Hızlı Özet
KVKK ihlallerinde şirket müdürleri ve yönetim kurulu üyelerinin sorumluluğu değerlendirilirken öncelikle “veri sorumlusu” kavramı dikkate alınmalıdır. Şirketler bakımından veri sorumlusu çoğu durumda tüzel kişiliğin kendisidir; bu nedenle KVKK idari para cezaları kural olarak şirket veya ilgili veri sorumlusu üzerinden değerlendirilir. Ancak bu durum, şirket müdürlerinin, yönetim kurulu üyelerinin veya genel müdürlerin hiçbir sorumluluğu olmadığı anlamına gelmez. Yönetici sorumluluğu; görev dağılımı, yetki devri, iç kontrol eksikliği, veri güvenliği tedbirlerinin alınmaması, ihlale müdahale edilmemesi ve kişisel verilerle ilgili fiilin Türk Ceza Kanunu kapsamında suç oluşturup oluşturmadığına göre ayrıca incelenmelidir. Bu nedenle KVKK uyumu yalnızca belge hazırlama işi değil, şirket yönetiminin gözetim ve organizasyon sorumluluğunu da ilgilendiren kurumsal bir süreçtir.
- KVKK İhlallerinde Sorumluluk Neden Şirket Yönetimini İlgilendirir?
- KVKK’da Veri Sorumlusu Kimdir?
- İdari Para Cezası ile Cezai Sorumluluk Arasındaki Fark Nedir?
- Şirket Müdürü veya Yönetim Kurulu Üyesi KVKK Cezasından Şahsen Sorumlu Olur mu?
- TCK Kapsamında Kişisel Verilere İlişkin Suçlar Nelerdir?
- Yönetimsel İhmal KVKK Riskini Nasıl Artırır?
- Şirket İçinde Yetki ve Sorumluluk Dağılımı Nasıl Yapılmalıdır?
- Uygulamada Dikkat Edilmesi Gerekenler
- Sık Yapılan Hatalar
- Sık Sorulan Sorular
- Resmî Kaynaklar
- İlgili Rehberler
KVKK ihlallerinde şirket, yönetici, çalışan ve tedarikçi sorumluluğu somut olayın özelliklerine göre farklılaşabilir. Şirketinizde yetki dağılımı, veri güvenliği tedbirleri, ihlal müdahale planı ve iç süreçlerin yönetici sorumluluğu bakımından değerlendirilmesi için KVKK Danışmanlığı hizmetimiz kapsamında ön analiz yapılabilir.
KVKK İhlallerinde Sorumluluk Neden Şirket Yönetimini İlgilendirir?
KVKK ihlalleri yalnızca hukuk, bilgi işlem veya insan kaynakları birimlerinin konusu değildir. Bir şirkette hangi kişisel verilerin toplandığı, kimlerle paylaşıldığı, hangi yazılımlarda saklandığı, ne kadar süre muhafaza edildiği ve kimlerin bu verilere erişebildiği çoğu zaman şirket yönetiminin belirlediği iş süreçleriyle ilgilidir.
Bu nedenle şirket müdürleri, yönetim kurulu üyeleri, genel müdürler ve üst düzey yöneticiler KVKK uyum sürecini yalnızca “birkaç metin hazırlanması” olarak görmemelidir. Aydınlatma metni, açık rıza metni, veri envanteri veya saklama-imha politikası önemli olmakla birlikte, asıl mesele bu belgelerin şirketin fiilî işleyişiyle uyumlu olup olmadığıdır.
Örneğin bir şirkette çalışanların bordro verileri, sağlık raporları, kamera kayıtları, müşteri listeleri, e-posta arşivleri, CRM kayıtları ve bulut sistemleri dağınık biçimde tutuluyorsa; KVKK riski yalnızca eksik belge nedeniyle değil, yönetimsel kontrol eksikliği nedeniyle de ortaya çıkabilir.
KVKK’da Veri Sorumlusu Kimdir?
KVKK bakımından veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
Şirketler bakımından çoğu durumda veri sorumlusu, şirket tüzel kişiliğidir. Örneğin bir anonim şirketin müşteri verilerini hangi amaçla işleyeceğine, çalışan özlük dosyalarını nasıl tutacağına, kamera sistemini hangi amaçla kullanacağına veya hangi bulut yazılımı tercih edeceğine şirket karar veriyorsa, veri sorumlusu şirketin kendisi olarak değerlendirilir.
