KVKK Eğitimi Nedir ve Kimler İçin Zorunludur?

KVKK Eğitimi ve Kanuni Dayanağı

Kişisel Verilerin Korunması Kanunu metninde doğrudan eğitim kelimesi açıkça zikredilmemektedir. Bununla birlikte 6698 sayılı Kanun'un 12. maddesinin 1. fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere yetkisiz erişilmesini engellemek ve verilerin muhafazasını temin etmek amacıyla uygun güvenlik düzeyini sağlayacak gerekli her türlü teknik ve idari tedbiri almak zorundadır. Kişisel Verileri Koruma Kurulu rehberlerinde kurum personelinin eğitilmesi ve kurumsal farkındalığın sağlanması idari tedbirlerin başında yer almakta olup bu yükümlülüklerin yerine getirilmesi bakımından eğitim fiilen zorunlu kabul edilmektedir.

Eğitimin temel amacı; 6698 sayılı Kanun ve ilgili mevzuat hükümleri ile Kurul kararlarının teorik ve uygulamalı biçimde öğretilmesi, veri sorumlusu bünyesindeki veri işleme politikalarının mevzuata uyumlu hale getirilmesi, farkındalık kazandırılması ve somut olaylar karşısında çözüm üretme yeteneğinin geliştirilmesidir. Ayrıca Kanun'un 12. maddesinin 3. fıkrası uyarınca veri sorumlusu, kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri bizzat yapmak veya yaptırmakla yükümlüdür.

Eğitime Katılması Gereken Kişiler ve Birimler

Kişisel verilerin korunması eğitimine en başta veri sorumluları ihtiyaç duymaktadır. Kanun belirli bir unvan ayrımı öngörmediğinden, veri sorumlusu bünyesinde veri işleme süreçlerine doğrudan veya dolaylı biçimde dahil olan tüm çalışanlar, birim amirleri, şirket ortakları, yönetim kurulu üyeleri ve şirket içi denetimle görevlendirilen kişiler bu kapsamda yer alır. Veriye erişen taşeron veya danışmanların da idari tedbirler kapsamında sürece dahil edilmesi zorunlu kabul edilmektedir.

Kurumsal işleyişte veriye temas eden işverenler, üst düzey yöneticiler, insan kaynakları, bilgi işlem, pazarlama ve satış departmanı personeli ile veri sorumlusuna bağlı hareket eden diğer kişilerin de veri işleme faaliyetlerindeki sorumlulukları sebebiyle bu eğitimi alması gerekmektedir.

KVKK Eğitiminin Kapsamı ve Veri Güvenliği Kuralları

Eğitim programları teorik ve uygulamalı kısımlardan meydana gelir. Teorik bilgilendirme kapsamında kanunun kapsamı, temel kavramlar, veri sorumlusunun hak ve yükümlülükleri, karşılaşılabilecek yaptırımlar ve itiraz usulleri, VERBİS zorunluluğu, veri işleme şartları ve prosedürleri, aydınlatma metninin özellikleri ile kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesi ve aktarılması konuları ele alınır. Uygulamalı kısımda ise aydınlatma ve açık rıza metinlerinin hazırlanması ile sicil işlemlerine yönelik çalışmalar yürütülür. Sicil kayıt kriterlerini taşımayan işletmeler ise bu sistemden muaf olarak faaliyetlerini sürdürebilmektedir.

6698 sayılı Kanun'un 6. maddesi uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır; ancak bu verilerin işlenmesi ilgili kişinin açık rızasının bulunması veya kanunlarda açıkça öngörülmesi gibi maddede belirtilen istisnai hallerde mümkündür. Ayrıca bu verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. Aydınlatma yükümlülüğü çerçevesinde ise veri sorumlusu veya yetkilendirdiği kişi; kişisel verilerin elde edilmesi sırasında ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile Kanun'da sayılan diğer hakları konusunda bilgi vermekle yükümlüdür; ispat yükü ise veri sorumlusundadır.

Kişisel veriler yalnızca işlendikleri amaç için gerekli süre veya mevzuatta öngörülen kanuni süre kadar saklanabilir. Saklama süreleri tespit edilirken zamanaşımı süreleri, ticari teamüller ve yasal arşiv yükümlülükleri dikkate alınmalıdır. İşleme amacı ortadan kalkan ya da saklama süresi dolan verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi zorunludur.

6698 sayılı Kanun'un 12. maddesinin 2. fıkrası uyarınca kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi halinde veri sorumlusu, veri güvenliğine ilişkin tedbirlerin alınmasında veri işleyenle müştereken sorumludur. Aynı maddenin 4. fıkrasına göre ise veri sorumluları ile veri işleyen kişiler öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; söz konusu sır saklama yükümlülüğü görevden ayrıldıktan sonra da devam eder.

İhlal Bildirimi ve Başvuru Süreleri

6698 sayılı Kanun'un 12. maddesinin 5. fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi halinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Veri güvenliğinin temini bakımından ihlale yol açan kaynağın belirlenmesi, yayılmasının engellenmesi ve bu süreçte yürütülen tüm iş ve işlemlerin kayıt altına alınması önem taşımaktadır.

İlgili kişilerin kendileriyle ilgili kişisel verilere dair bilgi alma, düzeltme veya silme taleplerini veri sorumlusu en geç 30 gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür.

Eğitimin Belgelendirilmesi, Süresi ve Eğitici Yaklaşımları

Mevzuatta personel adına sertifika alma zorunluluğu öngörülmemiştir. Bununla birlikte denetimlerde eğitimin verildiğini, hangi tarihte yapıldığını, katılan personeli ve eğitimin içeriğini belgeleme ve kanıtlama yükümlülüğü veri sorumlusuna aittir.

Eğitimin süresi ve kimler tarafından verilebileceği hususunda farklı yaklaşımlar bulunmaktadır. Farkındalığın oluşmasının zaman alacağı gerekçesiyle eğitimin en az bir gün sürmesi ve avukat ya da hukuk akademisyeni tarafından verilmesi önerilmektedir. Buna karşılık eğitimin hem hukuki hem de teknik yönleri içermesi nedeniyle uzman hukukçular veya bilişim uzmanlarınca verilebileceği, sürecin kurum içi uzmanlar veya dışarıdan profesyonel danışmanlık firmaları aracılığıyla yürütülebileceği de kabul edilmektedir. Kanuni bir tekel veya zorunlu bir asgari süre şartı bulunmamaktadır.

Yükümlülüklere Aykırılığın İdari ve Cezai Yaptırımları

6698 sayılı Kanun'un 18. maddesinde belirli kabahat fiilleri için idari para cezaları düzenlenmiştir. Bu kapsamda, Kanun'un 12. maddesinde öngörülen veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi ile Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı davranılması hallerinde veri sorumluları hakkında idari para cezası uygulanır. Kanun'un 18. maddesinin 4. fıkrası uyarınca, maddede sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde ise Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılarak sonucu Kurula iletilir.

Mevzuata aykırılıklar aynı zamanda cezai sorumluluk doğurabilmektedir. 5237 sayılı Türk Ceza Kanunu'nun 135. maddesinin 1. fıkrası uyarınca hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. Maddenin 2. fıkrasına göre; kişisel verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine ilişkin olması ya da hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bulunması halinde ceza yarı oranında artırılır. Aynı Kanun'un 140. maddesi uyarınca bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy