SSS (Sıkça Sorulan Sorular)
Kişisel Verilerin Korunmasına Neden İhtiyaç Duyulmuştur?

Hayatın bir düzen içinde sürdürülmesi, mal ve hizmetlerin geliştirilmesi, dağıtımı ve pazarlanması gibi süreçlerde kişisel verilerin toplanması kaçınılmazdır. Bunun yanında kişisel verilerin sınırsız ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşası, amaç dışı ya da kötüye kullanımı sonucu kişilik haklarının ihlal edilmesinin önüne geçilmesi gerekir. Bu sebeple kişisel verilerin korunmasına yönelik yasal düzenleme yapılması gerekli hale gelmiştir.

Kişisel Verilerin Korunması Kanunu Ne Zaman Yürürlüğe Girmiştir?

Kişisel Verilerin Korunması Kanunu (“Kanun”) 7 Nisan 2016 tarihinde Resmî Gazetede yayımlanarak yürürlüğe girmiştir.

Kanunun Amacı Nedir?

Kanun, kişisel verilerin çağdaş standartlarda işlenmesi, koruma altına alınması, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunmasını amaçlamaktadır. Kanun, temelde verilerin değil, bu verilerin ilişkili olduğu kişilerin korunmasını amaçlamaktadır. Kişilere ilişkin verilerin toplanması, saklanması, kullanılması ve aktarılması gibi veri işleme süreçlerinin bütün aşamalarını kapsar şekilde bireylere kontrol hakkını kazandırmayı hedeflemektedir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu ifade son derece geniş olup, bir gerçek kişinin; adı, soyadı, doğum tarihi gibi kişinin sadece kimliğini ortaya koyan bilgiler değil; sosyal güvenlik numarası, sağlık bilgileri, cinsel hayatına dair bilgiler gibi kişiyi doğrudan/dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri olarak kabul edilmektedir.

Özel Nitelikli Kişisel Veri Nedir?

Özel nitelikli kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikteki verilerdir.

Örneğin; kişinin sağlığı, cinsel hayatı, biyometrik veriler vb. özel nitelikli verilerdir.

Kişisel Sağlık Verisi Nedir?

Kişisel sağlık verisi özel nitelikli kişisel veri olup; kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü veri ile kişiye sunulan sağlık hizmeti ile ilgili bilgilerdir.

Örneğin; kişinin geçirdiği hastalıklar, kullandığı ilaçlar, kullandığı gözlük numarası gibi veriler kişisel sağlık verileridir.

Kanun Kimleri Kapsar?

Kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişileri kapsar. Kanunda verisi işlenen gerçek kişilerden bahsedildiği için hak ehliyetine sahip olan herkes Kanun kapsamındadır. Ayrıca Kanun özel sektörde faaliyet gösterip göstermemesi gibi kriterlere göre bir ayrım yapmamakta; tüm kurum ve kuruluşlar açısından uygulanmaktadır.

Optikler Kanun Kapsamında Mıdır?

Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulandığından, optikler de bu kapsamdadır.

Kanun Kapsamındaki Yükümlülükler Nelerdir?

Kanun optiklere bu kapsamda bazı yükümlülükler getirmiştir.

A. Kişisel Veri İşleme İlkelerine Uyum Sağlama

Kişisel verilerin işlenmesinde Kanunda belirtilen genel ilkelere her zaman uygun davranılması gerekmektedir. Bu ilkeler aşağıdaki gibidir;

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

B. Kişisel Veri İşleme Şartlarına Uygun İşleme

Kanunda belirtilen kişisel veri işleme şartlarının varlığı hâlinde kişisel verilerinin işlenmesi mümkündür. Bu şartlar aşağıdaki gibidir;

• İlgili kişinin açık rızasının varlığı,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kanun, özel nitelikli kişisel veriler arasında da bir ayrım yapmıştır. Buna göre optiklerin işlediği sağlığa ilişkin kişisel verilerin, açık rıza olmaksızın işlenebileceği haller daha sınırlıdır.

Not: Kişisel veri işleme, yukarıda sayılan açık rıza dışındaki şartlardan birine dayanıyorsa, bu durumda ilgili kişiden açık rıza alınmasına gerek bulunmamaktadır. Veri işleme faaliyetinin, açık rıza dışında bir dayanakla yürütülmesi mümkün iken açık rızaya dayandırılması, aldatıcı ve hakkın kötüye kullanımı niteliğinde olacaktır.

C. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi

Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler optikler tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir.

D. Yurtiçi ve Yurtdışı Aktarımda Mevzuata Uygunluk

Kişisel verilerin yurtiçinde veya yurtdışında başka bir veri sorumlusuna aktarılması halinde Kanunda belirtilen şartlara uygun hareket edilmesi gerekmektedir.

