SAYI: ÖZDERİN 2026/8
Bilindiği üzere 6698 sy. Kişisel Verilerin Korunması Kanunu (“KVKK/Kanun”) 'nun yürürlüğe girmesinin üzerinden uzun yıllar geçmiş olmasına rağmen, Kişisel Verileri Koruma Kurulu kararları incelendiğinde şirketlerin benzer uyum eksiklikleri nedeniyle idari yaptırımlarla karşılaşmaya devam ettiği görülmektedir. Özellikle son dönemde gerçekleştirilen inceleme ve denetimlerde aşağıdaki hususlar öne çıkmakta olup her bir başlık ek bülten içeriğinde ayrıca değerlendirilmiştir;
- Her Durumda Açık Rıza Alınması Gerektiğinin Düşünülmesi ve Alınan Rızaların Battaniye Rıza Olarak Genel Nitelikte Düzenlenmesi
- Orantısız ve İlave İdari ve Teknik Tedbir Olmadan Biyometrik Veriler İşlenmesi
- Kamera Sistemlerinde Orantısız Bir Şekilde Ses Kaydı Alınması
- İş Başvuru Belgelerinin Süresiz Saklanması ve Açık Rıza Olmadan Aktarılması (3.taraflar, diğer grup şirketleri)
- Yurt Dışında Bulunan Sunucuların ve Yurtdışına Aktarım Var İse Kurul’a Bildirim Yapılması Gerekliliğinin Göz Ardı Edilmesi
Bu kapsamda şirketlerin aşağıdaki hususlara dikkat etmesini önemle tavsiye ederiz;
- Kamera sistemlerini ve kayıt sürelerini gözden geçirme ve süreleri uzun tutmaması
- Ses kayıt fonksiyonlarının aktif olup olmadığını kontrol etmesi, meşru kabul edilebilecek bir gerekçe yok ise derhal bu uygulamaya son verip ses kaydı alınan verilerin imha edilerek tutanakla kayıt altına alınması
- Biyometrik veri işleme faaliyetlerini yeniden değerlendirmesi, meşru kabul edilebilecek bir gerekçe yok ise derhal bu uygulamaya son verip biyometrik veri kaydı alınan verilerin imha edilerek tutanakla kayıt altına alınması
- İşe alım süreçlerindeki saklama ve paylaşım uygulamalarını incelemesi, adaylara sunulan aydınlatma metni ile açık rızaların gözden geçirilmesi adayın rızası yok ise 3.taraf veya grup şirketleri ile adayın özgeçmişinin paylaşılmaması, bu adayların özgeçmişlerinin amaçlar sona erdiğinde ve işe alım yapılmayacaksa uzun süre saklanmaması
- Kullanılan yazılım ve bulut sistemlerinin veri merkezi lokasyonlarını tespit etmesi, bunlar yurtdışında ise uygun güvence alınması gerekliliği ile Kurul’a bildirim yapılması gerektiğine dikkat edilmesi
- Yurt dışına veri aktarımı söz konusu ise KVKK'nın 9. maddesi kapsamındaki uygun güvence mekanizmalarını tesis etmesi, uygun güvencenin 5 gün içerisinde Kurul’a bildirilmesi
Yararlı olması dileğimizle,
Saygılarımla,