Kişisel Verileri Koruma Kurulu, Kişisel Verileri Koruma Kurumunun karar organıdır; üyeleri kanunda belirlenen usulle seçilir. Kurumun uzman birimleriyle Kurulun görevlerini ve işletmelerin hangi süreçlerde Kurumla temas ettiğini ayırmak, başvuru ve uyum adımlarını doğru planlamaya yardımcı olur.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Kurum ile Kurul farkı nedir?
Kişisel Verileri Koruma Kurumu, kişisel verilerin korunması alanında görev yapan kamu kurumudur. Kurumun teşkilatında uzmanlık ve idari işlevleri yerine getiren birimler bulunur. Bu birimler başvuruları almak, yazışmaları yürütmek, inceleme için gerekli bilgi ve belgeleri düzenlemek, rehberlik çalışmalarını desteklemek ve kayıt süreçlerini işletmek gibi görevler üstlenebilir. Dolayısıyla Kurum, yalnızca kararların duyurulduğu bir yapı değildir; karar süreçlerinin ve diğer kurumsal işlerin yürütülmesini sağlayan bir teşkilattır.
Kişisel Verileri Koruma Kurulu ise Kurumun karar organıdır. Kurul, kanunla verilen görevleri kapsamında şikâyet ve incelemeleri değerlendirir, karar alır ve görev alanındaki konularda ilke kararları oluşturabilir. “Kurum” sözcüğü teşkilatın bütününü, “Kurul” sözcüğü bu teşkilat içindeki karar organını ifade eder. İki kavramı aynı anlamda kullanmak, işletmenin bir yazının niteliğini yanlış değerlendirmesine ya da hangi sürece cevap vermesi gerektiğini karıştırmasına yol açabilir.
Bir yazı Kurumdan geldiyse Kurul kararı mıdır?
Hayır; yazının göndereni, konusu ve talep ettiği işlem birlikte değerlendirilmelidir. Örneğin küçük bir mağazaya Kurumdan, müşteri başvurusu hakkında bilgi ve belge isteyen bir yazı gelebilir. Bu yazı, Kurumun yürüttüğü bir işlem kapsamında gönderilmiş olabilir; tek başına Kurulun karar verdiğini göstermez. Buna karşılık bir şikâyet dosyasının değerlendirilip sonuca bağlanması Kurulun karar süreciyle ilgilidir. Dosyanın hazırlanmasına katkı sunan uzman birimlerin çalışması ile karar organının aldığı karar birbirinden farklı aşamalardır.
Sık yapılan hata, Kurumun adını taşıyan her belgeyi karar kabul etmek veya karar olmadığı düşünülen bir yazıyı önemsememektir. Pratik adım olarak yazıyı teslim alan kişi, belgenin konusunu, istenen yanıtı, belirtilen iletişim kanalını ve varsa karar bilgilerini kaydetmelidir. İşletme içinde yazışmaları takip edecek bir sorumlu belirlemek, talebin kaybolmasını önler. Uyum çalışmalarını planlamak için ilgili araç ve şablonlar incelenebilir; araçlardan yararlanmak Kurumun veya Kurulun yerine geçmez.
Üyeler nasıl belirlenir?
Kurul üyeliği, Kurum içindeki sıradan bir görev dağılımıyla kazanılan bir görev değildir. Üyeler, kanunda belirlenen usule göre seçilir. Üyelerden beşi Türkiye Büyük Millet Meclisi tarafından, dördü Cumhurbaşkanı tarafından belirlenir. Bu seçim yöntemi, karar organının üyelerinin göreve nasıl geldiğini açıklar; Kurumun diğer çalışanlarının işe alınması ya da görevlendirilmesiyle karıştırılmamalıdır.
