Bilişim Hukuku ve Kişisel Verilerin Korunması (KVKK)

DİJİTAL ÇAĞDA KİŞİSEL VERİLERİN GÜVENLİĞİ VE KVKK UYUMU

Kişisel Veri Güvenliği, Yalnızca Teknik Bir Mesele Değildir

İnternet sitesi, mobil uygulama, çevrim içi üyelik sistemi, iletişim formu, çerez altyapısı, müşteri ilişkileri yönetimi yazılımı, bulut hizmeti veya dijital pazarlama aracı kullanan her şirket; çoğu zaman farkında olmaksızın geniş kapsamlı kişisel veri işleme faaliyetleri yürütmektedir. Ad, soyad, telefon numarası, e-posta adresi, IP adresi, cihaz bilgisi, kullanıcı davranışları, konum verisi, çerez tanımlayıcıları, özgeçmişler ve müşteri destek kayıtları bu kapsamda değerlendirilebilmektedir.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri güvenliğini yalnızca veri sızıntısı yaşandığında gündeme gelen teknik bir sorun olarak ele almaz. Kanun; verinin hangi amaçla toplandığını, hangi hukuki sebebe dayandığını, kimlere aktarıldığını, ne kadar süre saklandığını, hangi personelin erişebildiğini ve ilgili kişinin haklarını nasıl kullanabileceğini kapsayan bütüncül bir veri yönetişimi sistemi öngörür.

Bu nedenle etkili bir KVKK uyumu; hukuk, bilgi teknolojileri, insan kaynakları, pazarlama, satın alma ve üst yönetimin birlikte yürüttüğü sürekli bir kurumsal süreçtir. Bir aydınlatma metninin internet sitesine eklenmiş olması veya çalışanlardan gizlilik taahhüdü alınması, tek başına hukuka uygun veri işleme faaliyeti bulunduğunu göstermeye yeterli değildir. Esas olan, yazılı politika ile fiilî uygulamanın birbiriyle uyumlu olmasıdır.

1- Veri İşleme Faaliyetleri Envanter ve Veri Akış Haritasıyla Belirlenmelidir

KVKK’nın m.4 hükmü uyarınca kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli-açık-meşru amaçlarla, amaçla bağlantılı-sınırlı-ölçülü biçimde ve gerekli süre kadar işlenebilir. Bu ilkeler, “ileride lazım olabilir” düşüncesiyle mümkün olan her verinin toplanmasını hukuken sürdürülemez hâle getirir.

Şirketlerin uyum sürecindeki ilk adımı, işledikleri kişisel verileri somut olarak tanımaktır. Bu çalışma yapılmadan hukuki sebep, aydınlatma, saklama süresi, veri güvenliği ve yurt dışı aktarımı bakımından sağlıklı değerlendirme yapılması mümkün değildir. Veri envanteri hazırlanırken her veri işleme faaliyeti bakımından aşağıdaki sorulara cevap verilmelidir:

• Hangi kişisel veri işlenmektedir?
• Veri, hangi ilgili kişi grubuna aittir?
• Veri hangi kanal aracılığıyla elde edilmektedir?
• İşleme amacı nedir?
• İşleme hangi hukuki sebebe dayanmaktadır?
• Veri kimlere aktarılmaktadır?
• Veri ne kadar süre saklanacaktır?
• Veriye kimler erişebilmektedir?
• Veri Türkiye’de mi, yurt dışında mı saklanmakta veya işlenmektedir?

İnternet sitesi özelinde iletişim formu, üyelik ekranı, e-bülten aboneliği, çevrim içi ödeme sistemi, iş başvuru formu, canlı destek hizmeti, çerez altyapısı, sosyal medya eklentileri ve ziyaretçi analiz araçları ayrı ayrı değerlendirilmelidir. Her yeni yazılım, form, kampanya veya dış hizmet sağlayıcısı, mevcut veri akışını değiştirebileceğinden envanterin güncel tutulması gerekir.

2- Her Veri İşleme Faaliyeti İçin Ayrı Hukuki Sebep Kurulmalıdır

KVKK’nın m.5 hükmü gereğince kişisel verilerin işlenmesinde kural açık rızadır; ancak Kanunda düzenlenen diğer işleme şartlarının mevcut olduğu hâllerde açık rıza aranmayabilir. Bu ayrım, şirketlerin en sık hata yaptığı alanlardan biridir.