Bu noktada önemli ayrım şudur: Şirketin veri sorumlusu olması, yöneticilerin konuyla ilgisiz olduğu anlamına gelmez. Şirket adına karar alan, sistem kuran, yetki veren, riskleri görmezden gelen veya gerekli organizasyonu oluşturmayan yöneticilerin sorumluluğu; şirketler hukuku, iş hukuku, iç denetim, ceza hukuku ve somut olayın özellikleri bakımından ayrıca gündeme gelebilir.
İdari Para Cezası ile Cezai Sorumluluk Arasındaki Fark Nedir?
KVKK ihlallerinde en çok karıştırılan konulardan biri idari para cezası ile cezai sorumluluk arasındaki farktır.
İdari para cezası, KVKK’da düzenlenen bazı yükümlülüklere aykırılık halinde Kişisel Verileri Koruma Kurulu tarafından uygulanabilen idari yaptırımdır. Aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin ihlali, Kurul kararlarının yerine getirilmemesi, VERBİS kayıt ve bildirim yükümlülüğüne aykırılık veya yurt dışına aktarım bildirim yükümlülüğünün ihlali bu kapsamda değerlendirilebilir.
Cezai sorumluluk ise Türk Ceza Kanunu kapsamında kişisel verilere ilişkin suçların oluşması halinde gündeme gelir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, yayılması, ele geçirilmesi veya süresi dolduğu halde yok edilmemesi gibi fiiller, somut olayın niteliğine göre ceza hukuku bakımından ayrıca incelenebilir.
| Sorumluluk Türü | Temel Dayanak | Kime Yönelir? | Uygulamada Ne Anlama Gelir? |
|---|---|---|---|
| İdari para cezası | KVKK m. 18 | Veri sorumlusu veya ilgili durumda veri işleyen | Şirketin KVKK yükümlülüklerine aykırı hareket etmesi halinde Kurul tarafından yaptırım uygulanabilir. |
| Cezai sorumluluk | TCK m. 135-140 | Fiili işleyen gerçek kişi veya şartlarına göre ilgili kişiler | Kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi, yayılması, ele geçirilmesi veya yok edilmemesi halinde ceza hukuku gündeme gelebilir. |
| Şirket içi sorumluluk | Şirket içi görev dağılımı, yönetim yetkisi ve genel hukuk ilkeleri | Müdür, yönetim kurulu üyesi, genel müdür, departman yöneticisi | Yetki, görev, ihmal, talimat ve denetim eksikliği somut olaya göre değerlendirilir. |
| Tazminat sorumluluğu | Genel hükümler ve ilgili kişinin zarar iddiası | Somut olaya göre şirket ve/veya ilgili kişiler | İlgili kişinin zarara uğradığını ileri sürmesi halinde hukuki sorumluluk ayrıca gündeme gelebilir. |
Şirket Müdürü veya Yönetim Kurulu Üyesi KVKK Cezasından Şahsen Sorumlu Olur mu?
Bu soruya tek cümleyle “evet” veya “hayır” demek doğru değildir. Çünkü sorumluluğun türü önemlidir.
KVKK idari para cezaları bakımından, şirket veri sorumlusu ise yaptırım çoğu durumda şirket tüzel kişiliği üzerinden değerlendirilir. Bu nedenle bir KVKK ihlalinde idari para cezasının doğrudan şirket müdürüne veya yönetim kurulu üyesine kesileceği şeklinde genel bir kabul doğru olmaz.
Ancak yöneticinin kişisel sorumluluğu şu hallerde ayrıca gündeme gelebilir:
- Kişisel verilerin hukuka aykırı işlenmesi yönünde açık talimat verilmişse,
- Çalışanların kişisel verilere sınırsız erişimine bilinçli şekilde izin verilmişse,
- Veri ihlali bilindiği halde gerekli bildirim ve müdahale süreci işletilmemişse,
- Şirket içinde hiçbir teknik ve idari tedbir alınmamışsa,
- Yetki ve sorumluluk dağılımı hiç yapılmamışsa,
- Kişisel veriler yönetici tarafından hukuka aykırı biçimde üçüncü kişilere verilmişse,
- Veri güvenliği riski bilinmesine rağmen makul önlemler alınmamışsa,
- İhlal oluşturan fiil Türk Ceza Kanunu kapsamında kişisel veri suçu niteliği taşıyorsa.
