KVKK ve Veri Koruma Hukuku Süreçlerinde Müvekkillerde Gördüğümüz Tipik Hatalar

Veri Koruma Hukuku, özellikle 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) yürürlüğe girmesinin ardından geçen süreçte, şirketlerin ve kurumların gündeminde kalıcı bir yer edindi. Ancak büromuza gelen dosyalarda ve yürüttüğümüz uyum projelerinde görüyoruz ki; mevzuatın lafzına hâkim olmak ile uygulamada doğru aksiyonları almak arasında ciddi bir makas açıklığı var. Müvekkillerimizin büyük bir kısmı, KVKK’yı bir “onay metni alma” sürecinden ibaret sanmakta veya yalnızca idari para cezalarına odaklanarak asıl hukuki riskleri göz ardı etmektedir. Bu yazıda, dosya pratiğimizde sıkça karşılaştığımız, maliyetli ve uzun süreli uyuşmazlıklara yol açan tipik hataları, somut süreçler üzerinden ele alacağız.

1. Aydınlatma Yükümlülüğünün “İmzalatma” Olarak Algılanması

Uygulamada en yaygın yanılgı, aydınlatma yükümlülüğünün yerine getirilmesinin, bir belgenin imzalatılması veya web sitesine metin eklenmesiyle tamamlandığının sanılmasıdır. Oysa KVKK’nın 10. maddesi, veri sorumlusunun, kişisel verileri elde etme anında ilgili kişiyi bilgilendirmesini zorunlu kılar. Bu, bir “kâğıt işi” değil, sürekli ve izlenebilir bir süreçtir.

Müvekkillerimizde sıklıkla gördüğümüz hata, aydınlatma metninin, veri işleme faaliyetinin başladığı andan çok sonra, örneğin sözleşme imza aşamasında veya hatta dava açıldıktan sonra dosyaya sunulmasıdır. Özellikle çağrı merkezi kayıtları, online form doldurma ekranları ve mobil uygulama kayıtlarında, aydınlatmanın kullanıcıya gösterilme anı ile verinin işlenmeye başlandığı an arasındaki zaman farkı, Kurul nezdinde yapılan incelemelerde ve yargılamalarda aleyhe yorumlanmaktadır. Bir diğer pratik sorun ise, aydınlatma metninin dilinin ve içeriğinin, veri işleme faaliyetinin kapsamını tam olarak yansıtmamasıdır. “Genel” ifadelerle yazılmış, hangi verinin hangi amaçla işlendiğini açıklamayan metinler, mahkeme nezdinde aydınlatma yükümlülüğünün ihlali olarak değerlendirilebilmektedir.

2. Açık Rızanın “Her Şeyin Çözümü” Olduğu Yanılgısı

Müvekkillerimizin en büyük yanılgılarından biri, açık rızanın tüm veri işleme faaliyetlerini hukuka uygun hale getiren sihirli bir anahtar olduğunu düşünmeleridir. Oysa KVKK’nın 5. maddesinde düzenlenen veri işleme şartlarından biri olan açık rıza, ancak diğer şartların (kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi vb.) mevcut olmadığı durumlarda devreye girmelidir.

Pratikte sıkça karşılaştığımız tablo şudur: İşverenler, çalışanlarının özlük dosyalarındaki verileri işlemek için açık rıza almakta, ancak bu verileri işlemenin hukuki dayanağının aslında iş sözleşmesinin ifası veya hukuki yükümlülüklerin yerine getirilmesi olduğunu göz ardı etmektedir. Bu durum, işçinin rızasını geri çekmesi halinde işvereni zor durumda bırakmakta; işveren, rıza olmadan veriyi işleyemeyeceğini düşünerek operasyonel bir çıkmaza girmektedir. Oysa doğru hukuki dayanağın tespiti, hem süreklilik hem de hukuki güvenlik açısından kritik öneme sahiptir. Ayrıca, zayıf konumdaki çalışanın verdiği rızanın “serbest iradeye” dayanıp dayanmadığı da ayrı bir tartışma konusudur ve yargı kararlarında bu husus giderek daha fazla sorgulanmaktadır.

3. Veri Envanteri ve Saklama Sürelerinin “Statik” Tutulması

KVKK’nın 12. maddesi, veri sorumlusuna, kişisel verilerin hukuka uygun işlenmesini sağlamak ve hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Bu kapsamda hazırlanan Veri İşleme Envanteri ve Kişisel Veri Saklama ve İmha Politikası, birçok müvekkilimizde “tamamlandı” raporu verilip rafa kaldırılan statik belgeler olmaktadır.

Oysa bu belgeler, dinamik süreçlerin yansımasıdır. Yeni bir yazılım satın alındığında, yeni bir pazarlama kampanyası başlatıldığında veya bir hizmet sağlayıcı ile sözleşme imzalandığında envanterin güncellenmesi gerekir. Müvekkillerimizde sıklıkla gördüğümüz hata, envanterde yer alan veri kategorileri ile fiilen işlenen veriler arasındaki uyumsuzluktur. Örneğin, envanterde “müşteri iletişim bilgileri” işlendiği beyan edilirken, şirketin insan kaynakları biriminin ayrıca sağlık verisi topladığının tespit edilmesi, denetimlerde ve olası bir veri ihlali bildiriminde ciddi itibar kaybına ve idari yaptırıma yol açmaktadır. Saklama süreleri de benzer şekilde sorunludur; kanuni süreler dolduğu halde silinmeyen veya anonim hale getirilmeyen veriler, hukuka aykırı işleme faaliyetinin en tipik örneklerindendir.