Açık rıza, her işlem için başvurulabilecek genel ve sınırsız bir güvence mekanizması değildir. Sözleşmenin kurulması veya ifası için zorunlu olan verilerin işlenmesinde, hukuki yükümlülüğün yerine getirilmesi amacıyla yapılan işlemlerde ya da somut olayın şartlarına göre meşru menfaate dayanan güvenlik faaliyetlerinde şeklen açık rıza alınması, veri işlemenin gerçek hukuki temelini belirsizleştirebilir.

Örneğin; bir müşterinin siparişinin hazırlanması, teslim edilmesi ve faturalandırılması için gerekli veriler bakımından sözleşmenin kurulması veya ifası ile hukuki yükümlülüğün yerine getirilmesi şartları değerlendirilmelidir. Buna karşılık zorunlu olmayan reklam faaliyetleri, davranışsal pazarlama, kullanıcı profili oluşturma ve belirli analitik faaliyetler bakımından açık rıza ihtiyacı daha belirgin hâle gelebilir.

Her bir işlem bakımından hukuki sebebin ayrı ayrı belirlenmesi, hem ilgili kişinin hangi işlemle karşı karşıya olduğunu anlamasını sağlar hem de şirketin denetim veya uyuşmazlık hâlinde hesap verebilirliğini güçlendirir.

3- Aydınlatma Yükümlülüğü ile Açık Rıza Birbirinden Ayrılmalıdır

KVKK’nın m.10 hükmü, veri sorumlusuna verinin elde edilmesi sırasında ilgili kişiyi aydınlatma yükümlülüğü yüklemektedir. Aydınlatma metni; veri sorumlusunun kimliği, verilerin hangi amaçlarla işleneceği, kimlere ve hangi amaçla aktarılabileceği, verilerin toplanma yöntemi ve hukuki sebebi ile ilgili kişinin hakları hakkında anlaşılır bilgi içermelidir.

Aydınlatma, veri sorumlusunun şeffaflık borcudur; açık rıza ise gerekli hâllerde ilgili kişinin belirli bir veri işleme faaliyetine ilişkin irade beyanıdır. Bu iki mekanizmanın aynı metinde, tek onay kutusunda veya hizmet koşullarının içine gizlenerek sunulması hukuki risk doğurur.

Açık rızanın geçerli kabul edilebilmesi için rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Kullanıcının hizmetten yararlanabilmesi için zorunlu olmayan pazarlama faaliyetine onay vermeye mecbur bırakılması, özgür iradeye dayalı rızayı tartışmalı hâle getirir.

Bu yaklaşım, Danıştay 13. Daire, E. 2021/355, K. 2023/2561, T. 23.05.2023 tarihli kararla da desteklenmektedir. Kararda açık rızanın, hizmet sözleşmesinin kabulü veya pazarlama iletişimine ilişkin onay ile birleştirilemeyeceği; belirli, bilgilendirilmiş ve özgür iradeye dayalı olması gerektiği vurgulanmıştır. Bu nedenle üyelik formları, e-bülten abonelikleri, iletişim alanları ve çerez panelleri; zorunlu hizmet işlemleri ile pazarlama veya ikincil veri işleme amaçlarını birbirinden ayıracak şekilde tasarlanmalıdır.

4- Çerez Yönetimi, Kullanıcı Deneyiminin Değil Veri Koruma Uyumunun Parçasıdır

Çerezler, internet sitesinin çalışması için gerekli teknik işlevleri yerine getirebileceği gibi ziyaretçi davranışını analiz etmek, reklam performansını ölçmek, kullanıcıyı tanımak, kişiselleştirilmiş içerik sunmak veya üçüncü taraf platformlarla veri paylaşmak amacıyla da kullanılabilir. Bu nedenle tüm çerezlerin aynı hukuki değerlendirmeye tabi tutulması isabetli değildir.

Şirketler çerezleri en azından aşağıdaki gruplar bakımından sınıflandırmalıdır:

• Zorunlu çerezler,
• İşlevsel çerezler,
• Analitik çerezler,
• Reklam ve pazarlama çerezleri,
• Üçüncü taraf çerezleri.

