SSS (Sıkça Sorulan Sorular)
Kişisel Verilerin Korunmasına Neden İhtiyaç Duyulmuştur?
Hayatın bir düzen içinde sürdürülmesi, mal ve hizmetlerin etkin bir biçimde sunumu, geliştirilmesi, dağıtımı ve pazarlanması gibi süreçlerde kişisel verilerin toplanması kaçınılmazdır. Bunun yanında kişisel verilerin sınırsız ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşası, amaç dışı ya da kötüye kullanımı sonucu kişisel hakların ihlal edilmesinin önüne geçilmesi gerekir. Bu sebeple kişisel verilerin korunmasına yönelik yasal düzenleme yapılması gerekli hale gelmiştir. Kişisel Verilerin Korunması Kanunu Ne Zaman Yürürlüğe Girmiştir?
Kişisel Verilerin Korunması Kanunu (“Kanun”) 7 Nisan 2016 tarihinde Resmî Gazetede yayımlanarak yürürlüğe girmiştir.Kanunun Amacı Nedir?
Kanun, kişisel verilerin çağdaş standartlarda işlenmesi, koruma altına alınması, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunmasını amaçlamaktadır. Kanun, temelde verilerin değil, bu verilerin ilişkili olduğu kişilerin korunmasını amaçlamaktadır. Kişilere ilişkin verilerin toplanması, saklanması, kullanılması ve aktarılması gibi veri işleme süreçlerinin bütün aşamalarını kapsar şekilde bireylere kontrol hakkını kazandırmayı hedeflemektedir.Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu ifade son derece geniş olup, bir gerçek kişinin; adı, soyadı, doğum tarihi gibi kişinin sadece kimliğini ortaya koyan bilgiler değil; sosyal güvenlik numarası, sağlık bilgileri gibi kişiyi doğrudan/dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri olarak kabul edilmektedir.Kanun Kimleri Kapsar?
Kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişileri kapsar. Kanunda verisi işlenen gerçek kişilerden bahsedildiği için hak ehliyetine sahip olan herkes Kanun kapsamındadır. Ayrıca Kanun özel sektörde faaliyet gösterip göstermemesi ya da kamu kurum ve kuruluşu olup olmaması gibi kriterlere göre bir ayrım yapmamakta; tüm kurum ve kuruluşlar açısından uygulanmaktadır.Oteller Kanun Kapsamında Mıdır?
Kanun Kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulandığından, oteller de bu kapsamdadır.Kanun Kapsamındaki Yükümlülükler Nelerdir?
Kanun otellere bu kapsamda bazı yükümlülükler getirmiştir. Bu yükümlülükler aşağıda detaylı açıklanmaktadır.A. Kişisel Veri İşleme İlkelerine Uyum Sağlama
Kişisel verilerin işlenmesinde Kanunda belirtilen genel ilkelere her zaman uygun davranılması gerekmektedir. Bu ilkeler aşağıdaki gibidir;- Hukuka ve dürüstlük kurallarına uygun olma
- Doğru ve gerektiğinde güncel olma
- Belirli, açık ve meşru amaçlar için işlenme
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
B. Kişisel Veri İşleme Şartlarına Uygun İşleme
Kanunda belirtilen kişisel veri işleme şartlarının varlığı hâlinde kişisel verilerinin işlenmesi mümkündür. Bu şartlar aşağıdaki gibidir;- İlgili kişinin açık rızasının varlığı,
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
- İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Not: Kişisel veri işleme, yukarıda sayılan açık rıza dışındaki şartlardan birine dayanıyorsa, bu durumda ilgili kişiden açık rıza alınmasına gerek bulunmamaktadır. Veri işleme faaliyetinin, açık rıza dışında bir dayanakla yürütülmesi mümkün iken açık rızaya dayandırılması, aldatıcı ve hakkın kötüye kullanımı niteliğinde olacaktır.
C. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi
Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler oteller tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir.D. Yurtiçi ve Yurtdışı Aktarımda Mevzuata Uygunluk
Kişisel verilerin yurtiçinde veya yurtdışında başka bir veri sorumlusuna aktarılması halinde Kanunda belirtilen şartlara uygun hareket edilmesi gerekmektedir.Not: Yurtdışı aktarımlarında yazılı taahhüt verilmesi ve Kişisel Verileri Koruma Kurulundan izin alınması gerekebilmektedir.
