Danışmanın günlük veri işi ve KVKK: kanun ne diyor?

Kanunun üçüncü maddesi kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Veri işlemeyi ise verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlar.

Tanım geniştir. Müşterinin adı, telefonu, talebi ve yer gösterme belgesindeki kimlik bilgisi bu tanımın içine girer; bunları kaydetmek, ofis arkadaşınıza iletmek ya da arşivlemek de işleme sayılır.

Aynı madde veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Bir ofiste bu rolün kimde olduğu ofisin yapısına göre değişir; bu rehber o soruyu cevaplamaz.

Onuncu madde, kişisel veriler elde edilirken veri sorumlusunun veya yetkilendirdiği kişinin ilgili kişilere şu konularda bilgi vermesini yükümlülük olarak yazar:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği.
2. Kişisel verilerin hangi amaçla işleneceği.
3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği.
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi.
5. On birinci maddede sayılan diğer hakları.

Madde bu bilgilerin veriler elde edilirken verilmesini ister. Müşteriyle ilk konuşmada telefon numarasını ya da talebini kaydetmeden önce bu bilgilerin nasıl verileceği ofis içinde belirlenmelidir.

On ikinci madde veri sorumlusunu, kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlü kılar. Aynı madde şu noktaları da içerir:

• Veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi halinde, tedbirlerin alınması hususunda bu kişilerle birlikte müteselsilen sorumludur.
• Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
• İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

Sekizinci madde ise kişisel verilerin ilgili kişinin açık rızası olmaksızın aktarılamayacağını yazar; beşinci maddenin ikinci fıkrasındaki şartlardan biri varsa rıza aranmaksızın aktarılabilir. Müşteri verisini başka bir ofise ya da üçüncü kişiye vermeden önce bu iki maddeye bakılır.

Ticari elektronik iletiler Elektronik Ticaretin Düzenlenmesi Hakkında Kanunun altıncı maddesine göre alıcılara ancak önceden onayları alınmak kaydıyla gönderilebilir. Onay yazılı olarak veya her türlü elektronik iletişim araçlarıyla alınabilir. Aynı madde esnaf ve tacirlere önceden onay alınmaksızın ticari elektronik ileti gönderilebileceğini de yazar.

Sekizinci maddeye göre alıcılar diledikleri zaman, herhangi bir gerekçe göstermeden ticari elektronik iletileri almayı reddedebilir; talebin ulaşmasını müteakip hizmet sağlayıcı üç iş günü içinde ileti göndermeyi durdurur. Bu rehber, bir mesajın ticari elektronik ileti sayılıp sayılmayacağını değerlendirmez.

RE-OS'ta müşteri kayıtlarını ofis içinde kimin göreceği, ofis bazında altı seçenekten biriyle belirlenir: yalnızca kaydı giren, yalnızca broker, broker ve asistan, broker ve ofis yöneticisi, broker, asistan ve ofis yöneticisi ya da herkes. Kullanıcılar broker, ofis yöneticisi, danışman ve asistan rolleriyle bir ya da birçok ofise atanır ve bağlı oldukları ofislerin kayıtlarını görür. Ayrıntı: Ofis ve Kullanıcı Yönetimi.

Bu ayarlar ofisin kimin neyi göreceğine karar vermesini sağlayan araçlardır. Bu rehber, RE-OS'un ya da bir ofisin kanunun yükümlülüklerini yerine getirdiği yönünde bir iddia taşımaz; aydınlatma metni, açık rıza ve sicil kaydı gibi konular ofisin kendi sorumluluğundadır.