Bu nedenle şirket yöneticileri bakımından temel soru şudur: Şirket, kişisel veri işleme faaliyetlerini yönetecek makul bir sistem kurmuş mu, bu sistemi yazılı hale getirmiş mi ve uygulamada takip etmiş mi?
TCK Kapsamında Kişisel Verilere İlişkin Suçlar Nelerdir?
KVKK, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun ilgili hükümlerine atıf yapar. Bu nedenle bazı kişisel veri ihlalleri yalnızca idari para cezası değil, aynı zamanda ceza hukuku boyutu da doğurabilir.
TCK kapsamında uygulamada öne çıkan kişisel veri suçları şunlardır:
- Kişisel verilerin hukuka aykırı olarak kaydedilmesi,
- Kişisel verilerin hukuka aykırı olarak bir başkasına verilmesi,
- Kişisel verilerin hukuka aykırı olarak yayılması,
- Kişisel verilerin hukuka aykırı olarak ele geçirilmesi,
- Kanuni süresi dolmasına rağmen kişisel verilerin yok edilmemesi,
- Suçun kamu görevlisi veya belirli mesleklerin sağladığı kolaylıktan yararlanılarak işlenmesi gibi nitelikli haller.
Şirket yöneticileri bakımından bu bölüm dikkatle ele alınmalıdır. Bir yöneticinin yalnızca şirket müdürü veya yönetim kurulu üyesi olması, otomatik olarak ceza sorumluluğu doğurmaz. Ceza sorumluluğu bakımından fiil, kusur, kast, iştirak, talimat, ihmal ve somut olayın özellikleri birlikte değerlendirilir.
Örneğin bir yöneticinin müşteri listesini hukuka aykırı şekilde üçüncü kişiye vermesi ile şirket içinde gerekli yetki matrisinin kurulmamış olması aynı hukuki nitelikte değerlendirilmez. İlki doğrudan fiil düzeyinde ceza hukuku riski doğurabilirken, ikincisi daha çok veri güvenliği, iç kontrol ve yönetimsel ihmal boyutuyla incelenir.
Yönetimsel İhmal KVKK Riskini Nasıl Artırır?
KVKK’da yönetimsel ihmal genellikle “şirket gerekli teknik ve idari tedbirleri almış mı?” sorusu etrafında görünür hale gelir. Çünkü veri güvenliği yalnızca antivirüs programı veya parola belirlemekten ibaret değildir. Şirketin iş süreçleri, personel yetkileri, dosya erişimleri, bulut sistemleri, kamera kayıtları, tedarikçi ilişkileri ve saklama-imha düzeni birlikte değerlendirilmelidir.
Yönetimsel ihmal şu durumlarda ortaya çıkabilir:
- Şirkette kişisel veri envanterinin hiç çıkarılmamış olması,
- Çalışanların hangi verilere erişebileceğinin belirlenmemesi,
- Eski çalışanların sistem erişimlerinin kapatılmaması,
- Kamera kayıtlarına kimlerin erişeceğinin yazılı olmaması,
- Bordro, özlük ve sağlık raporu gibi belgelerin gelişigüzel paylaşılması,
- Veri ihlali halinde kimin ne yapacağının önceden belirlenmemesi,
- Tedarikçi ve hizmet sağlayıcı sözleşmelerinde KVKK hükümlerinin bulunmaması,
- Bulut yazılım, CRM veya muhasebe programı kullanımında yurt dışı aktarım riskinin değerlendirilmemesi,
- Çalışanlara KVKK farkındalık eğitimi verilmemesi,
- Kurul kararları ve mevzuat değişikliklerinin takip edilmemesi.
Bu tür eksiklikler, bir ihlal gerçekleştiğinde şirketin “makul tedbirleri aldığını” göstermesini zorlaştırabilir. Yönetici sorumluluğu bakımından önemli olan nokta, şirketin yalnızca belge hazırlamış olması değil, uygulanabilir bir KVKK yönetim sistemi kurmuş olmasıdır.
Şirket İçinde Yetki ve Sorumluluk Dağılımı Nasıl Yapılmalıdır?
KVKK uyumu şirket içinde tek bir kişiye bırakılmamalıdır. Özellikle orta ve büyük ölçekli şirketlerde kişisel veri işleme faaliyetleri birçok departmana yayılmış durumdadır.
İnsan kaynakları çalışan verilerini, muhasebe birimi bordro ve banka bilgilerini, satış birimi müşteri verilerini, pazarlama birimi iletişim izinlerini, bilgi işlem birimi sistem erişimlerini, satın alma birimi tedarikçi kayıtlarını işler. Bu nedenle şirket içinde görev ve yetki dağılımı yazılı hale getirilmelidir.
Sağlıklı bir KVKK görev dağılımında şu sorular cevaplanmalıdır:
- KVKK uyum sürecinden şirket içinde kim sorumludur?
- Departman bazında kişisel veri işleme faaliyetlerini kim takip eder?
- Veri ihlali şüphesinde ilk bildirim kime yapılır?
- Kurul veya ilgili kişi başvurularına kim cevap verir?
- Kamera kayıtlarına kim erişebilir?
- Bordro, özlük ve sağlık verilerine erişim yetkisi kimdedir?
- Tedarikçilerle KVKK hükümlerini kim kontrol eder?
- Eski çalışanların sistem erişimleri kim tarafından kapatılır?
- Saklama süresi dolan verilerin imha sürecini kim yürütür?
- Yönetim kuruluna veya şirket müdürüne hangi aralıklarla raporlama yapılır?
Bu soruların cevabı yalnızca sözlü olarak bilinmemeli; görev tanımları, iç yönergeler, yetki matrisi, veri ihlali müdahale planı ve KVKK prosedürleriyle desteklenmelidir.
| Risk Alanı | Yönetici Açısından Önemi | Alınması Gereken Önlem |
|---|---|---|
| Veri envanteri yokluğu | Şirket hangi veriyi neden işlediğini gösteremez. | Veri işleme süreçleri departman bazında çıkarılmalıdır. |
| Yetkisiz erişim | Çalışanlar görevleriyle ilgisiz verilere ulaşabilir. | Yetki matrisi, kullanıcı rolü ve erişim kayıtları oluşturulmalıdır. |
| Veri ihlali müdahale planı olmaması | 72 saatlik bildirim süreci kaçırılabilir. | İhlal müdahale ekibi ve iç bildirim süreci belirlenmelidir. |
| Tedarikçi kontrol eksikliği | Veri işleyenlerden kaynaklanan ihlaller şirkete yansıyabilir. | Tedarikçi sözleşmelerine KVKK hükümleri eklenmelidir. |
| Eski çalışan erişimleri | İşten ayrılan personel sistemlere erişmeye devam edebilir. | İşten çıkış kontrol listesi uygulanmalıdır. |
| Kamera ve izleme süreçleri | Ölçüsüz kayıt, özel alan ihlali veya yetersiz aydınlatma riski doğabilir. | Kamera politikası, uyarı levhası ve saklama süresi belirlenmelidir. |
| Bulut sistemleri | Yurt dışına aktarım ve yetkisiz erişim riski oluşabilir. | Bulut sağlayıcı, veri merkezi, aktarım ve erişim ayarları kontrol edilmelidir. |
| Eğitim eksikliği | Çalışan hataları veri ihlaline dönüşebilir. | Düzenli KVKK farkındalık eğitimi verilmelidir. |
Uygulamada Dikkat Edilmesi Gerekenler
Yönetici sorumluluğu bakımından en önemli konu, şirketin KVKK sürecini sürdürülebilir ve ispatlanabilir bir yapıya kavuşturmasıdır. Sadece dosya içinde duran belgeler, uygulamada karşılığı yoksa yeterli güvence sağlamaz.
1. Yönetim düzeyinde KVKK farkındalığı oluşturulmalıdır
Şirket müdürleri ve yönetim kurulu üyeleri KVKK’yı yalnızca hukuk departmanına bırakılacak bir konu olarak görmemelidir. Kişisel veri işleme faaliyetleri şirketin satış, insan kaynakları, muhasebe, bilgi işlem, pazarlama ve tedarik süreçlerine yayılmıştır.
2. KVKK görev dağılımı yazılı hale getirilmelidir
Şirket içinde kimin hangi KVKK sürecinden sorumlu olduğu belirlenmelidir. Bu görev dağılımı yazılı hale getirilmediğinde, veri ihlali anında gecikme, yetki karmaşası ve bildirim süresinin kaçırılması riski artar.
