KVKK Denetimlerinde Yapılan 7 Hata ve Çözüm Yolları
KVKK uyumluluğu denildiğinde birçok işletmenin aklına ilk olarak aydınlatma metni, açık rıza formu veya VERBİS kaydı geliyor.
Oysa kişisel verilerin korunması yalnızca belgelerin hazırlanmasından ibaret değildir.
Bir işletmenin hangi kişisel verileri topladığı, bunları hangi hukuki sebeple işlediği, kimlerle paylaştığı, ne kadar süre sakladığı ve nasıl koruduğu da önem taşır.
KVKK denetimlerinde ve uyumluluk değerlendirmelerinde risk oluşturabilen sorunların önemli bir bölümü, yazılı politikalar ile günlük uygulamaların birbirinden farklı olmasından kaynaklanabilir.
Bu yazıda, kurumların KVKK hazırlığında sık karşılaşabildiği yedi hata türünü ve bunlara karşı uygulanabilecek önlemleri ele alıyoruz.
KVKK denetimi nedir?
KVKK denetimi ifadesi, genel olarak bir kurumun kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili düzenlemeler açısından değerlendirilmesini anlatmak için kullanılır.
Bu değerlendirme, yetkili makamların incelemelerinden veya işletmelerin kendi iç kontrol çalışmalarından farklı biçimlerde ortaya çıkabilir.
Her kurumun aynı yükümlülüklere sahip olduğu varsayılmamalıdır. Veri sorumlusu sıfatı, işleme faaliyetinin niteliği, sektör ve uygulanabilir istisnalar birlikte değerlendirilmelidir.
Amaç yalnızca belgelerin mevcut olduğunu göstermek değil; kişisel verilerin hukuka uygun ve güvenli biçimde işlendiğini ortaya koyabilmektir.
1. Kişisel veri envanterini hazırlamamak veya güncellememek
İlk hata, kurumun hangi kişisel verileri işlediğini yeterince bilmemesidir.
İnsan kaynakları, muhasebe, satış, müşteri ilişkileri, kamera sistemleri ve ziyaretçi kayıtları gibi birçok süreçte kişisel veriler işlenebilir.
Yeni bir yazılım, bulut hizmeti veya entegrasyon devreye alındığında veri akışları değişebilir.
Ancak envanter güncellenmezse işlenen veri kategorileri, aktarım yapılan taraflar ve saklama süreleri hakkında tutarsızlıklar ortaya çıkabilir.
Ne yapılmalı?
- Kişisel veri işleme faaliyetleri ve ilgili süreçler belirlenmeli.
- Veri kategorileri, işleme amaçları ve hukuki sebepler kayıt altına alınmalı.
- Veri akışları ve aktarım yapılan taraflar değerlendirilmeli.
- Saklama süreleri ve güvenlik tedbirleri tanımlanmalı.
- Yeni sistem veya süreç değişikliklerinde envanter gözden geçirilmeli.
VERBİS kayıt yükümlülüğü ile kişisel veri işleme faaliyetlerinin envanterlenmesi aynı konu değildir. İlgili yükümlülüklerin somut duruma göre değerlendirilmesi gerekir.
İlgili rehber: Kişisel Veri Envanteri Nasıl Çıkarılır?
2. Açık rızayı her işlemin zorunlu şartı sanmak
KVKK açısından yaygın karışıklıklardan biri, bütün kişisel veri işlemleri için mutlaka açık rıza alınması gerektiği düşüncesidir.
Kanunda kişisel veri işlenmesi için açık rıza dışında da farklı hukuki şartlar düzenlenmiştir.
Örneğin uygulanabilir koşullarda kanuni yükümlülükler, sözleşmenin kurulması veya ifası ve diğer kanuni işleme şartları gündeme gelebilir.
Buna karşılık açık rızanın gerçekten gerekli olduğu bir faaliyet için başka bir hukuki sebep varmış gibi davranılması da uygun değildir.
Ne yapılmalı?
Her kişisel veri işleme faaliyeti için hukuki sebep ayrı ayrı belirlenmeli, ilgili kayıtlarla tutarlı olmalı ve süreç değiştiğinde yeniden değerlendirilmelidir.
Özel nitelikli kişisel veriler için ayrıca ilgili kanuni işleme şartları ve gerekli önlemler dikkate alınmalıdır.