Kurul üyeliği için kanunda nitelik ve görev koşulları belirlenmiştir. Bu nedenle bir haber veya duyuru değerlendirilirken yalnızca kişinin unvanına bakmak yeterli olmaz. Seçim ya da atama işlemine ilişkin resmî açıklama, göreve başlama bilgisi ve görevle ilgili duyurular birlikte kontrol edilmelidir. Üyeler arasından Kurul başkanı ve başkan yardımcısı seçilmesi de üyelikten ayrı bir aşamadır. Kurul üyesi olmak, kendiliğinden başkanlık görevini üstlenmek anlamına gelmez.
Üyelik haberi nasıl kontrol edilir?
Örneğin yerel bir işletme odası, üyelerine yönelik bilgilendirme sunumunda Kurul yapısından söz etmek isteyebilir. Sunumda eski tarihli bir haberde yer alan isimleri güncel üyeler gibi kullanmak, yanlış bilgi aktarılmasına neden olabilir. Sık yapılan hata, arama sonucunda karşılaşılan ilk haberi tarihine ve dayandığı açıklamaya bakmadan doğrulanmış kabul etmektir. Pratik adım, bilgi kullanılmadan önce Kurumun resmî duyurularını kontrol etmek; duyurunun tarihini, üyelik mi başkanlık mı anlattığını ve göreve ilişkin açıklamanın kapsamını not etmektir.
KOBİ’lerin günlük veri işleme süreçlerini düzenlemesi, Kurul üyelerinin kim olduğunu takip etmelerine bağlı değildir. Ancak Kurulun belirli bir usulle göreve gelen üyelerden oluşan bir karar organı olduğunu bilmek, kurumsal yapıyı anlamaya yardımcı olur. İşletme kendisine gelen bir yazıda Kuruldan mı yoksa Kurumun biriminden mi söz edildiğini incelerken de bu bilgi işine yarar. Üyelik bilgisi, işletmenin kendi uygulamalarına ilişkin değerlendirmeyi veya gerektiğinde avukatınıza ya da hukukçunuza danışma ihtiyacını ortadan kaldırmaz.
Kurul hangi görevleri yerine getirir?
Kurulun temel işlevi, kişisel verilerin korunması alanında kanunla verilen görevleri karar organı sıfatıyla yerine getirmektir. Bu görevler; şikâyetleri değerlendirmeyi, gerekli görülen durumlarda inceleme yapmayı, veri sorumlularından bilgi ve belge istemeyi ve dosyalar hakkında karar almayı içerebilir. Kurul ayrıca görev alanındaki konularda ilke kararları oluşturabilir. Bu nedenle Kurulun faaliyetini yalnızca işletmelere yaptırım uygulanmasıyla açıklamak eksik kalır; karar ve yönlendirme işlevleri de vardır.
6698 sayılı Kanun’un m.14 hükmü Kurula şikâyeti düzenler; bu madde ilgili kişinin Kurula şikâyet hakkıyla ilgilidir. Şikâyet dosyasında iddialar, veri sorumlusunun açıklamaları ve sunulan belgeler değerlendirilir. Bir başvurunun yapılmış olması, iddianın kabul edileceği veya her benzer olayda aynı sonucun çıkacağı anlamına gelmez. Olayın koşulları ve dosyada bulunan bilgiler önem taşır. İşletmenin görevi, bir şikâyet ihtimali doğduğunda kayıtlarını ve yanıtlarını düzenli biçimde ele almaktır.
Kurulun incelemesi işletmenin günlük yükümlülüklerini değiştirir mi?
Bir işletmenin uyum sorumluluğu, Kurulun o işletme hakkında inceleme başlatıp başlatmamasından bağımsızdır. Örneğin küçük bir hizmet işletmesi, müşteri kayıtlarına kimlerin eriştiğini, iş başvurularını hangi amaçla sakladığını ve verileri hangi hizmet sağlayıcılarla paylaştığını belirleyebilir. 6698 sayılı Kanun’un m.10 hükmü veri sorumlusunun aydınlatma yükümlülüğünü, m.12 hükmü ise veri güvenliğine ilişkin yükümlülükleri düzenler. Bu konular, Kurulun sonradan inceleme yapacağı varsayımına bırakılmamalı; işletmenin kendi işleyişinde ele alınmalıdır.
Sık yapılan hata, “Kurum henüz yazmadı” düşüncesiyle veri süreçlerini gözden geçirmeyi ertelemektir. Pratik adım olarak işletme, müşteri, çalışan ve iş başvurusu verilerinin nerede tutulduğunu; erişim sorumlularını ve saklama düzenini yazılı hâle getirebilir. 2026 KVKK uyum kontrol listesi bu kontrolleri gözden geçirmeye yardımcı olabilir. Kontrol listesini tamamlamak, tek başına hukuka uygunluk garantisi değildir; işletmenin faaliyetlerine özgü değerlendirme ayrıca yapılmalıdır.
Başkanın rolü nedir?
Kurul başkanı, karar organının çalışma düzeninin yürütülmesine ve kurumun temsil edilmesine katkı sağlayan görevler üstlenir. Bu rol, Kurulun bütün yetkilerinin tek kişide toplandığı biçiminde yorumlanmamalıdır. Kurul, üyelerden oluşan bir karar organıdır; başkanlık görevi ise bu kolektif yapı içindeki çalışma ve temsil sorumluluklarını ifade eder. Bir kişinin başkan olması, her şikâyet veya inceleme hakkında tek başına karar verdiği anlamına gelmez.
Başkan, Kurul çalışmalarının koordinasyonu ve toplantı düzeniyle ilgili görevler üstlenebilir. Kurumun kamuya dönük faaliyetlerinde temsil sorumluluğu da bulunabilir. Ancak işletmeler, kendilerine ulaşan bir yazının niteliğini yalnızca başkanın adına veya unvanına bakarak belirlememelidir. Yazının kimden geldiği, ne istediği, hangi işlemle ilgili olduğu ve resmî kanallardan doğrulanıp doğrulanamadığı birlikte incelenmelidir. Bilgi veya belge talebi varsa istenen kapsam doğru anlaşılmalı, yanıt süreci kayıt altına alınmalıdır.
Başkanın adı geçen bir yazı nasıl değerlendirilir?
Örneğin bir işletme sahibine, başkanın adı kullanılarak bilgi isteyen bir ileti ulaşabilir. “Başkanın adı yazıyor, o hâlde kesin Kurul kararıdır” demek kadar, “başkan imzalamamış, o hâlde önemli değildir” diye düşünmek de sakıncalıdır. Yazı, Kurul kararını bildiriyor olabileceği gibi Kurumun biriminden gelen bir bilgi talebi de olabilir. Sık yapılan hata, imza sahibinin unvanını belgenin hukuki ve idari niteliğiyle eş tutmaktır. Pratik adım, belgenin içeriğini ve doğrulanabilirliğini resmî iletişim kanalları üzerinden kontrol etmek, gelen yazıyı işletmedeki sorumlu kişiye iletmek ve yapılan işlemleri kaydetmektir.
Başkanlık görevi ile üyelik ve diğer görevlerin zaman içinde değişebileceği de dikkate alınmalıdır. Kurum yapısına ilişkin bir sunum hazırlanıyorsa, kullanılacak isimler güncel resmî açıklamalardan doğrulanmalıdır. Eski bir yazıda yer alan isim, bugünkü görev dağılımını göstermeyebilir. İşletme açısından temel ihtiyaç, Kurulun karar organı olduğunu anlamak ve kendisine yöneltilen resmî talebi doğru süreçte ele almaktır. Somut bir hukuki değerlendirme gerekiyorsa avukatınıza veya hukukçunuza danışın.
Kararlar nasıl yayımlanır?
Kurul kararları Kurumun duyuru ve karar paylaşım kanallarında yayımlanabilir. Her kararın sunuluş biçimi ve içerdiği ayrıntılar aynı olmayabilir. Kişisel bilgilerin korunması veya dosyanın niteliği nedeniyle metinde anonimleştirme yapılmış olabilir. Bu yüzden tarafların adının yayımlanan metinde görünmemesi, tek başına kararın resmî olmadığı anlamına gelmez. Karar incelenirken başlık, tarih, konu ve metnin Kurumun resmî kanalında yer alıp almadığı birlikte değerlendirilmelidir.
Kararı anlamak için yalnızca sonuç cümlesine bakmak yeterli değildir. Olayın nasıl geliştiği, veri sorumlusunun hangi işlemleri yaptığı, başvurucunun ne ileri sürdüğü ve Kurulun hangi gerekçelerle değerlendirme yaptığı birlikte okunmalıdır. Birbirine benzeyen iki olayın veri türleri, işleme amaçları veya güvenlik koşulları farklı olabilir. Bu nedenle tek bir karardaki sonucu her işletmenin kendi uygulamasına doğrudan aktarmak doğru olmaz. Karar, işletmenin kendi süreçlerini sorgulamasına yardımcı olabilir; her koşulda aynı değerlendirmenin yapılacağını göstermez.
Karar örnekleri işletmenin hangi işine yarar?
Bir KOBİ, kararları kendi uygulamalarını gözden geçirmek için kullanabilir. Örneğin bir kafe, personel kayıtlarına erişimi veya müşterilerden gelen taleplere verdiği yanıtları incelerken kararlarda tartışılan konuları dikkate alabilir. Ancak karardaki ifadeleri doğrudan kopyalayıp kendi uygulamasına uygun saymak sık yapılan bir hatadır. Pratik adım, önce işletmenin kendi veri akışını çıkarmak, sonra karar metnindeki olayla benzer ve farklı yönleri ayrı ayrı not etmektir. Kurul kararları indeksinde kararlar konu başlıklarına göre incelenebilir.
İşletme, incelediği kararın tarihini, konusunu ve kendi süreçleriyle bağlantısını kısa bir iç değerlendirme notuna yazabilir. Bu not, kararın işletmeye otomatik olarak uygulanacağı iddiası değil; uyum çalışmasına yardımcı bir kayıttır. Karar örneklerinin konu bazında nasıl ele alındığını merak edenler 313 KVKK Kurul Kararının analizini inceleyebilir. Karar analizi ile Kurumun ve Kurulun yapısı farklı sorulara yanıt verir: Biri karar örneklerine, diğeri teşkilat ve karar organı ayrımına odaklanır.
Üyelik bilgisi nereden doğrulanır?
Kurul üyeliğine ilişkin güncel bilgi için başlangıç noktası, Kurumun resmî internet sitesindeki Kurul ve kurum yapısı açıklamaları olmalıdır. Üyelerin seçilmesi, göreve başlaması veya görev değişiklikleri gibi bilgiler resmî duyuru ve açıklamalardan kontrol edilmelidir. Basında çıkan haberler konuyu fark etmek için işe yarayabilir; ancak haberin tarihi ve dayandığı resmî açıklama görülmeden üyelik bilgisi güncel kabul edilmemelidir.
Doğrulama yaparken bilginin yayımlandığı tarihe bakılmalı, açıklamanın üyelik mi yoksa başkanlık gibi başka bir görev mi hakkında olduğu ayrıştırılmalıdır. Ardından bilginin resmî kanalda yer alıp almadığı kontrol edilmelidir. Böylece Kurul üyesi olmakla başkan veya başkan yardımcısı olmak birbirine karıştırılmaz. İşletmenin kurum içi bilgilendirme notlarında bu ayrımı açıkça göstermesi, yanlış aktarımı önlemeye yardımcı olur.
Resmî bilgi kontrolünde hangi hatalardan kaçınmalı?
Örneğin bir muhasebe ofisi, müşterileri için hazırladığı bilgilendirme metninde Kurul üyelerinin güncel yapısına yer vermek isteyebilir. Arama motorunda çıkan ilk sonucu kaynağını ve tarihini kontrol etmeden kullanmak, eski bilgilerin yeniymiş gibi paylaşılmasına yol açabilir. Bir diğer hata, üyelik bilgisiyle bir görevin başlama veya sona erme duyurusunu aynı şey saymaktır. Pratik adım, kullanılacak bilginin kaynağını ve kontrol tarihini iç kayıtlarında saklamak; bilgi değiştiğinde metni güncellemektir.
Bir yazışmanın gerçekliğini kontrol etmek için yalnızca üyeler listesine bakmak da yeterli değildir. Mesajın geldiği adres, belgenin kayıt bilgileri, istenen işlem ve resmî iletişim kanalları üzerinden yapılacak teyit birlikte değerlendirilmelidir. Şüpheli bir iletide verilen telefon numarasını kullanmak yerine, Kurumun iletişim bilgisi resmî kanaldan ayrıca bulunmalıdır. Kurum yapısını öğrenmek, işletmenin kendi hukuki değerlendirmesinin yerine geçmez; gerektiğinde avukatınıza veya hukukçunuza danışın.
İşletme hangi konuda Kurula başvurur?
Önce başvuruyu kimin yaptığı ve hangi amaçla yaptığı ayırt edilmelidir. Kişisel verisi işlenen kişi, haklarıyla ilgili talebini önce veri sorumlusuna yöneltir. 6698 sayılı Kanun’un m.13 hükmü veri sorumlusuna başvuruyu düzenler; bu madde ilgili kişinin veri sorumlusuna başvuru süreciyle ilgilidir. İlgili kişi aldığı yanıtı yetersiz bulursa veya sürecin koşulları oluşursa Kurula şikâyet yolunu değerlendirebilir. 6698 sayılı Kanun’un m.14 hükmü Kurula şikâyeti düzenler; bu madde ilgili kişinin Kurula şikâyetiyle ilgilidir.
İşletme ise çoğu durumda kendi faaliyetiyle ilgili bir şikâyet başvurusu yapmak için Kurula gitmez. Veri sorumlusu olarak Kurumla teması; kayıt yükümlülüğü, bildirim, inceleme sırasında bilgi ve belge sunma ya da resmî yazıya yanıt verme gibi konularda olabilir. 6698 sayılı Kanun’un m.16 hükmü Veri Sorumluları Sicilini (VERBİS) düzenler; bu madde sicil konusuyla ilgilidir. İşletmenin kayıt yükümlülüğü bulunup bulunmadığı, kendi koşulları ve faaliyetleri dikkate alınarak değerlendirilmelidir.
İlgili kişinin talebiyle işletmenin işlemi nasıl ayrılır?
Örneğin bir müşteri, bir işletmeden kendisiyle ilgili verilerin işlenip işlenmediği hakkında bilgi isteyebilir. İşletme bu talebi kendi başvuru sürecinde ele alır. Müşteri yanıt alamadığını veya talebinin karşılanmadığını düşünürse daha sonra şikâyet yolunu değerlendirebilir. İşletmenin bir güvenlik olayı fark etmesi ise farklı bir konudur; olayın etkisi ve gerekli adımlar ayrıca ele alınmalıdır. İhlal bildirimiyle ilgili kişinin şikâyeti aynı süreç değildir. Sık yapılan hata, bu iki durumu aynı başvuru türü gibi değerlendirmektir.
Pratik adım olarak KOBİ, gelen yazışmaları ilgili kişiden gelen hak talebi, Kurumdan gelen resmî yazı ya da işletmenin kendi kayıt veya bildirim işlemi olarak sınıflandırabilir. Her süreç için sorumlu kişi, takip yöntemi ve belge saklama düzeni belirlenebilir. KVKK ceza riski hesaplayıcısı risk başlıklarını gözden geçirmeye yardımcı olabilir; hukuki görüş veya Kurula yapılacak başvurunun yerine geçmez. Somut başvuru ya da yanıt hazırlamadan önce avukatınıza veya hukukçunuza danışın.
Kurum birimi ile karar organı nasıl karşılaştırılır?
