6698 sayılı Kişisel Verilerin Korunması Kanununda özel nitelikli kişisel verilerin (ÖNKV) işlenmesi ve yurt dışına veri aktarılması ile ilgili beklenen değişiklikleri içeren kanun teklifi TBMM Genel Kurulu’nda kabul edildi. Söz konusu değişiklikler 01.06.2024’te yürürlüğe girecek. Reform kapsamında ÖNKV işleme ve yurt dışına veri aktarım süreçleri nasıl tasarlanmalı, değişikliklere nasıl uyum sağlanmalı? Cevabı sizler için özetledik.
Değişikliklerin içeriği hakkında daha fazla bilgi almak için linki tıklayabilir; “KVK Kanunu Reformunun Karşılaştırmalı Tablosu”nu ise bu linkten inceleyebilirsiniz.
Veri sorumluları hangi aksiyonları almalı?
Envanter Güncellenmeli
- Öncelikle, KVK Kanunu’nun 6. ve 9. maddesindeki değişiklikler veri işlemenin hukuki şartlarını etkilediği için Kişisel Veri İşleme Envanteri değişiklikler kapsamında incelenmelidir. Özel nitelikli kişisel veri işlenen ve yurt dışı veri aktarımı yapılan faaliyetlerde veri işleme şartları Kanun değişikliğine uygun şekilde güncellenmelidir.
- Envanter incelemesi, güncellenmesi gerekecek aydınlatma açık rıza metinlerini de bize göstermiş olacaktır. Veri işleme şartlarında yapılan değişiklikler aydınlatma metinlerine veri işleme faaliyeti özelinde doğru bir şekilde yansıtılmalıdır.
- Operasyonel tasarruf için iys, pazarlama, it vb. alanlarda veri işleme faaliyetlerinde meydana gelen değişikliklerin de reformdan kaynaklanan değişikliklerle birlikte envantere ve oradan da ilgili metinlere yansıtılmasını tavsiye ederiz.
Açık Rıza Metinlerinin Güncellenmesi
- Bununla birlikte, açık rıza metinleri de incelenmelidir. Zira, 6. madde ile özel nitelikli kişisel veriler arasında ayrım kaldırılmış, veri işleme şartları genişletilmiştir. Yine, 9. madde ile yurt dışı veri aktarımında öncelikli hukuki şart açık rıza olmaktan çıkarılmıştır. Her iki hususta açık rıza metinleri incelenerek Kanun değişikliğine uygun güncellemeler yapılmalı ve hatta gerekli hallerde veri işleme faaliyeti özelinde açık rıza metinleri uygulamadan kaldırılmalıdır.
Aydınlatma Metinlerinin İlgili Kişilere Sunulması
- Aydınlatma metinlerinde yapılan değişikliklerin halihazırda verisi işlenen ilgili kişilere sunulması gerekmektedir. Dolayısıyla, aydınlatma metinlerinin ispat edilebilir şekilde ilgili kişilere nasıl sunulması gerektiğine dair departman bazlı uygulama süreç tasarımı yapılmalıdır.
İstihdam, İSG, İşyeri Hekimi ve Sosyal Güvenlik Süreçlerinin Yeniden Kurgulanması
- Reform, personelin verisi açısından uygulama senaryolarının güncellenmesini gerektirmektedir. Bu kapsamda ÖNKV işlenen istihdam, İSG, işyeri hekimi ve sosyal güvenlik süreçlerinde verinin elde edilmesi ve saklanması ile kişinin aydınlatılması süreçleri yeniden kurgulanmalıdır.
Yurt Dışı Veri Aktarım Süreçlerinin Yeniden Değerlendirilmesi
Yapılması gerekenler bu saydıklarımız ile sınırlı değildir. Yurt dışı veri aktarımını düzenleyen 9. madde kapsamındaki değişiklik ile ilgili ise aşağıda belirttiğimiz noktalara dikkat edilerek yol haritası belirlenmelidir:
- Kurum tarafından yeterlilik kararının yayımlanması halinde, bu karar doğrultusunda yurt dışı veri aktarım süreçlerinin incelenmesi,
- Yeterlilik kararının bulunmaması halinde:
- Aktarım yapılacak ülkede ilgili kişinin haklarını kullanma ve etkin kanun yollarına başvurma imkânının bulunması koşullarının sağlanıp sağlanmadığının tespiti,
- Kanun’un 9/4 maddesinde yazılı olan şartlardan birinin varlığının incelenmesi veya bu şartlar kapsamında idari ve teknik tedbirlere dikkat edilerek uygun metnin hazırlanması,
- Kanun’un 9. maddesine eklenen 5. fıkraya göre standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından KVK Kurumu’na bildirilmesi zorunludur. Bu kapsamda Kanun’un 9/4 ve 9/5 maddeleri doğrultusunda Kurum’a süresi içerisinde bildirimlerin yapılması veya izin alınması süreçlerinin yürütülmesi gerekir.
- Yeterlilik kararının bulunmaması ve Kanun’un 9/4. maddesindeki şartların sağlanamaması durumunda:
- Yurt dışı veri aktarımında arızilik şartının değerlendirilmesi ve arızi şartların tespiti,
- Kanun’un 9/6. maddesinde yazılı olan sebeplerden hangisine dayalı olarak yurt dışına veri aktarımının yapılacağının tespiti,
- Yurt dışı veri aktarımında açık rızanın işletilmesi halinde de:
- Yurt dışı veri aktarımında olası risklerin belirlenmesi,
- Belirlenen riskler hakkında ilgili kişiyi bilgilendirmek amacıyla aydınlatma metinlerinin düzenlenmesi,
- İlgili kişiye sunulacak açık rıza metinlerinin düzenlenmesi,
- Aydınlatma prosedürlerinin ve açık rıza alma prosedürlerinin belirlenmesi.
Kanun değişikliği kapsamında uygulanacak yol haritası, her bir veri sorumlusu özelinde ve değişiklikten etkilenen her bir veri işleme faaliyeti kapsamında veri envanteri dikkate alınarak incelenmesi ile belirlenebilecektir.
Tüm uyum süreçlerinizde uzmanlaştıran anlayışımızla her zaman yanınızdayız. Daha fazla bilgi almak için bizi arayabilir ya da bize yazabilirsiniz.