Oteller aydınlatma yükümlülüğü kapsamında otelin kimliği, veri işleme amacı, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile Kanunun 11. maddesinde sayılan diğer hakları konusunda ilgili kişiyi bilgilendirmekle yükümlüdür. Oteller;- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak
Oteller VERBİS’e Kayıt Olmakla Yükümlü Müdür?
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan oteller VERBİS’e kayıt olmakla yükümlüdür.VERBİS’e Kaydın Son Tarihi Nedir?
VERBİS’e kayıt yükümlülüğü olan otellerin 31.12.2021 tarihine kadar kayıt olması gerekmektedir.Otelin VERBİS’e Kayıt Yükümlülüğünün Olmaması Diğer Yükümlülüklerden Muaf Olduğu Anlamına Gelir Mi?
Yıllık çalışan sayısı 50’den az veya yıllık mali bilanço toplamı 25 milyon TL’den az olan otellerin VERBİS’e kayıt zorunluluğu bulunmamaktadır ancak VERBİS’e kayıt yükümlülüğü; 33 maddelik Kanun maddelerinden sadece biridir. Kanunda belirtilen diğer yükümlülüklerden (kişisel verileri hukuka uygun işleme, silme, başvurulara cevap verme, teknik ve idari tedbirleri alma, kişisel veri ihlallerini bildirme, eğitim, iç denetim gibi) herhangi bir muafiyet söz konusu değildir.Yükümlülükler Kapsamında Yapılması Gerekenler Nelerdir?
Otellerin yükümlülüklerini yerine getirebilmesi için yapması gerekenler aşağıda detaylı açıklanmaktadır.A. Uyum İçin Komite Görevlendirilmesi
Komite tüm birimlerindeki kişisel veri işleme faaliyetlerinin yükümlülüklerini doğru ve eksiksiz bir şekilde uyum sağlanabilmesini temin etmesi için öncelikle otel bünyesinde tüm süreçler ve bu süreçlere bağlı kişisel veri işleme faaliyetleri hakkında detaylı bilgi sahibi olacak Komite görevlendirmesi gerekmektedir.B. Kişisel Veri İşleme Envanteri Hazırlama
Komite tarafından mevcut fiziksel veya elektronik ortamda işlenen tüm kişisel verilerin analizinin yapılması ve kişisel veri işleme faaliyetleri doğrultusunda kişisel veri işleme envanteri hazırlanması gerekmektedir.C. Politika ve Prosedür Belirleme
Kişisel veri güvenliğine ilişkin iyi bir politika hazırlanması gerekmektedir. Kişisel veri güvenliğine ilişkin belirlenecek doğru ve tutarlı politika ve prosedürlerin, otellerin çalışma ve işleyişine uygun şekilde entegre edilmesi gerekmektedir.Örneğin; özel nitelikli kişisel veri işleme, saklama ve imha vb. (Verko’nun Verdiği Hizmet Kapsamında Hazırlanan Politika ve Prosedürler)
D. Doküman Hazırlama ve Revize Etme
Hazırlanan kişisel veri işleme envanteri doğrultusunda dokümanlar hazırlanması ve var olan dokümanlarda revizeler yapılması gerekmektedir.Örneğin; gizlilik sözleşmeleri, taahhütnameler, aydınlatma metinleri, açık rıza beyanları, iç denetim formu, başvuruya cevap formu, Komite toplantı tutanağı vb. hazırlanmalı ve iş sözleşmesi, tedarikçi sözleşmesi, disiplin yönetmeliği vb. revize edilmelidir.