Kurum birimi ile Kurul arasındaki farkı “biri süreci yürütür, diğeri karar alır” şeklinde anlatmak başlangıç için yararlıdır; ancak her olayın aşamaları aynı olmayabilir. Kurumun birimleri yazışmaları ve idari işleri yürütebilir, başvuruları işleme alabilir, incelemeye katkı sunabilir ve Kurulun çalışmalarını destekleyen görevler üstlenebilir. Kurul ise kanuni görevleri kapsamında karar organı olarak değerlendirme yapar. Dosyanın hazırlanmasına katkı sunulması ile dosya hakkında karar alınması aynı iş değildir; aynı sürecin farklı aşamaları olabilir.
| Karşılaştırma ölçütü | Kurum birimi | Kurul |
|---|---|---|
| Amaç | İdari ve uzmanlık işlerini yürütmek, süreci desteklemek | Kanuni görevler kapsamında karar almak |
| Kapsam | Yazışma, kayıt, incelemeye hazırlık ve kurumsal işleyiş | Şikâyet, inceleme ve karar organı görevleri |
| Süreç | Bilgi toplama, dosya hazırlama veya ilgili işlemi yürütme | Konuyu değerlendirme ve karar oluşturma |
| Sonuç | İdari işlem, bilgi talebi veya karar sürecine hazırlık | Kurulun görev alanında karar |
Tablo, her olayda işlemlerin aynı sırayla yapılacağı anlamına gelmez. Bazı yazışmalar idari bir işlemle sonuçlanabilir; her yazının Kurul gündemine gideceği varsayılmamalıdır. Kurul değerlendirmesine konu olan dosyalarda da uzman birimler bilgi toplama ve dosyayı hazırlama görevleri üstlenebilir. İşletmenin önüne gelen yazının içeriği, muhatabı ve istediği işlem bu ayrımı anlamada önem taşır. Belgenin yalnızca logosuna veya imza sahibinin unvanına bakmak yanıltıcı olabilir.
İşletme bir yazıyı nasıl sınıflandırabilir?
Örneğin bir işletme VERBİS kaydıyla ilgili bir işlem ile müşteri şikâyeti üzerine yürütülen değerlendirmeyi karşılaştırabilir. İlkinde sicil sürecini ve kendi yükümlülüğünü anlamaya çalışır; ikincisinde Kurul, şikâyeti ve dosyadaki bilgi ve belgeleri kendi görev alanı kapsamında değerlendirebilir. Sık yapılan hata, bu iki yazışmayı da aynı başvuru gibi görüp yanlış sorumluya yönlendirmektir. Pratik adım olarak yazı alındığında hangi işlemi bildirdiği, işletmeden ne istendiği ve yanıt kanalının ne olduğu kaydedilebilir.
Yanıtların açık olmadığı durumlarda resmî iletişim kanalları üzerinden açıklama istenebilir. İşletme içinde yazışmaları takip eden kişinin belgeyi ilgili sorumluya gecikmeden iletmesi, sürecin gözden kaçmasını engeller. Kurum ve Kurul ayrımını bilmek, yazıyı görmezden gelmek için değil; doğru işlemi doğru süreçte yürütmek için gereklidir. Somut bir değerlendirme ihtiyacı varsa avukatınıza veya hukukçunuza danışın.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir küçük işletme, müşteri taleplerini kaydetmek ve çalışanların görev paylaşımını kolaylaştırmak için yeni bir uygulama seçmeyi düşünüyor. Seçimde yalnızca kullanım kolaylığına bakmak yeterli olmaz. Hangi kişisel verilerin tutulacağı, erişimin kimlere verileceği, kayıtların ne zaman silinebileceği ve hizmet sağlayıcının veriler üzerinde nasıl işlem yapacağı da değerlendirilmelidir. Verilerin yurt dışına aktarılma ihtimali olup olmadığı ayrıca sorulabilir. İşletme, seçenekleri aynı ölçütlerle karşılaştırarak kendi veri akışına uygun bir tercih yapmaya çalışır.