Çerez tercih panelinde kullanıcıya yalnızca “kabul et” seçeneği sunulması veya ret seçeneğinin görünmez, karmaşık ya da erişilmesi zor biçimde tasarlanması, rızanın özgür iradeye dayanması bakımından önemli risk oluşturur. Çerez tercihleri; kolay erişilebilir, açık, anlaşılır ve kullanıcı tarafından sonradan değiştirilebilir olmalıdır.

İnternet sitesinde kullanılan analiz, reklam ve sosyal medya araçlarının hangi verileri topladığı; bu verilerin hangi ülkedeki sunuculara aktarılabileceği; verilerin hangi amaçlarla işlendiği ve kullanıcıların tercihlerini nasıl yönetebileceği açıkça ortaya konulmalıdır.

5- Veri Güvenliği Tedbirleri Riskle Orantılı ve Fiilen Uygulanabilir Olmalıdır

KVKK’nın m.12 hükmü, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verileri muhafaza etmek, gerekli denetimleri yapmak ve veri işleyenlerle birlikte güvenlik tedbirlerini almak yükümlülüğünü yüklemektedir. Bu yükümlülük, yalnızca teknik ekiplerin sorumluluğuna bırakılabilecek dar kapsamlı bir siber güvenlik işi değildir.

Teknik tedbirler bakımından şirketin faaliyet alanı, işlediği veri türleri, sistem mimarisi ve risk düzeyi dikkate alınarak şu uygulamalar değerlendirilmelidir:

• Rol bazlı erişim ve yetki matrisi oluşturulması,
• Güçlü parola politikalarının uygulanması,
• Çok faktörlü kimlik doğrulama kullanılması,
• Kişisel verilerin uygun yöntemlerle şifrelenmesi,
• Erişim kayıtlarının tutulması ve düzenli incelenmesi,
• Güvenlik güncellemeleri ile yazılım yamalarının gecikmeksizin uygulanması,
• Düzenli zafiyet taraması ve sızma testi yapılması,
• Yedekleme, geri dönüş ve iş sürekliliği testlerinin yürütülmesi,
• Ağ ayrıştırması ve kritik sistemlere erişimin sınırlandırılması,
• Veri ihlali müdahale planının oluşturulması ve test edilmesi.

İdari tedbirler bakımından ise veri güvenliği politikaları, çalışan eğitimleri, gizlilik taahhütnameleri, disiplin prosedürleri, erişim yetkilerinin periyodik gözden geçirilmesi, tedarikçi denetimleri, saklama-imha politikaları ve yönetim düzeyinde sorumluluk dağılımı belirleyici niteliktedir.

Danıştay 13. Daire, E. 2020/983, K. 2024/1695, T. 17.04.2024 tarihli kararında elektronik haberleşme altyapısındaki güvenlik yükümlülükleri ve bu yükümlülüklere aykırılığın yaptırım boyutu ele alınmıştır. Karar, güvenliğin şekli politika metinleriyle değil, altyapının taşıdığı somut risklere uygun, denetlenebilir ve fiilen uygulanan tedbirlerle sağlanabileceğini göstermektedir. Veri sorumlusunun “hangi tedbirin alınacağı tek tek belirtilmemiştir” yönündeki savunması, riskle orantılı güvenlik önlemlerinin alınmamasını haklı kılmayacaktır.

Veri güvenliği yükümlülüğü, ihlal gerçekleştikten sonra değil; ihlali önlemeye elverişli kurumsal tedbirler alınmadığında gündeme gelir.

6- Tedarikçi ve Veri İşleyen Yönetimi Devredilemez Sorumluluk Alanıdır

Birçok şirket; barındırma, bulut depolama, çağrı merkezi, müşteri ilişkileri yönetimi, insan kaynakları yazılımı, e-posta pazarlaması, uzaktan destek, ödeme hizmeti veya analitik araçlar için üçüncü taraf hizmet sağlayıcılardan yararlanmaktadır. Bu ilişki, veri sorumlusunun KVKK kapsamındaki sorumluluğunu ortadan kaldırmaz.

KVKK’nın m.12/2 hükmü uyarınca, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde veri sorumlusu ile veri işleyen, gerekli güvenlik tedbirlerinin alınmasından müştereken sorumludur. Bu nedenle “veriler dış hizmet sağlayıcısının sisteminde tutulmaktadır” savunması, veri sorumlusunun denetim yükümlülüğünü bertaraf etmez.

