KVKK ve
Siber Güvenlik
Hukuku

Yıllık çalışan sayısı 50 veya üzerinde olan ya da yıllık mali bilanço toplamı Kurul’un belirlediği eşiği aşan veri sorumluları kayıt yaptırmak zorundadır. Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar, örneğin özel hastaneler ve klinikler, çalışan sayısından bağımsız olarak kayıt yükümlüsüdür. Yurt dışında yerleşik veri sorumluları için de istisna yoktur.

Kayıt yükümlülüğü olmamak, KVKK’nın dışında kalmak anlamına gelmez; aydınlatma, envanter ve veri güvenliği yükümlülükleri küçük şirketler için de aynen geçerlidir.

Kişisel Verileri Koruma Kurulu’na, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde. Etkilenen kişilere de makul en kısa sürede bilgi verilmelidir. Siber Güvenlik Kanunu kapsamına giren kuruluşların ayrıca Siber Güvenlik Başkanlığı’na bildirim yükümlülüğü olabilir.

Uygulamada 72 saatin büyük kısmı, ihlalin gerçekten kişisel veri içerip içermediğini anlamaya gidiyor. Olaydan önce kimin neyi kontrol edeceğini gösteren basit bir müdahale planı hazırlamış şirketler bu süreyi çok daha rahat yönetiyor.

Haziran 2024’ten beri aktarım üç yoldan biriyle yapılabiliyor: Kurul’un yeterlilik kararı verdiği ülkelere; standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi uygun güvencelerle; ya da arızi hallerde kanunda sayılan istisnalara dayanarak.

Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum’a bildirilmelidir. Eskiden en çok kullanılan dayanak olan açık rıza artık yalnızca arızi aktarımlar için geçerli; düzenli bir bulut ya da CRM hizmeti için açık rızaya dayanmak yeterli değil.

Şirketin hangi veriyi hangi amaçla, nerede ve ne kadar süre işlediğini gösteren envanter projenin omurgasıdır; aydınlatma metinleri, açık rıza metinleri, saklama ve imha politikası ve VERBİS kaydı bu envantere göre hazırlanır. Buna veri işleyenlerle yapılan sözleşmelerin güncellenmesi, teknik ve idari tedbirlerin gözden geçirilmesi ve çalışan eğitimi eklenir.

Hedef, proje bittiğinde şirketin dosyayı rafa kaldırması değil; yeni bir süreç ya da yazılım devreye girdiğinde envanteri kendisi güncelleyebilmesidir.

Kanun bu yazılara cevap için 15 gün öngörüyor; daha fazla süre gerekiyorsa gerekçesiyle ve süre dolmadan talep edilmelidir. Cevap, istenen belgelerin gönderilmesinden ibaret değildir; şirketin uyum durumunu anlatan bir savunma niteliği taşır ve olası bir idari para cezasının hem varlığını hem de tutarını etkiler.