Not: Yurtdışı aktarımlarında yazılı taahhüt verilmesi ve Kişisel Verileri Koruma Kurulundan izin alınması gerekebilmektedir.

E. Aydınlatma

Optik, aydınlatma yükümlülüğü kapsamında optiğin kimliği, veri işleme amacı, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile Kanunun 11. maddesinde sayılan diğer hakları konusunda ilgili kişiyi bilgilendirmekle yükümlüdür.

F. Veri Güvenliğini Sağlama

Optik;

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak,

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almakla yükümlüdür.

G. VERBİS’e Kayıt

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) veri sorumlularının kaydedildiği, Kişisel Verileri Koruma Kurulunun gözetiminde Başkanlık tarafından kamuya açık olarak tutulan sicildir. Kişisel veri işleyen gerçek veya tüzel kişiler -istisna olanlar hariç- VERBİS’e kaydolmak zorundadır.

Optikler VERBİS’e Kayıt Olmakla Yükümlü Müdür?

Ana faaliyet konusu özel nitelikli kişisel veri (sağlık verileri) işleme olan optikler herhangi bir şarta bağlı olmaksızın VERBİS’e kayıt olmakla yükümlüdür.

VERBİS’e Kaydın Son Tarihi Nedir?

Ana faaliyet konusu özel nitelikli kişisel veri (sağlık verileri) işleme olan optiklerin 31.12.2021 tarihine kadar VERBİS’e kayıt olması gerekmektedir.

VERBİS’e Kayıt Süresi Diğer Yükümlülüklerin de O Tarihe Kadar Ertelendiği Anlamına Gelir Mi?

Belirlenen bu süre sadece VERBİS’e kayıt için son tarihi ifade etmektedir dolayısıyla optikler, Kanunun yürürlüğe girme tarihi olan 7 Nisan 2016’dan itibaren yükümlülüklerini yerine getirmekle mükelleftir.

Yükümlülükler Kapsamında Yapılması Gerekenler Nelerdir?

Optiklerin yükümlülüklerini yerine getirebilmesi için yapması gerekenler aşağıda verilmiştir. Buna göre;

A. KVKK Yetkili Kişisi Belirleme

KVKK Dönüşüm sürecinden sonra alınan teknik ve idari tedbirleri sürdürecek ve alınması gereken yeni tedbirlere de karar verecek bir kişi belirlenmesi gerekmektedir.

Örneğin; optisyen, gözlükçü, mesul müdür, teknisyen

B. Kişisel Veri İşleme Envanteri Hazırlama

KVKK Yetkili Kişisi tarafından mevcut fiziksel veya elektronik ortamda işlenen tüm kişisel verilerin analizinin yapılması ve kişisel veri işleme faaliyetleri doğrultusunda kişisel veri işleme envanteri hazırlanması gerekmektedir.

C. Politika ve Prosedür Belirleme

Kişisel veri güvenliğine ilişkin iyi bir politika hazırlanması gerekmektedir. Kişisel veri güvenliğine ilişkin belirlenecek doğru ve tutarlı politika ve prosedürlerin, optiğin çalışma ve işleyişine uygun şekilde entegre edilmesi gerekmektedir.

Örneğin; özel nitelikli kişisel veri işleme, saklama ve imha vb.  (Verko’nun Verdiği Hizmet Kapsamında Hazırlanan Politika ve Prosedürler)

D. Doküman Hazırlama ve Revize Etme

Hazırlanan kişisel veri işleme envanteri doğrultusunda dokümanlar hazırlanması ve var olan dokümanlarda revizeler yapılması gerekmektedir.

Örneğin; gizlilik sözleşmeleri, taahhütnameler, aydınlatma metinleri, açık rıza beyanları, iç denetim formu, başvuruya cevap formu vb. hazırlanmalı ve iş sözleşmesi, tedarikçi sözleşmesi, iş başvuru formları vb. revize edilmelidir.