Tedarikçi sözleşmelerinde en azından aşağıdaki hususların açık biçimde düzenlenmesi gerekir:

• Veri işleme faaliyetinin kapsamı ve veri sorumlusunun talimatları,
• Gizlilik yükümlülüğü,
• Teknik ve idari güvenlik tedbirleri,
• Alt yüklenici kullanımı,
• Erişim yetkilerinin sınırları,
• Veri ihlali hâlinde derhâl bildirim yükümlülüğü,
• Denetim ve bilgi talep hakkı,
• Yurt dışına veri aktarım ihtimali,
• Sözleşme sona erdiğinde verilerin iadesi, silinmesi, yok edilmesi veya anonim hâle getirilmesi.

Tedarikçi yönetimi yalnızca sözleşme imzalanmasıyla tamamlanmış sayılmamalıdır. Tedarikçinin erişim yetkileri, güvenlik standartları, alt yüklenici kullanımı ve ihlal bildirim süreçleri periyodik olarak denetlenmelidir.

7- Bulut Hizmetleri ve Dijital Araçlar Yurt Dışı Aktarımı Bakımından İncelenmelidir

Yabancı merkezli bulut depolama araçları, e-posta altyapıları, müşteri ilişkileri yönetim sistemleri, çevrim içi toplantı araçları, analitik platformları, reklam teknolojileri ve uzaktan destek yazılımları; kişisel verilerin yurt dışına aktarımı sonucunu doğurabilir. Bir sistemin Türkiye’de kullanılması veya hizmet sağlayıcının Türkiye’de temsilcisinin bulunması, verilerin fiilen Türkiye dışına aktarılmadığını tek başına göstermez.

KVKK’nın m.9 hükmü, 2024 yılında yapılan değişiklik sonrasında yurt dışına veri aktarımını daha ayrıntılı ve katmanlı biçimde düzenlemektedir. Aktarım öncesinde öncelikle KVKK’nın m.5 veya özel nitelikli kişisel veriler bakımından m.6 kapsamında geçerli bir işleme şartının bulunması gerekir. Bunun ardından aktarım yapılacak ülke veya alıcı bakımından yeterlilik kararı bulunup bulunmadığı incelenmelidir.

Yeterlilik kararı bulunmayan hâllerde uygun güvence mekanizmalarının kurulması gerekmektedir. Standart sözleşmeler, bağlayıcı şirket kuralları, Kurul iznine bağlı taahhütname veya kamu kurumları arasındaki belirli anlaşmalar bu çerçevede önem taşır. Standart sözleşme kullanılması hâlinde, imzalanmasını izleyen beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirim yapılması yükümlülüğü ayrıca dikkate alınmalıdır.

Yurt dışı aktarımına ilişkin istisnai hâller, sürekli ve düzenli veri transferlerinin ana hukuki modeli olarak kullanılmamalıdır. Şirketler, her dijital aracın veri merkezi konumunu, uzaktan erişim imkânlarını, destek ekiplerinin bulunduğu ülkeleri, alt hizmet sağlayıcılarını ve veri işleme zincirini somut biçimde tespit etmelidir.

8- Özel Nitelikli Kişisel Verilerde Daha Sıkı Güvence Gereklidir

Sağlık bilgileri, biyometrik veriler, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler, cinsel hayata ilişkin veriler, dernek-vakıf-sendika üyeliği, dinî veya felsefi inançlar, siyasi düşünce ve benzeri veriler özel nitelikli kişisel veri kapsamında değerlendirilir. Bu verilerin işlenmesi, ilgili kişi bakımından daha ağır sonuçlar doğurabileceğinden veri sorumlusunun hukuki sebep, aydınlatma, erişim kontrolü ve güvenlik tedbirleri bakımından daha yüksek özen göstermesi gerekir.

Danıştay 10. Daire, E. 2019/9281, K. 2023/6566, T. 07.11.2023 tarihli kararında, kişisel verilerin korunması hakkının Anayasa’nın 20. maddesi kapsamında güvence altına alınan temel bir hak olduğu vurgulanmıştır. Kararda, sağlık verilerine genel nitelikteki vekâletnameye dayanılarak erişilemeyeceği; özel nitelikli kişisel verilerin işlenmesinde somut, ayrı ve açık bir irade beyanının önem taşıdığı kabul edilmiştir.

