Kişisel verilerin korunması çalışmalarında yalnız aydınlatma metni hazırlamak yeterli değildir. Hangi verinin hangi amaçla işlendiği, hukuki sebep, saklama süresi, erişim yetkisi ve veri sahibinin başvurularına nasıl cevap verileceği süreç bazında incelenmelidir.
Veri envanteri ve işleme amacı
Kuruluş içinde hangi kişisel verilerin nereden toplandığı, kimlerle paylaşıldığı ve ne kadar süre saklandığı belirlenir. Gereksiz veri toplama veya amacı belirsiz saklama uygulamaları risk yaratabilir.
Aydınlatma ve açık rıza
Aydınlatma yükümlülüğü ile açık rıza aynı şey değildir. Her veri işleme faaliyeti için otomatik olarak rıza almak yerine işleme sebebi ve ilgili kişinin bilgilendirilme biçimi ayrı değerlendirilir.
İlgili kişi başvuruları
Veri sahiplerinin erişim, düzeltme, silme veya diğer taleplerine ilişkin başvuruların kayıt altına alınması ve sürecin tutarlı işletilmesi önemlidir. Başvurunun kapsamı ile verilecek cevabın dayanağı dosyada korunmalıdır.
Veri ihlali ve üçüncü kişiler
Yetkisiz erişim, yanlış alıcıya gönderim veya sistem açığı gibi olaylarda ihlalin kapsamı hızla belirlenmeli; teknik ve hukuki ekiplerin aynı kayıt üzerinden çalışması sağlanmalıdır. Veri işleyen tedarikçilerle sözleşmeler de bu açıdan önem taşır.
Uyuşmazlıkta gerekli belgeler
Politika ve aydınlatma metinleri, açık rıza kayıtları, veri işleme envanteri, başvuru-cevap evrakı, log ve erişim kayıtları ile tedarikçi sözleşmeleri birlikte incelenir.
Uyum belgeden ibaret değildir
İnternetten alınmış bir aydınlatma metninin web sitesine konulması tek başına KVKK uyumu sağlamaz. İnsan kaynakları, müşteri, kamera, pazarlama ve tedarikçi süreçlerinde fiilen hangi verinin işlendiği incelenmeli; metinler gerçek uygulamayla uyumlu olmalıdır.
Saklama ve silme süreçleri
Verinin ne kadar süre tutulacağı yalnız teknik depolama kapasitesine göre belirlenmemelidir. İşleme amacı ve yasal yükümlülük sona erdiğinde silme, yok etme veya anonimleştirme süreçlerinin nasıl işleyeceği kurum içinde tanımlanmalı ve gerektiğinde ispatlanabilir kayıt tutulmalıdır.
Sık karşılaşılan hata
Her veri işleme faaliyeti için açık rıza istemek, rızayı gerçek hukuki sebebin yerine koyabilir. Önce işleme şartı belirlenmeli, rıza gerçekten gerekiyorsa ayrıca ele alınmalıdır.
Uyum çalışmasını süreç sahipleriyle yapmak
Kişisel veri yalnız hukuk biriminin yönettiği bir konu değildir. İnsan kaynakları, bilgi işlem, satış, güvenlik ve tedarik süreçleri farklı veri setleri işler. Politika ve sözleşmeler bu birimlerin fiili uygulamasıyla karşılaştırılmadığında kağıt üzerinde doğru görünen sistem pratikte çalışmayabilir.
Ne zaman hızlı müdahale gerekir?
Yanlış kişiye veri gönderimi, hesap sızıntısı, kayıp cihaz veya yetkisiz erişim fark edildiğinde olayın kapsamı ve etkilenen kişiler hızla belirlenmelidir. Teknik kayıtların korunması, gerekli bildirimlerin değerlendirilmesi ve tekrarını önleyici önlemler aynı olay planı içinde ele alınır.
Tedarikçi ve bulut hizmetlerinde sorumluluk
Verinin dış hizmet sağlayıcı, yazılım firması veya bulut altyapısında tutulması veri sorumlusu bakımından süreci görünmez hale getirmemelidir. Hangi tedarikçinin hangi veriye eriştiği, alt hizmet sağlayıcı kullanıp kullanmadığı ve ihlal halinde nasıl bilgi vereceği sözleşme ve teknik süreçte açıklaştırılmalıdır. Yetki matrisi ile sözleşmenin birbirini desteklemesi, özellikle erişim ve güvenlik olaylarında önem taşır.