alıcı grupları ve saklama sürelerine ilişkin bilgilerin hazırlanması gerekmektedir.

Yurt dışına veri aktarımı. KVKK m. 9 kapsamında yurt dışına kişisel veri aktarımı için öngörülen hukuki şartlar değerlendirilmektedir. Yeterlilik kararları ve uygun güvence mekanizmaları arasında uygulanabilecek seçenekler incelenir. Standart sözleşme mekanizmasının kullanıldığı durumlarda imzalanan sözleşmenin beş iş günü içinde Kuruma bildirilmesi gerekmektedir.

Veri ihlalleri ve başvuru süreçleri. Veri güvenliği ihlali şüphelerinde etkilenen verilerin kapsamı, olayın niteliği ve uygulanabilecek bildirim yükümlülükleri değerlendirilir. İlgili kişi başvuruları, Kurum yazışmaları ve idari incelemelere ilişkin hukuki süreçler de çalışmalarımız arasındadır.

Müşteri ve çalışan verisi işleyen şirketler, teknoloji işletmeleri, elektronik ticaret platformları, hizmet sağlayıcılar, çok uluslu şirket grupları ile hukuk, insan kaynakları, uyum ve bilgi güvenliği birimlerinin hukuki ihtiyaçlarına yönelik çalışıyoruz.

Kişisel Verileri Koruma Kurulunun Eylül 2025 tarihli 2025/1572 sayılı kararıyla belirli VERBİS kayıt istisnaları güncellenmiştir. Ayrıca 2024 yılında değiştirilen yurt dışına veri aktarımı rejimi, yeterlilik kararları ve standart sözleşmeler dâhil uygun güvence mekanizmalarına ilişkin düzenlemeler içermektedir.