Kişisel Verilerin Korunması Kanunu 24/03/2016 tarihinde yürürlüğe girmiştir. Yürürlüğe girmesinin üstünden 4 yıl geçmesine rağmen ciddi yaptırımları olan Kişisel Verileri Koruma Kanunu’nun ihlal edilmesinin sonuçlarının vahim olacağı ise çok açıktır. Bu sebeple söylediklerimize kulak vermenizi umuyoruz. İşbu kanun sadece büyük şirketleri ilgilendirmiyor. Küçük-büyük her şirketi ilgilendirdiği gibi kamu kurumlarını ve her bir insanı da ayrı ayrı ilgilendirmektedir. Teknik detaylara girmeden yüzeysel bir anlatımla ifade etmek gerekirse: Kişisel verisi işlenen kişi haklarını, kişisel veriyi işleyen kişi ise sorumluluklarını bilmek zorundadır. Bu noktada bazen yetersiz kalmanız ise doğaldır. Çünkü detaylı bir konu olmasının yanı sıra yeni yeni gündeme gelmesi sebebiyle pek çok kişinin de bilgi sahibi olmadığı bir konudur. 

Kişisel verileri koruma kanunu’nun, belli şartları sağlayan gerçek ve tüzel kişiler hakkında VERBİS’e kayıt yükümlülüğü getirdiğinden bahsetmiştik (Önceki yazımıza buradan ulaşabilirsiniz). Ancak vatandaşlar arasında halen çok büyük bir yanılgı mevcuttur: VERBİS’e kayıt, Kişisel Verileri Koruma Kanunu’nun gerçek ve tüzel kişilere yüklediği tek yükümlülük değildir. Kişisel verilerin korunması hukuku sadece VERBİS’ten ibaret değildir ve hatta VERBİS’e kayıt yükümlülüğü diğer pek çok yükümlülüklerin yanında en hafifidir bile diyebiliriz. Bu sebeple VERBİS’e kayıt yükümlülüğü olsun olmasın herkesin kişisel verinin işlenmesine ilişkin diğer tüm yükümlülükleri farkında olması elzemdir. Bu yükümlülükleri belli başlıklar halinde anlatmak mümkündür. Bu başlıklara bağlı alt başlıklar da kişiden kişiye, şirketten şirkete değişiklik gösterecektir: Aydınlatma yükümlülüğü, şartları oluştuğu halde kişisel verinin imhası yükümlülüğü, açık rızanın alınması yükümlülüğü, kanunda öngörülen ilkelere bağlı olarak veri işlenmesi yükümlülüğü vs… 

Hukuki bilgi altyapısı olmayan kişilerce Kişisel Verilerin Korunması hakkındaki işlerin yürütülmesi ise hem sorumlu kişiyi/şirketi zor duruma sokabileceği gibi bu işleri yürütürken bu işin ciddiyetini kavrayamayan hukuki bilgi altyapısı zayıf kişileri de sorumluluk altına sokacaktır. Ayrıca KVKK’nın yüklediği sorumlulukların üstesinden gelmek için kopya çekerek başkalarını taklit etmek ise büyük sorunların başlangıcı olacaktır. Bu sorun VERBİS kaydının gerçeğe aykırı olmasıyla birlikte veri ihlali halinde KVVK madde 18’de öngörülen 5 bin TL’den 1 milyon TL’ye varan idari para cezalarıdır. Bu sadece kurumun kestiği bir ceza olup eğer ki kişilerin kişisel verileri hukuka aykırı olarak işlenir ya da kullanılırsa hukuki anlamda da sorumluluk doğacağı muhakkaktır. Dolayısıyla küçümsenmesi mümkün olmayan kanuni yükümlülüklere ilişkin bu işin, ehil olmayan kişilere emanet edilmesi yerine bu alanın mahiyetini farkında olan bu alanda hukuki altyapısı olan hukuk bürolarına bırakılması yerinde olacaktır. 

Bu uyarımızın ciddiyetini Kişisel Verileri Koruma Kurumu 17/12/2019 tarihli ve 2019/387 sayılı kararıyla ifade eder: “VERBİS veri tabanı üzerinden özellikle son günlerde iletilen bildirimlerle ilgili olarak yapılan araştırmada, bazı bildirimlerde işlendiği beyan edilen kişisel verilerle işleme amaçlarının, aktarım gerçekleştirildiği beyan edilen alıcı/alıcı gruplarının, veri konusu kişi gruplarının, alınan teknik ve idari tedbirlerin, özel nitelikli kişisel veriler için alınması gereken yeterli önlemlerin, yurtdışına veri aktarımının ve saklamaya ilişkin beyan edilen sürelerin örtüşmediği, bu konuda ciddi yanlışlıkların ve Kanuna/yönetmeliklere aykırılıkların olduğu görülmektedir. Bu durumun nedenlerinden birisinin de Kanunun 18 inci maddesinde öngörülen yaptırımlarla karşılaşmamak adına Kurul tarafından belirlenen süre içerisinde bir kayıt gerçekleştirmek olduğu anlaşılmaktadır.” 

Yukarıda da bahsedilen yükümlülüklere aykırı davranışların ciddi yaptırımları ise Kişisel Verileri Koruma Kanunu madde 18’de şöyle ifade edilir: “(1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,
b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir.
(2) Bu maddede öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
(3) Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.”

Hasılı ciddiyeti su götürmeyecek bu konuda VERBİS’e kaydı gereken kişi ve şirketlerin önemle çalışması gerekirken kayıt yükümlülüğü olmayanların da diğer bütün sorumluluklarını yerine getirmeleri gerektiği gözden kaçırılmamalıdır. Bu sebeple bu alanda bilgi sahibi, yetkin ve güvenilir bir hukuk bürosundan hukuki danışmanlık alınması şiddetle tavsiye olunur. Bu alanın dünyada da her geçen önemi artarken büromuz da bu konuyu önemsemekte ve hizmetlerini sunmaktadır.