E. Eğitim ve Farkındalık Faaliyetleri

Kişisel verilerin korunması için bilinçlendirme ve hazırlanan politika ve prosedürlerin çalışanlar tarafından eksiksiz uygulanabilmesi için optiğin tüm çalışanlarına (optisyen, gözlükçü, mesul müdür, teknisyen) eğitim verilmesi gerekmektedir. (Verko’nun Verdiği Hizmet Kapsamında Verilen Eğitim)

F. Optikte Çalışanların Periyodik ve/veya Rastgele Denetimi

Optikte çalışanların periyodik ve/veya rastgele denetlenmesi gerekmektedir. Bu denetimlerin alanında uzman firmalar tarafından yapılması tavsiye edilmektedir. (Verko’nun Verdiği Hizmet Kapsamında Yapılan İç Denetim)

G. Teknik Tedbirler

Optiklerin gerekli olan teknik tedbirleri alması gerekmektedir. Bunlar;

• Kullanıcı Hesap Yönetimi
• Ağ Güvenliği
• Uygulama Güvenliği
• Şifreleme
• Sızma Testi
• Veri Maskeleme
• Yedekleme
• Güvenlik Duvarları
• Güncel Anti-Virüs Sistemler
• Silme, Yok Etme veya Anonim Hale Getirme
• Anahtar Yönetimi

Yükümlülüklerin Yerine Getirilmemesi Halinde Verilecek Cezalar Nelerdir?

Not: Kişisel Verileri Koruma Kurulu, yaptığı tek bir denetimde yukarıda belirtilen kabahatlere ilişkin birden fazla ceza verebilmektedir.

Türk Ceza Kanunu Kapsamında Sorumluluk Nedir?

Türk Ceza Kanunu’nda Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar bölümünde düzenlenen suçlar aşağıdaki gibidir;

Kişisel verilerin kaydedilmesi ve hukuka aykırı olarak verme veya ele geçirme suçlarının;

• Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak, belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde verilecek ceza yarı oranında artırılır.

Kişisel verileri yok etmeme suçunun işlendiği takdirde ise;

• Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması halinde verilecek ceza bir kat artırılır.

Hizmetlerimiz
Optiğin İhtiyaçlarına ve Muhtemel Veri İşleme Süreçlerine Göre Proje Stratejisi Belirleme

• Ana faaliyet alanı özel nitelikli veri olma
  • Sağlık verileri
• Banko, gişe gibi hizmet alanlarında satış yapılması
• Kişisel veri işleme süreçlerinin değişmesi
• Optik yönetim sistemleri kullanılıp/kullanılmaması
• İç yazılım program ve kullanılan mail serverlarının niteliği
• VERBİS kaydı kalan süre

KVKK Yetkili Kişisi Belirleme

• KVKK Yetkili Kişisi dönüşüm projesinin yürütücüsüdür.
• KVKK Yetkili Kişisi dönüşüm sürecinden sonra iç denetim, imha, kişisel veri işleme envanteri ve politika/prosedürleri güncelleme, eğitim programlanması, farkındalık çalışmalarına ve alınması gereken yeni tedbirlere de karar verecek kişi olarak süreklilik kazandırılması hedeflenmektedir.

Not: KVKK Yetkili Kişisi optisyen olabileceği gibi mesul müdür, gözlükçü veya teknisyen de olabilecektir. Ancak sürecin sağlıklı yürütülebilmesi açısından KVKK Yetkili Kişisinin optisyenin kendisinin olması tavsiye edilmektedir.

Optisyenin Bilgilendirilmesi

Yarım gün şeklinde planlanmaktadır. Optiğin KVKK’ya uyumu, kişisel veri işleme envanteri hazırlama süreci ve sonrasında yapılacaklarla ilgili bilgilendirilmesi sürecin hızlı ve doğru bir şekilde yürütülebilmesi için önemlidir. Bilgilendirme İçeriği

• Kişisel Veri, Özel Nitelikli Kişisel Veri
• Veri Sorumlusu Optik Yükümlülükleri
• İlgili Kişi Hakları
• Kişisel Veri İşleme Envanteri Aşamaları
• İstenecek Bilgiler, Kişisel Veri İşleme, Faaliyet, Süreç, Alt Süreç Hakkında Bilgilendirme
• Politika ve Prosedür Belirleme
• Hedef ve Yapılması Gerekenlerin Anlatılması

Envanter Toplantıları

Toplantının Amaç ve Gündemi

• Faaliyet ve süreç bazında kişisel veri işlemelerinin belirlenmesi
• Kişisel veri işleme amaçlarının belirlenmesi
• Kişisel verisi işlenen kişi gruplarının belirlenmesi
• Aktarılan kişi-kişi gruplarının ve yerlerin belirlenmesi
• Tespit edilen kişisel verilerin niteliklerinin belirlenmesi
• İşlenen kişisel verilerin hukuki sebeplerinin belirlenmesi
• Kişisel verilerin saklama sürelerinin belirlenmesi

Politika ve Prosedürlerin Belirlenmesi

Politika: Optiğin kişisel veri işleme faaliyetlerine ilişkin bütün süreçlerde uyulacak prosedür ve ilkeleri gösteren kılavuzdur.

Prosedür: Optiğin kişisel veri işleme faaliyetlerine ilişkin gerçekleştirdiği her aşamayı gösteren yöntemler bütünüdür.

