KVKK açısından veriniz nerede durmalı?

Önce bir uyarı

Bu yazı teknik bir özettir, hukuki görüş değildir. KVKK yükümlülükleriniz sektörünüze, işlediğiniz veri türüne ve süreçlerinize göre değişir. Kararlarınızı hukuk danışmanınızla birlikte verin. Bizim sorumluluğumuz, seçtiğiniz yapıyı teknik olarak doğru kurmaktır.

Kişisel veri neredeyse her işletmede var

"Bizde kişisel veri yok" diyen işletmelerin neredeyse tamamında aslında var:

• Personel özlük dosyaları, bordro, izin kayıtları
• Müşteri ad-soyad, telefon, adres ve fatura bilgileri
• Kamera kayıtları
• Ziyaretçi defteri ve giriş-çıkış kayıtları
• Aday CV'leri
• Araç takip ve kart geçiş kayıtları

Bunların hepsi sunucunuzda ya da bulut hesabınızda duruyor. Dolayısıyla altyapı kararı aynı zamanda bir uyum kararıdır.

Verinin yurt içinde olması neyi değiştirir?

KVKK, kişisel verinin yurt dışına aktarılmasını belirli şartlara bağlar. Bu şartların sağlanması ek çalışma, sözleşme ve bazı durumlarda onay gerektirir.

Verinin Türkiye'deki bir veri merkezinde tutulması, bu aktarım başlığını büyük ölçüde gündemden çıkarır. Pratikte bu, uyum çalışmasını sadeleştirir. Turkcell Bulut ve Türk Telekom Bulut gibi yurt içi sağlayıcıların bu noktadaki avantajı budur.

Saklama süresi: ne kadar tutmalı, ne zaman silmeli?

KVKK'nın en çok atlanan tarafı burası. Veriyi toplamak kadar, gereğinden uzun tutmamak da yükümlülük. Her veri türü için bir saklama süresi belirlenmeli ve süre dolduğunda silinmeli ya da anonimleştirilmeli.

Teknik tarafta bunun karşılığı şudur: kamera kayıtlarının otomatik olarak belirlenen süre sonunda üzerine yazması, eski personel dosyalarının arşiv politikasına bağlanması, yedeklerde de saklama süresinin tanımlı olması.

Yedek konusu özellikle atlanıyor: silinen bir veri, süresiz saklanan bir yedekte yıllarca durmaya devam edebilir. Bu yüzden kurduğumuz yedek yapılarında saklama süresi mutlaka tanımlanır.

Erişim yetkileri: kim neyi görebiliyor?

Uyumun teknik ayağının en önemli parçası yetkilendirme. Ortak bir klasörde herkesin her şeyi görebildiği yapı, hem KVKK hem iş güvenliği açısından sorunludur.

• Dosya sunucusunda departman bazlı yetkilendirme
• Personel ve bordro klasörlerine sınırlı erişim
• Yönetici hesaplarının günlük kullanımdan ayrılması
• Kim neye ne zaman eriştiğinin kayıt altına alınması
• İşten ayrılan personelin hesaplarının aynı gün kapatılması

Son madde en sık ihmal edileni. Aylar önce ayrılmış personelin hesabının hâlâ açık olduğu onlarca kurulum devraldık.

Veri ihlali durumunda ne olur?

Fidye yazılımı, hırsızlık ya da yetkisiz erişim durumunda bildirim yükümlülüğünüz doğabilir ve süre kısadır. Bu yüzden teknik müdahaleyle eş zamanlı olarak hukuk tarafının da başlaması gerekir.

Teknik ekip olarak bizim görevimiz, hangi sistemlerin ve hangi veri türlerinin etkilendiğine dair raporu hızlıca çıkarmaktır. Bu raporun hazırlanabilmesi için de sistemlerde günlük kaydının tutuluyor olması gerekir — kayıt yoksa neyin etkilendiğini söylemek mümkün olmaz.

Altyapı tarafında uyum kontrol listesi

• Kişisel veri içeren sistemler yurt içinde mi barındırılıyor?
• Yedeklerde saklama süresi tanımlı mı?
• Dosya sunucusunda departman bazlı yetkilendirme var mı?
• Yönetici hesapları günlük kullanımdan ayrı mı?
• Ayrılan personelin hesapları kapatılıyor mu?
• Kamera kayıtlarının saklama süresi ayarlı mı?
• Sistem günlükleri tutuluyor ve saklanıyor mu?
• Verinin şifrelenmiş olarak taşındığından emin misiniz?

Bu listenin teknik tarafını keşif çalışmasında birlikte dolduruyoruz; sonuç raporu hukuk danışmanınızla paylaşabileceğiniz bir ek oluyor.

Sık sorulan sorular