E. Eğitim ve Farkındalık Faaliyetleri
Görevlendirilen Komite tarafından otel bünyesindeki kişisel veri ile temas eden tüm çalışanlarda kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşması, bilinçlendirilmesi ve hazırlanan politika ve prosedürlerin eksiksiz uygulanabilmesi amacıyla eğitimler verilmesi gerekmektedir. (Verko’nun Verdiği Hizmet Kapsamında Verilen Eğitim)F. Otel İçi Periyodik ve/veya Rastgele Denetimler
Otel içerisinde periyodik ve/veya rastgele denetimler yapılması gerekmektedir. Bu denetimler, belirlenen Komite tarafından yapılabileceği gibi, otel bünyesi dışında, alanında uzman firmalardan tarafından da yapılabilecektir. (Verko’nun Verdiği Hizmet Kapsamında Yapılan İç Denetim)G. Teknik Tedbirler
Otellerin gerekli olan teknik tedbirleri alması gerekmektedir. Bunlar;- Yetki Matrisi
- Yetki Kontrol
- Erişim Logları
- Kullanıcı Hesap Yönetimi
- Ağ Güvenliği
- Uygulama Güvenliği
- Şifreleme
- Sızma Testi
- Saldırı Tespit ve Önleme Sistemleri
- Log Kayıtları
- Veri Maskeleme
- Veri Kaybı Önleme Yazılımları
- Yedekleme
- Güvenlik Duvarları
- Güncel Anti-Virüs Sistemler
- Silme, Yok Etme veya Anonim Hale Getirme
- Anahtar Yönetimi
Yükümlülüklerin Yerine Getirilmemesi Halinde Verilecek Cezalar Nelerdir?
|
Kabahatler |
Ceza Miktarları |
|
Veri güvenliğini ihlal etme halinde |
29.503- 1.966.862₺ |
|
Aydınlatma yükümlülüğüne aykırılık halinde |
9.834- 196.686₺ |
|
Kurulun tarafından verilen kararı yerine getirmeme halinde |
49.171- 1.966.862₺ |
|
Veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırılık halinde |
39.337- 1.966.862₺ |
Not: Kişisel Verileri Koruma Kurulu, yaptığı tek bir denetimde yukarıda belirtilen kabahatlere ilişkin birden fazla ceza verebilmektedir.
Türk Ceza Kanunu Kapsamında Sorumluluk Nedir?
Türk Ceza Kanunu’nda Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar bölümünde düzenlenen suçlar aşağıdaki gibidir;|
Suçlar |
Ceza Süreleri |
|
Kişisel Verilerin Kaydedilmesi |
1-3 yıla kadar hapis cezası |
|
Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme |
2-4 yıla kadar hapis cezası |
|
Verileri Yok Etmeme |
1-2 yıla kadar hapis cezası |
- Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak, belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde verilecek ceza yarı oranında artırılır.
- Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması halinde verilecek ceza bir kat artırılır.
Hizmetlerimiz
Otellerin İhtiyaçlarına ve Muhtemel Veri İşleme Süreçlerine Göre Proje Stratejisi Belirleme
- İnternet üzerinden satış
- Nihai tüketiciye satış
- Banko, gişe gibi hizmet alanlarında satış yapılması
- Şirketler grubu bünyesinde olma
- Otel bünyesinde birden fazla faaliyet
- Kişisel veri işleme süreçlerinin değişmesi
- İç yazılım program niteliği
- VERBİS kaydı gerekliliği ve kalan süre
- Reklam ve pazarlama
Komite Görevlendirilmesi ve Bilgilendirilmesi
Komite: Proje süresince devamlı, sürekli Komite olduktan sonra belli aralıklarla toplanacak bir birim.
- Komite Dönüşüm Projesinin yürütücülerinden oluşur.
- Komitenin dönüşüm sürecinden sonra iç denetim, imha, kişisel veri işleme envanteri ve politika/prosedürleri güncelleme, eğitim programlanması, farkındalık çalışmalarına ve alınması gereken yeni tedbirlere de karar verecek ekip olarak süreklilik kazanması hedeflenmektedir.
- Komite üst düzey yönetici, bilgi teknolojileri uzmanı, insan kaynakları, idari işler, satış, pazarlama gibi departmanlardan seçilecek ve otel yönetimince alınacak karar ile görevlendirilecek kişilerden oluşması tavsiye edilmektedir.
Not: İrtibat kişisinin, VERBİS'e kayıt sürecinde Komite üyelerinden belirlenecek bir kişi olması önerilmektedir.
