KVKK İyi Uygulamalar Rehberi

Bankalar, bireylerin gündelik hayatında sıklıkla muhatap oldukları kuruluşların başında gelmekte olup, bankacılık faaliyetleri kapsamında bankalar tarafından çeşitli kanallar üzerinden yoğun bir biçimde kişisel veri elde edilmekte ve bunu müteakiben söz konusu kişisel veriler çeşitli amaçlarla işlenmektedir. Bu sebeple, hâlihazırda bankacılık mevzuatına uygun olarak faaliyetlerini yürüten bankaların 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil mevzuat çerçevesinde uyması gereken usul ve esaslar ile yerine getirmesi gereken yükümlülüklerin iyi uygulama örnekleri vasıtasıyla ortaya konulması hususunda bir ihtiyaç bulunmaktadır.

Diğer taraftan, her geçen gün kişisel verilerden yararlanmak suretiyle daha verimli iş modelleri oluşturulmakta ve bireylere sunulan ürün ve hizmetler iyileştirilmektedir. Benzer şekilde, bankalar da daha etkin iş süreçleri oluşturmak ve müşteri memnuniyetini en üst düzeye çıkarmak adına teknolojik gelişmeler sonucu ortaya çıkan karmaşık ve ileri düzey kişisel veri işleme tekniklerini kullanmaktadır. Özellikle dijital bankacılık uygulamalarının yaygınlaşmasıyla bankalar tarafından gerçekleştirilen işleme faaliyetlerine konu kişisel veri kategorileri çeşitlenmiş ve özel nitelikli kişisel veriler başta olmak üzere hukuka aykırı olarak elde edilmesi halinde ilgili kişiler nezdinde telafisi güç zararların doğmasına neden olabilecek kişisel veriler de bankacılık faaliyetleri kapsamında işlenmeye başlamıştır. Bununla birlikte, bankaların kişisel veri toplama vasıtaları da eş zamanlı olarak çoğalmış olup, kişisel verilerin elde edilmesi kolaylaşmıştır.

Bu çerçevede, bankalar tarafından yoğun bir şekilde kişisel veri işleme faaliyeti gerçekleştirildiği ve bu kapsamda anayasal güvence altında bulunan kişisel verilerin korunmasını isteme hakkı bağlamında ilgili kişilerin maruz kaldığı risk derecesi göz önünde bulundurularak; Kişisel Verileri Koruma Kurumu ve Türkiye Bankalar Birliği bünyesinde çalışma grupları kurulmuştur. Söz konusu çalışma grupları arasında periyodik toplantılar gerçekleştirilmiş ve Bankacılık Sektöründe Kişisel Verilerin Korunmasına KVKK | KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN BANKACILIK SEKTÖRÜ İYİ UYGULAMALAR REHBERİ İlişkin İyi Uygulamalar Rehberi sektörle işbirliği içinde hazırlanmıştır.

II. Kurum Tanıtımı

Kanun’da belirtilen görevleri yerine getirmek üzere kurulan, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu (Kurum);

* Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip etmek, değerlendirmek ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak,

* İhtiyaç duyulması hâlinde, görev alanına giren konularda kamu kurum ve kuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapmak,

* Kişisel verilerle ilgili uluslararası gelişmeleri izlemek ve değerlendirmek, görev alanına giren konularda uluslararası kuruluşlarla iş birliği yapmak, toplantılara katılmak, yıllık faaliyet raporunu Cumhurbaşkanlığına ve Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna sunmak,

* Kanunlarla verilen diğer görevleri yerine getirmek hususlarında görevli ve yetkili kılınmıştır. Kişisel Verileri Koruma Kurulu (Kurul) ve Başkanlık şeklinde teşkilatlanan Kurumun karar organı Kuruldur.

Kurul, Kanunla ve diğer mevzuatla verilen görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getirmekte ve kullanmakta olup, görev alanına giren konularla ilgili olarak hiçbir organ, makam, merci veya kişi, Kurula emir ve talimat veremez, tavsiye veya telkinde bulunamaz.

Dokuz üyeden oluşan Kurulun beş üyesi Türkiye Büyük Millet Meclisi, dört üyesi Cumhurbaşkanı tarafından seçilmekte ve 6698 sayılı Kanun’un 22. maddesinde sıralanan görev ve yetkiler, Kurul tarafından yerine getirilmektedir. Bu görev ve yetkiler mezkûr düzenlemede;

* Kişisel verilerin, temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak,

* Kişisel verilerle ilgili haklarının ihlal edildiğini ileri sürenlerin şikâyetlerini karara bağlamak,

* Şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına giren konularda kişisel verilerin kanunlara uygun olarak işlenip işlenmediğini incelemek ve gerektiğinde bu konuda geçici önlemler almak,

* Özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemleri belirlemek,

* Veri Sorumluları Sicilinin tutulmasını sağlamak,

* Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda gerekli düzenleyici işlemleri yapmak,

* Veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmak,

* Veri sorumlusunun ve temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapmak,

* Kanunda öngörülen idari yaptırımlara karar vermek,

* Diğer kurum ve kuruluşlarca hazırlanan ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirmek,

* Kurumun; stratejik planını karara bağlamak, amaç ve hedeflerini, hizmet kalite standartlarını ve performans kriterlerini belirlemek,

* Kurumun stratejik planı ile amaç ve hedeflerine uygun olarak hazırlanan bütçe teklifini görüşmek ve karara bağlamak,

* Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konular hakkında hazırlanan rapor taslaklarını onaylamak ve yayımlamak,

* Taşınmaz alımı, satımı ve kiralanması konularındaki önerileri görüşüp karara bağlamak,

* Kanunlarla verilen diğer görevleri yerine getirmek şeklinde ifade edilmiştir.

Yine 26/4/2018 tarihinde yayımlanan Kişisel Verileri Koruma Kurumu Teşkilat Yönetmeliği’nin Kurulun görev ve yetkileri’nin düzenlendiği 7 nci maddesinde kişisel verilerin korunması, işlenmesi ve güvenliği ile ilgili sektörel uygulama esaslarını belirlemek, kişisel verilerin korunması konusunda kurum ve kuruluşları bilgilendirmek ve kamuoyuna yönelik farkındalık faaliyetleri gerçekleştirmek, üniversiteler ve ilgili diğer yurtiçi ve yurtdışı kurum ve kuruluşlarla işbirliği ve koordinasyon çalışmaları yürütmek görevlerine yer verilmiştir.

III. Amaç ve Kapsam

Bu Rehberin amacı bankalar tarafından yürütülen kişisel veri işleme faaliyetlerinin 6698 sayılı Kanuna ve bu Kanuna dayanılarak Kişisel Verileri Koruma Kurulu tarafından çıkartılan ikincil mevzuata uygun olarak gerçekleştirilmesi konusunda veri sorumlusu bankaları yönlendirmek ve bu çerçevede iyi uygulama örnekleri oluşturmaktır. Bu Rehber, bankaların kişisel verilerin korunması alanında uyması gereken usul ve esaslar ile yerine getirmesi gereken yükümlülüklere ilişkin genel açıklamaları içermekte olup, bankaların 6698 sayılı Kanuna ve ilgili ikincil mevzuata uyum yükümlülüğü devam etmektedir. Bununla birlikte, Kişisel Verileri Koruma Kurulu kendisine intikal ettirilen şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen yapacağı incelemede somut olayın özelliklerini göz önünde bulundurarak değerlendirmesini yapacaktır.

REHBER : https://kvkk.gov.tr/SharedFolderServer/CMSFiles/08f47742-0714-4434-a590-386ba6c21ff0.pdf