3. Aydınlatma metnini gerçek veri işleme faaliyetlerinden kopuk hazırlamak
İnternetten alınan genel bir aydınlatma metninin şirketin bütün ihtiyaçlarını karşıladığı varsayılmamalıdır.
Aydınlatma yükümlülüğü kapsamında ilgili kişilere veri sorumlusu, işleme amaçları, aktarım, veri toplama yöntemi, hukuki sebep ve ilgili kişi hakları gibi konularda doğru bilgi verilmesi gerekir.
Örneğin işletmede kullanılmayan bir veri işleme faaliyetinin metinde yer alması veya gerçekte kullanılan bir sistemin açıklanmaması tutarsızlığa yol açabilir.
Ne yapılmalı?
Aydınlatma metinleri kurumun gerçek süreçleriyle uyumlu hazırlanmalı; web formları, çalışan süreçleri, müşteri kayıtları ve ilgili diğer uygulamalar açısından gözden geçirilmelidir.
Ayrıca aydınlatma yükümlülüğü ile açık rıza alma işlemi birbirine karıştırılmamalıdır.
Resmî kaynak: KVKK — Aydınlatma Yükümlülüğü
4. Kişisel verilerin saklama ve imha sürelerini belirsiz bırakmak
Bir verinin işlenmesi hukuka uygun olsa bile süresiz saklanması otomatik olarak hukuka uygun hâle gelmez.
Saklama süresi; işleme amacı, uygulanabilir kanuni yükümlülükler ve ilgili diğer gerekliliklerle birlikte değerlendirilmelidir.
Örneğin eski personel dosyaları, artık kullanılmayan müşteri kayıtları, yedekler veya e-posta arşivleri fark edilmeden uzun süre saklanabilir.
Ne yapılmalı?
- Veri kategorilerine uygun saklama süreleri belirlenmeli.
- İmha süreçleri ve sorumlular tanımlanmalı.
- Canlı sistemler, yedekler ve arşivler birlikte değerlendirilmeli.
- Silme, yok etme veya anonimleştirme gereklilikleri ilgili düzenlemelere göre uygulanmalı.
- Yapılan işlemler gerektiğinde doğrulanabilir olmalı.
Önemli bir ayrım: 5651 sayılı Kanun kapsamındaki belirli trafik kayıtları ile KVKK kapsamındaki bütün kişisel veriler aynı saklama kurallarına tabi değildir.
5. Tedarikçi ve bulut hizmetlerindeki veri akışlarını incelememek
Bir işletme kişisel verilerini yalnızca kendi bilgisayarlarında işlemeyebilir.
Bulut e-posta hizmetleri, CRM sistemleri, dış kaynak destek firmaları, insan kaynakları yazılımları ve başka hizmet sağlayıcılar veri işleme sürecine dahil olabilir.
Bu noktada veri sorumlusu ve veri işleyen rolleri, sözleşmeler, erişim izinleri ve veri aktarım süreçleri önem taşır.
Özellikle yurt dışına kişisel veri aktarımı söz konusuysa KVKK'nin 9. maddesi ve ilgili düzenlemeler değerlendirilmelidir.
Standart sözleşmeler ve bağlayıcı şirket kuralları, koşulları dahilinde kullanılabilen uygun güvence yöntemleri arasındadır. Her yurt dışı aktarımının yalnızca tek bir yönteme bağlı olduğu varsayılmamalıdır.
Ne yapılmalı?
Tedarikçi envanteri oluşturulmalı, veri akışları belirlenmeli, sözleşmeler ve güvenlik tedbirleri incelenmeli, yurt dışına aktarım söz konusuysa uygulanabilir hukuki çerçeve değerlendirilmelidir.
İlgili yazılar:
6. Teknik ve idari güvenlik önlemlerini yalnızca belge üzerinde bırakmak
Bilgi güvenliği politikası hazırlanmış olması, sistemlerin yeterli güvenlik önlemlerine sahip olduğu anlamına gelmez.
Gereğinden geniş erişim yetkileri, kullanılmayan yönetici hesapları, eksik yedekleme, güncellenmeyen sunucular ve kontrol edilmeyen üçüncü taraf erişimleri risk oluşturabilir.
