Şirketler İçin KVKK Uyumu: 2024 Değişiklikleri ve İdari Para Cezaları

Müşteri, çalışan ve tedarikçi verisi işleyen her şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) tabidir. Uyumsuzluk; milyonlarca liralık idari para cezası, itibar kaybı ve dava riski demektir. Nitekim Kişisel Verileri Koruma Kurumu, yalnızca 2024 yılında 552 milyon Türk lirasını aşan idari para cezası uygulamıştır. Üstelik 2024’te yürürlüğe giren önemli değişiklikler, özellikle verisini yurt dışına aktaran şirketler için tabloyu değiştirdi. Bu yazıda, şirketlerin dikkat etmesi gereken noktaları yalın bir dille topladık.

KVKK Uyumunun Temel Yükümlülükleri

• VERBİS kaydı: Yükümlü olan veri sorumlularının Veri Sorumluları Sicili’ne (VERBİS) kaydı.
• Aydınlatma yükümlülüğü: Veri işlenirken ilgili kişinin usulüne uygun şekilde bilgilendirilmesi (m.10).
• Hukuki sebep / açık rıza: Her veri işleme faaliyetinin Kanun’daki bir işleme şartına dayandırılması (m.5–6).
• Veri güvenliği: Uygun teknik ve idari tedbirlerin alınması (m.12).
• Veri ihlali bildirimi: İhlalin, en kısa sürede Kurul’a ve ilgili kişilere bildirilmesi.

Çok Güncel: 2024 Değişiklikleri (7499 Sayılı Kanun)

12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun, KVKK’da köklü değişiklikler yaptı. Öne çıkan üç başlık:

• Yurt dışına veri aktarımı (m.9) baştan yazıldı ve 1 Haziran 2024’te yürürlüğe girdi. Artık aşamalı bir rejim geçerli: önce yeterlilik kararı bulunan ülkelere aktarım; yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve gerektiğinde Kurul izni; bunlar da yoksa yalnızca sınırlı arızi (istisnai) hâller. Standart sözleşme imzalandığında belirli süre içinde Kurul’a bildirim gerekir.
• Özel nitelikli (hassas) kişisel veriler (m.6) için işleme şartları yeniden düzenlendi; istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik gibi alanlarda, şartları sağlanmak kaydıyla açık rıza olmadan işlemeye imkân tanındı.
• Yargı yolu değişti: Kurul’un idari para cezası kararlarına karşı artık (bazı istisnalar dışında) idare mahkemeleri görevlidir.

İdari Para Cezaları

KVKK’nın 18. maddesindeki idari para cezaları; aydınlatma yükümlülüğünün ihlali, veri güvenliği tedbirlerinin alınmaması, Kurul kararlarına uyulmaması ve VERBİS yükümlülüğünün yerine getirilmemesi gibi hâllerde uygulanır. Bu tutarlar her yıl yeniden değerleme oranında artırılır ve Kurumun internet sitesinde güncel olarak ilan edilir. Cezaların büyüklüğü ve 2024 yılındaki uygulama hacmi düşünüldüğünde, uyum bir maliyet değil, risk yönetimi meselesidir.

Şirketlerin En Sık Yaptığı Hatalar

• Aydınlatma metinleri ve açık rıza süreçlerinin özensiz veya tek tip hazırlanması,
• Yurt dışına aktarımın (bulut hizmetleri dâhil) yeni rejime uyarlanmaması,
• Veri envanteri ve saklama/imha politikalarının bulunmaması,
• Veri ihlalinde bildirim sürelerinin kaçırılması.

Hukukçular Evi Ankara Olarak Yaklaşımımız

• Şirketinizin veri envanterini çıkarıyor, işleme faaliyetlerini doğru hukuki sebeplere bağlıyoruz.
• Aydınlatma, açık rıza, saklama/imha ve yurt dışı aktarım belgelerinizi güncel mevzuata uyarlıyoruz.
• Veri ihlali anında bildirim ve kriz yönetimini üstleniyoruz.
• İdari para cezalarına karşı idare mahkemesinde dava sürecini yürütüyoruz.

Bu içerik genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. KVKK mevzuatı ve ceza tutarları güncellendiğinden, şirketinize özel uyum için bir uzmana danışmanız faydalı olacaktır.