Bilgilendirme İçeriği
- Kişisel Veri, Özel Nitelikli Kişisel Veri
- Veri Sorumlusu Otelin Yükümlülükleri
- İlgili Kişi Hakları
- Kişisel Veri İşleme Envanteri Aşamaları
- Departman Toplantılarında İstenecek Bilgiler, Kişisel Veri İşleme, Faaliyet, Süreç, Alt Süreç Hakkında Bilgilendirme
- Politika ve Prosedür Belirleme
- Hedef ve Yapılması Gerekenlerin Anlatılması
Envanter Toplantıları
Toplantıların departmanlarla tek tek yapılması hedeflenmektedir. Toplantının Amaç ve Gündemi- Toplantılarda faaliyet ve süreç bazında kişisel veri işlemelerinin belirlenmesi
- Kişisel veri işleme amaçlarının belirlenmesi
- Verisi işlenen kişi gruplarının belirlenmesi
- Aktarılan kişi-kişi gruplarının ve yerlerin belirlenmesi
- Tespit edilen kişisel verilerin niteliklerinin belirlenmesi
- İşlenen kişisel verilerin hukuki sebeplerinin belirlenmesi
- Kişisel verilerin saklama sürelerinin belirlenmesi
Politika ve Prosedürlerin Belirlenmesi
Politika: Veri Sorumlusunun kişisel veri işleme faaliyetlerine ilişkin bütün süreçlerde uyması gereken prosedür ve ilkeleri gösteren kılavuzdur.
Prosedür: Veri sorumlusunun kişisel veri işleme faaliyetlerine ilişkin gerçekleştirdiği her aşamayı gösteren yöntemler bütünüdür.
- Misafir Kabul Politika ve Prosedürü
- Kayıp Eşya Süreci Politika ve Prosedürü
- Aydınlatma Yükümlülüğü Politika ve Prosedürü
- Özel Nitelikli Kişisel Veri İşleme ve Koruma Politika ve Prosedürü
- Açık Rıza Politika ve Prosedürü
- Veri Güvenliği Politika ve Prosedürü
- Kişisel Veri İşleme Envanteri Politika ve Prosedürü
- Kişisel Veri Aktarım Politika ve Prosedürü
- Kişisel Veri Saklama ile İmha Politika ve Prosedürü
- Çerez Politika ve Prosedürü
- Elektronik Ticaret Süreci Politika ve Prosedürü
- Kişisel Veri İç Denetim Politika ve Prosedürü
- Başvuru Kabul ve Cevap Politika ve Prosedürü
- Veri İhlal Bildirim – Müdahale Politika ve Prosedürü
- Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim Politika ve Prosedürü
- Kişisel Verileri Koruma Kişi/Birim/Ekip Politika ve Prosedürü
Teknik Tedbir Çalışmaları
- Sızma testi yapılması
- Sızma testi sonucunda otelin alması gereken teknik tedbirlerin raporlanması
- Yetki matrisi oluşturulması
- Yetki kontrol düzenlemeleri
Uyum Toplantıları
- Dönüşüm sürecinden önce işlenmiş kişisel verilerin hukuka uygun hale getirilmesi, maskelenmesi ya da imha edilmesi hakkında proje danışmanları yönlendirme yapacaktır.
- İş süreçlerinden çıkarılması gereken işlemlere ilişkin liste teslim edilecek ve sebepleri açıklanacaktır.
- Eğitim alacak kişiler belirlenecek, tedarikçilere çalışanlarını eğitmeleri için verilecek süre belirlenecek ya da tedarikçi çalışanın da eğitimlere dahil edilmesine karar verilecektir.
- Farkındalık için yapılacak çalışmalarda yönlendirme yapılacaktır.
- Otelin talepleri proje danışmanlarınca alınıp eksik dokümanlar tamamlanacaktır.
- Hazırlanan dokümanlar ve bu dokümanların kullanılması, hazırlanan politika ve prosedürlere işlerlik kazandırılması için gereken çalışmalar yapılacaktır.