3. Veri ihlali müdahale planı hazırlanmalıdır
Bir veri ihlali yaşandığında şirketin ilk saatlerde ne yapacağı önceden belirlenmelidir. Hangi ekip olayın teknik boyutunu inceleyecek, kim yönetimi bilgilendirecek, kim Kurula bildirim hazırlayacak, kim ilgili kişilere yapılacak bildirimi değerlendirecek soruları önceden cevaplanmalıdır.
4. Teknik ve idari tedbirler birlikte ele alınmalıdır
Yalnızca teknik güvenlik önlemleri yeterli değildir. Parola politikası, iki faktörlü kimlik doğrulama, log kayıtları, yedekleme ve erişim kontrolü gibi teknik tedbirler; gizlilik taahhüdü, eğitim, görev tanımı, tedarikçi sözleşmesi ve iç prosedürlerle birlikte yürütülmelidir.
5. Yönetim düzenli raporlama istemelidir
KVKK uyumu bir defalık çalışma değildir. Yeni yazılım alınması, yeni kamera sistemi kurulması, yeni çalışan süreçleri, yeni tedarikçiler, e-ticaret altyapısı, pazarlama izinleri veya bulut sistemleri KVKK dosyasının güncellenmesini gerektirebilir. Bu nedenle yönetim, belirli aralıklarla KVKK durum raporu istemelidir.
Kontrol Listesi:
- Şirketin kişisel veri işleme envanteri güncel mi?
- Veri sorumlusu ve varsa veri işleyen ilişkileri doğru ayrılmış mı?
- Aydınlatma metinleri fiilî süreçlerle uyumlu mu?
- Açık rıza gereken ve gerekmeyen süreçler ayrılmış mı?
- Çalışan, müşteri, tedarikçi ve ziyaretçi verileri ayrı ayrı değerlendirilmiş mi?
- Özel nitelikli kişisel veriler için ek tedbirler belirlenmiş mi?
- Kamera kayıtları için görünür aydınlatma ve saklama süresi var mı?
- Eski çalışanların sistem erişimleri kapatılıyor mu?
- Bulut sistemleri ve yurt dışı aktarım ihtimali değerlendirilmiş mi?
- Tedarikçi sözleşmelerinde KVKK hükümleri var mı?
- Veri ihlali müdahale planı hazır mı?
- Kurula bildirim sürecinden kim sorumlu?
- İlgili kişi başvurularına 30 günlük cevap süreci takip ediliyor mu?
- Yönetim kuruluna veya şirket müdürüne KVKK raporlaması yapılıyor mu?
- Çalışanlara düzenli KVKK farkındalık eğitimi veriliyor mu?
Sık Yapılan Hatalar
- KVKK uyumunu yalnızca matbu metin hazırlamak olarak görmek.
- Şirketin veri sorumlusu olduğunu unutup tüm sorumluluğu çalışanlara yüklemek.
- Şirket müdürü veya yönetim kurulu sorumluluğunu hiç değerlendirmemek.
- Veri ihlali halinde 72 saatlik bildirim sürecini geç fark etmek.
- Veri ihlali müdahale planı hazırlamamak.
- Eski çalışanların e-posta, CRM, muhasebe veya bulut sistemlerine erişimini kapatmamak.
- Kamera kayıtlarına erişim yetkisini yazılı hale getirmemek.
- Sağlık verisi, biyometrik veri veya ceza mahkûmiyeti verisi gibi özel nitelikli verileri genel kişisel verilerle aynı düzeyde korumak.
- Tedarikçi ve yazılım sağlayıcı sözleşmelerine KVKK hükümleri eklememek.
- KVKK dosyasını hazırladıktan sonra şirket süreçleri değiştiği halde güncelleme yapmamak.
- Açık rıza ile aydınlatma yükümlülüğünü birbirine karıştırmak.
- Yönetici, çalışan ve veri işleyen sorumluluğunu yazılı görev dağılımıyla netleştirmemek.
Sık Sorulan Sorular (SSS)
KVKK idari para cezaları bakımından, şirket veri sorumlusu ise yaptırım çoğu durumda şirket tüzel kişiliği üzerinden değerlendirilir. Ancak şirket müdürünün kişisel fiili, talimatı, ihmali veya TCK kapsamında suç oluşturabilecek davranışı varsa ayrıca sorumluluk değerlendirmesi yapılabilir.
