http___protimeas.com_kvkk-bilgilendirme.html_1.xml
1.1 2.1 2.2 2.3 2.4 3.1 4.1 4.2 4.3 4.4 5.1 6.1 6.2 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 14.2 14.3 15.1 16.1 16.2 16.3 17.1 18.1 19.1 20.1 21.1 22.1 22.2 22.3 22.4 22.5 22.6 22.7
ARE YOU AWARE OF THE RESPONSIBILITIES IMPOSED ON YOU BY THE PERSONAL DATA ACT? The Law on Protection of Personal Data No. 6698 (KVKK) entered into force after being published in the Official Gazette dated 7 April 2016 and numbered 29677. Within the scope of KVKK, the definition of 'Data Controller' has been made and various obligations regarding the Data Controller have been introduced. First of all, it should be noted that; Within the scope of the relevant legislation, 'Data Controller' is defined as the natural or legal person who determines the purposes and means of processing personal data and is responsible for the establishment and management of the data recording system. As a legal entity, companies will directly become "data controllers" within the scope of their activities in processing personal data. WHAT SHOULD ORGANIZATIONS DO UNDER THE LAW? Data Controllers who process personal data must register with the 'Data Controllers Registry' before starting data processing. In addition, in accordance with the Regulation on the Data Controllers Registry, the Data Controllers, who have to register with the Data Controllers Registry, are obliged to prepare a personal data processing inventory. Pursuant to sub-paragraph 'ç' of the first paragraph of Article 5 of the Regulation on the Data Controllers Registry, it is stated that "Data controllers who are obliged to register with the Registry are obliged to prepare a Personal Data Processing Inventory. The information to be disclosed to the Registry in registry applications is prepared based on the Personal Data Processing Inventory". WHAT IS PERSONAL DATA INVENTORY? Personal data processing inventory is specified in the 'h' clause of the first paragraph of Article 4 of the Regulation; "The inventory they have created by associating the personal data processing purposes and legal reason, the data category, the transferred recipient group and the data subject group by explaining the maximum storage period required for the purposes for which the personal data is processed, the personal data to be transferred to foreign countries and the measures taken regarding data security". Thus the Inventory should contain as a minimum; • Personal data processing activities • Personal data processing purposes • Legal reason for processing personal data • Data category • Transferred recipient group • Data subject contact group VERBIS (DATA INFORMATION SYSTEM) REGISTRATION REQUIREMENT The minimum elements specified in the inventory are also recorded in the Data Controllers Registry System (VERBIS). However, there are various differences between the Data Controllers Registry and the Data Processing Inventory. These are; - • While entering information under headings in the limited fields specified in the Data Controllers Registry, all these data should be included in the Personal Data Inventory in more detail. - • The Data Controllers Registry is kept open to the public. The information entered into VERBİS can be viewed by anyone who wishes. The Personal Data Inventory will remain within the Data Controller's own entity and will only be submitted when requested by the Personal Data Protection Board. - • While it is mandatory to enter the relevant fields within the VERBIS system, no terms or conditions are stipulated in terms of the form of the Inventory. As a result, while preparing the Personal Data Processing Inventory, all personal data processed in physical and electronic environment should be analyzed, the processing stages of personal data should be determined one by one, personal data flow charts should be created and a detailed report should be made. WHAT IS THE PENALTY FOR FAILING TO MEET THESE OBLIGATIONS? Considering the high administrative fines (from 39.000 TL to 1.800.000 TL) brought with the KVKK and the crimes related to personal data that may lead to the prosecution of the Managers within the scope of Article 136 of the Turkish Penal Code; It is extremely important to prepare personal data processing inventory and enter data into the VERBIS system as required by law. INSTITUTIONS AND THEIR PERIODS WITHIN THE SCOPE OF THE OBLIGATIONS REQUIRED BY LAW Since the concept of personal data is a new concept in our legal system. In this area, there may be difficulties in finding enough qualified experts in terms of both knowledge and application experience. For this reason, obtaining consulting services from an expert staff while fulfilling the obligations stipulated by the law will significantly prevent problems that may arise later. Since this field of law requires knowledge of the field beyond general knowledge of law, only the help of a lawyer and lawyer may not be sufficient. Working with staff who are knowledgeable and experienced in international and national legislation on Personal Data processing, Anonymization, Storage, Destruction, Sharing with third parties will provide important advantages to your institution. In this process, our office, with its staff who have experience and knowledge in this field, creating data security policies stipulated by the legislation (inventory) of companies within the scope of data protection obligation and entering the basic elements of this policy into the KVKK database (VERBIS), recording, processing and third parties and third parties of the data of the data owner. It provides the highest level of consultancy service needed in the sharing and deletion processes with institutions and in fulfilling other issues requested by KVKK in these processes.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1