Senaryo: Bir işletme şikâyet, rehber ve sicil işlemlerinin hangi yapıyla ilişkili olduğunu ayırt eder.
Uygulanabilir kalemler ve kanundaki bantlar:
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Bu örneğin amacı bir işletme için sonuç veya yaptırım tutarı tahmin etmek değildir. Amaç, uygulama seçiminin hangi bilgilere bağlı olduğunu görünür kılmaktır. Uygulamanın adı veya yaygın olarak kullanılması, işletmenin verileri nasıl işlediğini tek başına açıklamaz. İşletmenin kullanım amacı, erişim düzeni, hizmet sağlayıcıyla ilişkisi ve aldığı güvenlik önlemleri birlikte incelenmelidir. 6698 sayılı Kanun’un m.9 hükmü yurt dışına aktarımı düzenler; uygulama kapsamında böyle bir aktarım ihtimali varsa bu başlık ayrıca değerlendirilmelidir.
Uygulama seçimi için ilk pratik adım nedir?
Örneğin bir tamir atölyesi, müşterilerinin iletişim bilgilerini ve servis taleplerini yeni bir araçta tutmayı planlayabilir. Önce hangi bilgi alanlarının gerçekten gerekli olduğunu belirler, sonra kullanıcı yetkilerini ve hesap kapatıldığında kayıtların nasıl ele alınacağını kontrol eder. Hizmet sağlayıcıdan alınan yanıtları ve yapılan değerlendirmeyi saklamak, seçimin yalnızca sözlü açıklamalara dayanmasını önler. Sık yapılan hata, uygulamanın bilinirliğini veri güvenliği için yeterli saymak veya her işletmede aynı riskin bulunduğunu varsaymaktır.
Veri türü de değerlendirmeyi etkiler. Müşteri iletişim bilgisi tutan bir çözümle hassas içerik işleyen bir çözüm aynı şekilde ele alınmayabilir. 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler; özel nitelikli veri işleniyorsa ilgili gereklilikler ayrıca değerlendirilmelidir. İşletme; kullanım amacını, veri alanlarını, erişecek kişileri, hizmet sağlayıcının rolünü ve hizmet sona erdiğinde izlenecek adımları yazılı hâle getirebilir. Bu kayıt işletmenin seçimini açıklamaya yardımcı olur; Kurulun ileride vereceği kararı önceden belirlemez. Somut değerlendirme gerektiğinde avukatınıza veya hukukçunuza danışın. Sitedeki araçlar ücretsizdir ve kayıt ya da kart bilgisi istemez.
Kurul kararlarında KVKK Kurulu kimlerden oluşur
Bu yazıda anılabilecek belirli bir Kurul kararı bulunmadığından üyelik yapısını karar örneği üzerinden açıklamıyorum. Karar metinleri, Kurulun karar organı olarak görevini ve belirli olayları nasıl değerlendirdiğini anlamaya yardımcı olabilir. Bununla birlikte üyelik yapısının doğrulanacağı yer ile karar örneklerinin inceleneceği yer aynı tür kaynaklar değildir. Üyeler hakkındaki güncel bilgi, resmî kurum duyurularından; belirli bir olayın değerlendirmesi ise karar metninden takip edilmelidir.
- Bir karar metnini değerlendirirken yalnızca sonuç kısmına değil, olayın koşullarına ve Kurulun gerekçesine de bakın.
- Benzer görünen olayların işleme amacı, veri türü veya güvenlik koşulları farklı olabilir; tek bir kararı bütün işletmelere doğrudan uygulamayın.
- Kurum birimlerinin yürüttüğü idari işlemle Kurulun kararını birbirinden ayırın ve resmî duyurunun tarihini kontrol edin.
Karar metni işletmenin süreçlerine nasıl bağlanır?
