KİŞİSEL VERİLERİ, BİRİLERİ DEĞİL, HERKES KORUYACAK

Uzun zamandır ‘Kişisel Verilerin Korunması Kanunu’ konuşuluyor. Uygun tabiri ile dananın kuyruğu 31. Aralık 2019’da kopacak. Özellikle, kapsam bakımından sadece yüksek cirolu ve belirli çalışan sayısına sahip işletmelerin sorumluluğu olduğu sonucuna varılarak; diğer işletmeler ve serbest meslek mensupları kanundan kaynaklı bir sorumlulukları olmadığını düşünüp, bugüne dek rahat davranmış olmalılar ki birçok işletme henüz kanuna uyum süreçlerini tamamlamamış olup, veri sorumluları siciline kayıtlar dahi henüz yapılmamıştır. Ancak 31 Aralık 2019 itibariyle bir son gün belirlenmiş ve veri sorumluları siciline kayıt olunması gerektiği mevzuatta düzenlenmiştir. Veri sorumluları siciline kayıt aslında, kanuni düzenlemenin getirmiş olduğu sorumluluklar bakımından buz dağının sadece popülerliği nedeni ile görünür olmuş yüzü. Sadece tek bir çalışanı olan ve sadece son tüketiciyle muhatap olan bir işletmenin, restaurantın, otelin, acentanın, tuhafiyenin, kasabın, tek başına çalışan bir serbest meslek mensubunun dahi kanundan doğan birçok idari sorumluluğu var.

Burada yasal düzenlemenin günlük hayata yansıyan  iki yüzü var. Birisi popüler bir konu olarak veri sorumluları siciline kayıt yükümlülüğü, ki bu belli bir kesimi ilgilendiriyor. Diğer yüzü ise, kanuna uyum süreci. Bu süreci gereği gibi tamamlayamayan işletmeler hakkında da, para cezaları söz konusu olacak. Yani veri sorumluları siciline kayıt olmaktan muaf olmak, kanunun getirmiş olduğu yükümlülüklerden muaf olmak anlamına gelmiyor.

Kanuna uyum ise ; tüm işletmelerin veri envanteri tutmak, tüm çalışanları ile mevcut sözleşmelerini revize etmek, kanundan kaynaklı veri işleme ve saklama yükümlülüklerine ilişkin hükümleri iş yaptıkları muhatapların sözleşmelerine eklemek gibi bir zincir yükümlülüklerden oluşuyor. Çünkü bir kişisel verinin ortaya çıkması halinde, çalışanı ile sözleşmesini yeni kanuna uygun olarak düzenlenmemiş olan işletmenin şikâyet edilmesi ile idari para cezası, işveren şirket veya işletme üzerinde kalacaktır. Ancak iş sözleşmesinde çalışanın da toplanılan verinin korunmasından kaynaklı yükümlülüğü düzenlenmiş ise, işletme çalışanını da sorumlu tutabilecektir.  En önemli örneklerden birisi turizm sektöründe otel ve acentelerin edindikleri kişisel verilerin, çalışanlar eliyle açığa çıkması meselesi ki kamera görüntüleri, otel kayıtları kanun kapsamında hassas veri olarak da değerlendirildiğinden, ciddi miktarlarda para cezası ile karşılaşılabilineceğine işaret ediyor.

Aynı derecede önemli bir başka konu Kanunun 10. Maddesinde düzenlenmiş olan; veri sorumlusunun aydınlatma yükümlülüğüdür. Son tüketicinin kişisel verisini edindiğinizde, bu veriyi nasıl saklayacağınızı ve ne zaman imha edeceğinizi veri sahibine bildirerek, onu bu hususta aydınlatma yükümlülüğü getirilmiştir. Aydınlatma yükümlülüğünü yerine getirmeyenler için somut olayın özellikleri değerlendirilerek 5.000 TL ile 100.000 TL arasında para cezaları tayin edilecektir. İşletmeler ve şirketlerin, aynı yükümlülükler kapsamında tüm mevcut işletmesel sözleşmelerini revize ederek, kişisel verilerin gizliliğine ve korunmasına ilişkin hükümleri eklemesi gerekmektedir. Aksi halde; kanunda tamamen keyfiyetle idari kuruma devredilmiş olunan ceza belirlenmesi sonucunda 15.000 TL ile 1.000.000 TL arasındaki idari para cezalarının tahakkuku ile yüz yüze gelebilirler. Bahsetmeye çalıştığım keyfiyet, idari para cezasının 15.000 TL ile 1.000.000 TL arasındaki açık yelpazesidir. Bu cezai aralık, kurum tarafından doldurulacak olup, olayın içeriğinde veri sorumlusunun, hangi idari veya teknik tedbirleri almadığına ilişkin bir inceleme ile kurum para cezası miktarına karar verecektir.

Bu kanun ve yükümlülükleri ile cezai sonuçları her ne kadar bu yazının içeriğine sığmayacak ise de buz dağının görünen yüzünden son bir konuyu daha aktarmak istiyorum. İşletmelerin, herhangi bir veri ile muhatap olan en üst kademeden en alt kademeye kadar olan çalışanlarına kanun kapsamında hukuki farkındalık eğitimlerinden geçirmeleri  ve çalışanlarını, yöneticilerini hukukçular eliyle,  idari olarak yasal düzenlemenin günlük iş hayatındaki akışına  gerek iletişim gerekse de dokümantasyon anlamında şirketlerini hazırlamaları gerekmektedir. Şirket içi yazışmaların içeriğinin de kişisel veri olarak değerlendirildiği varsayıldığında aslında buzdağının boyutunun anlaşılacağını düşünüyorum. Herkese sorumluluklarını yerine getirerek hiçbir idari para cezası ile muhatap olmayacakları bir yeni yıl diliyorum.