Kurumsal Uyum

Bu alanda ne yapıyoruz

Kurumsal uyum, mevzuatın şirketten beklediklerini günlük işleyişe çevirme işidir. Bu başlığın bürodaki ağırlığı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyum sürecidir: kişisel veri işleme envanterinin çıkarılması, aydınlatma ve açık rıza metinlerinin hazırlanması, VERBİS kaydı, saklama ve imha politikası ile iç yönergelerin yazılması ve tedarikçi sözleşmelerine veri işleme eklerinin bağlanması. Disiplin ve etik süreçlerine ilişkin iç düzenlemeler de bu kapsamda ele alınır.

Çalışma dava değil danışmanlık ekseninde yürür ve çoğu zaman kurumsal danışmanlık ilişkisinin bir parçasıdır. Sözleşme kurgusunun geneli için ticari sözleşmeler, şirketler hukuku tarafı için ticaret ve şirketler hukuku sayfalarına bakabilirsiniz.

KVKK uyumu belge işi değil süreç işidir

Uygulamada en sık karşılaşılan tablo, internetten alınmış bir aydınlatma metninin siteye konulup uyumun tamamlandığının sanılmasıdır. Oysa Kanun'un aradığı şey, şirketin hangi veriyi, hangi amaçla, hangi hukuki sebebe dayanarak işlediğini bilmesi ve bunu belgeleyebilmesidir. Bu yüzden çalışma her şirkette aynı yerden başlar: veri envanteri. Hangi birim hangi veriyi topluyor, nerede saklıyor, kime aktarıyor, ne zaman siliyor; bu tablo çıkmadan yazılan her metin varsayıma dayanır.

Envanter çıktıktan sonra her işleme faaliyeti, Kanun'un 5. ve 6. maddelerindeki işleme şartlarıyla eşlenir. Açık rıza bu şartlardan yalnızca biridir; başka bir işleme şartının bulunduğu yerde açık rıza istemek gereksizdir ve rızanın geri alınması halinde şirketi zor durumda bırakır. VERBİS yükümlülüğü KVKK m. 16 ve güncel Kurul istisnalarına göre belirlenir; çalışan sayısı, bilanço, ana faaliyet ve özel nitelikli veri işleme birlikte değerlendirilir. 2025/1572 sayılı Karar, ana faaliyeti özel nitelikli veri işlemek olan küçük veri sorumluları için de istisna getirmiştir; Sicile bildirilen bilgiler de envanterden beslenir.

Hazırlanan belge seti

Tedarikçi sözleşmeleri ve veri işleme ekleri

Veri güvenliği yükümlülüğü (KVKK m. 12) şirketin kendi sistemleriyle sınırlı değildir. Bordro, sunucu barındırma, kargo veya çağrı merkezi hizmeti veren tedarikçi, şirket adına veri işlediğinde veri işleyen sıfatını alır ve güvenlikten veri sorumlusuyla birlikte sorumlu olur. Bu ilişkiye uygun veri güvenliği hükümleri ana sözleşmede veya ayrı bir ekte düzenlenebilir: işlemenin konusu ve süresi, alınacak güvenlik önlemleri, alt işleyen kullanımı, denetim hakkı ve sözleşme sona erdiğinde verinin iadesi ya da imhası ilgili sözleşme hükümlerinde gösterilir. Yurt dışına aktarım içeren ilişkilerde Kanun'un 9. maddesindeki aktarım rejimi ayrıca değerlendirilir; bu rejim 2024 yılında 7499 sayılı Kanun ile değişmiş ve standart sözleşme usulü getirilmiştir.

Disiplin ve etik süreçleri

İç yönergeler yalnızca veri koruması için yazılmaz. Disiplin prosedürü, etik bildirim kanalı ve iç inceleme usulü; hem çalışana uygulanacak işlemin hukuka uygunluğunu hem de olası bir fesihte şirketin ispat imkânını belirler. Savunma gerekliliği yaptırımın ve fesih sebebinin niteliğine göre değerlendirilir; gerekli usulün atlanması uyuşmazlıkta şirket aleyhine sonuç doğurabilir. Bu bağ nedeniyle iç yönergeler iş hukuku tarafıyla birlikte kurgulanır.

İhlal ve başvuru anı: plan önceden yazılır

Veri ihlali yaşandığında yapılacaklar o gün kararlaştırılmaz. Kurul kararları uyarınca ihlalin Kuruma ve etkilenen kişilere bildirilmesi kısa sürelere bağlıdır; kimin karar vereceği, kayıtların nasıl tutulacağı ve bildirimin nasıl yapılacağı önceden bir müdahale planına yazılır. İlgili kişi başvurularının da en geç otuz gün içinde yanıtlanması gerekir (KVKK m. 13); başvuruyu kimin alacağı ve yanıtın nasıl hazırlanacağı iç yönergede düzenlenir.

Genel bilgilendirme amaçlıdır; yükümlülükler şirketin ölçeğine ve işlediği veriye göre değişir.

Süreci ayrıntılı anlattığımız sayfa: Çalışma sürecimiz.