Bu nedenle özel nitelikli kişisel veri işleyen şirketler bakımından genel aydınlatma metinleri, sınırsız erişim yetkileri veya genel nitelikli onaylar yeterli kabul edilemez. Veri erişimi görevle sınırlanmalı, kayıt altına alınmalı ve periyodik olarak denetlenmelidir.

9- Saklama Süreleri Belirlenmeli, İmha Süreçleri İşletilmelidir

KVKK’nın m.4/2-d hükmü uyarınca kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. İşleme amacının ortadan kalkmasına rağmen verilerin belirsiz sürelerle saklanması, amaçla sınırlılık ve ölçülülük ilkelerine aykırılık oluşturabilir.

Şirketler her veri kategorisi için saklama süresi belirlemeli; bu sürelerin dayanağını, imha yöntemini ve sorumlu birimlerini yazılı hâle getirmelidir. Süresi dolan veriler, niteliğine ve sistem mimarisine uygun şekilde silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Özellikle eski müşteri kayıtları, sonuçlanmış iş başvuruları, kullanılmayan üyelik hesapları, geçmiş kampanya listeleri, çağrı merkezi kayıtları ve eski destek talepleri bakımından saklama sürelerinin fiilen işletilip işletilmediği denetlenmelidir. “Bir gün gerekebilir” gerekçesi, sınırsız veri saklama için hukuken yeterli bir açıklama değildir.

10- İlgili Kişi Başvuruları İçin İşleyen Bir Başvuru Sistemi Kurulmalıdır

KVKK’nın m.11 hükmü, ilgili kişilere işlenen verileri öğrenme, bilgi talep etme, düzeltme isteme, silme veya yok etmeyi talep etme, aktarım yapılan üçüncü kişileri öğrenme, otomatik sistemler aracılığıyla ortaya çıkan sonuçlara itiraz etme ve zararının giderilmesini isteme imkânı tanımaktadır.

KVKK’nın m.13 hükmü uyarınca ilgili kişi, taleplerini öncelikle veri sorumlusuna iletmelidir. Veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Bu sebeple şirketlerin internet sitesinde kolay erişilebilir bir başvuru kanalı bulundurması, başvuruları kayıt altına alması, başvuru sahibinin kimliğini güvenli şekilde doğrulaması ve ilgili birimler arasında etkili bir değerlendirme süreci kurması gerekir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içinde cevap verilmemesi hâlinde ilgili kişi, KVKK’nın m.14 hükmü kapsamında belirli süreler içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir. İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula başvurabilir.

Kişilik hakkı ihlali veya maddi zarar doğması hâlinde, ilgili kişinin genel hükümlere dayalı tazminat hakkı da saklıdır. Bu nedenle başvuru yönetimi, yalnızca yazışma süreci olarak değil; uyuşmazlık ve yaptırım riskinin erken aşamada yönetilmesini sağlayan kurumsal bir mekanizma olarak ele alınmalıdır.

11- VERBİS Kaydı ve Kurumsal Belgeler Güncel Tutulmalıdır

KVKK’nın m.16 hükmü uyarınca, kural olarak veri sorumlularının kişisel veri işlemeye başlamadan önce Veri Sorumluları Siciline kayıt yükümlülüğü bulunmaktadır. Ancak Kişisel Verileri Koruma Kurulunun objektif ölçütlerle belirlediği istisnalar mevcut olabilir.

Şirketin küçük ölçekli olması, otomatik olarak VERBİS yükümlülüğünden muaf olduğu anlamına gelmez. Muafiyet durumu; çalışan sayısı, yıllık mali bilanço, faaliyet alanı, işlenen veri kategorileri ve güncel Kurul kararları çerçevesinde somut olarak değerlendirilmelidir.

Uyum belgeleri, yalnızca denetim anında hazırlanacak evrak niteliğinde görülmemelidir. Aşağıdaki kayıtların güncel, ulaşılabilir ve denetlenebilir biçimde tutulması önem taşır:

1. Kişisel veri işleme envanteri,
2. Aydınlatma metinleri,
3. Açık rıza metinleri ve rıza kayıtları,
4. Çerez politikası ve tercih kayıtları,
5. Saklama ve imha politikası,
6. Erişim yetki matrisi,
7. Bilgi güvenliği politika ve prosedürleri,
8. Çalışan eğitim kayıtları,
9. Veri işleyen ve tedarikçi sözleşmeleri,
10. Yurt dışı aktarım mekanizmalarına ilişkin sözleşmeler,
11. Veri ihlali müdahale prosedürleri ve olay kayıtları,
12. İlgili kişi başvuru kayıtları,
13. Periyodik denetim ve risk değerlendirme raporları.