Eğitimler
Otel bünyesinde kişisel veri ile temas eden tüm çalışanlarda kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşmasını sağlamak amacıyla eğitimler verilecektir. Eğitim İçeriği Eğitimlerimiz 3 oturumdan oluşmaktadır.|
1. Oturum Kavram Eğitimi |
2. Oturum Dikkat Edilmesi Gerekenler | 3. Oturum Çalışan Sorumluluğu |
|
Kişisel Verilerin Önemi |
Fidye Saldırıları ve Veri İhlallerine Karşı Dikkat Edilmesi Gerekenler |
Çalışan Aydınlatma, Açık Rıza ve Gizlilik Taahhütleri |
|
Eğitimin Amacı |
Şifre Belirlerken ve Ekipman Kullanırken Dikkat Edilmesi Gerekenler |
Veri İhlali ve Kabahatler |
|
Kişisel Verilerin Korunması Kanununun Amacı |
Wi-Fi/Sosyal Medya/Mesaj Uygulamaları/E-Posta Kullanırken Dikkat Edilmesi Gerekenler |
Rücu |
|
Kişisel Veri ve Özel Nitelikli Kişisel Veri |
Fiziksel Ortamda Belge/Bilgi Kullanımında ve İmhasında Dikkat Edilmesi Gerekenler |
Türk Ceza Kanunu Kapsamında Kişisel Verilerin Korunması |
|
Kişisel Verilerin İşlenmesi |
Banko, Gişe Alanlarında Dikkat Edilmesi Gerekenler |
Disiplin Kapsamında Sorumluluk |
| İlgili Kişinin Hakları
Başvuru & Şikâyet |
Kart Kullanımında Dikkat Edilmesi Gerekenler |
Türk Medeni Kanunu Kapsamında Kişisel Verilerin Korunması |
| Kişisel Verileri Koruma Birim/Ekip/Personeli | Veri Aktarımlarında Dikkat Edilmesi Gerekenler |
İş Kanunu Kapsamında Kişisel Verilerin Korunması |
İç Denetim
- Otel içerisinde periyodik ve/veya rastgele denetimler yapılması gerekmektedir. Komite, proje danışmanlarıyla birlikte bütün departman ve alanları çözecek dönüşüm sürecinin sonunda denetim yapacaklardır.
- Bu denetimlerin düzenli olarak yapılması gerektiğinden aynı zamanda sürekli yapılacak denetimler için de örnek oluşturacaktır.
- Bu denetimler, belirlenen Komite tarafından yapılabileceği gibi Komite bünyesi dışında, alanında uzman firmalardan tarafından da yapılabilecektir.
- İç denetim sonunda denetim raporu yazılacaktır.
VERBİS Kaydı
Atanan irtibat kişisi aracılığıyla uzmanlarımız eşliğinde hazırlanan kişisel veri işleme envanterine göre VERBİS kaydı yapılacaktır. VERBİS’e kayıt yükümlülüğü olan otellerin 31.12.2021 tarihine kadar kayıt olması gerekmektedir.Sonuç Toplantısı ve Proje Raporu Teslimi
- Proje kapsamında yapılan çalışmalar proje danışmanları tarafından raporlanacaktır.
- Hazırlanan tüm dokümanların (kişisel veri işleme envanteri, politika/prosedür, aydınlatma, başvuru cevap örneği, VERBİS kaydı vb.) kontrol ve raporlaması yapılacaktır.
- Komitenin yapması gerekenler tekrar anlatılacaktır.
- Hazırlanan dokümanların kullanım kılavuzu oluşturulacaktır.
- Proje raporunun teslimi ile dönüşüm tamamlanmış kabul edilecektir.
Dönüşüm Projesi Sonrasında Verilen Hizmetler
Dönüşüm Projesi tamamlandıktan sonraki süreçlerde otelin talebi halinde bazı hizmetler verilebilecektir. Bunlar;- Otel bünyesindeki kişisel veri ile temas eden çalışanlarda kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşmasını sağlamak amacıyla otelde eğitimler verilmesi
- Otel bünyesinde düzenli olarak yapılması gereken periyodik ve/veya rastgele denetimlerin yapılması
- Belli alanlarda danışmanlık alınması;
- Kişisel veri işleme envanterinin güncellenmesi
- Kişisel veri işleme politika ve prosedürlerinin güncellenmesi