Uyum, veriyi neden tuttuğunu bilmektir
KVKK uyumu, internet sitesine bir metin eklemekten ibaret değildir. İşletme önce müşteriler, çalışanlar ve ziyaretçiler hakkında hangi verileri topladığını, bunları neden kullandığını, kimlerle paylaştığını ve ne kadar sakladığını belirlemelidir. Her işlem için kanuni bir dayanak bulunmalı; amaç için gereksiz veri toplanmamalıdır.
Örneğin çalışan ücretinin ödenmesi için gerekli banka bilgisinin alınması ile müşteriye reklam mesajı göndermek aynı işleme amacı değildir. Bir işlem kanundaki başka bir şartla yapılabiliyorsa sırf güvence olsun diye açık rıza istemek doğru çözüm olmaz. Özel nitelikli veriler ve yurt dışına aktarım ayrıca kendi koşullarına tabidir.
Aydınlatma ile rızayı ayırmak
Kişiye veriyi kimin, hangi amaç ve hukuki sebeple işlediği, kime aktarabileceği ve haklarını nasıl kullanacağı açıklanmalıdır. Aydınlatma, kişinin onayına bağlı bir işlem değildir. Açık rıza gereken durumda rıza ve aydınlatma ayrı düzenlenir; hizmet için gerekli olmayan rızalar zorunluymuş gibi dayatılamaz.
VERBİS kayıt yükümlülüğü işletmenin koşullarına ve istisnalara göre belirlenir. Kayıttan istisna olmak, veri güvenliği ve diğer KVKK yükümlülüklerinden genel muafiyet sağlamaz. Erişim yetkileri, saklama süreleri, imha ve hizmet sağlayıcılarla yapılan düzenlemeler günlük işleyişe yansıtılmalıdır.
Başvuru ve ihlalde beklememek
Veri sorumlusu, ilgili kişinin başvurusunu en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Verilerin hukuka aykırı olarak başkalarınca elde edildiği öğrenilirse Kurula bildirim gecikmeksizin, öğrenmeden itibaren en geç 72 saat içinde yapılmalıdır. Etkilenen kişiler de belirlendikten sonra makul olan en kısa sürede bilgilendirilir. Bu iki bildirim aynı süreye bağlanmış gibi gösterilmemelidir. Olayın zamanı, etkilenen veriler ve alınan önlemler kayda geçirilmelidir.
