Başta da belirttiğim üzere amacım bilgi edinebilmek o yüzden sordum.
Türkiye örneğiniz evet doğru kvkk deyince KDV diyebilecek potansiyele sahip bir çok kişi/şirket mevcut. Ancak yasal anlamda her şey tam olsun dediğimizde kvkk devreye girmez mi ? Malum ülkemizde denetçi mekanizma çalışmıyor derken bir anda cezalar gelebiliyor buna bir çok örnek mevcut. Özel bilgilerin tutulması bir kanuna bağlı değil mi ?
Yurtdışı örneğine gelecek olur isek gpdr denilen AB tarafından kabul edilen bir mekanizma mevcut.
Biz hem yurtiçinde hem yurtdisinda birden fazla şirket yönetiyoruz. Ve yasal bağlamda detaya girdiğimizde ( ileride sorun yaşamamak adına ) bunlar Türkiye ve global anlamda bir çok ülkenin gerçekleri.
Benim merak ettiğim konu şu,
Şahıs olarak ( firma sahibi olmayanlar ) kişilerin özel bilgilerini veritabanlarında saklayabilir mi ? Bu yasalara uygun mu ? Daha sonrasında sorun yaşandığında nasıl bir savunma yapılabilir?
Not: Tekrar üzerine basarak dile getirmek istiyorum, amacım aklıma takılan soruların cevaplarını öğrenebilmek.
Şöyle açıklayayım daha açık olsun.
GDPR, ICO, KVKK ya da aklınıza ne gelirse. Bunların hepsi "uyumluluk" esaslıdır. Bu nedenle bir şirketin compliance prosedürüne göre hareket etmesi ve bu hareketle şirket standartlarını düzenlemesi beklenir. Şirketlerin çoğu, GDPR uyumluluğumuz var yazarlar ve aksiyon olarak "verilerinizi GDPR kapsamında silebilirsiniz" butonu koyarlar. İlave olarak GDPR metni ya da siteye giriş yaptığınızda GDPR çerez saklama koşullarını kabul etme butonları koyabilirler. Ancak tüm bunlara rağmen, bu şirketin GDPR uyumluluğu olduğu anlamı çıkmaz. Çünkü her şartına uyduğu ve bu şartları yerine getirdiğini tespit eden bir denetçi mekanizma çalışmaz. Bu mekanizma çalışsa bile, devamlı denetim olmadığı sürece, hiçbir anlam teşkil etmez.
Bir diğer konu ise talep gönderimi. Tüm bilgilerinizi GDPR kapsamında silme talebi yolladığınızda, silmeyi kabul eden şirketlerin çoğu, onayınız sonrasında veritabanından silmez, veritabanında public olarak görülemez hale getirirler. Tekrar üye olmak istediğinizde aynı üyelik bilgilerininin sistemde olduğu ve üyeliğin silindiğini görebilirsiniz. Bazıları, bunun fark edilmemesi için, üyelik bilgilerinin ID kısmını editler ancak içeriği tutmaya devam ederler.
GDPR kapsamında üyelik bilgilerinizi silmeyi reddeden şirket sayısı da oldukça fazladır. Özellikle ticari işlemlere konu olan, bankalar ya da fintechler kolaylıkla reddederler. GDPR kapsamında üyelik bilgilerinizi sileceğiz ancak 10 yıl boyunca verilerinizi saklama zorunluluğumuz bulunuyor derler. Bir kısmı 5, bir kısmı 10 yıl yazıp geçerler. Daha kötü olanı, örneğin Tide isimli bir İngiltere merkezli Fintech'in yaptığı tutum. Yeni üye olmuş, hiçbir ticari işlemi bulunmayan bir hesabı bile silmiyor olması. Aynı şeyi bugün PayPal'da yapıyor birçok ülkede. Rusya'da PayPal açın, doğrulama aşamasını geçmeden hesabı silmenize izin vermezler. Yıllarca açık kalır hesap. Doğrulama şansınız olmayabilir, ya da bir sıkıntı olabilir, ya da doğrulama kriterlerine uymuyor olabilirsiniz, bunu umursamazlar. Bu konular da her kişiye göre farklılık gösterir. Birinde hesap silip, diğerinde kafalarına göre hesap silmeyebilirler.
Kısacası, hukuki olarak yapılması gereken bir şey, hukuki olarak uygun görülecek şekilde düzenli olarak denetlenmediği sürece, ve istismara açık bir yapıda devam ettiği sürece, ne kadar ceza veriliyor olursa olsun, yasal olmayan şekilde çalışmaya devam eden şirketler hem çalışmalarına devam ederler, hem de tespit edilmeleri kolay değildir. Kredi kartı bilgilerine kadar sakladığından emin olduğunuz siteler bile "saklamıyoruz" gibi saçma açıklamalar yapıyorlar. Daha kötüsü, Türkiye'de çok ünlü bazı internet siteleri, milyonlarca üyesi olan başlıca sitelerden bazıları, kullanıcı şifrelerini bile String olarak tutup, kullanıcılarının şifrelerini şifrelemiyorlar. Bunu yapan üniversiteler bile var.
Yasal olarak uymak zorunda olduğunuz zorunluluklar, denetim mekanizması olmadan bir zorunluluk olmak durumundan da çıkıyor haliyle. Konunun yasal boyutunu bir hukukçu ile görüşebilirsiniz. Ama pratikte görüştüğünüz şeyin gerçekleşmediği ve devletlerin ilerleyen teknolojiye ayak uydurmakta çok zorlandıkları su götürmez bir gerçekliktir. Pyramid scheme biçiminde çok katmanlı pazarlama tekniği kullanan ve tüm cezalarını ödeyen bir şirket, yaptığı yasadışı olsa bile cezalarını ödediği sürece gözardı edilir. GDPR'da aslında bundan farksız. Pryamid scheme bile cezalarını ödediğiniz sürece, ABD gibi bir yerde bile 40-50 yıl yasal şirket olarak kalabiliyor, $5.000.000.000 gibi kazançlara varabiliyorsa, konuştuğunuz konununda gerçekten hiçbir anlamı kalmaz.
Ben GDPR, ICO, KVKK gibi şeyleri daha çok şuna benzetiyorum;
Üniversitede eğitim alırken ilk sınıfta etik dersi alıyorsunuz. Dersi geçiyorsunuz. Mezun olduktan sonra o etik dersinden bir haber, isterseniz kötü isterseniz iyi yönde kariyerinizi devam ettiriyorsunuz.
Hukuki boyutu: Hukukçularla görüşülmeli
Etik boyutu: Uyulması gereken bir uyumluluk
Pratik boyutu: Herkes bu uyumluluk kurallarından bir haber.
Yazdığım yazıların tamamı, kişisel görüşlerim ve deneyimlerimle ilişkilidir. Hukukçu değilim, yasal tavsiyede bulunmam doğru olmaz. Ben şahsen, tüm ülkelerdeki şirketlerim için, yasal boyutlarını değil, etik boyutlarını takip ediyorum. Türkiye'deki müşterilerimden de 10 şirketten sadece 1 tanesi KVKK uyumluluk talebinde bulunmuştur bugüne kadar. Biz bir kısmına kendimiz önermek istedik, ücretsiz sağladığımız bir destek olmasına rağmen, devlet işi olduğu için korkup geri durdular.