KİŞİSEL VERİLER KANUNU’NUN SİZE YÜKLEDİĞİ SORUMLULUKLARDAN HABERDAR MISINIZ? 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girdi. KVKK kapsamında 'Veri Sorumlusu' tanımı yapılarak Veri Sorumlusuna ilişkin çeşitli yükümlülükler getirilmiştir. Öncelikle belirtmek gerekir ki; ilgili mevzuat kapsamında 'Veri sorumlusu' kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır. Şirketler tüzel kişi olarak, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında doğrudan kendileri "veri sorumlusu" olacaklardır. YASA KAPSAMINDA KURULUŞLAR NELER YAPMALIDIR? Kişisel verileri işleyen Veri Sorumluları, veri işlemeye başlamadan önce 'Veri Sorumluları Siciline' kaydolmak zorundadır. Bununla birlikte Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca veri sorumluları siciline kayıt olmak zorunda olan Veri Sorumlularına kişisel veri işleme envanteri hazırlama yükümlülüğü getirilmiştir. Veri Sorumluları Sicili Hakkında Yönetmeliğin 5 inci maddesinin birinci fıkrasının 'ç' bendi uyarınca "Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır" denilmektedir. KİŞİSEL VERİ ENVANTERİ NEDİR? Kişisel veri işleme envanteri belirtilen Yönetmeliğin 4 üncü maddesinin birinci fıkrasının 'h' bendinde ''Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter'' olarak ifade edilmektedir. Buna göre belirtilen envanter; Veri kategorisini Aktarılan alıcı grubu Veri konusu kişi grubu Saklama süresini Verilerin yabancı ülkelere aktarılıp aktarılmadığını Veri güvenliğine ilişkin alınan teknik ve idari tedbirleri asgari olarak içermelidir. VERBİS (VERİ BİLGİ SİSTEMİ) KAYIT ZORUNLULUĞU Envanterde belirtilen asgari unsurlar ayrıca Veri Sorumluları Sicili Kayıt Sistemi'nde (VERBİS) kaydedilmektedir. Ancak Veri Sorumluları Sicili ile Veri İşleme Envanteri arasında çeşitli farklar bulunmaktadır. Bunlar; - Veri Sorumluları Sicili'nde belirtilen sınırlı alanlara başlıklar halinde bilgi girişi yapılarken, Kişisel Veri Envanterinde tüm bu verilerin daha detaylı olarak yer alması gerekir. - Veri Sorumluları Sicili kamuya açık olarak tutulmaktadır. VERBİS'e girilen bilgiler dileyen herkes tarafından görüntülenebilir. Kişisel Veri Envanteri ise Veri Sorumlusunun kendi bünyesinde kalacak ve sadece Kişisel Verilerin Korunması Kurulu tarafından talep edildiğinde ibraz edilecektir. - VERBİS sistemi içerisinde ilgili alanlarda giriş yapması zorunlu tutulmuşken Envanterin şekli açısından herhangi bir şart veya koşul öngörülmemiştir. Sonuç olarak Kişisel Veri İşleme Envanteri hazırlarken fiziksel ve elektronik ortamda işlenen tüm kişisel verilerin analizi yapılmalı, kişisel verilerin işlenme aşamaları tek tek tespit edilmeli ve kişisel verilerin akış şemaları oluşturmalı ve ayrıntılı bir rapor haline getirilmelidir BU YÜKÜMLÜLÜKLERİ YERİNE GETİRMEMENİN CEZASI NEDİR? KVKK ile getirilen yüksek idari para cezaları (39.000 TL’den 1.800.000 TL'ye kadar) ile Yöneticilerin Türk Ceza Kanunu 136 ve devamı maddeleri kapsamında yargılanmasına yol açabilecek kişisel verilere ilişkin suçlar düşünüldüğünde; kişisel veri işleme envanteri hazırlanması, VERBİS sistemine yasanın istediği şekilde veri girişi son derece önem arz etmektedir. KANUNDA İSTENEN YÜKÜMLÜLÜKLERİN KAPSAMINDAKİ KURUMLAR VE SÜRELERİ Kişisel veri kavramı hukuk sistemimize yeni giren bir kavram olduğundan. Bu alanda gerek bilgi gerek uygulama tecrübesi açısından yeterince nitelikli uzman bulmakta güçlükler yaşanabilmektedir. Bu nedenle yasanın öngördüğü yükümlülükleri yerine getirirken uzman bir kadrodan danışmanlık hizmeti almak sonradan ortaya çıkabilecek sorunları önemli ölçüde önleyecektir. Bu hukuk alanı genel hukuk bilgisinden öte bir alan bilgisi gerektirdiğinden salt hukukçu ve avukat yardımı yeterli olmayabilir. Özellikle Kişisel Veri işleme, Anonimleştirme, Saklama, Yok etme, Üçüncü taraflarla paylaşma konularında uluslararası ve ulusal mevzuat konusunda bilgi ve tecrübeli kadrolarla çalışmak kurumunuza önemli avantajlar sağlayacaktır. Bu süreçte büromuz, Bu alanda tecrübe ve birikim sahibi kadrosu ile veri koruma yükümlülüğü kapsamındaki şirketlerin, mevzuatın öngördüğü veri güvenlik politikalarını oluşturma (envanter) ve bu politikanın temel unsurlarının KVKK veri tabanına girilmesi (VERBİS), veri sahibinin verilerinin kaydedilme, işlenme ve üçüncü kişi ve kurumlar ile paylaşılma, silinme süreçlerinde ve bu süreçlerde KVKK’nın talep ettiği diğer hususların yerine getirilmesinde ihtiyaç duyulan danışmanlık hizmetini en üst düzeyde sağlamaktadır.