4. Veri Sorumlusu ile Veri İşleyen Ayrımının Göz Ardı Edilmesi

KVKK’nın 3. maddesinde tanımlanan “veri sorumlusu” ve “veri işleyen” kavramları, uygulamada sıklıkla birbirine karıştırılmaktadır. Müvekkillerimizin büyük bir kısmı, bir hizmet sağlayıcıya (örneğin bir bulut bilişim firmasına veya bir pazarlama ajansına) veri aktardıklarında, tüm sorumluluğun o firmaya geçtiğini düşünmektedir. Bu, hukuken doğru değildir.

Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise onun adına ve talimatları doğrultusunda veri işler. Sorumluluk, kural olarak veri sorumlusunda kalır. Bu ayrımın yapılmaması, sözleşmelerin hatalı kurulmasına yol açar. Müvekkillerimiz, veri işleyen ile imzaladıkları sözleşmelere KVKK’nın 12. maddesinde öngörülen güvenlik tedbirlerine ilişkin hükümleri koymamakta veya veri işleyenin kendi adına alt işleyenler kullanması durumunda veri sorumlusunun onayını alma zorunluluğunu düzenlememektedir. Bu eksiklikler, bir veri ihlali yaşandığında sorumluluğun paylaştırılmasını son derece güçleştirmekte ve müvekkilimizin hukuki olarak daha ağır bir yaptırımla karşı karşıya kalmasına neden olmaktadır.

5. Veri İhlali Bildirim Sürecinin Yönetilememesi

KVKK’nın 12. maddesinin 5. fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini zorunlu kılar. Uygulamada bu süreç, müvekkillerimizde en çok panik yaratan ve en kötü yönetilen süreçlerin başında gelmektedir.

Gördüğümüz tipik hatalar şunlardır:

  • İhlalin tespit edilememesi: Şirketlerin büyük bir kısmının, bir siber saldırı veya içeriden veri sızıntısı yaşandığında bunu fark edecek teknik altyapısı ve prosedürü bulunmamaktadır. İhlal, genellikle üçüncü kişilerin haberdar olmasıyla veya Kurul’un yazısıyla ortaya çıkmaktadır.
  • Bildirimin geciktirilmesi: İhlali fark eden müvekkillerimiz, önce kendi içlerinde “olayı örtbas etme” veya “kendi araştırmalarını tamamlama” eğilimine girmektedir. Bu gecikme, Kurul nezdindeki değerlendirmede aleyhe bir karineler oluşturmakta ve idari para cezasının üst sınırdan verilmesine neden olabilmektedir.
  • Bildirim içeriğinin eksik olması: Yapılan bildirimlerde, ihlalin niteliği, etkilenen kişi sayısı, alınan tedbirler ve ihlalin olası sonuçları gibi Kurul’un aradığı bilgilerin eksik veya hatalı verilmesi, sürecin uzamasına ve ek soruşturma açılmasına yol açmaktadır.

6. İmha Süreçlerinin ve Periyodik Kontrollerin İşletilmemesi

KVKK’nın 5. maddesinin 2. fıkrasının (e) bendi ve 7. maddesi uyarınca, kişisel veriler, işlenme amacının ortadan kalkması halinde resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli veya anonim hale getirilmelidir. Müvekkillerimizin büyük bir kısmı, bu süreci “otomatik” olarak işletmemektedir. Silme ve imha politikaları hazırlanmakta, ancak bu politikaların uygulanıp uygulanmadığı hiçbir zaman denetlenmemektedir.

Özellikle eski müşteri verileri, iş başvurusu yapmış ancak sonuçlanmamış adayların özgeçmişleri ve eski çalışanlara ait özlük dosyaları, yıllarca sistemde tutulmaktadır. Bu verilerin, işleme amacı ortadan kalktıktan sonra hâlâ saklanması, başlı başına bir hukuka aykırılık teşkil eder. Kurul’un kararlarında ve yargı içtihatlarında, bu tür verilerin işlenmesinin “hukuka aykırılık” oluşturduğu ve tazminat sorumluluğu doğurabileceği açıkça belirtilmektedir. Periyodik imha süreçlerinin işletilmemesi, aynı zamanda şirketin veri minimizasyonu ilkesine aykırı hareket ettiğinin de bir göstergesidir.

Sonuç Olarak

KVKK uyumu, bir defaya mahsus yapılan bir proje değil; şirketin tüm birimlerini ve süreçlerini kapsayan, sürekli güncellenen ve denetlenen bir yönetim disiplinidir. Müvekkillerimizin en büyük hatası, bu süreci bir “hukuki formalite” olarak görmek ve yalnızca idari para cezası riskine odaklanmaktır. Oysa asıl maliyetli olan, veri ihlali sonrası oluşan itibar kaybı, müşteri güveninin sarsılması ve hukuki uyuşmazlıkların getirdiği iş yüküdür. Bu nedenle, veri işleme faaliyetlerinin her aşamasında, hukuki dayanakların doğru tespit edilmesi, süreçlerin şeffaf ve izlenebilir olması ve tüm çalışanların bu konuda eğitilmesi büyük önem taşımaktadır. Büromuz, dosya bazlı deneyimleriyle, bu süreçlerin yalnızca kâğıt üzerinde değil, sahada doğru işletilmesi için müvekkillerine rehberlik etmektedir.