KVKK, kişisel verilerin hukuka uygun işlenmesi için genel ilkeler ve işleme şartları belirler. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve Kurulu denetler.
Öne çıkan yükümlülükler:
- Aydınlatma yükümlülüğü (m.10): Veri toplanırken ilgili kişinin bilgilendirilmesi.
- Veri güvenliği (m.12): Verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirlerin alınması.
- Veri ihlali bildirimi (m.12/5): İhlalin Kurul'a ve ilgili kişilere bildirilmesi; Kurul kararına göre Kurul'a bildirim için süre 72 saattir.
- İlgili kişi başvuruları (m.13): Başvuruların en geç otuz gün içinde sonuçlandırılması.
- VERBİS kaydı: Kanunda belirtilen istisnalar dışında veri sorumluları sicile kayıt olmakla yükümlüdür.
- Saklama ve imha: Verilerin işleme amacı ortadan kalktığında silinmesi, yok edilmesi veya anonim hâle getirilmesi.
Kurumların teknik tedbirleri; erişim kontrolü, şifreleme, günlük kaydı, yedekleme ve farkındalık eğitimini kapsamalıdır.