Hayır. Şirket veri sorumlusu olsa bile yönetim kurulu üyeleri şirketin organizasyonu, risk yönetimi, iç kontrol ve gözetim süreçleri bakımından sorumluluk alanına sahip olabilir. Bu sorumluluk somut olayın özelliklerine, görev dağılımına ve ihlale etkilerine göre değerlendirilir.
Hayır. KVKK idari para cezası, Kişisel Verileri Koruma Kurulu tarafından uygulanan idari yaptırımdır. TCK kapsamındaki cezai sorumluluk ise kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi, yayılması, ele geçirilmesi veya yok edilmemesi gibi suç teşkil edebilecek fiillerde gündeme gelir.
KVKK sürecinin koordinasyonu için bir çalışan görevlendirilebilir. Ancak bu durum şirketin veri sorumlusu sıfatını veya yönetimin gözetim sorumluluğunu ortadan kaldırmaz. Görev dağılımı yapılmalı, ancak süreç yönetim düzeyinde de takip edilmelidir.
Öncelikle ihlalin kapsamı, etkilenen veri kategorileri, ilgili kişi grupları, alınan ilk önlemler ve bildirim gerekip gerekmediği hızlıca değerlendirilmelidir. Kurula bildirim süresi bakımından gecikme yaşanmaması için şirket içinde önceden hazırlanmış veri ihlali müdahale planı bulunmalıdır.
KVKK risk analizi tek başına sorumluluğu ortadan kaldırmaz. Ancak şirketin kişisel veri işleme süreçlerini tanıması, riskleri belirlemesi, gerekli teknik ve idari tedbirleri planlaması ve görev dağılımını yazılı hale getirmesi bakımından önemli bir yönetim aracıdır.
Sadece dosya hazırlamak çoğu durumda yeterli değildir. Belgelerin şirketin gerçek veri işleme süreçleriyle uyumlu olması, çalışanlara duyurulması, uygulamaya geçirilmesi, düzenli güncellenmesi ve ihlal halinde uygulanabilir bir müdahale sistemi kurulması gerekir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu — Veri Sorumlusu Kimdir?
- Kişisel Verileri Koruma Kurumu — Veri Güvenliğine İlişkin Yükümlülükler
- Kişisel Veri İhlali Bildirim Usul ve Esasları
- KVKK — 6698 Sayılı Kanun Kapsamında İdari Para Cezası Tutarları
- Kişisel Verileri Koruma Kurumu — Rehberler
- 5237 sayılı Türk Ceza Kanunu
İlgili Rehberler
- KVKK Danışmanlığı
- VERBİS Kayıt Zorunluluğu ve Muafiyetler
- KVKK Veri Envanteri Hazırlama Rehberi
- KVKK Mevzuat Kaynakları ve Kurul Kararları
- Yapay Zekâ Kullanımında KVKK Riskleri
- Kişisel Verilerin Yurt Dışına Aktarımı ve Standart Sözleşmeler
- Bulut Sistemleri ve KVKK
- E-Ticaret Sitelerinde KVKK, Çerez Politikası ve İzinli Pazarlama
- Çalışan KVKK Aydınlatma Metni Nasıl Hazırlanır?
- Özel Eğitim ve Rehabilitasyon Merkezlerinde KVKK Yükümlülükleri
- Otel ve Turizm İşletmelerinde KVKK Neden Önemlidir?
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. KVKK kapsamındaki yükümlülükler; veri sorumlusunun faaliyet konusu, çalışan sayısı, mali bilanço durumu, işlenen kişisel veri türleri, özel nitelikli veri işleme faaliyeti, yurt dışına aktarım yapılıp yapılmadığı, şirket içi görev dağılımı, yönetim yapısı ve somut olayın özellikleri dikkate alınarak ayrıca değerlendirilmelidir. İdari para cezası, cezai sorumluluk, tazminat sorumluluğu veya yönetici sorumluluğu bakımından kesin değerlendirme yapılabilmesi için somut olayın ayrıca incelenmesi gerekir.
Yayın Tarihi: 29 Haziran 2026 | Son Güncelleme: 29 Haziran 2026