12- Yaptırım Riski, İdari Para Cezasıyla Sınırlı Değildir

KVKK’nın m.18 hükmü; aydınlatma yükümlülüğüne, veri güvenliği yükümlülüğüne, Kurul kararlarına ve Sicile kayıt yükümlülüğüne aykırılık hâllerinde idari para cezaları öngörmektedir. Kurul tarafından uygulanan idari para cezalarına karşı idare mahkemelerinde dava açılabilmesi mümkündür.

Ancak KVKK uyumsuzluğunun sonucu yalnızca para cezası değildir. Veri ihlali veya hukuka aykırı veri işleme; müşteri güveninin sarsılmasına, itibar kaybına, ticari ilişkilerin zedelenmesine, sözleşmesel uyuşmazlıklara, tazminat taleplerine ve denetim maliyetlerine neden olabilir.

Özellikle şeklen hazırlanmış fakat uygulanmayan uyum belgeleri şirketler açısından önemli bir zafiyet oluşturur. İnternet sitesinde aydınlatma metni bulunmasına rağmen form ekranlarında eksik bilgi verilmesi; saklama politikası mevcutken süresi dolan verilerin silinmemesi; tedarikçi sözleşmesi düzenlenmesine rağmen erişim yetkilerinin denetlenmemesi veya çerez politikası yayımlandığı hâlde tercihlerin teknik olarak uygulanmaması, şirket aleyhine değerlendirilebilecek çelişkilerdir.

SONUÇ OLARAK;

Dijital çağda kişisel veri güvenliği, yalnızca saldırganlara karşı teknik sistem kurmak anlamına gelmez. Hukuka uygun veri işleme; verinin hangi amaçla toplandığını bilmek, gereksiz veriyi hiç toplamamak, her işlem için doğru hukuki sebebi belirlemek, ilgili kişiyi zamanında ve anlaşılır biçimde bilgilendirmek, açık rızayı zorunlu hizmet adımlarından ayırmak, erişimleri sınırlandırmak ve tüm süreci denetlenebilir kayıtlarla desteklemekle mümkündür.

Etkili bir KVKK uyum programı için şirketlerin şu sırayı izlemesi gerekir:

1. Veriyi tanımak: Hangi verinin, nerede ve kimler tarafından işlendiğini belirlemek.
2. Amacı daraltmak: İşleme amaçlarını belirli, açık ve meşru hâle getirmek.
3. Hukuki sebebi kurmak: Her veri işleme faaliyeti için uygun şartı ayrı ayrı değerlendirmek.
4. Şeffaflığı sağlamak: Aydınlatma metinlerini kullanıcı yolculuğuna uygun biçimde sunmak.
5. Rızayı doğru tasarlamak: Açık rızayı zorunlu hizmet işlemlerinden ve aydınlatma yükümlülüğünden ayırmak.
6. Güvenliği işletmek: Teknik ve idari tedbirleri risk analiziyle uyumlu, denetlenebilir ve fiilen uygulanabilir hâle getirmek.
7. Tedarikçileri yönetmek: Veri işleyen sözleşmeleri, erişim kontrolleri ve ihlal bildirim mekanizmalarını kurmak.
8. Yurt dışı aktarımlarını incelemek: Bulut, analitik, e-posta ve reklam araçlarındaki veri akışını somut biçimde değerlendirmek.
9. Saklama sürelerini yönetmek: Gereksiz veriyi tutmamak; silme, yok etme ve anonim hâle getirme süreçlerini işletmek.
10. Hesap verebilir olmak: Her uyum adımını belge, kayıt, eğitim ve periyodik denetim yoluyla doğrulanabilir kılmak.

Kişisel verilerin korunması, şirketin yalnızca hukuk biriminin veya bilgi işlem departmanının görevi değil; bütün kurumsal yapının ortak sorumluluğudur.

Bu konuyla ilgili hizmet bilgisi için Bilişim & KVKK Hukuku sayfasına göz atabilirsiniz.