Hangi bilgi kişisel veridir?#
Kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. İşletmelere yazarken bu ayrım pratikte şöyle görünür:
| Bilgi | Kişisel veri mi? | Not |
|---|---|---|
| info@ornekdis.example | Çoğu zaman hayır | Bir kişiyi değil işletmeyi gösterir |
| ad.soyad@ornekdis.example | Evet | Belirli bir kişiyi gösterir |
| Şahıs işletmesinin unvanı ve adresi | Çoğu zaman evet | Unvan işletme sahibinin adını içerir |
| Yetkilinin adı ve unvanı | Evet | Siteden alınmış olsa da |
| Şirketin vergi numarası, MERSİS numarası | Hayır (tüzel kişi) | Şahıs işletmesinde vergi numarası kişiye bağlıdır |
Değerlendirme genel bir yönlendirmedir; somut durum için hukuki görüş alın.
Veri sorumlusu sizsiniz#
Adresleri hangi araçla toplarsanız toplayın, listeyi oluşturan ve kime yazacağına karar veren siz olduğunuz için veri sorumlusu sizsiniz. Kullandığınız yazılım sağlayıcıları çoğu zaman veri işleyen konumundadır; onlarla veri işleme sözleşmesi yapın.
Hukuki sebep: neye dayanıyorsunuz?#
KVKK'nın 5. maddesi açık rıza dışında da işleme şartları sayar; bunlar arasında ilgili kişinin kendisi tarafından alenileştirilmiş olması ve, kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati bulunur. Hangi şarta dayandığınızı işleme faaliyetinden önce belirleyin ve yazılı tutun.
Aydınlatma ne zaman yapılır?#
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 6. maddesine göre kişisel veri ilgili kişiden elde edilmemişse aydınlatma; verinin elde edilmesinden itibaren makul bir süre içinde, veri iletişim amacıyla kullanılacaksa en geç ilk iletişim sırasında yapılır. Soğuk e-postada bu, ilk mail demektir.
Aynı Tebliğ'e göre aydınlatma ilgili kişinin talebine bağlı değildir ve yapıldığını ispat yükü veri sorumlusundadır. Açık rızaya dayanıyorsanız aydınlatma ve açık rıza ayrı ayrı alınır.
Aydınlatmada neler yer alır?#
KVKK'nın 10. maddesi aydınlatmanın içeriğini sayar:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
- Kişisel veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin 11. maddede sayılan hakları
Örnek: ilk maile eklenen kısa bilgi#
Uygulamada ilk maile kısa bir paragraf eklenir ve tam aydınlatma metnine bağlantı verilir. Aşağıdaki metin bir örnektir; kendi faaliyetinize göre bir hukuk danışmanıyla uyarlayın.
Kişisel veriler hakkında: Bu mail, [Ticaret unvanı] (MERSİS: [numara]) tarafından, işletmenizin [kaynak, ör. sitenizdeki iletişim sayfası] üzerinden yayımlanan iletişim bilgisi kullanılarak, [amaç, ör. hizmetimizi tanıtmak] amacıyla gönderilmiştir. Verileriniz [hukuki sebep] kapsamında işlenir ve [aktarım, ör. e-posta altyapı sağlayıcımız] dışında kimseyle paylaşılmaz. KVKK'nın 11. maddesindeki haklarınız ve ayrıntılar: [aydınlatma metni bağlantısı]. Verilerinizin silinmesi için bu maile “silin” yazmanız yeterlidir.
Saklama, silme ve yurt dışı#
- Saklama süresini belirleyin: cevap gelmeyen adayların verisini ne kadar tutacağınızı yazın ve süre dolunca silin.
- Silme talebini çıkış talebiyle birlikte işleyin; silinen kişinin yeniden listeye girmemesi için yalnızca engelleme bilgisini tutun.
- Kullandığınız e-posta ve yazılım servislerinin sunucuları yurt dışındaysa, KVKK'nın yurt dışına aktarım hükümlerini ayrıca değerlendirin.
- Veri sorumluları siciline (VERBİS) kayıt yükümlülüğünüz olup olmadığını Kurul'un güncel istisna kararlarına göre kontrol edin.
Kontrol listesi#
- Listede hangi alanların kişisel veri olduğunu belirledim.
- Hukuki sebebimi yazılı olarak belirledim.
- İlk mailde kısa aydınlatma ve tam metne bağlantı var.
- Aydınlatma metninde kimlik, amaç, aktarım, yöntem, hukuki sebep ve haklar var.
- Silme ve bilgi taleplerini cevaplayacak bir kanal ve sorumlu var.
- Saklama süresi belirlendi ve süre dolunca siliniyor.
- Yazılım sağlayıcılarımla veri işleme sözleşmesi var.
Sık sorulanlar
info@ adresi kişisel veri mi?
Çoğu zaman hayır, çünkü bir kişiyi değil işletmeyi gösterir. Ama şahıs işletmelerinde ya da adres fiilen tek bir kişiye aitse kişisel veri sayılabilir; bu durumda KVKK kurallarını uygulayın.
Aydınlatma metnini her maile eklemek gerekir mi?
Tebliğ'e göre veri kişiden alınmadıysa ve iletişim için kullanılacaksa aydınlatma en geç ilk iletişimde yapılır. Uygulamada ilk maile kısa bir paragraf ve tam metne bağlantı eklenir; takiplerde bağlantıyı imzada tutmak yeterli olabilir.
B2B soğuk e-posta için açık rıza gerekir mi?
KVKK açısından açık rıza tek işleme şartı değildir; meşru menfaat gibi başka şartlar da vardır. Ticari ileti kuralları ise ayrıca 6563 sayılı Kanun ve Yönetmelik'te düzenlenir. Hangi şarta dayanacağınızı bir hukuk danışmanıyla belirleyin.
Alıcı verilerinin silinmesini isterse ne yapmalıyım?
Talebi kayda alın, veriyi silin ve kişiye bildirin. Kişinin tekrar listeye girmemesi için yalnızca engelleme amacıyla gereken asgari bilgiyi tutun.
VERBİS kaydı yapmam gerekir mi?
Bu, işletmenizin Kurul kararlarındaki istisnalara girip girmediğine bağlıdır. Güncel eşikleri ve istisnaları VERBİS sayfasından kontrol edin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu · Mevzuat Bilgi Sistemi
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ · Resmî Gazete, 10.03.2018
- Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi · Kişisel Verileri Koruma Kurumu
- VERBİS: Veri Sorumluları Sicil Bilgi Sistemi · Kişisel Verileri Koruma Kurumu
- Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik · Mevzuat Bilgi Sistemi
Bu yazı genel bilgi amaçlıdır, hukuki görüş değildir. Kişisel veri işleme faaliyetinizin hukuki sebebini ve aydınlatma metninizi bir hukuk danışmanıyla birlikte belirleyin.