6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bu yazıda, veri sorumlusunun başlıca yükümlülükleri hakkında genel bir çerçeve sunulmaktadır.
Aydınlatma Yükümlülüğü
KVKK'nın 10. maddesi uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında veya sonrasında en kısa sürede ilgili kişiyi belirli konularda bilgilendirmekle yükümlüdür. Veri sorumlusunun kimliği, işleme amacı, hukuki sebep, aktarım alıcıları, toplama yöntemi ve ilgili kişinin hakları bu bilgilendirmenin asgari unsurları olarak sayılmaktadır. Aydınlatma metninin açık ve anlaşılır dilde hazırlanması önerilir. Tebliğde belirlenen usul ve esaslara uyulması tavsiye edilir.
Veri Güvenliği Yükümlülüğü
KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini, yetkisiz erişimi ve veri kaybını önlemek için gerekli her türlü teknik ve idari tedbiri alması gerektiğini belirtmektedir. Bu tedbirler arasında erişim denetimi, şifreleme, güvenli silme, çalışan eğitimi ve veri işleyen sözleşmeleri sayılabilir. Özel nitelikli kişisel veriler için ek güvenlik önlemleri gerekebilir. Veri ihlali durumunda Kurula ve ilgili kişiye bildirim yükümlülüğü de mevcuttur.
VERBİS Kayıt Yükümlülüğü
Belirli kriterleri karşılayan veri sorumluları, Kişisel Verileri Koruma Kurulunca belirlenen süre içinde Veri Sorumluları Siciline (VERBİS) kayıt olmakla yükümlüdür. İşçi sayısı, yıllık cirosu veya ana faaliyet alanı (örneğin kredi kayıt büroları) nedeniyle kayıt zorunluluğu doğan veri sorumlularının bu yükümlülüğü yerine getirmesi gerekir. Kayıt zorunluluğunun kapsamı ve istisnalar Kurul kararlarıyla düzenlenmektedir. Detaylı değerlendirme için rehber sayfamıza veya hukuk danışmanınıza başvurulabilir.
İlgili Kişi Başvurularına Yanıt
KVKK'nın 11. maddesi kapsamında ilgili kişiler, verilerinin işlenip işlenmediğini öğrenme, işleme amacını bilme, aktarıldığı kişileri öğrenme, düzeltme, silme ve itiraz etme gibi haklara sahiptir. Veri sorumlusu, bu taleplere yazılı veya Kurulun belirleyeceği diğer yöntemlerle en geç otuz gün içinde yanıt vermekle yükümlüdür. Yanıt vermeme veya gecikme idari yaptırım konusu olabilir. Başvuru usulü ve süreçleri Kurul tarafından belirlenmektedir.
Veri İşleyen ile Sözleşme
Veri sorumlusu, kişisel verileri kendi adına işleyen veri işleyenlerle (hosting firması, e-posta sağlayıcısı, analitik hizmeti vb.) yazılı sözleşme yapmakla yükümlüdür. Bu sözleşmede gizlilik, güvenlik, veri saklama süresi ve iade/silme yükümlülükleri gibi hususların düzenlenmesi önerilir. Veri işleyenin KVKK'ya uygun hareket etmesi veri sorumlusunun sorumluluğu altındadır.
Kayıt Tutma ve Dokümantasyon
Veri işleme faaliyetlerinin dokümante edilmesi, Kurul incelemelerinde ve denetimlerde belge sunulması açısından faydalı olabilir. İşleme envanteri, aydınlatma metinleri, açık rıza kayıtları ve güvenlik tedbirlerine ilişkin dokümanların tutulması genel çerçevede önerilir. Somut gereksinimler Kurul kararları ve mevzuat ile şekillenmektedir.
Sonuç
Veri sorumlusunun yükümlülükleri, aydınlatma, güvenlik, VERBİS, başvuru yanıtı ve veri işleyen sözleşmeleri gibi başlıkları kapsamaktadır. Bu yükümlülüklerin eksiksiz yerine getirilmesi, KVKK uyumu ve cezai/idari risklerin azaltılması açısından önem taşımaktadır.