Teknik tarafta değerlendirilebilecek kontroller:
- Kullanıcı ve yönetici yetkilerinin gözden geçirilmesi
- Çok faktörlü kimlik doğrulama
- Firewall ve ağ erişim kuralları
- Sunucu ve bilgisayar güvenlik güncellemeleri
- Uygun loglama ve olay izleme
- Yedekleme ve geri yükleme testleri
- Güvenlik açığı yönetimi
- Cihaz ve uç nokta güvenliği
İdari tarafta ise politika, sorumluluk, eğitim, olay yönetimi ve tedarikçi ilişkileri gibi başlıklar değerlendirilmelidir.
Teknik önlemler her kurum için aynı cihazları veya aynı ürünleri satın almak anlamına gelmez. Risklere uygun ve uygulanabilir kontroller belirlenmelidir.
İlgili yazı: KVKK ve ISO 27001 Birlikte Nasıl Yürütülür?
7. Veri ihlali ve ilgili kişi başvurusu süreçlerini hazırlamamak
Bir güvenlik olayı yaşandığında yalnızca teknik müdahale yeterli olmayabilir.
Olayın kişisel veri ihlali niteliği taşıyıp taşımadığının belirlenmesi, ilgili kayıtların korunması, gerekli bildirimlerin değerlendirilmesi ve sorumlulukların açık olması gerekir.
Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi kapsamında Kurulun 2019/10 sayılı kararında, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılması yönünde düzenleme bulunmaktadır.
Ayrıca ilgili kişilerin KVKK kapsamındaki başvurularının kural olarak en kısa sürede ve en geç 30 gün içerisinde sonuçlandırılması gerekir.
Bu süreler birbirinden farklı yükümlülüklere ilişkindir.
Ne yapılmalı?
- Veri ihlali müdahale planı hazırlanmalı.
- Teknik ve hukuki sorumlular belirlenmeli.
- Olay kayıtlarının korunması sağlanmalı.
- Bildirim gereklilikleri ve süreleri takip edilmeli.
- İlgili kişi başvurularının alınması ve yanıtlanması için süreç oluşturulmalı.
- Gerekli durumlarda olay sonrası iyileştirme çalışmaları yapılmalı.
Ayrıntılı bilgi: Veri İhlali Yaşarsanız İlk 72 Saatte Ne Yapmalısınız?
KVKK uyumluluk kontrol listesi
Kurumunuzun mevcut durumunu değerlendirmek için şu sorularla başlayabilirsiniz:
- Güncel bir kişisel veri işleme envanterimiz var mı?
- Veri işleme faaliyetleri için hukuki sebepler belirlendi mi?
- Aydınlatma metinleri gerçek süreçlerle uyumlu mu?
- Saklama ve imha süreçleri tanımlandı mı?
- Tedarikçiler ve veri aktarımları değerlendirildi mi?
- Teknik ve idari güvenlik kontrolleri uygulanıyor mu?
- Veri ihlali ve ilgili kişi başvurusu süreçleri çalışıyor mu?
Bu sorulara verilen yanıtlar, geliştirilmesi gereken alanların belirlenmesine yardımcı olabilir.
KVKK uyumluluğu ve ISO 27001 ilişkisi
ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulmasına yönelik uluslararası bir standarttır.
KVKK ise kişisel verilerin işlenmesine ve korunmasına ilişkin hukuki yükümlülükler içerir.
ISO 27001 kapsamındaki risk yönetimi, erişim kontrolü, olay yönetimi ve diğer güvenlik uygulamaları KVKK kapsamındaki teknik ve idari tedbirleri destekleyebilir.
Ancak ISO 27001 belgesine sahip olmak tek başına KVKK'ye tam uyumluluk anlamına gelmez.
RelGen Teknoloji ile KVKK teknik uyumluluk çalışmaları
RelGen Teknoloji, işletmelerin mevcut BT altyapısını ve çalışma süreçlerini değerlendirerek KVKK kapsamındaki teknik güvenlik ihtiyaçlarının belirlenmesine yardımcı olur.
Sistem ve ağ güvenliği, kullanıcı yetkileri, loglama, yedekleme, güvenlik açığı yönetimi ve bilgi güvenliği süreçlerinin iyileştirilmesi bu çalışmaların parçası olabilir.
Amaç, hazırlanan dokümanlarla gerçek BT uygulamalarının birbiriyle tutarlı olmasını desteklemektir.
Kurumunuzun teknik güvenlik ve bilişim uyumluluk ihtiyaçlarını değerlendirmek için Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliğinde değildir. Kurumun somut yükümlülükleri güncel mevzuat ve uzman değerlendirmesiyle belirlenmelidir.