• Özel Nitelikli Kişisel Veri İşleme ve Koruma Politika ve Prosedürü
• Banko Hizmet Alanlarında Satış Politika ve Prosedürü
• Optik Yönetim Sistemleri ve Medula Sistemi Kullanımı Politika ve Prosedürü
• Kişisel Veri Aktarım Politika ve Prosedürü
• Aydınlatma Yükümlülüğü Politika ve Prosedürü
• Açık Rıza Politika ve Prosedürü
• Veri Güvenliği Politika ve Prosedürü
• Kişisel Veri İşleme Envanteri Politika ve Prosedürü
• Kişisel Veri Saklama ile İmha Politika ve Prosedürü
• Kişisel Veri İç Denetim Politika ve Prosedürü
• Başvuru Kabul ve Cevap Politika ve Prosedürü
• Veri İhlal Bildirim – Müdahale Politika ve Prosedürü
• Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim Politika ve Prosedürü
• KVKK Yetkili Kişisi Politika ve Prosedürü

Teknik Tedbir Çalışmaları

• IT Teknik Değerlendirme ve Raporlama yapılması
• IT Teknik Değerlendirme ve Raporlama sonucunda optiğin alması gereken teknik tedbirlerin raporlanması
• Yetki matrisi oluşturulması
• Yetki kontrol düzenlemeleri

Uyum Toplantıları

• Dönüşüm sürecinden önce işlenen verilerin hukuka uygun hale getirilmesi, imhası ya da maskelenmesi faaliyeti hakkında yönlendirme yapılacaktır.
• İş süreçlerinden çıkarılması gereken işlemlere ilişkin liste teslim edilecek ve sebepleri açıklanacaktır.
• Farkındalık için yapılacak çalışmalarda yönlendirme yapılacaktır.
• Optisyenin talepleri proje danışmanlarınca alınıp eksik dokümanlar tamamlanacaktır.
• Hazırlanan dokümanlar ve kullanılması, hazırlanan politika ve prosedürlerin işlerlik kazandırılması için çalışmalar yapılacaktır.

Eğitimler

Kişisel verilerin korunması için bilinçlendirme ve hazırlanan politika ve prosedürlerin çalışanlar tarafından eksiksiz uygulanabilmesi için optiğin tüm çalışanlarına (optisyen, gözlükçü, mesul müdür, teknisyen) eğitim verilmesi gerekmektedir. Eğitim İçeriği Eğitimlerimiz 3 oturumdan oluşmaktadır.

Not: Bu eğitimler dönüşüm sürecinden sonra da düzenli olarak yapılmalıdır.

İç Denetim

• Proje danışmanları tarafından dönüşüm sürecinin sonunda denetim yapılacaktır.
• Bu denetim sonucunda alınması gereken idari veya teknik tedbirlerin (çalışanın ya da müşterinin kişisel veri ihlali, hukuksuz işlemesi, aktarması ya da veri güvenliği önlemlerine uymamasının tespitinin içerir şekilde) bulunması durumunda denetim raporu yazılıp optiğe sunulacaktır.

VERBİS Kaydı

Atanan irtibat kişisi aracılığıyla uzmanlarımız eşliğinde hazırlanan kişisel veri işleme envanterine göre VERBİS kaydı yapılacaktır.

Sonuç Toplantısı ve Proje Raporu Teslimi

• Proje kapsamında yapılan çalışmalar proje danışmanları tarafından raporlanacaktır.
• Tüm hazırlanan dokümanların (kişisel veri işleme envanteri, politika/prosedür, aydınlatma, başvuru cevap örneği, VERBİS kaydı vb.) kontrol ve raporlaması yapılacaktır.
• Optisyene yapması gerekenler tekrar anlatılacaktır.
• Hazırlanan dokümanların kullanım kılavuzu oluşturulacaktır.
• Proje raporunun teslimi ile dönüşüm tamamlanmış kabul edilir.

Dönüşüm Projesi Sonrasında Verilen Hizmetler

Dönüşüm Projesi tamamlandıktan sonraki süreçlerde optiğin talebi halinde bazı hizmetler verilebilecektir. Bunlar;

• Optiğin tüm çalışanlarına (optisyen, gözlükçü, mesul müdür, teknisyen) kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşmasını sağlamak amacıyla eğitimler verilmesi
• Optik bünyesinde düzenli olarak yapılması gereken periyodik ve/veya rastgele denetimlerin yapılması
• Belli alanlarda danışmanlık alınması
  • Kişisel veri işleme envanterinin güncellenmesi
  • Kişisel veri işleme politika ve prosedürlerinin güncellenmesi