Örneğin bir işletme çalışan kayıtlarına erişim düzenini gözden geçirirken, incelediği kararın hangi veri ve olayla ilgili olduğunu önce belirlemelidir. Kendi uygulamasıyla benzerlik ve farklılıkları ayrı ayrı not etmesi, yüzeysel karşılaştırmayı önler. Sık yapılan hata, bir kararın sonucunu olayın koşullarını incelemeden bütün işletmeler için geçerli bir talimat gibi görmektir. Pratik adım olarak iç değerlendirme notuna incelenen konu, işletmedeki ilgili süreç ve alınması düşünülen takip adımı yazılabilir.
Karar metninde tarafların adı yer almayabilir veya olayın bazı ayrıntıları açıklanmamış olabilir. Bu, metnin işletmenin bütün koşullarını anlattığı anlamına gelmez. İşletme önce kendi veri işleme faaliyetlerini tanımlamalı, ardından kararın olayıyla hangi yönlerden benzerlik bulunduğunu değerlendirmelidir. Karar başlıklarının konuya göre taranması aramayı kolaylaştırır; bulunan her metnin işletme için tek başına yeterli açıklama sunduğu varsayılmamalıdır.
Kurul kararları, Kurumun karar organı olarak görev yaptığını gösterir; ancak “Kurul kimlerden oluşur?” sorusunun cevabı karar örneklerinden değil, üyelik duyurularından ve kurumsal yapı açıklamalarından doğrulanmalıdır. Bu iki bilgi türünü birbirine karıştırmak, yanlış veya eski bilgi aktarılmasına neden olabilir. İşletme karar örneğini kendi faaliyetleriyle ilişkilendirirken kesin bir hukuki sonuca ihtiyaç duyarsa avukatınıza veya hukukçunuza danışmalıdır.
Sık sorulan sorular
KVKK Kurulu ile Kişisel Verileri Koruma Kurumu aynı şey midir?
Hayır. Kurum, idari ve uzmanlık işlerini de kapsayan teşkilatın bütününü ifade eder; Kurul ise bu yapı içindeki karar organıdır. Kurumdan gelen her yazı Kurul kararı değildir. Belgenin niteliğini anlamak için içeriğine ve talep edilen işleme bakılmalıdır.
Kurul üyeleri nasıl seçilir?
Üyeler kanunda belirlenen usule göre göreve gelir; üyelerin bir bölümü Türkiye Büyük Millet Meclisi, diğer bölümü Cumhurbaşkanı tarafından belirlenir. Üyelik, başkanlık göreviyle aynı şey değildir. Güncel üyeler ve görev dağılımı için resmî duyurular kontrol edilmelidir.
Kurul başkanı her kararı tek başına mı verir?
Hayır. Başkanlık görevi, Kurulun üyelerden oluşan karar organı niteliğini ortadan kaldırmaz. Başkanın çalışma düzeni ve temsil kapsamındaki göreviyle karar süreci birbirinden ayrılmalıdır. Bir yazının niteliği de yalnızca başkanın adından hareketle belirlenmemelidir.
İşletme, müşteri şikâyeti için Kurula mı başvurur?
Kişisel verisi işlenen kişi, kural olarak önce veri sorumlusuna başvurur ve koşulları oluştuğunda Kurula şikâyet yolunu değerlendirebilir. İşletmenin Kurumla teması ise kayıt, bildirim, inceleme yazışması veya bilgi ve belge sunulması gibi farklı süreçlerden doğabilir. Gelen yazının türünü doğru sınıflandırmak, uygun yanıtın hazırlanmasına yardımcı olur.
Kurul kararlarını okurken nelere dikkat edilmeli?
Kararın yalnızca sonuç bölümünü değil, olayın koşullarını ve gerekçesini de inceleyin. Kendi işletmenizin uygulamasıyla kararın hangi yönlerden benzeştiğini ve hangi yönlerden ayrıldığını ayrıca değerlendirin. Karar örneğini bütün işletmelere uygulanacak tek tip bir talimat gibi görmeyin. Somut değerlendirme gerektiğinde avukatınıza veya hukukçunuza danışın.
